在H3C网络设备中，端口映射（Port Mapping）是一种重要的网络地址转换（NAT）技术，主要用于将内部网络的私有IP地址和端口映射到外部网络的公网IP地址和端口，从而实现外部网络对内部网络服务的访问，H3C设备支持多种端口映射方式，包括静态NAT、端口映射（PAT）等，以下将详细介绍H3C设备端口映射的相关配置命令、步骤及注意事项。

端口映射的基本概念

端口映射通常应用于内部服务器（如Web服务器、FTP服务器等）需要对外提供服务场景，通过配置端口映射，外部用户可以通过公网IP地址和指定端口访问内部服务器，将内部服务器的192.168.1.100:80映射到公网IP 202.96.1.1:8080，外部用户访问202.96.1.1:8080时，流量会被自动转发到192.168.1.100:80。

端口映射的配置步骤

进入系统视图

首先需要登录H3C设备的命令行界面（CLI），进入系统视图模式，这是配置所有功能的起始步骤,命令如下：

system-view

配置公网IP地址

如果接口尚未配置公网IP地址，需要先在连接外部网络的接口（如GigabitEthernet 0/0/1）上配置IP地址。

interface GigabitEthernet 0/0/1
 ip address 202.96.1.1 255.255.255.0
 quit

配置内部服务器IP地址

确保内部服务器已配置私有IP地址，并与H3C设备的内部接口（如VLAN接口）处于同一网段，内部服务器IP为192.168.1.100，子网掩码为255.255.255.0。

配置静态NAT（可选）

如果需要为内部服务器分配固定的公网IP地址（而非端口复用）,可先配置静态NAT。

nat static protocol tcp global 202.96.1.2 inside 192.168.1.100

上述命令表示将内部服务器192.168.1.100的TCP服务映射到公网IP 202.96.1.2。

配置端口映射（PAT）

如果多个内部服务器需要共享一个公网IP地址，需配置端口映射（PAT）,基本命令格式如下：

nat server protocol global-port global-ip inside-port inside-ip

• protocol：协议类型，支持tcp、udp等。
• global-port：外部公网端口号。
• global-ip：公网IP地址（通常为接口IP地址）。
• inside-port：内部服务器端口号。
• inside-ip：内部服务器私有IP地址。

示例1：TCP端口映射 将内部服务器192.168.1.100的TCP 80端口映射到公网IP 202.96.1.1的8080端口：

nat server protocol tcp global 202.96.1.1 8080 inside 192.168.1.100 80

示例2：UDP端口映射 将内部服务器192.168.1.101的UDP 53端口映射到公网IP 202.96.1.1的53端口：

nat server protocol udp global 202.96.1.1 53 inside 192.168.1.101 53

配置ACL（可选）

如果需要限制访问端口映射的源IP地址，可先配置ACL，并在nat server命令中引用ACL。

acl number 3000
 rule permit source 192.168.2.0 0.0.0.255
 quit
nat server protocol tcp global 202.96.1.1 8080 inside 192.168.1.100 80 acl 3000

上述命令仅允许192.168.2.0/24网段的用户访问映射后的端口。

保存配置

配置完成后,需要保存配置以避免设备重启后丢失：

save force

端口映射的验证与维护

查看NAT会话表

通过以下命令查看当前活动的NAT会话表,验证端口映射是否生效：

display nat session

输出结果中会显示全局IP、端口与内部IP、端口的对应关系。

查看NAT服务器表

查看已配置的端口映射规则：

display nat server

清除NAT会话

如果需要清除特定NAT会话,可使用以下命令：

undo nat session { all | [ protocol global-ip global-port inside-ip inside-port ] }

删除端口映射规则

删除已配置的端口映射：

undo nat server protocol global global-ip inside inside-ip

端口映射的常见问题与解决方法

1. 外部无法访问映射端口

   • 检查公网接口IP地址是否正确配置。
   • 确认防火墙或安全策略是否放行对应端口（如TCP 8080）。
   • 验证内部服务器是否正常运行,且端口未被占用。

2. 映射后访问速度慢

   • 检查内部服务器带宽及网络链路负载。
   • 确认是否存在NAT表项过载,可调整超时时间或优化PAT配置。

配置示例表格

以下为常见端口映射配置场景的命令总结：

相关问答FAQs

问题1：H3C设备中如何配置多个内部服务器共享同一公网IP的不同端口？
解答：可以通过配置多个nat server命令,为每个内部服务器分配不同的公网端口。

nat server protocol tcp global 202.96.1.1 8080 inside 192.168.1.100 80
nat server protocol tcp global 202.96.1.1 8081 inside 192.168.1.101 80

上述命令将两个内部服务器的80端口分别映射到公网IP 202.96.1.1的8080和8081端口。

问题2：端口映射后，如何确保内部服务器的安全性？
解答：可以通过以下方式增强安全性：

1. 配置ACL：限制允许访问映射端口的源IP地址，仅授权用户访问。
2. 使用非标准端口：将内部服务映射到非常用的公网端口（如8080而非80），减少被扫描攻击的风险。
3. 启用防火墙策略：在H3C设备上配置ACL或IPS（入侵防御系统），过滤恶意流量。
4. 定期更新服务器安全补丁：确保内部服务器操作系统及应用软件的安全性。

通过以上配置和注意事项，可以高效实现H3C设备的端口映射功能,并保障内部网络服务的安全稳定运行。