ensp查看nat命令_「防火墙技术连载17」NAT篇 NAT Server 三十二字真言（下篇）

这是我多年以前学习的防火墙的时候学到的文章，是华为官方强叔的分享，文章由浅入深，非常适合初学者，我学习了之后受益匪浅，现在整理一下分享给头条的伙伴们，希望对IT技术感兴趣的初学者朋友们可以从中有所收获。

正文如下：

---

本期强叔将会给大家阐释三十二字真言的后半段：一分为二，源进源回；虚实变换，合二为一。

一分为二，源进源回

防火墙作为出口网关，双出口、双ISP接入公网时，配置NAT Server通常需要一分为二，让一个私网服务器向两个ISP发布两个不同的公网地址供访问。一分为二的方法有两种：

第一种是将接入不同ISP的公网接口规划在不同的安全区域中，配置NAT Server时，带上zone参数，使同一个服务器向不同安全区域发布不同的公网地址。

[FW] nat server zone untrust1 protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80            [FW] nat server zone untrust2 protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80            

第二种是将接入不同ISP的公网接口规划在同一个安全区域中，配置NAT Server时，带上no-reverse参数，使同一个服务器向同一个安全区域发布两个不同的公网地址。

[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80 no-reverse              [FW] nat server protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80 no-reverse              

看到这里小伙伴们就要问了，强叔强叔，上一期中你不是讲过no-reverse参数是用来除去反向Server map表项自断出路的吗，这里怎么又用到了呢？莫急莫急，且听强叔给你慢慢道来。

首先，我们来看下不带no-reverse参数直接配置上面两条命令会发生什么？