NAT进阶
导语：NAT 不止是"内网共享公网 IP"。进阶 NAT 涉及静态映射、端口复用、NAT 穿越、双向 NAT 与日志，是边界安全与可达性的平衡术。用错会既暴露又断服。
一、为什么要关注
- 对外服务需静态映射且受控；
- P2P/隧道类应用依赖 NAT 穿越；
- NAT 会话日志是溯源依据。 NAT 是"边界的翻译官"。
二、核心原理（多厂商客观对比）
NAT 有静态、动态、NAPT（端口复用）、NAT 穿越（ALG/UPnP），各厂商概念一致。
| 厂商 | 类型 | 命令风格特点 | 适用场景 |
|---|---|---|---|
| 华为 | nat static/server | 策略化 | 大型企业 |
| 新华三 H3C | nat server | 类华为 | 园区/数据中心 |
| 锐捷 | ip nat | 类 Cisco | 教育/企业 |
| 思科 | nat inside/outside | 经典生态 | 跨国部署 |
| 迈普 | 国产 nat | 信创体系 | 政务内网 |
| 信创国产 | 各有实现 | 自主可控 | 内网出口 |
三、落地做法/步骤（各厂商命令语法略有差异，以下为通用思路）
- 内网服务放 DMZ，静态映射且仅开必要端口；
- 出口做 NAPT 供终端上网；
- 对需穿越的应用启用 ALG（谨慎）；
- 开启 NAT 会话日志供溯源；
- 验证：外访服务可达、内网出网正常。 通用建议：DMZ 服务映射务必配合 ACL，避免全端口暴露。
四、网络如何为数据存储/备份提供安全底座
五、常见误区
- DMZ 全端口映射，等于裸奔；
- 不开 NAT 日志，出事难溯源；
- 内网存储误做 outbound NAT，暴露风险。
六、小结与行动建议
NAT 进阶 = 受控映射 + 端口收敛 + 会话日志 + 配 ACL。存储管理面优先 VPN 专线，NAT 仅作最小必要对外通道。