防火墙安全域与 NAT 配置实务（防火墙上的策略路由）

适用场景

防火墙配置的核心是「先分域、再定对象、后写策略」。域分不清，策略就会写得又长又乱；对象组不用，后面加一台服务器要改十几条策略。本文用真实现场配置说明这条主线。

配置步骤（防火墙上的策略路由）

# 场景：某业务网段需要走专线出口，其它走默认互联网出口
# 1) 匹配来源
acl number 3001
 rule 5 permit ip source 10.20.20.0 0.0.0.255

# 2) 策略路由绑定下一跳
policy-based-route PBR-LINE permit node 1
 if-match acl 3001
 apply ip-nexthop 100.64.40.2

interface GigabitEthernet1/0/1
 ip policy-based-route PBR-LINE

# 3) 同时为该网段做对应的 NAT（如专线出口需要 NAT）
# 4) 验证
traceroute -n -a 10.20.20.10 100.64.40.2

关键参数与建议

• 安全域：至少 Trust / Untrust / DMZ，按实际加管理域与专线域
• 地址对象组：把网段、服务器、地址池定义成对象，策略引用对象而不是裸 IP
• 源 NAT：内网访问互联网用源 NAT（地址池或接口地址），注意地址池容量与端口耗尽
• NAT 例外：内网互访、专线互访不要做 NAT，避免日志与审计失真
• 策略顺序：具体策略在前、宽松策略在后，禁止默认全放通
• 会话与日志：开启会话日志与 NAT 日志，便于溯源与排障
• 策略路由：需要按来源选出口时用 PBR，注意与 NAT 的先后关系
• 回退：变更前导出配置，保留可回退版本

容易踩的坑

• 只配 PBR 没配对应 NAT，流量出去回不来
• PBR 与安全策略冲突，命中却被策略丢弃
• 匹配网段写得过宽，把办公流量也带走
• 备用出口没有对应 PBR，主链路故障后策略黑洞
• 变更未在低峰执行，影响面大
• 没验证回程路径，业务单向不通

验证与巡检

traceroute -n -a <业务网段内地址> <目标>
display session table ipv4 | include '10.20.20.'
# 目标：路径符合预期、会话双向建立、无策略丢弃计数增长

• 巡检：PBR 匹配统计、回程路径验证、备用出口策略、策略丢弃计数

小结

防火墙验收：域间访问按策略可达/不可达、NAT 后外网可访问业务、日志能查到会话与 NAT 记录，且无「全放通」策略残留。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。