在 H3C 路由器（通常运行 Comware V7 操作系统）上设置“虚拟服务器”功能，实际上就是配置 NAT 服务器（NAT Server），也就是我们常说的 端口映射 或 DMZ 主机。
以下是详细的配置步骤和逻辑说明：
核心概念
- 外部 IP (External IP)：路由器连接外网（WAN 口）的 IP 地址。
- 内部 IP (Internal IP)：局域网内需要被访问的服务器 IP 地址。
- 协议与端口：如 TCP 80（Web）、TCP 22（SSH）、TCP 3389（远程桌面）等。
配置步骤（命令行方式）
假设场景：
- 外网接口：
GigabitEthernet 1/0/1 - 内网接口：
GigabitEthernet 1/0/2 - 外网 IP：
100.100.1 - 内网服务器 IP：
168.1.100 - 目标：将外网的 TCP 80 端口映射到内网服务器的 TCP 80 端口。
进入系统视图
<H3C> system-view [H3C] sysname Router-1 # 可选，修改设备名称
配置 NAT 地址组（可选，但推荐）
如果外网 IP 是动态获取的，建议创建一个地址组；如果是静态 IP，可以直接使用接口 IP。
# 创建 NAT 地址组 1，包含外网 IP [H3C] nat address-group 1 [H3C-nat-addr-group-1] mode pat # 使用 PAT 模式（端口复用） [H3C-nat-addr-group-1] section 0 202.100.100.1 202.100.100.1 [H3C-nat-addr-group-1] quit
配置 NAT 服务器（核心步骤）
语法：nat server protocol [tcp|udp] global <外网IP> <外网端口> inside <内网IP> <内网端口> [no-pat]
# 配置 TCP 80 端口映射 [H3C] nat server protocol tcp global 202.100.100.1 80 inside 192.168.1.100 80 # 如果需要映射其他端口，例如远程桌面 (RDP 3389) [H3C] nat server protocol tcp global 202.100.100.1 3389 inside 192.168.1.100 3389
注意：
- 如果外网端口和内网端口相同，可以简写为：
nat server protocol tcp global 202.100.100.1 80 inside 192.168.1.100 80- 如果希望使用 No-PAT 模式（即一对一 IP 映射，不改变源端口），请在命令末尾加上
no-pat，但大多数家庭/中小企业场景使用默认的 PAT 模式即可。
应用 NAT 策略（绑定接口）
需要在外网接口和内网接口上分别应用 NAT 规则。
在外网接口（WAN）上：
[H3C] interface GigabitEthernet 1/0/1 [H3C-GigabitEthernet1/0/1] nat outbound address-group 1 # 如果配置了地址组 # 或者直接使用接口 IP（如果未创建地址组）： # [H3C-GigabitEthernet1/0/1] nat outbound [H3C-GigabitEthernet1/0/1] quit
在内网接口（LAN）上：
[H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] nat server enable # 启用 NAT 服务器功能 [H3C-GigabitEthernet1/0/2] quit
配置 ACL 允许流量通过（重要！）
H3C 路由器默认可能拒绝外部发起的连接，需要配置 ACL 允许特定端口访问。
# 创建 ACL 2000（基本 ACL）或 3000（高级 ACL，推荐） [H3C] acl advanced 3000 # 允许外部访问内部服务器的 TCP 80 端口 [H3C-acl-adv-3000] rule permit tcp destination 202.100.100.1 0 destination-port eq 80 # 允许外部访问内部服务器的 TCP 3389 端口 [H3C-acl-adv-3000] rule permit tcp destination 202.100.100.1 0 destination-port eq 3389 # 允许其他必要流量（如 ICMP、DNS 等，根据需求添加） [H3C-acl-adv-3000] quit # 在 WAN 接口入方向应用 ACL [H3C] interface GigabitEthernet 1/0/1 [H3C-GigabitEthernet1/0/1] packet-filter 3000 inbound [H3C-GigabitEthernet1/0/1] quit
保存配置
[H3C] save force
图形界面（Web 管理）配置方法
如果你使用的是 H3C 的家用或中小企业路由器（如 MSR 系列、H3C Router 系列），可以通过 Web 界面配置：
- 登录路由器 Web 管理界面。
- 找到 “网络设置” 或 “NAT 设置”。
- 找到 “虚拟服务器”、“端口映射” 或 “NAT 服务器” 选项。
- 点击 “添加” 或 “新建”：
- 服务名称：自定义（如 Web 服务）
- 协议类型：TCP / UDP / TCP&UDP
- 外部端口：外网访问的端口（如 80）
- 内部 IP 地址：内网服务器 IP（如 192.168.1.100）
- 内部端口：内网服务端口（如 80）
- 点击 “确定” 或 “应用”。
- 确保防火墙设置中允许该端口通过。
常见问题与排查
-
无法访问？
- 检查内网服务器是否开启了防火墙,并放行了对应端口。
- 检查路由器 WAN 口是否真正获取到了公网 IP（如果是内网 IP，则无法从外网访问）。
- 检查运营商是否封锁了常用端口（如 80、443、8080 等），可尝试使用非标准端口（如 8080 映射到 80）。
-
动态公网 IP 怎么办？
- 如果外网 IP 是动态的，建议配合 DDNS（动态域名解析） 使用，将域名绑定到动态 IP,然后通过域名访问。
-
安全建议
- 不要将敏感服务（如 SSH、RDP）直接暴露到公网,除非必要。
- 建议修改默认端口（如将外网 2222 映射到内网 22）,以减少自动扫描攻击。
- 启用路由器防火墙,仅开放必要端口。
通过以上步骤，你就可以成功在 H3C 路由器上设置虚拟服务器（端口映射）了。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/476667.html
