内网用户无法通过公网IP访问内网服务器：NAT回流问题

一、问题本质

内网用户通过公网IP访问内网服务器时，数据包往返路径不一致导致会话建立失败。

二、发生原因

1. 请求路径

   • 数据包经过防火墙

   • 防火墙执行DNAT：公网IP→内网IP

2. 回复路径

   • 服务器直接返回数据给内网用户

   • 回复包绕过防火墙

3. 结果

   • 用户收到来自内网IP的回复

   • 与期望的公网IP回复不匹配

   • 连接失败

三、解决方案

启用NAT回流功能

• 功能名称：NAT环回/Hairpin NAT

• 工作原理：

  1. 防火墙同时执行：

     • DNAT（公网IP→内网IP）

     • SNAT（用户IP→防火墙IP）

  2. 服务器回复至防火墙

  3. 防火墙完成地址转换后送回用户

• 配置方法：在防火墙中开启NAT回流功能

总结：通过NAT回流强制数据经防火墙形成完整回路，确保会话正常建立。