阿在 · 新旧服务旅程对比

▸ 需求识别 小王需要将交换机下挂服务器的端口映射到公网可访问，已在网关上配置了端口映射但未生效。需排查配置问题和网络出口环境。 ▸ 客户信息匹配 根据客户档案，小王所在公司为工程商，当前在用设备为网关 NBR6205-E-V2 + 交换机 NBS6002。该客户同时有两条链路（一条走网关，一条走防火墙），之前有过类似映射需求但在另一套设备上实现的。网关当前通过路可云管理，外网口可能为路可云分配的地址而非直接公网IP，这是映射不生效的高概率原因。 ▸ 服务策略 首先通过CLI连接设备确认外网口实际IP地址和出口环境，判断映射不生效的根因（公网地址 vs 路可云地址 vs 路由冲突），再给出针对性方案。需请小王提供管理平台登录凭证。

▸ 场景梳理 当前网络结构：网关NBR6205-E-V2（WAN口为路可云内网地址10.8.65.2）+ 交换机NBS6002 + 防火墙（另一条链路，有公网IP 218.3.180.180）。服务器接在交换机上，IP 192.168.1.100。客户之前在防火墙上做过映射是能用的，说明防火墙侧有直接公网IP。 ▸ 方案设计 网关WAN口是路可云地址（非直接公网），直接在网关上做端口映射无法生效。最佳方案：利用防火墙侧的公网IP做映射。具体实现：1) 交换机上配一个路由口与防火墙互联 2) 防火墙映射公网端口到服务器IP 3) 交换机写静态路由指向防火墙做下一跳。需确认防火墙接在交换机哪个口上，以及防火墙侧的IP信息。我通过CLI获取完整拓扑后一并配置。 ▸ 风险校验 需注意：1) 两条链路并存可能导致回程路由不一致 → 通过策略路由指定服务器流量走防火墙出口解决；2) 操作前完整备份网关和交换机配置，确保可回滚。

▸ 执行计划 按照标准安全流程依次执行：1) 备份网关、交换机、防火墙三台设备配置 → 2) 交换机Port25配置三层路由口，与防火墙建立互联 → 3) 防火墙添加DNAT映射（80/443 → 192.168.1.100）→ 4) 交换机添加静态路由和策略路由，确保回程流量不走错出口 → 5) 端口可达性自动验证。 ▸ 变更风险控制 防火墙已有业务映射（8080→192.168.1.10:80），本次仅新增规则不修改现有配置。两条链路并存的回程路由问题通过策略路由解决，确保服务器访问走防火墙出口、办公上网仍走网关出口。三台设备操作前均完整备份。

▸ 后续需求预判 小王作为工程商，后续大概率还会遇到类似的端口映射调整场景（新增服务上线、端口变更等）。本次涉及网关+交换机+防火墙三台设备联动，配置复杂度较高，建议提供自助操作方式降低未来服务依赖。 ▸ 赋能方案 1) 提供一键调整脚本模板——后续增减映射只需修改端口号和IP即可；2) 提供针对NBR6205-E-V2 + NBS6002这套设备的端口映射操作指南，含三层路由口配置和静态路由的界面操作步骤。