在当今的企业网络环境中，将内部服务器（如网站、邮件系统、FTP服务等）安全地发布到公网，供外部用户访问，是一项至关重要的需求，华为USG6106下一代防火墙凭借其强大的网络地址转换（NAT）功能，通过配置虚拟主机（也常被称为端口映射或服务器映射），可以高效、安全地实现这一目标，本文将详细介绍如何在华为USG6106上配置虚拟主机,确保内部服务能够被公网稳定访问。
配置前的准备工作
在开始配置之前，请确保已经完成以下准备工作,这将使配置过程更加顺畅：
- 设备基础连通：USG6106防火墙已经完成基本的上电、网络接口IP地址配置，并且能够正常访问互联网，确保WAN口（通常连接外网）和LAN口（通常连接内网）状态正常。
- 明确服务器信息：准确记录需要发布到公网的内部服务器的私有IP地址、提供服务的端口号（Web服务器默认为80端口，HTTPS为443端口）以及所使用的协议（TCP或UDP）。
- 获取公网IP地址：了解防火墙WAN口所绑定的公网IP地址,这个地址是外网用户访问的目标地址。
- 管理员权限：拥有防火墙的Web管理界面管理员账号和密码,具备进行配置修改的权限。
详细配置步骤
配置虚拟主机主要涉及两个核心部分：创建NAT虚拟服务器规则和配置相应的安全策略,允许流量通过。
第一步：登录Web管理界面
通过浏览器访问USG6106的管理IP地址,输入管理员用户名和密码登录到Web管理控制台。
第二步：创建虚拟主机规则
登录后，按照以下路径导航至虚拟主机配置页面：网络 > NAT > 虚拟服务器，在此页面，点击“新建”按钮,开始创建一条新的虚拟主机规则。
在弹出的配置窗口中，需要填写以下关键参数，为了更清晰地展示,下表列出了各项配置的说明及示例：
| 配置项 | 说明 | 示例值 |
|---|---|---|
| 名称 | 为此条虚拟主机规则设置一个易于识别的名称。 | Web_Server_Map |
| 接口 | 选择接收外部流量的接口，通常是WAN口。 | GigabitEthernet1/0/1 |
| 外部地址 | 外网用户访问的公网IP地址，通常选择接口IP地址，即WAN口的IP。 | 接口IP地址 |
| 外部端口 | 外网用户访问时使用的端口号，可以是单个端口、端口范围或任意端口。 | 80 |
| 内部地址 | 内部服务器的私有IP地址。 | 168.1.100 |
| 内部端口 | 内部服务器实际提供服务的端口号。 | 80 |
| 协议 | 选择服务所基于的协议类型，如TCP、UDP或ALL。 | TCP |
| 描述（可选） | 对该规则的详细说明，便于日后维护。 | 发布内部Web服务器 |
填写完毕后，点击“确定”保存此条NAT规则，防火墙已经知道当有流量访问WAN口的80端口时，应将其转发到内网的192.168.1.100服务器的80端口。
第三步：配置安全策略
仅仅配置NAT规则是不够的，因为华为防火墙默认采用“除非明确允许，否则禁止所有”的安全策略，必须创建一条安全策略,允许从外网到内网服务器的流量通过。
导航至安全策略配置页面：策略 > 安全策略 > 安全策略，点击“新建”创建一条新的策略。
下表说明了安全策略的关键配置项：
| 配置项 | 说明 | 示例值 |
|---|---|---|
| 名称 | 为安全策略命名。 | Allow_Web_Access |
| 源安全区域 | 流量来源的区域，通常是外网区域。 | untrust |
| 目的安全区域 | 流量目标的区域，通常是内网区域。 | trust |
| 源地址 | 流量的源地址，可以设置为任意（any），允许所有外网地址访问。 | any |
| 目的地址 | 流量的目标地址，即内部服务器的IP地址。 | 168.1.100 |
| 服务 | 允许通过的流量类型，即之前映射的端口和协议。 | tcp 80 |
| 动作 | 对匹配此策略的流量执行的操作。 | 允许（Permit） |
| 描述（可选） | 对策略的说明。 | 允许外网访问Web服务器 |
配置完成后，点击“确定”保存策略，务必在页面右上角点击“保存”按钮，将所有配置提交到防火墙,使其永久生效。
验证与排错
配置完成后，需要进行验证，最直接的方法是使用一个完全处于外网的网络环境（使用手机的4G/5G网络）访问防火墙的公网IP地址，如果能够正常打开内部服务器的网页,则说明配置成功。
如果无法访问,可以从以下几个方面进行排错：
- 检查安全策略：确认安全策略是否已正确创建并启用，动作是否为“允许”。
- 检查NAT规则：确认虚拟主机的内外地址、端口、协议是否完全正确。
- 检查内部服务器：确认服务器本身是否正常运行，防火墙（如Windows防火墙或Linux iptables）是否允许来自防火墙的流量访问。
- 检查防火墙日志：查看USG6106的流量日志或会话表，看是否有相关流量的记录,以及流量是被允许还是被丢弃。
相关问答FAQs
问1：我已经按照步骤配置了虚拟主机和安全策略，为什么从外网还是无法访问我的服务器？ 答：这是一个常见问题，原因可能有多方面，请再次确认安全策略和NAT规则的配置无误，特别是源/目的区域、地址和服务的匹配性，检查内部服务器本身，确保其服务正在运行，并且服务器的本地防火墙没有阻止来自USG6106内网IP的访问请求，还需要考虑公网IP是否为真实公网IP，以及您的互联网服务提供商（ISP）是否封锁了80等常用端口，可以尝试更换一个不常用的端口（如8080）进行映射测试。
问2：虚拟主机和端口转发是同一个概念吗？在华为USG6106上有什么区别？ 答：在广义上，虚拟主机和端口转发都指向同一技术核心：目的地址转换（DNAT），即将公网IP的特定端口流量转发到内网主机的特定端口，在很多场景下，这两个术语可以互换使用，在华为USG6106的Web界面上，这个功能被明确命名为“虚拟服务器”，它提供了一套标准化的配置界面来实现端口转发，可以说“虚拟主机”是华为防火墙设备上实现“端口转发”功能的具体称谓和实现方式,其本质是相同的。