内网无法通过NAT网关访问外网，问题通常不在“有没有配”，而在于“配得对不对、生效没生效、路径通不通”。排查需按数据流向逐层验证：从内网主机出发→经过NAT设备→到达外网，重点确认报文能否发出、NAT是否执行、回程路径是否存在。
内网无法通过 NAT 网关访问外网，问题通常不在“有没有配”，而在于“配得对不对、生效没生效、路径通不通”。排查要按数据流向一层层验证：从内网主机出发 → 经过网关（NAT设备）→ 到达外网。关键看三件事：报文能否发出去、NAT是否真正执行、回程路径是否存在。
检查内网主机基础连通性与路由
先确认内网主机自身状态正常：
- 执行 ping 网关IP（如
ping 192.168.1.1），不丢包且延时合理，说明二层可达、默认网关配置正确 - 运行 route -n（Linux）或 route print（Windows），确认默认路由指向的是NAT设备的内网接口IP
- 用 tracert 或 mtr 测试到网关的跳数，若第一跳就超时，可能是物理连接、交换机ACL或主机网卡驱动问题
验证 NAT 策略是否命中并生效
NAT规则写了不等于起作用。必须确认流量真的匹配并触发了转换：
- 在NAT设备上执行 display nat outbound（华为）或 show ip nat translations（思科），查看是否有会话生成；没有记录说明策略未命中
- 检查绑定的 ACL 是否精确覆盖内网源地址段，例如 ACL 写了
permit 192.168.10.0 0.0.0.255，但主机IP是192.168.20.5，就会被静默丢弃 - 确认 nat outbound 命令已应用在面向外网的出接口（不是内网口），且该接口状态为 up/up
确认地址池、网关与路由完整性
即使NAT动作发生，若后续环节断链，依然无法上网：
- 执行 display nat address-group，确保地址池 IP 未与设备接口 IP 冲突（例如池里含
202.100.1.1，而外网口 IP 正好也是这个，会导致路由混乱） - 检查 NAT 设备是否有到达外网的路由：display ip routing-table 中应存在
0.0.0.0/0指向运营商下一跳，或明确的外网直连/静态/动态路由 - 若使用 Easy IP（直接复用外网口 IP），需确认外网口已获取有效公网 IP，且运营商未做反向过滤
留意特殊限制与环境干扰
有些问题藏在“看不见”的地方：
- 端口耗尽：执行 display nat statistics，若显示
Port Exhausted计数持续增长，说明并发连接过多，需扩容地址池或启用端口复用（pat模式） - eNSP等模拟器中，Cloud组件必须桥接到真实网卡，否则外网测试节点无响应；真实环境则需检查宿主机防火墙是否拦截了VMware NAT服务通信
- 某些厂商设备默认禁用 ICMP 转换，导致
ping失败但 HTTP 可通，建议用curl -v http://www.baidu.com或telnet 8.8.8.8 53多协议交叉验证
