01 双网卡：物理隔离的“摆渡员”，不是“桥梁”

适用场景：

• 终端设备需同时接入两个隔离网络（如政务内网+办公网）

• 服务器需分别连接业务网和存储网（非打通）

典型错误用法：

[办公PC] --(网卡1)--> [内网交换机]
--(网卡2)--> [外网防火墙]

→ 若同时启用，PC成为“跳板”，严重违反安全规定！

正确做法：

• 禁用IP转发：确保两个网络不互通

• 策略路由（可选）：指定某应用走特定出口

• 安全终端：用于数据摆渡，非实时互通

结论：双网卡用于“接入”，而非“打通”。

02 NAT：真正的“内外网翻译官”

核心作用：

• 将私网IP（如192.168.x.x）转换为公网IP，实现访问互联网

• 将公网请求映射到内网服务器（DNAT），实现对外发布

三种典型应用：

1. 源NAT（SNAT）：内网上网

# 华为防火墙
nat-policy
rule name SNAT_OA
source-zone trust
destination-zone untrust
source-address 192.168.10.0 24
action nat easy-ip # 使用出口IP

2. 目的NAT（DNAT）：发布服务器

nat server
protocol tcp
global 202.101.1.100 80
inside 192.168.20.10 80

→ 外网访问 202.101.1.100:80，自动转发到内网Web服务器

3. 双向NAT：复杂场景地址转换

优势：隐藏内网结构，节省公网IP，实现可控互通。

03 VRRP：高可用的“备胎机制”，不负责“打通”

误解澄清：

• VRRP ≠ 网络打通技术

• VRRP = 路由器/防火墙的高可用冗余协议

工作原理：

主防火墙：Virtual IP = 192.168.10.1, Priority=120
备防火墙：Virtual IP = 192.168.10.1, Priority=100

• 正常时，主设备响应ARP请求

• 主设备宕机，备设备接管VIP，业务不中断

配置示例：

# 华为设备
interface Vlanif 10
ip address 192.168.10.2 255.255.255.0
vrrp vrid 1 virtual-ip 192.168.10.1
vrrp vrid 1 priority 120
vrrp vrid 1 preempt-mode timer delay 5

价值：确保“打通”的路径永不中断，但不参与打通本身。

04 实战场景：如何正确“打通”内外网？

需求：办公网访问互联网 + 外网访问官网

正确架构：

[办公终端]
↓
[接入交换机]
↓
[防火墙] ← VRRP双机热备（高可用）
| SNAT：办公网 → 互联网
| DNAT：公网IP → 内网Web服务器
↓
[互联网]

关键配置：

1. 安全策略：仅允许办公网出向访问，仅开放Web服务器80/443端口

2. NAT策略：SNAT + DNAT

3. VRRP：保障防火墙高可用

4. 双网卡：不用！防火墙用两个物理接口分别接内网和外网即可

05 选择决策树

开始
↓
需要让内网访问外网？ → 是 → 配置SNAT
↓
需要让外网访问内网服务？ → 是 → 配置DNAT
↓
要求高可用？ → 是 → 部署VRRP双机
↓
终端需同时接两个隔离网？ → 是 → 用双网卡（禁用转发）
↓
结束

06 结语

“打通内外网”是一个业务需求，而非单一技术方案。

双网卡适用于终端多网接入，NAT实现地址转换与可控互通，VRRP保障网关高可用。

三者各司其职，常协同使用。实际部署中，应以防火墙为核心，通过NAT实现安全转换，VRRP提升可靠性，避免使用双网卡直连等高风险方式。

记住：真正的“打通”是安全、可控、可靠的连接，而不是简单的物理连通。