关于Zyxel ATP700设备能否配置基于FQDN过滤入站流量的NAT规则的技术问询

嘿Michael，针对你用Zyxel ATP700遇到的这个需求，我给你捋捋可行的方案哈！

首先得明确：Zyxel ATP系列（包括ATP700）没法直接在NAT规则里基于FQDN过滤入站流量——毕竟传统NAT规则主要是靠IP、端口、协议这些网络层/传输层参数来匹配的，FQDN属于应用层的标识，ATP700的NAT模块本身不支持直接解析并匹配FQDN。

不过别担心，咱们可以通过防火墙策略+NAT规则组合配置来实现类似效果，具体步骤大概是这样：

• 先在设备里创建一个FQDN地址对象，把你的目标子域名加进去（ATP700支持这种类型的对象，设备会定期自动解析域名对应的IP并更新）
• 接着做一条入站防火墙策略：源地址设为任意，目的地址选刚才建的FQDN对象，按需限定协议/端口，动作设为“允许”
• 最后配置常规的DNAT（端口转发）规则，把静态公网IP的对应端口转发到内部服务器的IP和端口上

这么配置之后，只有当入站流量的目的FQDN匹配你设置的子域名时，才会被防火墙策略放行，进而触发NAT规则转发到内部，间接实现了基于FQDN过滤入站流量的效果。

还有几个要注意的小细节：

• 得确保ATP700的DNS配置是正确的，不然它没法正常解析FQDN对象的IP地址
• FQDN对象的解析更新周期可以调整，如果怕域名IP变了设备没及时同步，就把间隔调短点
• 如果你的子域名对应多个IP，ATP700的FQDN对象会自动包含所有解析到的IP，防火墙策略会匹配所有这些IP的流量

对了，你提到的参考图片我没法直接查看，但结合ATP700的常规配置逻辑，上面的方法应该是目前最贴合你需求的实现方式啦

备注：内容来源于stack exchange，提问作者Michael Espinosa