h3c防火墙怎么配置？h3c防火墙配置命令详解

H3C防火墙的配置核心在于先规划安全区域与策略，再细化地址对象与服务对象，最后通过验证机制确保策略生效，无论你是首次部署还是优化现有网络，遵循“最小权限、显式拒绝、日志审计”三大原则，才能构建真正可用的边界安全体系，配置并不复杂,复杂的是对业务流向的清晰梳理。

配置前的必要准备

在敲入第一条命令之前,你需要完成三件事：

• 绘制网络拓扑图：明确内网、外网、DMZ区各自网段,以及服务器和终端的IP规划。
• 确定安全策略需求：哪些业务需要从外网访问？哪些内网用户可以访问互联网？管理口是否单独隔离？
• 准备管理终端：通过Console口首次登录，建议用SecureCRT或Xshell，设置超级终端参数为9600波特率、8数据位、1停止位、无校验。

经验案例（酷番云）：我们曾协助一家电商客户迁移到酷番云物理机集群，其原有H3C防火墙配置混乱，大量any到any策略，我们建议他们先在纸上画出“源→目的→服务”三列表，再按业务优先级逐条落策略，最终将策略条数从200+精简到40条，安全事件告警量下降70%，这个“先画图再配置”的习惯,比任何命令行技巧都重要。

H3C防火墙基础配置步骤

进入系统视图并设置设备名称

system-view
sysname H3C-FW-01

设置设备名称便于多设备运维时区分，尤其在堆叠或双机热备场景下，名称必须唯一且具可读性。

配置接口IP并加入安全区域

H3C防火墙基于安全域（Security Zone）进行隔离，默认有Trust、Untrust、DMZ三个区域,你需要将物理接口划入对应区域：

# 配置GigabitEthernet1/0/0为外网接口
interface GigabitEthernet1/0/0
 ip address 203.0.113.1 255.255.255.0
 quit
 firewall zone untrust
 add interface GigabitEthernet1/0/0
# 配置GigabitEthernet1/0/1为内网接口
interface GigabitEthernet1/0/1
 ip address 192.168.1.1 255.255.255.0
 quit
 firewall zone trust
 add interface GigabitEthernet1/0/1

注意：接口必须先配置IP再加入安全域，否则策略调用时无法匹配到具体接口，不同型号的H3C防火墙（如SecPath F100系列、F5000系列）命令基本一致,但接口编号可能不同。

配置安全策略（核心中的核心）

安全策略是防火墙的灵魂，现代H3C防火墙推荐使用对象化策略方式，即先定义地址、服务,再在策略中引用：

# 定义内网网段对象
object-group ip address LAN-NET
 network subnet 192.168.1.0 255.255.255.0
# 定义外网服务器地址对象
object-group ip address WEB-SERVER
 network host 203.0.113.10
# 定义HTTP服务
object-group service WEB-SERVICE
 service tcp destination-port 80
 service tcp destination-port 443
# 配置从Untrust到DMZ访问Web服务器的策略
rule name Allow-Web-Access
 source-zone untrust
 destination-zone dmz
 source-address any
 destination-address WEB-SERVER
 service WEB-SERVICE
 action pass

关键点：

• 策略匹配顺序自上而下，命中即停止，因此特殊策略放在前面，通用策略放在后面。
• 默认H3C防火墙的zone间策略为空，没有显式允许就是拒绝，这比默认全放通更安全，但容易造成业务中断，务必先放通必要的管理策略（如允许Trust访问Untrust）。
• 对于出方向策略，建议只允许内网主动发起连接，并启用会话状态检测（H3C默认开启）,避免外网反向穿透。

配置NAT（地址转换）

绝大多数场景下，内网上网需要源NAT,外网访问内网服务器需要目的NAT：

# 源NAT：内网访问外网时转换出接口地址
interface GigabitEthernet1/0/0
 nat outbound 3000 address-group 1
quit
acl number 3000
 rule 5 permit ip source 192.168.1.0 0.0.0.255
# 目的NAT：外网访问203.0.113.10的80端口映射到内网服务器
nat server policy Web-Map
 protocol tcp
 global-address 203.0.113.10 80
 inside-address 192.168.1.10 80

经验案例（酷番云）：我们有个客户在酷番云上托管业务，本地H3C防火墙配置了双出口链路（电信+联通），最初他们只做了一条默认NAT，导致跨网访问延迟极高，我们后来在防火墙上配置了

基于目的地址的智能选路（PBR+策略路由），将移动流量引导至联通出口，彻底解决卡顿，配置PBR时注意优先级设置必须高于默认路由,否则不生效。

配置默认路由与静态路由

# 默认路由指向运营商网关
ip route-static 0.0.0.0 0 203.0.113.254
# 回程路由：内网服务器去往其他网段
ip route-static 10.0.0.0 8 192.168.1.254

如果防火墙旁路部署，还需要配置ACL或策略来控制流量路径,避免路由黑洞。

开启远程管理并限制管理源

为了安全,建议只允许内网特定IP管理防火墙：

# 开启SSH管理
ssh server enable
local-user admin class manage
 password simple Admin@123
 service-type ssh
 authorization-attribute user-role network-admin
quit
# 仅允许内网网段访问管理服务
acl number 2000
 rule 5 permit source 192.168.1.100 0.0.0.0
ssh server acl 2000

配置验证与排错

配置完成后,必须验证策略是否如预期生效：

• 使用display firewall session table查看会话条目,确认是否存在匹配的会话。
• 使用display security-policy rule all检查策略命中次数（Hit Count），若命中次数为0，说明流量没有匹配到该策略，需检查源/目的区域或地址对象。
• 在PC上分别测试ping内网网关、防火墙外网口、公网IP，逐步定位问题，注意防火墙默认禁ping不能代表策略错误,可能是icmp服务未放通。

常见坑点：

• 忘了放通回程流量，H3C防火墙是状态化防火墙，但如果策略只允许入向，没有显式允许出向的回包，会话无法建立，解决办法是开启会话老化自动回包，或者调整策略的counting与logging属性。
• 地址对象引用错误，例如把服务器地址写成了network host 192.168.1.10

  

  正确，但如果误用subnet 192.168.1.0会放通整个网段。

配置文件备份与优化

• 定期使用save force保存配置,防止重启丢失。
• 使用display current-configuration导出配置到本地存档,建议每次变更后都备份。
• 每年至少一次安全策略审计，删除长期未命中的规则，酷番云建议客户：将策略的Hit Count导出到Excel，超过90天命中次数为0的规则标记待删，然后观察两周再清除,这样既能瘦身又不会误删关键放行。

相关问答

问：H3C防火墙配置了安全策略，但内网用户无法访问互联网，可能是什么原因？

答：优先检查以下几点：1）内网接口是否已加入Trust区域，外网接口是否加入Untrust区域；2）是否存在从Trust到Untrust的放行策略，且源地址对象包含内网网段、服务包含TCP/UDP所有常见端口；3）是否配置了正确的源NAT（nat outbound），如果没有NAT，内网用户的源IP是私有地址，无法在公网路由；4）防火墙默认路由是否指向运营商网关，建议在防火墙上执行display security-policy rule all查看策略命中计数，如果命中为0则定位到策略配置问题，如果命中增加但上网仍不通,则排查NAT或路由。

问：外网无法访问映射到内网的Web服务器，但内网访问正常，如何排查？

答：这种情况多由目的NAT配置错误或安全策略顺序问题导致，首先确认nat server配置中global-address是否为公网IP且端口一致；其次检查Untrust到DMZ（或Trust）区域的安全策略，是否显式放通了目的地址为内网服务器IP、端口为80/443的流量，注意：H3C防火墙上，如果策略中目的地址写的是内网服务器IP，而NAT转换发生在策略匹配之前（H3C的NAT先于策略处理），你可能需要将策略的目的地址配置为NAT转换后的公网地址，或者在策略中引用nat server名称,最后检查服务器本机防火墙是否拦截了来源IP。