适用场景

H3C SecPath（Comware）在政企与园区很常见，思路与华为 USG 接近，但命令关键字与对象模型不同，照搬容易踩坑。

配置步骤（SSL VPN 与远程接入）

# 1) 开启服务并绑定接口与证书
ssl-vpn gateway gw1
 ip address 202.x.x.x
 service enable
# 2) 地址池
ssl-vpn ip-pool pool1 10.20.20.0 255.255.255.0
# 3) 本地用户授权
local-user vpnuser class network
 password cipher 口令
 service-type ssl-vpn

关键参数与建议

  • 安全域用 security-zone 定义，接口用 import interface 加入
  • 策略用 security-policy ip，按源/目的安全域匹配，默认拒绝
  • NAT 常见两种：接口 nat outbound（源 NAT）、nat server（目的 NAT）
  • 远程管理开启 ssh/https 并关闭 telnet，管理来源用 ACL 限制
  • 日志上送 info-center loghost，配合 NTP 保证时间一致

容易踩的坑

  • 地址池与内网网段冲突，客户端拨入后路由混乱
  • 未细分资源，一个账号能访问全部内网
  • 忘记放通 Local 域策略，VPN 建不起来

验证与巡检

display ssl-vpn gateway
  • 巡检：账号与在职人员对齐、资源最小化、日志留存

小结

排障常用：display session table ipv4 看会话、display security-policy ip 看策略、display nat session 看转换。策略改完必须复查命中。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。