适用场景

华为 USG6000 属于 VRP 体系的安全设备，命令行与交换机同源，但多了安全域与策略两层概念，理解这两层就抓住了重点。

配置步骤（安全域、接口与策略）

system-view
interface GigabitEthernet1/0/1
 ip address 10.0.0.1 255.255.255.0
 service-manage ping permit
firewall zone trust
 add interface GigabitEthernet1/0/1
quit
security-policy
 rule name trust_to_untrust
  source-zone trust
  destination-zone untrust
  action permit

关键参数与建议

  • 接口必须划入安全域（Local/Trust/Untrust/DMZ），否则策略无法生效
  • 策略按源域到目的域匹配，默认拒绝；管理面也要单独放通
  • NAT 分源 NAT 与目的 NAT，服务器发布用目的 NAT
  • 远程管理用 HTTPS/SSH，Telnet 建议关闭；管理来源用 ACL 限制
  • 双机热备（HRP）要同步会话与配置，并单独规划心跳链路

容易踩的坑

  • 接口没划进安全域，策略配了也不匹配，表现为完全不通
  • 忘记 service-manage 导致 ping 与 HTTPS 管理被默拒
  • 策略写成 any-any permit，等保检查直接不合格

验证与巡检

display firewall zone
display security-policy rule all
display firewall session table | head
  • 巡检：接口安全域正确、策略命中与业务一致、无 any-any 放通

小结

排障三板斧：display firewall session table 看会话、display security-policy rule all 看策略命中、display nat session 看地址转换。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。