华为 USG6000 防火墙配置（双机热备（HRP））

适用场景

华为 USG6000 属于 VRP 体系的安全设备，命令行与交换机同源，但多了安全域与策略两层概念，理解这两层就抓住了重点。

配置步骤（双机热备（HRP））

interface GigabitEthernet1/0/7
 ip address 10.10.10.1 255.255.255.252
hrp interface GigabitEthernet1/0/7 remote 10.10.10.2
hrp enable
hrp auto-sync config
hrp auto-sync connection-status

关键参数与建议

• 接口必须划入安全域（Local/Trust/Untrust/DMZ），否则策略无法生效
• 策略按源域到目的域匹配，默认拒绝；管理面也要单独放通
• NAT 分源 NAT 与目的 NAT，服务器发布用目的 NAT
• 远程管理用 HTTPS/SSH，Telnet 建议关闭；管理来源用 ACL 限制
• 双机热备（HRP）要同步会话与配置，并单独规划心跳链路

容易踩的坑

• 只同步配置不同步会话，切换时长连接中断
• 心跳与业务共口，业务抖动误触发切换
• 未设抢占延迟，主设备恢复后立刻抢回造成震荡

验证与巡检

display hrp state
display hrp status

• 巡检：主备状态正确、同步正常、每半年做一次切换演练并记录

小结

排障三板斧：display firewall session table 看会话、display security-policy rule all 看策略命中、display nat session 看地址转换。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。