华为防火墙的防火web管理端口，默认是端口8443。这事儿知道的防火人多，但真正用明白的端口人少。我见过不少工程师，防火上来就敲https://防火墙IP:8443，端口结果页面转圈圈，防火最后才想起来自己改过端口，端口或者压根没开HTTPS服务。防火 这端口不是端口摆设。华为USG系列防火墙，防火web界面跑在8443上，端口走的防火是SSL加密。跟思科ASA的端口443不一样，跟Juniper的防火443也不一样——华为偏要搞个8443，图的就是跟设备自身的其他服务错开。你想想，防火墙本身要监听443做VPN或者反向代理，要是web管理也挤在443上，端口冲突就是一场灾难。8443这个高位端口，算是华为给管理面留的专用通道。 但有个坑，很多人栽过。你从外网口访问web管理，默认是拒绝的。华为防火墙出厂策略里，只有Trust区域能访问8443。你要是想从Untrust远程管理，光改端口没用，还得配安全策略放行。我见过一个客户，把端口改成443，以为能蹭个默认放行，结果照样连不上——因为华为压根不认这个逻辑，它只认区域和策略。 再说说这个端口的实际调优。你登录进去，系统管理→Web管理，里面能改端口号。改成什么？别用8080，太容易撞车。也别用8443以外的端口，除非你真有特殊需求——因为很多安全扫描工具默认不扫8443，这反而是个优势。我习惯把端口改成五位数，比如18443，既避开常规扫描，又不至于太生僻记不住。 还有个细节，华为防火墙web界面支持HTTP和HTTPS双模式。但生产环境我只开HTTPS，HTTP那栏直接勾掉。别嫌麻烦，HTTP明文传输账号密码，等于把管理员权限裸奔在网络上。真要调试，用console线，别图省事开HTTP。 对了，改完端口记得重启web服务。不是重启设备，是在web界面里点"应用"，然后等几秒钟。有次我改完端口忘了这步，愣是以为防火墙死机了，后来才发现服务还在旧端口上跑着。这算是个小经验，写出来给大家避个雷。 最后提一嘴，华为新版本系统，比如V500R005之后，web管理默认还加了登录失败锁定策略。连续输错五次密码，IP就被封五分钟。你要是远程管理，手抖输错几次，只能干等。所以密码管理这事儿，别太依赖记忆，用密码管理器存好，不然急起来真能急出白头发。 端口这东西，说白了就是个门牌号。8443这个门牌，华为给贴得挺牢，但你要是不懂里面的规矩，照样进不了门。配置前想清楚访问场景，配完测一遍连通性，比啥都强。