拿一台H3C SecPath F100系列防火墙，防火接上电源，配置网线一头插管理口（通常是实例GE0/0），另一头连笔记本。防火默认管理地址是配置192.168.0.1，电脑设成同网段，实例浏览器敲进去，防火用户名admin，配置密码admin。实例就这么直接，防火别指望什么花哨的配置引导界面，华三的实例老传统——朴素的像块砖头。

登录进去第一眼，防火左边树形菜单密密麻麻。配置别慌，实例咱们只干一件事：让内网能上外网。先看接口配置。点“网络”->“接口”，找到连接内网的那个口（假设GE0/1），IP设成192.168.1.1/24，区域划到“Trust”。外网口（GE0/2）接运营商光猫，IP用静态的，比如100.64.10.2/30，区域选“Untrust”。保存，别漏了。

光有接口地址不够，防火墙默认啥都拦。得建安全策略。在“安全策略”里点“新建”，名字写“内网到外网”，源区域选Trust，目的区域选Untrust，源地址就写内网网段192.168.1.0/24，目的地址留空代表任意。动作选“允许”。这里有个坑——很多人忘了勾选“启用NAT转换”。不勾的话，内网机器发出去的包源地址还是私网IP，回包直接迷路。所以必须把“出接口地址转换”打开，让防火墙把源地址改成外网口那个公网IP。

接下来是地址转换的具体配置。老版本叫“NAT”，新版本集成在策略里。如果你用的是V7版本，在策略里直接选“动态转换”就行。但有些场景，比如内网有服务器要对外发布，那得单独做“目的地址转换”。举个例子，内网一台web服务器192.168.1.10:80，想映射到公网IP的80端口。在“虚拟服务器”或“NAT目的转换”里，外部端口填80，内部IP填192.168.1.10，内部端口80。协议TCP。保存后，外网用户访问公网IP:80就能打到那台服务器上。不过我得提醒一句——默认策略最后一条是“拒绝所有”，如果映射不生效，八成是安全策略里没放行Untrust到Trust的HTTP流量。

说个我实际踩过的坑。有次给客户配完，内网能ping通外网，但网页死活打不开。排查半天，发现是DNS没放行。防火墙策略只放行了TCP 80/443，但DNS走UDP 53。加一条“源Trust，目的Untrust，服务DNS，允许”就通了。这毛病特常见，尤其新手。所以策略里别只盯着网页端口，把常用协议都列出来——ICMP、DNS、HTTP、HTTPS，一次性放行，省得后面抓狂。

远程管理也得留个口子。默认情况下，Web管理只允许从Trust区域访问。你要是想在外网远程配置，得在“系统”->“管理”里把HTTPS服务的“受信主机”改成any，或者指定你办公室的公网IP。安全起见，建议只开HTTPS，别开HTTP，密码设复杂点。我见过有人图省事，开着telnet管理，密码还是admin——那跟裸奔没区别。

配置完了记得点右上角“保存配置”，不然重启全丢。这步最容易被忽略，尤其调试到半夜脑子发懵的时候。保存完，断开笔记本，把内网交换机接上，外网线插好，看状态灯。如果还不通，在“网络”->“诊断”里点ping测试，从防火墙ping网关、ping公网IP，逐段定位。别嫌麻烦，防火墙这东西，规则对了，物理链路没问题，基本秒通。

最后啰嗦一句。H3C的web界面虽然丑，但逻辑清晰。别老想着用命令行，web配安全策略比CLI直观得多。真遇到问题，看“日志”->“安全日志”，被拦的包全记录在案。照着日志改策略，比瞎猜高效十倍。