防火墙web界面配置

防火墙的防火Web界面，第一眼看上去往往像飞机驾驶舱——密密麻麻的界面菜单、状态灯、配置策略表。防火很多人第一次登录时，界面鼠标在屏幕上晃了半天，配置不知道该点哪里。防火其实厂商默认给的界面这套界面，逻辑并不复杂，配置只是防火信息密度高，容易让人产生“我是界面不是漏了什么”的焦虑。

以华为USG6000系列为例。配置出厂状态下，防火GE0/0/0口默认地址是界面192.168.0.1，电脑网线插上去，配置浏览器敲https://192.168.0.1，会弹出自签名证书警告。点“继续访问”，出现登录页。默认账号admin，密码Admin@123。进去之后第一件事，系统会强制你改密码——复杂度要求不低，大小写数字符号齐全，少一样都不让过。这一步没有跳过按钮。

安全区域不是摆设

改完密码，左侧导航栏里“网络”下面的“安全区域”值得先看一眼。Trust、Untrust、DMZ这三个默认区域已经建好，但接口还没绑上去。你得把连接内网的接口划到Trust，外网接口划到Untrust。不绑区域，策略根本没法写——因为策略的匹配条件就是“从哪个区域到哪个区域”。

有个细节容易踩坑：接口加入区域后，默认是关闭ping响应的。你在命令行里能ping通网关，但Web界面上看不到任何提示，会误以为配置没生效。实际上要去“系统”里的“配置”菜单，找到“允许ping”选项勾上。

策略顺序决定一切

防火墙策略是从上往下匹配，命中一条就停止。所以最精确的规则放最上面，宽泛的放下面。我见过有人把“Trust到Untrust全放通”写在第一条，后面又加了几十条限制规则，结果全被第一条截胡，一条都没生效。排查了半天，最后发现是顺序问题。

Web界面里拖动排序比命令行直观。鼠标按住策略前面的六点图标，上下拖就行。但要注意，拖完之后页面不会自动刷新，得手动点一下“刷新”按钮，不然看到的还是旧顺序。

NAT和策略是两回事

新手常犯的错：以为配了源NAT就能上网。实际上流量要过两道关——先匹配安全策略，再做NAT转换。策略里源区域Trust、目的区域Untrust、源地址内网网段、目的地址any、动作permit，这条必须存在。NAT策略单独在“策略”菜单下面的“NAT策略”里配，源地址转换选“出接口地址”或者地址池。

有个客户曾经打电话说内网访问不了外网，我远程上去一看，安全策略配了，NAT也配了，但NAT策略里的“目的区域”选成了Trust。他以为NAT是给内网做的，目的区域就该是Trust。实际上NAT策略匹配的是流量的目的区域，流量要去Untrust，目的区域就得选Untrust。

日志是唯一的真相

配置完不生效，别猜。直接去“监控”里的“日志”看。会话日志会告诉你流量有没有匹配上策略、匹配了哪一条、动作是允许还是拒绝。有一次我配了一条禁止访问某个IP的策略，测试时发现没拦住。看日志才发现，流量根本没走那条策略，而是命中了上面一条更宽泛的允许规则。把新策略拖到上面，问题解决。

Web界面配置防火墙，说到底就是三件事：接口划区域、策略定放行、NAT做转换。顺序别搞反，日志别不看。剩下的就是熟练度问题。点得多了，肌肉记忆自然就有了。