简介这是一份围绕天融信NGFW4000系列防火墙整理的操作型实战文档适合网络运维人员、安全工程师以及刚接触国产防火墙配置的技术学习者用于快速掌握设备管理方式与常用命令行配置。内容依据快速配置手册展开重点覆盖串口、Telnet、SSH、Web及GUI五种管理方式的适用场景并给出system命令、version、information等常用命令对应的WebUI操作位置命令与界面位置互相参照能帮助读者从零搭建配置思路减少上机摸索时间目录从管理方式到系统状态检查层层递进便于在部署调试、策略调整和故障排查时快速查阅。整份资源为单个PDF文件大小约4.82MB离线查阅或打印对照都很方便。目前已有130人学习下载适合作为天融信防火墙日常维护与应急处理的便捷参考。1. 天融信 NGFW4000 实战先通管理口再谈策略很多做网络运维的人第一次拿到天融信 NGFW4000 系列防火墙对着随机附带的 PDF 快速配置手册翻几页就晕了手册目录里写了串口、Telnet、SSH、Web、GUI 五种管理方式又给了 SYSTEM、NETWORK、HA、DEFINE、PF 一堆命令行但没人告诉你第一台设备到底该从哪一步开始。这份《天融信防火墙 NGFW4000 系列实战.pdf》的最大价值就在它把「第一次把防火墙接入现网」这件事拆成了可复现的路径先用串口改掉出厂 IP再决定开 Telnet 还是 SSH然后按透明或路由模式配置接口、对象、策略。对刚接手天融信设备的驻场工程师、准备把串口线插进 Console 口的新手这份手册能省下大量翻命令的时间对已经熟悉命令行的人里面关于区域对象、时间对象和访问策略的配置顺序也值得对照检查。2. 管理方式怎么选串口是底线远程要开权限2.1 串口是第一次上手的唯一入口天融信 NGFW4000 出厂时接口、IP 都是默认状态直接网线接上去不一定能通所以手册把串口管理放在第一位。用随附串口线连接电脑 COM 口和防火墙 CONSOLE 口然后打开 Windows 的超级终端现在 Win10/11 可以用 MobaXterm 或 SecureCRT新建连接时选 COM1。串口参数是固定的别凭经验乱填参数取值每秒位数9600数据位8奇偶校验无停止位1登录时默认用户名是superman密码是talent。这个组合第一次登录后不强制改密但我会建议立刻改掉因为防火墙的默认口令是扫描器最喜欢打的目标。串口登录成功后你会看到命令行提示符后续所有配置都能在这里完成。注意串口线要插实很多“连不上”其实是线松了或电脑没识别到 USB 转串口芯片。2.2 给 Telnet/SSH 开远程管理权限先加策略再启动服务很多新手以为启用了 Telnet 服务就能连结果远程端口不通。天融信的规矩是远程管理除了要启动服务还要在包过滤里添加管理权限否则服务起来了也不放行。手册给的顺序很清楚先用pf service add命令添加管理权限再启动telnetd或sshd服务给管理接口配上 IP最后用客户端去连具体命令如下# 串口模式下添加 Telnet 管理权限放行区域 area_eth0 的所有来源 pf service add name telnet area area_eth0 addressname any # 启动 Telnet 服务 system telnetd start # 给 eth0 配置管理 IP 和掩码 network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 # 然后就能在电脑上 telnet 到防火墙 # telnet 192.168.1.250这里name telnet是权限名称area area_eth0表示该权限绑定在 eth0 所在的区域addressname any是允许任意源地址访问。如果只允许某个网段远程管理把any替换成已定义的对象名即可。SSH 管理完全一样只是把命令里的telnet换成ssh服务名变成sshdpf service add name ssh area area_eth0 addressname any system sshd start2.3 Web 管理接口配好后才能开页面Web 管理适合不习惯命令行的同事。但 Web 界面同样依赖管理 IP 和接口区域如果串口下没把 eth0 的 IP 配好浏览器根本打不开设备页面。常见做法是在串口下先把接口地址配好然后在浏览器输入https://192.168.1.250天融信默认走 HTTPS用同一个superman账号登录。Web 界面里能做的事情比命令行更直观系统信息、运行状态、配置维护、系统服务、开放服务、系统重启都在「系统」菜单下接口、路由、对象、访问策略、高可用性各有独立菜单。需要注意的是Web 界面改配置后很多操作是“提交到运行配置”还没落盘最后要在工具栏点「保存设定」才写入启动配置。这一点和命令行里的save作用一样忘了做就等于白配。2.4 管理方式对比速查表管理方式传输安全首要条件典型用途串口 Console物理链路串口线、终端参数首次开局、救砖Telnet明文先加 pf 权限再启服务内网调试SSH加密启动 sshd 并放行远程运维推荐WebHTTPS 加密接口 IP 可达日常配置修改3. 命令行常用配置按模块拆解别死记命令3.1 系统管理命令版本、时间、保存、重启天融信命令行模块化明显system开头的是系统层命令。手册里列了几个高频项version查看系统版本信息对应 Web 的「系统 基本信息」information查看当前设备状态对应「运行状态」time系统时钟管理对应「系统时间」config系统配置管理对应「保存设定」reboot重启防火墙对应「系统重启」sshd/telnetdSSH/Telnet 服务管理这些命令单独敲会进入子交互或者直接带参数执行。比如调试时我一般先敲version确认固件版本再敲information看 CPU 内存和接口状态。有一个细节修改时间后如果立刻做访问策略策略日志里的时间戳可能对不上建议先用time校准再调策略。3.2 网络接口配置先定 IP 还是先加区域网络配置模块是network。最常见的开局命令是把管理接口地址配上例如# 进入 eth0 接口配置 network interface eth0 # 配置 IP 和掩码 ip add 192.168.1.250 mask 255.255.255.0 # 启用接口 up注意这里ip add是在接口子命令下执行的不是全局命令。配完后用show running或network interface eth0 show确认。接口启用的顺序有讲究天融信要求先配置接口属性IP、VLAN、区域再配置路由和策略否则策略会提示找不到区域对象。3.3 对象与包过滤命令用地址对象让策略可读define模块负责定义对象包括主机、范围、子网、地址组、自定义服务、区域和时间对象。命令行下定义主机对象常见做法是# 定义主机对象名字叫 web-server define host add web-server ip 192.168.1.10包过滤模块是pf远程管理权限的添加就是用它# 添加服务权限名称为 telnet绑定区域来源任意 pf service add name telnet area area_eth0 addressname any这里要理解pf service add和访问策略的区别pf service add是开放对防火墙本身的管理服务而访问策略控制的是穿越防火墙的业务流量。很多人把两者搞混导致管理口通了但业务不通。业务流量需要通过 Web 界面或pf policy系列命令配置不在简单 service 命令里。3.4 双机热备与配置保存HA 和 save 不能省双机热备模块是ha。命令行下通常先配置主备机的虚拟 IP、同步方式和抢占模式然后把相同配置分别写到两台设备最后开启 HA。手册没有给完整命令序列但给出的步骤是配置接口 → 配置区域 → 定义对象 → 添加系统权限 → 配置访问策略 → 配置双机热备。这个顺序说明 HA 是在业务配置完成之后才做的否则主备切换后策略不一致备用机接管时会放行错误流量。配置完成后必须执行save这是命令行模式下的“保存设定”。有的工程师改完配置直接拔电下次开机全丢血泪经验就是忘了save。命令很简单# 保存当前运行配置到启动配置 save执行完会有一句确认或提示看到成功字样才算落盘。如果是 Web 界面记得点工具栏的小磁盘按钮否则重启后回到旧配置。4. Web 界面配置从系统到策略的分层操作4.1 系统管理基本信息、运行状态、配置维护Web 界面把系统管理拆成几个页面。「系统 基本信息」显示序列号、软件版本、运行时间适合开局时核对版本。「运行状态」页能看到接口流量、CPU 内存使用率排障时先看这里。「配置维护」页提供配置备份和恢复我建议每次改版前先导出一份配置这样改挂了还能用串口灌回来。「系统 系统服务」里可以启用或停止 SSH、Telnet、HTTP 服务注意这里的开关和服务端的监听对应不代表被防火墙策略放行。开放服务页面则对应命令行里pf service add的操作远程管理需要在开放服务里添加管理主机或地址对象否则即使服务启动了从管理口进来也会被拦。4.2 网络接口与路由设置接口属性和静态路由Web 界面的「网络 接口」会列出所有物理口点开一个接口可以配置 IP、掩码、VLAN、区域归属。透明模式下接口往往不配 IP而是把两个接口划到同一个交换桥路由模式下每个三层接口需要配置 IP 并指定区域信任区、非信任区、DMZ 等。路由配置在「网络 路由」常见做法是加静态路由。比如内网网段经过某接口下一跳给核心交换机目标网段掩码下一跳接口192.168.10.0255.255.255.0192.168.1.254eth110.10.0.0255.255.0.010.1.1.254eth2注意如果接口还没绑定区域路由即使配了也不会生效因为防火墙在做转发决策时要先查区域关系。这也是为什么手册里路由模式示例把「配置接口属性」放在「配置路由」之前。4.3 对象定义主机、范围、子网、地址组、自定义服务、区域、时间对象是策略的零件Web 界面里逐个建主机对象单个 IP比如服务器192.168.1.10范围对象一段连续 IP如192.168.1.100 - 192.168.1.200子网对象IP 加掩码如192.168.1.0/24地址组把上面几个对象打包方便策略引用自定义服务非标准 TCP/UDP 端口例如 Oracle 的 1521、游戏端口区域对象把接口逻辑分组比如area_eth0对应内网时间对象定义工作时间段用于限时策略这些对象可以在访问策略里组合使用。比如「工作日 9:00-18:00 允许市场部网段访问某台 ERP 服务器的 443 端口」就需要建时间对象、主机对象、服务对象然后在策略里引用。对象命名不要用花名直接按业务含义命名比如web-server、finance-subnet不然后期维护时自己都看不懂。4.4 访问策略配置顺序与高可用性访问策略一般放在「访问控制」或「策略」页面。配置时选源区域、源地址、目的区域、目的地址、服务、动作允许/拒绝。这里最容易翻车的是区域方向搞反把内网接口放到了非信任区结果内部访问全部被拦。我的习惯是先画一张流量拓扑标注每个接口属于哪个区域再在 Web 界面上逐个确定。高可用性配置在「高可用性」菜单选择双机热备模式设置主备优先级、虚拟 IP 和对端心跳口。配置完成后主备机会同步运行配置但注意同步前必须保证两台设备的接口、区域、对象命名一致否则同步会报错或部分策略丢失。手册里的示例都是先配置访问策略再配置双机热备就是这个原因。5. 避坑清单配置管理与策略不生效的常见问题5.1 现象Telnet 连不上但 ping 能通原因只开了system telnetd start没有执行pf service add name telnet area area_eth0 addressname any管理服务没有放行。解决回到串口先执行pf service add name telnet area area_eth0 addressname any再确认服务已启动然后重新用 Telnet 客户端连接。如果还是不通检查管理 IP 是否配置正确以及电脑和防火墙之间有没有中间设备阻断了 23 端口。5.2 现象Web 管理页面打不开原因管理 IP 所在接口的区域不对或 HTTPS 服务未启用也可能是浏览器走了代理。解决先用串口登录跑show running看接口 IP 和区域确认system httpd startHTTP 服务已启动浏览器访问时加https://前缀。如果是内网调试建议临时关掉系统代理或添加到白名单。5.3 现象保存配置后重启设置丢失原因改完配置后没有执行save相当于运行配置没有写入启动配置。解决命令行敲saveWeb 界面点工具栏「保存设定」按钮。养成习惯每完成一个阶段的配置接口、路由、策略就保存一次避免多处修改后忘了落盘。5.4 现象透明模式接上后网络不通原因透明模式的两个接口没有划到同一区域或者没有配置 VLAN 和桥接也可能交换机侧存在环路或 VLAN 不匹配。解决按手册透明模式示例逐项检查接口属性中把内网口、外网口划到相同区域并加入同一个 VLAN确认互联接口都在 up 状态检查对端交换机端口是否设置了相同的 VLAN。透明模式不是“插上就能通”防火墙的生成树和其他防护功能也可能造成短时不通多等几秒再看。5.5 现象双机热备的备用机不接管原因主备机的配置文件不一致或 HA 心跳口配置错误优先级设置不当导致备机一直认为主机活着。解决在主备机上分别执行show ha如果有查看状态检查心跳线是否连接的是指定 HA 口IP 是否在同一子网确认两台设备的接口名称、区域对象完全一致然后重启 HA 服务或手动触发主备切换做测试。6. 把示例工程化透明模式与路由模式的配置步骤对照6.1 透明模式七步配置流程透明模式适合不改变现有网络拓扑的接入场景。手册给出的示例步骤是串口进入命令行配置接口属性将两个业务口划入同一交换域配置 VLAN配置区域属性定义对象如管理主机、业务网段添加系统权限配置访问策略和双机热备实际执行时我用命令示例# 以 eth2 和 eth3 作为透明业务口 network interface eth2 up exit network interface eth3 up exit # 配置 VLAN假设 vlan10 作为透明桥 network vlan add vlan10 network vlan port eth2 vlan10 network vlan port eth3 vlan10透明模式的要点是防火墙本身不参与路由业务流量直接二层转发。所有三层网关还在原来的路由器或核心交换机上防火墙只做安全过滤。配置完先在内网终端ping外网网关通了再逐步加策略。6.2 路由模式六步配置流程路由模式适用于防火墙作为三层网关的场景。手册步骤串口进入命令行配置接口属性内网口、外网口配 IP配置路由默认路由指向上游网关配置区域属性内网口划入信任区外网口划入非信任区配置主机对象如服务器对象配置访问策略和双机热备命令抽象如下# 内网口 eth0 配置管理/内网地址 network interface eth0 ip add 192.168.1.1 mask 255.255.255.0 up exit # 外网口 eth1 配置外网地址 network interface eth1 ip add 202.106.0.1 mask 255.255.255.0 up exit # 配置默认路由 network router add default next 202.106.0.254 interface eth1路由模式下内部终端要把默认网关指向防火墙内网口 IP如 192.168.1.1防火墙再通过默认路由把流量送出去。注意接口区域归属必须和策略匹配否则内网访问外网时即使有默认路由也会被安全策略丢弃。6.3 我习惯的验证顺序从 ping 到策略命中不管是透明还是路由模式配置完别急着收工。我会按这个顺序验证内网终端 ping 防火墙内网口地址确认三层通防火墙 ping 外网网关确认出口通内网终端 ping 外网地址确认路由通此时可能被策略挡先加一条 Any 允许临时测试检查访问策略日志或计数器看有没有流量命中如果有业务不通先看命中计数计数为 0 说明策略没匹配或源/目的区域反了这套顺序能快速把问题圈定在链路、路由、策略三者之一。从那以后我每次配置完天融信 NGFW4000都强制走一遍这条验证链确认没有遗漏才写save。这份实战手册把透明模式和路由模式的骨架都给了剩下的细节就是对接你现场的真实拓扑照着顺序改参数大部分开局都能顺利落地。希望帮到你。本文还有配套的精品资源点击获取