简介华为Eudemon防火墙详细配置分享是一份面向网络工程师、企业IT运维人员及安全方向学习者的实战型PDF文档。内容围绕Eudemon防火墙部署与安全策略展开覆盖接口IP与缺省路由配置、Trust/DMZ/Untrust安全区域划分、NAT地址池与ACL规则联动、包过滤机制等关键环节并结合具体CLI命令演示了从内网访问外网到保护DMZ服务器的完整配置思路。资源以1个PDF文件交付压缩包仅35KB轻量便携便于随时查阅。文档按配置步骤循序渐进每步都有明确验证方法特别适合需要用具体案例理解防火墙区域隔离、NAT转换及访问控制逻辑的网络技术人员。自发布以来已有194人浏览学习对于希望掌握华为防火墙基础运维与安全策略配置的读者而言是一份省时高效的参考。1. 为什么 Eudemon 防火墙配置让人又爱又恨华为 Eudemon 防火墙在政企网络里出镜率极高从早期的 Eudemon 100/200 到后来的 USG 系列再到 eNSP 模拟器里的 USG6000V核心玩法始终没变先搞清安全区域再谈策略和 NAT。很多人第一次上手就被它的默认拒绝策略劝退——配好接口、配上 IP发现业务还是不通因为防火墙默认连自己人都拦。这篇笔记就按我平时给客户做开局配置的顺序把 Eudemon 防火墙配置里的接口、区域、策略、NAT 和双机热备完整过一遍顺手把最常见的翻车点标出来。适合刚接手华为防火墙、正在折腾 eNSP 实验或者准备做设备替换的运维和网络工程师。2. 配置前的底层逻辑Eudemon 不是交换机是策略执行者2.1 先搞懂安全区域模型后面才不返工Eudemon 防火墙的配置思维和交换机完全是两套。交换机看 MAC 和 VLAN防火墙看的是区域Zone和会话Session。所有流量进入防火墙后先被贴上一个区域标签然后去匹配安全策略匹配不到就直接丢掉。华为默认就把接口分成几个固定区域trust内网、untrust外网、dmz对外服务器区、local防火墙自身流量。数据从 trust 去 untrust 默认就是拒绝的哪怕你在接口上配了 IP、路由也通策略不放行照样黑匣子一样丢包。我一般开局前会先画一张区域图把每个接口属于哪个区域、哪些流量需要跨区域放行写在纸上。常见误区分割线很多人把服务器放在 trust 里图省事结果内网被攻破后服务器直接裸奔。正确做法是服务器单独划 dmz 区域对内和对外的策略分开写。还要注意 local 区域防火墙上 SSH、Web 管理、OSPF 邻居、ping 防火墙自身这些流量全走 local 区域想放行管理流量必须单独写允许到 local 的策略。2.2 状态检测机制有去必须有回Eudemon 的 USG 系列是状态检测防火墙它维护一张会话表。内网用户访问外网第一个包匹配策略后建立会话回程流量直接查会话表放行不需要再匹配一遍反向策略。这就带来一个配置上的习惯只需要放行发起方向的流量不用为回程流量单独写策略。但如果你的业务是外网主动访问内网比如映射一个 Web 服务出去那必须显式配置允许 untrust 到 dmz 的策略和 NAT Server否则外网用户永远打不开。判断业务不通的时候第一步不是翻配置而是先看会话表。命令是 display firewall session table能看到会话的源、目的、区域和状态。如果会话表里只有请求没有应答说明回程包被丢弃多半是策略方向写反了。如果压根没有会话说明首包就在策略匹配阶段被拒了去看 traffic policy 的命中计数。2.3 选 Web 还是命令行场景决定入口华为防火墙的管理入口有三条路Web 界面、CLI 命令行、以及 eNSP 里的图形化调试。Web 适合做日常策略调整、看日志CLI 适合开局批量配置、排障和脚本化。我的习惯是开局全程命令行因为要配的东西太多Web 点来点去效率低且容易漏。等基础配置完成再交给 Web 做后续运维。eNSP 里做防火墙实验有个特殊点USG6000V 默认没有开启 Web 管理服务图形化界面登不进去。需要先在 CLI 里开启这也是网上被问烂的问题之一。配置文件里需要存在这几行interface 管理口配 IP、开启 http/https 服务、设置管理员账号。具体命令后面章节给全这里先记住一个原则——华为防火墙默认不向任何区域开放管理服务想从哪个区域管理它就得显式放行 local 区域的策略。管理入口适用场景注意点CLIconsole/SSH开局配置、批量脚本、排障默认只允许 console 口登录Webhttps日常策略调整、日志查看需先开启 http server 并放行管理策略eNSP 抓包调试学习实验、验证转发逻辑需要关闭 USG 的报文丢弃提示否则刷屏3. 用命令行完成接口与区域配置最小可运行开局3.1 eNSP 里 USG6000V 的接口规划华为防火墙的接口编号和交换机不一样USG6000V 在 eNSP 里通常能看到 GigabitEthernet1/0/0 到 1/0/6 左右接口数量取决于你拖出来的型号。开局规划我把 GE1/0/0 划给 untrust 接外网GE1/0/1 划给 trust 接内网GE1/0/2 划给 dmz 接服务器。这个规划不是固定的但建议按这个套路走因为后续写策略、看日志时思路最顺。防火墙接口默认是 down 的需要手动配置 IP 并启用。内网接口如果要接交换机可以配成二层口做透明模式但绝大多数场景我们用路由模式直接把接口配上 IP、加入区域然后靠路由把流量引进来。注意华为防火墙接口默认开启 ping 应答但 ping 的是防火墙自身接口地址时这个流量属于 local 区域和跨区域转发是两码事测试连通性时要分清。3.2 最小命令集配 IP、划区域、开管理先给出最小可运行配置这一段抄下来改 IP 就能用。登录防火墙后进入系统视图按顺序执行# 进入系统视图配置接口 IP 并加入区域 system-view interface GigabitEthernet1/0/0 ip address 203.0.113.1 255.255.255.0 undo shutdown quit firewall zone untrust add interface GigabitEthernet1/0/0 quit interface GigabitEthernet1/0/1 ip address 192.168.1.1 255.255.255.0 undo shutdown quit firewall zone trust add interface GigabitEthernet1/0/1 quit # 开启 Web 管理服务设置管理员账号 web-manager enable manager-user admin password cipher Admin123 service-type web level 15 quit # 放行 local 区域的 Web 管理流量 security-policy rule name manage_web source-zone local destination-zone local action permit quit这段命令做了四件事给外网口和内网口配上 IP、把接口加入对应安全区域、开启 Web 管理服务并创建管理员账号、放行管理流量。逻辑说明防火墙本身也是一个网络设备它发出的流量和自己接收的流量都属于 local 区域所以管理流量在两个 local 区域之间匹配策略。没有这条策略的话Web 界面能起来但你从内网访问不到。参数说明里最容易被忽略的是 undo shutdown。模拟器里有时接口默认 up但真机上必须手动打开否则物理链路通了接口也是 down 的。密码里的 cipher 表示加密存储别用 simple明文密码出现在配置文件里是等保审计的大忌。level 15 是最高权限日常管理账号给 3 级就够防止误操作把策略清空。3.3 验证接口和区域是否生效配完别急着写策略先验证基础配置。用以下命令检查# 查看接口状态和 IP display ip interface brief # 查看安全区域和成员接口 display zone # 测试防火墙到内网网关的连通性 ping 192.168.1.254display zone 的输出会列出每个区域和它下面的接口重点确认接口没有同时出现在两个区域里。华为防火墙不允许一个接口属于两个区域如果配置冲突会直接报错。ping 防火墙自身接口时源是 local 区域能看到 reply 说明接口和路由没问题。注意这个 ping 测试只验证了接口层跨区域的流量仍然会被策略拦别看到 ping 通就以为业务通了。4. 安全策略与 NAT 配置把业务放行落到参数级4.1 策略匹配顺序和五元组白名单思想Eudemon 防火墙的安全策略从上到下顺序匹配命中的第一条规则生效不再往下看。这意味着策略顺序写错后面的规则全被架空。我的经验是永远把最具体的规则放在最前面比如针对特定 IP、特定端口的精确放行然后是通用的放行规则最后是一条拒绝规则兜底。虽然华为防火墙默认策略是拒绝所有但显式写一条 deny 规则能帮你看到丢弃计数排障时定位更快。策略的本质是五元组匹配源区域、目的区域、源地址、目的地址、端口。五个条件全部匹配才放行不是像 ACL 那样只匹配 IP。这也是新手最容易犯的错写了策略但没指定服务端口结果只放行了一个 IP 段的所有端口安全边界形同虚设。以给内网用户放行 DNS 和 HTTP 为例正确写法是security-policy rule name trust_to_untrust_dns source-zone trust destination-zone untrust source-address 192.168.1.0 mask 24 destination-address any service dns action permit counter enable quit rule name trust_to_untrust_web source-zone trust destination-zone untrust source-address 192.168.1.0 mask 24 destination-address any service http https action permit counter enable quit这里对每一条规则都开了 counter这个习惯非常重要。排障时用 display security-policy rule all 看命中次数能直接判断流量到底有没有走到这条策略。如果计数器一直是 0说明流量在更早的规则就被匹配了或者源/目的区域判断错了。service 参数里可以写协议名也可以写端口号比如 service tcp destination-port 8080注意区分大小写。4.2 地址对象和黑白名单管理粒度的一条捷径业务复杂之后直接在策略里写 IP 会把人逼疯。华为防火墙支持地址对象和地址组把一类 IP 定义成一个名字策略里直接引用。这个做法的好处是后续加 IP 不用改策略只改地址组。黑白名单也可以基于地址组实现黑名单组里的 IP 配一条拒绝规则放在策略列表最顶部剩下的正常业务规则在下面。# 定义地址组内网服务器段 ip address-set server_pool type object address 0 192.168.10.10 address 1 192.168.10.11 address 2 192.168.10.12 quit # 定义黑名单地址组 ip address-set blacklist type object address 0 203.0.113.66 quit # 黑名单拒绝规则置于最前 security-policy rule name deny_blacklist source-address blacklist action deny quit注意黑名单规则里没有写区域因为黑名单要匹配所有方向的流量不限定区域反而更安全。这种策略的写法是从上到下逐条匹配如果一条策略里 source 和 destination 都设了 any再配合黑名单整台防火墙的黑白名单语义就清晰了。地址组名字后面可以跟 type object 或者 type subnet前者匹配单个主机后者匹配网段配置前想清楚用哪种混用容易造成策略不生效的假象。4.3 NAT 配置出接口转换和服务器映射分开写NAT 是防火墙配置里的第二个大头。场景分两类内网访问外网需要做源地址转换出接口 NAT把私网地址换成防火墙外网口地址外网访问内网服务器需要做目的地址转换NAT Server把公网地址映射到内网服务器。先看源地址转换的配置用 easy ip 模式自动引用接口地址# 配置 NAT 地址池或直接使用出接口地址 nat address-group nat_pool 203.0.113.10 203.0.113.20 quit # 在 trust 到 untrust 方向上启用 NAT security-policy rule name trust_to_untrust_nat source-zone trust destination-zone untrust action permit nat easy-ip quit参数说明nat easy-ip 表示使用接口地址作为转换后的源地址适合公网地址只有一个的场景。如果有多条公网线路或者需要固定源地址的场景就用 nat address-group 指定一个地址池注意地址池不能和接口地址冲突也不能包含网关地址。转换后的会话可以在 display nat session table 里看到排障重点看源地址有没有变成公网地址。再看服务器映射这个配置更精细# 将公网地址 203.0.113.10 的 443 端口映射到内网 192.168.10.10 nat server web_server protocol tcp global 203.0.113.10 443 inside 192.168.10.10 443这条命令的含义是外网用户访问 203.0.113.10 的 443 端口时防火墙把目的地址和端口改写成 192.168.10.10 的 443 端口。命令里的 global 是公网侧地址inside 是内网真实地址。写完 NAT Server 后别忘写安全策略因为 NAT Server 只改变地址不改变策略匹配逻辑还是要放行 untrust 到 dmz 的流量。防火墙黑白名单有时会和 NAT Server 配合使用比如只允许特定公网 IP 访问映射后的服务器这时在策略里加 source-address 限制即可。NAT 配置里的常见坑地址池里的地址不能太大否则会浪费公网 IP 还不生效映射端口和外网口冲突时防火墙会优先满足 NAT Server导致出接口 NAT 不可用。5. 防火墙配置常见的 4 个翻车点现象、原因、解法5.1 业务不通但策略看起来全对了现象内网用户访问外网一直超时检查接口状态、IP、路由全正常安全策略也写上了。原因策略里 service 参数没写或者源区域搞错了。华为防火墙的 service 默认是 any如果策略里明确写了 service http但用户访问的是 HTTPS 端口直接被拒。更隐蔽的是源区域错误比如接口加入了 trust但策略里 source-zone 写了 dmz流量进来时带着 trust 标签匹配不上规则。解法先 display security-policy rule all 看策略命中计数如果计数为 0再 display firewall session table 看流量有没有建立会话两步就能定位到是策略没匹配上还是会话被丢弃。5.2 Web 界面登录不了不是密码错了现象在 eNSP 里拖了一台 USG6000V配置好接口IP后浏览器访问 https://192.168.1.1 一直打不开。原因USG6000V 默认没有开启 Web 管理服务命令行里没有执行 web-manager enable而且即使开了服务从 trust 区域访问防火墙自身的管理流量没有放行策略被 local 区域的默认拒绝拦掉了。解法补上 web-manager enable然后在 security-policy 里加一条 source-zone local、destination-zone local 的放行规则。如果不想开 Web直接用 SSH 管理华为防火墙默认自带 SSH 服务只需在接口视图下配 ssh server 并放行 local 区域。5.3 NAT 配置后内网互访被改写现象内网两台服务器之间互访经过防火墙转发后数据包源地址被 NAT 改成了公网地址服务器日志里看到的源 IP 全是防火墙外网口地址。原因安全策略里写的是 permit 加 nat但这个 NAT 规则匹配了所有从 trust 到 other 区域的流量而服务器互访流量也是从 trust 出来的。解法把 NAT 规则限定到目的区域是 untrust 的策略里或者用 nat 模式区分。华为防火墙支持在策略里指定 nat 还是 no nat服务器互访的规则显式写 no nat防止被全局 NAT 规则误伤。这是配置 NAT 时最容易忽略的一个点日志审计时尤其明显。5.4 防火墙重启后配置反复失效现象设备重启后接口状态和策略都在但业务转发放不出去查看会话表全空。原因一些配套功能没保存或者重启后接口处于 shutdown 状态。华为防火墙的配置保存命令是 save但 interface 下的 undo shutdown 这个动作有时会被后执行的配置覆盖。真正多发的场景是设备上接了双机热备主备切换后新主设备的会话表没有同步导致业务中断。解法开机配置做完立刻 save双机环境确认 HRP 会话同步已经使能切换后 display hrp state 查看主备身份和会话同步状态。模拟器里特别注意eNSP 关闭再打开后设备状态是全新的配置存档要导出备份别指望模拟器的持久化。6. HRP 双机热备配置让防火墙不再是单点瓶颈6.1 双机热备选型VRRP 负责选主HRP 负责同步生产环境里防火墙做成双机是常态单台防火墙一旦宕机整个网络出口就断了。华为双机热备方案由两部分组成VRRP 组负责设备间的选主决定谁的接口 IP 是 ActiveHRP 负责配置和会话的同步把主设备的会话表、策略配置实时备份到备设备。两台上行接到同一个交换机下行也接到同一个交换机这样无论哪台故障交换机上的网关地址都不会变。配置前想清楚一个关键点HRP 的同步不是把整台设备配置文件复制过去而是同步会话表和部分配置接口 IP、区域、策略这些基础配置需要提前在两台设备上都配好。如果只在一台上配了策略HRP 不会自动同步备机切主后业务直接断掉。这是双机配置里最容易被忽略的细节。6.2 双机热备的关键命令配置思路华为防火墙双机配置命令不算多但要求每台设备上的基础配置先做好。以下以 USG6000V 为例把两台设备配置的思路写出来# 主设备上创建 VRRP 备份组并配置虚拟 IP interface GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 203.0.113.254 vrrp vrid 1 priority 120 quit # 激活 HRP 并使能会话同步 hrp enable hrp interface GigabitEthernet1/0/0 remote 203.0.113.2 hrp standby-device参数说明vrrp vrid 1 是备份组编号两台设备必须一致priority 120 让主设备优先级更高备设备默认 100数值大的成为 Activehrp interface 用来指定 HRP 协商用的接口和远端地址hrp standby-device 表示本机作为备设备主设备上不需要这行。注意 HRP 同步的是会话和配置变更不是全量配置所以两台设备的接口、策略必须手工保持一致这个没有偷懒的办法。验证命令很直观display hrp state display vrrp brief display firewall session table主设备上 display hrp state 应该显示 Active 状态备设备显示 Standby。如果两台都是 Active说明 VRRP 优先级或者心跳链路有问题检查 hrp interface 配的远端地址是否可达。display vrrp brief 可以看到哪个接口的虚拟 IP 由谁持有。会话同步看备机的会话表如果备机上也能看到会话条目说明 HRP 会话同步正常工作。6.3 割接和故障切换要注意的细节双机热备配置完成后建议做一次主动切换测试断开主设备的上行链路看备设备能否接管业务。切过去之后发现流量不通的热门翻车点是备设备上的策略和主设备不一致或者 NAT 配置没同步过去。HRP 同步配置是有条件的只有通过 HRP 下发的配置才会同步手工在备机上单独敲的命令不会同步到主设备。我给自己定的规矩是双机设备每季度做一次切换演练平时任何策略变更都在主设备上操作改完一看 display hrp state 确认备机的配置已同步二看会话表确认业务没有中断。防火墙黑白名单和 NAT Server 这类敏感规则更要确认双机同步后再上线。另外HRP 的会话同步仅对 TCP/UDP 这类有状态协议生效个别无状态协议在切换时仍然会中断这是协议本身的限制提前跟业务方约定好在凌晨窗口操作比较稳妥。希望帮到你。本文还有配套的精品资源点击获取