简介东软防火墙配置过程.doc 是一份面向网络管理员与安全运维人员的完整配置指南系统梳理东软 NetEye 防火墙从零到可用的操作链路。文档覆盖初始化设备、主机名与系统时间设置、语言选择、根管理员口令更改、管理员账号添加、WebUI/CLI 管理方式选择及初始端口配置并延伸至用户管理、接口模式调整、安全域划分、路由配置、IP地址与服务定义、NAT地址映射、访问策略配置等常见生产场景。其中初始化部分通过超级终端串口连接设备详细说明启动提示后的每一步输入接口与路由章节给出eth0管理等典型参数示例便于对照操作。资源为1个doc文档压缩包大小2.52MB图文步骤清晰适合需要按部就班完成防火墙上线或准备相关考核的读者。目前已有419人学习下载可作为东软防火墙部署实施与排障的参考手册。1. 东软防火墙配置过程先把这份 .doc 当成一份割接预案来读接手一台东软防火墙手头只有一份《东软防火墙配置过程.doc》这个场景很多运维都不陌生。设备可能已经跑了好几年文档与实际配置对不上也可能是新采购的设备需要按文档从串口开始一步步做成可以上线的状态。东软防火墙这种国内网安设备配置的核心从来不是某个神秘命令而是接口区域、安全策略、NAT 三条线怎么串起来。这篇文章要做的就是把这三条线的配置顺序、参数选择和踩坑点讲透让新手照着能落地让老手在割接前可以拿来做核对。内容适合网络运维、安全工程师和负责设备巡检交付的同事。2. 开局配置从串口灌入管理 IP 到 Web 界面接管设备一台全新的东软防火墙默认状态下业务接口都是空的没有 IP、没有路由、没有策略。第一步不是急着配策略而是先建立管理通道。管理通道建不好后面所有配置都只能对着串口黑匣子操作效率极低。我一般的习惯是先串口登录看一眼设备状态和软件版本再给管理接口配上 IP最后切到 Web 界面做策略编排。这个顺序不要反过来因为部分版本默认禁止 SSH 管理Web 界面没开之前串口是唯一后悔药。2.1 串口登录先确认这五个连接参数东软防火墙的串口参数并不是所有型号都一致但绝大多数设备的 Console 口默认为 115200 波特率、8 位数据位、无校验、1 位停止位、无流控。连接时用 USB 转串口线注意驱动是否装好。Windows 下可以在设备管理器里看到 COM 口编号然后用 Xshell 或 SecureCRT 建立会话。登录后一般会要求输入用户名和密码新设备常见的默认账号是 admin/admin但部分项目交付时会由集成商改成复杂密码此时可以看设备背面的标签或原厂交付文档。# 以下命令用于登录后的状态确认具体命令名以设备当前软件版本为准 show version show interface summary show ip route这三条命令的作用分别是查看软件版本、接口物理状态和现有路由表。版本号决定了后续 Web 界面菜单名称和部分功能的支持情况接口摘要能确认哪些网口是 up 的、速率是否协商正常路由表则告诉你设备当前有没有默认路由。很多人在开局时跳过这一步直接配 Web结果配置到一半发现接口没起来又回头排查物理链路白白浪费时间。建议把这三条命令的输出去到本地留底这份记录在后续对比配置漂移时很有用。2.2 管理口 IP 和区域划分网管通道先于业务策略东软防火墙的接口默认没有归属区域而安全策略是按区域间的流量来匹配的所以你要先把物理接口放入内网、外网、DMZ 这类区域里。一台双网口设备最常见的划分是 eth0 做外网口、eth1 做内网口管理走内网口或者单独的管理口。配置管理 IP 时要同时确认该接口的区域和允许访问管理的服务否则 IP 配上去了浏览器也打不开。以下是一份开局接口规划的参考表参数可以根据现场环境改接口区域IP 地址掩码用途eth0外网202.x.x.x255.255.255.0接运营商线路eth1内网192.168.1.1255.255.255.0接核心交换机eth2DMZ10.0.0.1255.255.255.0接服务器区配置完成后从内网电脑 ping 管理 IP通了再开浏览器。这里有一个常见误区很多人以为只要配了 IP 就算管理通道建立实际上东软防火墙的 Web 管理默认可能只监听在特定的服务端口上而且部分版本要求源 IP 属于可管理地址表。所以开局阶段建议先放一条临时策略允许内网管理网段访问防火墙自身的 HTTPS 管理服务宁可策略粗一点先把通道打通等业务策略全部做完再收紧。2.3 Web 界面接管浏览器配置的菜单路径与两个必改项串口里把管理 IP 和区域配好后就可以用浏览器访问 https://管理IP 进入 Web 管理界面。首次登录系统会强制要求修改默认密码密码策略通常要求包含大小写字母和数字长度不少于 8 位。这里有两个必改项一个是把默认 admin 密码换掉另一个是关闭或限制串口调试账号的登录权限。很多项目遗留的安全隐患都来自这两个默认项没动。Web 界面下需要顺手完成的还有三件事开启 SSH 管理并限定管理来源 IP、配置 NTP 时间同步、把系统日志级别调成 notice 以上。SSH 管理在部分版本里默认关闭需要在外网口或内网口的管理服务设置里勾选NTP 同步是为了后续日志分析时时间戳可信服务器的 IP 可以用运营商提供的 NTP 地址也可以自建日志级别如果不开策略命中记录会非常稀疏排障时看不到东西。这四项配置完成后设备就已经具备了被远程管理和审计的基础条件可以进入策略配置阶段。3. 安全策略与 NAT让流量按业务意图走的三个必调参数策略和 NAT 是东软防火墙配置过程里最核心的部分也是 .doc 文档里篇幅最多的章节。策略决定哪些流量能穿过防火墙NAT 决定穿过防火墙的流量如何变换地址和端口。两者分开配置但实际生效时是联动匹配的。配置顺序上我建议先创建地址对象和服务对象再写安全策略最后配 NAT因为策略引用对象后一旦对象出错排障范围会成倍扩大。3.1 地址对象与服务对象先建字典再写规则地址对象就是给 IP 或网段起一个有含义的名字比如把 192.168.1.0/24 命名为内网办公网段把 10.0.0.2 命名为财务服务器。服务对象则是把端口和协议组合起来比如把 TCP 443 命名为HTTPS服务。为什么要先建对象而不是直接在策略里写 IP因为后续策略调整频率远高于对象调整频率使用对象的策略在修改地址时只需要改一处而不使用对象的策略要逐条改。这个习惯在设备运行半年后、需要扩容网段时能明显感受到差距。对象命名有一个建议规范区域前缀 业务用途 环境标识。比如DMZ_WebServer_Prod表示 DMZ 区的生产 Web 服务器IN_Office_Dev表示内网办公的研发网段。不要用中文拼音缩写更不要用 a1、a2 这种序号因为半年后连你自己都记不住 a1 是哪个网段。对象建完后在策略里用下拉选单引用即可这也是 Web 配置比纯命令行省事的地方。3.2 策略编排匹配顺序决定包的去留东软防火墙的安全策略按自上而下的顺序匹配命中第一条就不再往下查。这个机制决定了策略顺序非常关键。如果你把拒绝所有流量的策略放在最上面底下再精细的放行策略都不会生效。一般的编排习惯是先放必要的放行策略再放拒绝策略最后放兜底拒绝策略。一个标准的外网访问内网 Web 服务器场景策略表大致如下序号源区域目的区域源地址目的地址服务动作1外网DMZ任意DMZ_WebServer_ProdHTTPS允许2外网DMZ任意任意任意拒绝3内网DMZ内网办公网段任意任意允许4任意任意任意任意任意拒绝第 1 条放行外网访问 Web 服务器第 2 条拒绝其余所有外网到 DMZ 的流量第 3 条放行内网到 DMZ 的运维流量第 4 条兜底。这里的参数注意力放在源区域和目的区域上不要只看 IP。区域是防火墙判断流量的第一层依据如果源区域选错内网流量可能会被当成外网流量被第 2 条拒掉。另外策略里有一个隐藏参数容易被忽略日志开关。放行策略默认不记日志拒绝策略默认记录日志。但实际运维时建议放行策略也开启会话日志这样出现异常访问时可以回溯是谁在什么时候连了哪些端口。日志量的问题可以通过限制只记录和业务相关的放行策略来缓解。3.3 NAT 的两种类型源 NAT 和目的 NAT 各管一段NAT 配置要区分两个方向。源 NAT 是把内网访问外网时源地址换成公网地址解决的是内网私网地址无法在公网路由的问题目的 NAT 是把公网 IP 上的某个端口映射到内网服务器解决的是外部访问内部服务的问题。两者在配置界面里入口不同但规则结构类似。内网上网的场景源 NAT 规则一般这么写# 伪代码形式的规则逻辑Web 界面按同样思路填写 source_zone 内网 source_address 内网办公网段 dest_zone 外网 action snat nat_address 外网口公网 IP这条规则表示内网办公网段的流量出外网时源地址被替换为外网口的公网 IP。这里需要注意多公网 IP 场景如果你的设备有多个公网 IP可以配置地址池让源 NAT 按源地址或端口轮询选择出口 IP。部分版本支持按源地址划分不同的出口 IP比如办公网段走 IP-A访客网段走 IP-B这种配置在做业务隔离时非常实用。目的 NAT 的配置参数主要有三个公网 IP、公网端口、内网服务器 IP 和内网端口。例如把公网 IP 的 8443 端口映射到 DMZ 区 Web 服务器的 443 端口规则里要同时指定目的区域为外网、目的地址为公网 IP。这里很容易翻车的地方是忘了在安全策略里放行对应流量。NAT 只做地址变换不做访问控制如果策略里没有放行外网到 DMZ 的 8443 端口映射配了也访问不了。4. 东软防火墙配置落地避坑策略不生效、掉配置、管理锁死三件事东软防火墙的配置过程里坑往往不在配置本身而在配置之外的环境细节。我整理了几条出现频率最高的踩坑记录每一条都按现象、原因、解决来说明这些内容在官方 .doc 文档里通常不会写全。4.1 策略顺序引起的放行失效现象内网访问 DMZ 服务器的流量不通但策略表里明明有放行规则。原因策略匹配顺序出了问题。检查时发现有条拒绝策略写在放行策略之前且拒绝策略的源地址是任意、目的地址是任意把本来要放行的流量先拒掉了。这类情况高发于批量导入策略时按时间顺序追加而不是按业务优先级排序。解决进入策略列表把精确的放行策略上移到拒绝策略之前。建议在每次新增策略时先确认维护的序号范围把允许策略统一放在前段的规则区拒绝策略统一放在后段中间预留扩展序号。定期导出策略表核对顺序尤其在大版本升级后策略顺序偶发会被重置。4.2 接口区域与实际拓扑不一致现象内网可以访问防火墙的管理 IP但内网设备无法经过防火墙访问外网抓包发现流量到了防火墙就消失。原因内网接口没有加入内网区域或者被误加到了 DMZ 区域。流量进入防火墙后匹配区域时属于未知区域默认动作是丢弃于是表现为不通。解决在接口配置里确认每个物理接口所属区域再在区域管理里核对接口清单。注意部分设备支持子接口子接口的所属区域与父接口可以不同这种场景下要检查子接口的 VLAN 标签是否与交换机的 trunk 配置一致。4.3 配置保存后重启丢失现象设备重启后之前配好的策略和地址对象全部消失恢复成出厂状态。原因Web 界面上的配置操作没有写入持久化存储。很多国产防火墙的 Web 界面只把配置保存在内存中必须手动执行保存配置的操作才会写入启动配置也有设备存在双配置文件机制当前生效的配置与启动配置不是同一份。解决配置完成后在系统管理菜单里找到配置保存或配置备份入口执行手动保存。更安全的做法是保存后在本地导出一份配置文件备份存到运维资产库里。不要把设备上的配置当作唯一副本我是吃过这个亏的后来每一次割接都把导出配置文件作为收尾动作。4.4 管理通道被自己的策略锁死现象远程配置过程中刚保存完一条策略SSH 或 Web 管理立即断开之后再也连不上设备。原因新加的策略要么把管理来源 IP 区域匹配错了要么在策略里拒绝了自己所在网段的流量。比如把外网区域的所有流量都拒绝而远程管理恰好就是从外网地址进来的这等于是自己把自己关在门外。解决如果是远程操作先确认当前会话是从哪个接口和区域进入的然后在策略表里预留一条高优先级的管理放行规则明确允许管理网段访问防火墙自身的 HTTPS 和 SSH 服务。如果已经发生锁死只能通过串口登录从串口删除或修正相关策略。串口是最后的后悔药这一点在开工前就让现场同事知道避免远程锁死后只能跑机房。4.5 会话表未清理导致 NAT 映射不生效现象修改了目的 NAT 映射把公网端口从 8443 改成 8444但客户端访问 8444 仍然不通旧端口 8443 还能连上。原因设备上保留了旧的会话表项会话老化时间较长新的映射规则无法覆盖已有连接。部分情况下浏览器和客户端也有连接缓存但防火墙侧会话未清是最常见的原因。解决在系统维护菜单里找到连接会话监控按源地址或目的地址过滤手动剔除相关会话或者等待老化时间自然过去。配置变更后不要急于测试先观察会话表状态确认旧会话被清理后再验证新映射。5. 高可用与运维侧配置双机热备、日志外发和限速一次到位业务跑起来之后防火墙的单点风险就凸显了。割接文档里往往把双机热备、日志外发和带宽限速归到运维配置一节这些配置如果一开始不做后期补会比较被动。东软防火墙配置过程中这三个功能最好在业务策略完成后的同一个变更窗口里一起交付因为它们的配置参数与接口 IP、区域规划强相关。5.1 双机热备的部署与选举参数双机热备的部署前提是两台设备型号和软件版本一致硬件接口数量相同。部署时先确定主备角色再配心跳口。心跳口建议使用独立的物理接口不要和管理口复用因为心跳链路拥塞会导致误判主备状态。# 关键参数示意根据版本差异调整 ha mode active-passive ha interface heartbeat eth3 ha virtual-ip 192.168.1.254 ha priority peer-a 100这段配置的含义是启用主备模式、指定心跳口、配置虚拟 IP 和设备优先级。虚拟 IP 是两台设备间对外呈现的统一地址替换单台设备的内网网关地址优先级决定当两台设备都健康时谁承担主角色。需要留意的是双击热备切换时已有连接会中断特别是长连接业务需要设置较短的会话老化时间让新主设备尽快接管。5.2 Syslog 外发与 NTP 时区对齐防火墙自身存储的日志容量有限策略命中日志、威胁日志和操作日志都应该外发到集中的日志服务器。东软防火墙的 Syslog 外发配置包含三个参数日志服务器 IP、端口和传输协议。默认端口是 514传输协议可选择 UDP 或 TCPUDP 配置简单但可能丢日志TCP 可靠性更高但会增加连接开销。NTP 配置这里要单独强调因为日志时序错乱会直接导致溯源失败。设备上配置 NTP 服务器地址后还要确认时区设置为 UTC8部分设备出厂默认时区是 UTC日志打出来的时间比北京时间晚 8 小时临时对比策略日志时会产生误导。建议同时检查设备自身的系统时间和 NTP 同步状态确保时间偏差在毫秒级。5.3 带宽限速与连接数限制的三个参数出口带宽有限时单个内网 IP 占满带宽是常见故障。东软防火墙的带宽管理一般支持接口限速、规则限速和 IP 限速三种方式。接口限速作用于整个物理接口规则限速作用于匹配特定策略的流量IP 限速作用于单地址实际配置中可以组合使用。限速类型作用对象典型参数适用场景接口限速物理接口上行/下行带宽值运营商链路带宽管控规则限速策略匹配流量保证带宽/最大带宽视频会议、重要业务保障IP 限速源或目的 IP每 IP 最大带宽防止个别用户占满带宽连接数限制与带宽限速要配套使用。单个 IP 的连接数上限一般设置为 1000 到 3000 之间数值太小会影响 P2P 或正常高并发业务太大会失去防护意义。如果不想逐个 IP 设置可以针对内网区域整体设置连接数阈值超出部分丢弃日志。配置完成后做一次下载验证确认限速方向正确上行限速管的是发出去的流量下行限速管的是收进来的流量方向搞反会看到完全不符合预期的效果。6. 配置验证清单把 .doc 里的步骤变成每次割接都能复测的标准这一章不是总结而是给出一份可以立刻用的验证清单。配置是否成功不能只看策略显示已启用要拿真实流量去测试。网络连通性验证从内网开始先 ping 内网网关再 ping 防火墙内网口 IP确认二层链路正常然后 ping 外网口 IP验证防火墙三层转发最后 ping 公网 DNS 地址排除运营商链路问题。每次 ping 之前先确认流量命中哪条策略命中计数器是否增长。现在的 Web 界面大多有实时会话监控看会话表里有没有新建连接比 ping 更可靠。业务验证要模拟真实路径。内网访问互联网的场景在客户端上访问一个外网地址并确认响应正常映射场景从外网侧用便携电脑访问映射端口验证延迟和服务可达性。验证时注意关闭本地代理代理会让流量路径变得不可控测出来的结果无法说明防火墙策略是否生效。配置归档这步容易被忽略。完整跑通验证后导出配置文件、策略列表和接口配置表连同本次配置变更说明一起存档。归档文档头部写清楚设备型号、软件版本、变更人、变更时间和回滚位置。这份文档不追求华丽但要保证换一个人拿着它也能在相似设备上复现同样的配置。我自己的习惯是验证完成后把关键命令的输出留在归档文件里界面上看不到的底层状态这些输出就是排障线索。希望这篇东软防火墙配置过程的心得能在你下次设备上线或割接时帮上点忙。本文还有配套的精品资源点击获取