简介《东软防火墙配置过程.docx》是一份面向网络管理员与安全运维初学者的实操指南详细讲解在 NetEye 设备上完成防火墙初始化与配置的完整流程。文档从串口控制台连接开始逐步演示设置主机名、系统时间、语言、管理员口令、添加系统管理员、选择 WebUI/CLI 配置方式、绑定 eth0 等端口并配置 IP/子网掩码/缺省路由直至登录 NetEye 系统进行管理与验证。后续还补充了用户权限管理、接口模式调整、安全域划分、路由配置、对象与服务定义、NAT 映射和访问策略设置等进阶内容场景贴近企业边界防护部署。资源为单份 docx 文档压缩包大小 2.2MB内容紧凑、步骤清晰可作为防火墙初始上线和常见功能配置的速查手册。已有 377 人学习下载适合需要按图索骥完成东软防火墙配置的运维人员参考。1. 东软防火墙配置过程从拿到设备到双机热备先想清楚这三件事接到一台东软防火墙最怕的不是界面复杂而是你以为策略放通了一切流量却还是绕着你走。东软防火墙配置过程看起来就是登录、配接口、写策略、做NAT可真要在企业网络里落地顺序错了、参数没对齐、配置没保存都会变成交付现场的血泪教训。我会按拿到设备后48小时的真实节奏写操作路径适合刚接手设备、做安全整改、以及要设计双机热备方案的人。动手之前先画一张流量图内网、服务器、外网线路、管理口分别走哪个接口进哪个区域画清楚了再动手后面才不会翻车。2. 登录东软防火墙三种管理方式与第一次接口区域配置2.1 出厂状态下的首次登录管理口IP、默认密码与最小通联脚本新设备第一次配置我一般不会直接开浏览器而是先把console线接上。东软集团的企业级防火墙一般会有专门的带外管理口出厂IP通常印在设备标签上。比较常见的管理网段是192.168.0.0/24管理地址是192.168.0.1但不同批次设备也会有差异。你拿到设备后先用console线连上看启动信息里实际打印的管理口地址然后用网线把笔记本网口和管理口接在一起把网卡配成同一网段比如192.168.0.100/24再通过浏览器访问https地址。这里有个容易被忽略的点管理口默认是https服务不是http。如果你用http访问大概率会被重定向或者直接拒绝。第一次登录会要求设置密码有些版本会让你输入出厂密码后再改。改完密码别急着开始配置先确认管理口被划到了哪个安全区域。很多设备出厂默认把管理口放在一个单独的管理区域允许从该区域访问设备本身但不允许它访问业务接口的流量。这是好事别为了省事把管理口塞进Trust区域后面做安全审计会很难看。在你登录进去之前可以用一个很小的Python脚本来快速确认管理地址通不通避免在浏览器里反复试错import socket ip 192.168.0.1 # 东软防火墙管理口地址 port 443 # HTTPS管理端口 s socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.settimeout(3) try: s.connect((ip, port)) print(管理端口可达可以开始Web配置) except Exception as e: print(管理端口不可达检查网卡IP和网线) finally: s.close()脚本的逻辑很简单直接测试到管理口TCP 443端口的三秒握手。如果返回可达说明网络链路没有问题如果不可达就要逐个排查笔记本网卡、网线、管理口是否启用。参数说明里ip和port要按实际设备改timeout设成3秒就够太长会让脚本卡住。如果之前的技术员把密码改过你又没有记录那只能走console线重置。常见的做法是进入设备的恢复模式清除密码或恢复出厂配置。但这里千万注意恢复出厂配置会把所有配置都抹掉如果有重要策略先确认有没有config备份否则后续所有配置都要重来。这就是我说的“后悔药”任何一步重置之前先导出配置文件。2.2 接口区域规划把管理、业务、服务器分开不混用登录成功之后先不要急着写策略先把接口区域画清楚。东软防火墙沿用了Trust、Untrust、DMZ这样的区域模型每个物理口默认属于哪个区域不同型号可能不一样。我的做法是先把设备上所有的物理口列一张表再根据业务把它们映射到区域里。下面是一个常见的小型企业边界规划你可以直接拿来参考接口区域IP地址用途GE0/0/1Management管理区域192.168.0.1/24防火墙本地管理GE0/0/2Trust192.168.10.254/24内部办公网络网关GE0/0/3Untrust100.64.0.1/30运营商分配上联外网线路GE0/0/4DMZ192.168.20.254/24服务器区域网关接口IP的配置在Web界面里走到“网络-接口”菜单把接口启用勾选“允许Ping管理”之类的选项然后填入IP和子网掩码。这里我一般会把接口的“管理访问”限制只允许管理区域或者指定的管理主机访问而不是让Trust和Untrust都能ping通设备本身。然后到“区域-接口绑定”里把GE0/0/2绑定到TrustGE0/0/3绑定到UntrustGE0/0/4绑定到DMZ。为什么把服务器单独放DMZ因为内网办公电脑访问服务器的流量需要被策略放行外网访问服务器的流量也需要被放行但办公网和外部网络之间要默认隔离。如果服务器放在Trust那外网访问服务器和访问办公电脑就处在同一个安全级别策略控制粒度会粗糙很多。安全测评或者业务审计的时候这种“服务器和内网混在一个区域”的架构通常会被指出来。所以宁可多划一个区域也不要省这个步骤。2.3 静态路由与回程路由先让报文找到出接口接口和区域绑定完毕下一步是写路由。最常见的是有一条默认路由指向上联运营商网关。在“网络-路由”里添加静态路由目的地址0.0.0.0/0下一跳是你从运营商拿到的网关地址出接口就是GE0/0/3。如果你还有单独的业务专线比如访问某个合作方网段要走不同出口那再加一条目的网段的静态路由优先级设得比默认路由高即可。这里有一个项目现场很常见的顺序问题很多人先把安全策略全放通再来写路由。结果策略看着没问题内网用户还是上不了网。其实防火墙的转发逻辑是先查路由再匹配策略再做NAT。路由没写好包连出接口都找不到策略放得再开也没用。所以我的习惯是先确认从防火墙上能ping通外网网关再开始配策略和NAT。在Web诊断页里通常有ping工具填上运营商网关地址源地址选择GE0/0/3的接口IP如果通说明三层链路已经建立。如果你有多个内网网段还要检查一下回程路由。比如内网网段192.168.10.0/24和192.168.20.0/24都通过防火墙访问外网防火墙自身能学习到直连路由不需要额外添加。但如果内网很复杂下面挂了核心交换机里面又分了多个VLAN那么防火墙要有去往这些VLAN网段的路由下一跳是核心交换机的VLANIF地址。这块漏配表现就是内网某些网段能上网某些网段不能而且策略和NAT都没问题问题出在路由黑洞。2.4 管理访问收口把HTTPS、SSH和Ping限制到运维网段接口、区域、路由配完后先别急着往下走把管理面的权限收一收。在系统管理-服务里开启HTTPS和SSH关闭不必要的服务比如Telnet、SNMP公共字符串。在访问控制里增加一条规则只允许运维网段比如192.168.10.0/28访问防火墙的管理地址其余源地址都拒绝。同时Ping响应也建议限制到管理口或Trust区域。这个习惯能有效减少设备暴露面。至于管理口本身如果它和业务口在同一个广播域一定把管理口的源地址限制放上避免内网任意一台机器都能打开防火墙配置页。很多项目出事不是策略没写对而是管理面没有收口。我在交付时会把这一步写进配置过程文档当作验收项而不是“顺手配上”的小事。3. 安全策略与NAT配置按区域放行流量而不是全开3.1 策略匹配顺序与五元组先窄后宽、先具体后兜底安全策略是防火墙的核心也是最容易翻车的地方。东软防火墙的策略逻辑和大多数企业防火墙一样从上到下逐条匹配一旦命中就停止。所以配置策略之前先想清楚哪些流量要放行哪些要拒绝。一般原则是把窄的、具体的规则放在前面宽的、兜底的规则放后面。比如先放行内网到某台服务器端口的流量再默认拒绝跨区域访问。安全策略通常由五个元素组成源地址、目的地址、服务、方向、动作。再加一个“时间段”做办公时间控制。配置界面上看起来就是填一张表但真正决定这条策略是否生效的是它和现有策略之间的顺序。很多新手在策略列表底部加了一条放行规则结果发现流量还是不通因为上面有一条更宽的拒绝规则已经先匹配了。下面是一个典型的三区域策略规划表序号源区域源地址目的区域目的地址服务动作1Trust内网办公网段Untrust任意ANY允许2Untrust任意DMZ服务器公网映射地址TCP/443允许3DMZ服务器网段Untrust任意ANY允许服务器主动更新用4Untrust任意Trust任意ANY拒绝这条规划里最后一条是跨区域兜底确保外网不能直接访问内网。注意第1条放行了内网访问外网的所有流量这适用于办公网段如果公司有严格的合规要求可以把服务限制成HTTP/HTTPS/DNS等常用端口而不是ANY。配置策略的时候我建议每一条都写清楚备注比如“办公网上网策略”“外网访问官网服务器”。后期排错时策略命中计数很有用东软防火墙一般会在策略列表里显示命中次数。如果一条策略配置后命中次数一直是0说明流量根本没匹配到这条策略或者方向搞反了要顺着接口和区域的方向去查。3.2 用地址对象和服务对象控制策略数量一条别名背后的维护价值当你只有十条策略时直接写源和目的地址没问题。但当策略增加到几十条每条都写裸IP后面改起来会非常痛苦。所以我在第一次配置时就会把地址对象和服务对象建好。地址对象可以理解成一组IP或网段的别名。比如把内网办公网段192.168.10.0/24命名为internal-network把运维主机的IP 192.168.10.10命名为admin-host把服务器内网地址192.168.20.10命名为web-server。在“对象-地址”里新建类型选择“网段”或者“主机”。服务对象类似把TCP/443命名为HTTPS把TCP/22命名为SSH。用对象的好处是策略表看起来清楚改起来也安全。假设内网办公网段从192.168.10.0/24改成192.168.20.0/23你只需要改地址对象里的网段所有引用它的策略会同步变化。如果你直接在策略里写死了IP就得一条条去翻。这个习惯越早养成后期维护成本越低。另外服务对象里可以建组合服务比如“办公常用”包含TCP/80、TCP/443、UDP/53、TCP/53。但别把组合服务范围搞得过大比如把“任意”作为一个服务对象加进策略等于策略没有服务维度排错时更难定位。我一般只在跨区上网场景用ANY面向服务器的策略都用具体端口。3.3 源NAT和目的NAT配置上网、端口映射与一个冲突检查脚本NAT是整个配置过程中最贴近业务的地方。先分清两种场景内网访问外网叫源NAT外网访问内网服务器叫目的NAT也就是常说的端口映射。源NAT的配置思路是内网网段出外网时把源地址转换成防火墙出接口的公网地址。东软防火墙一般在“网络-NAT”里新建源NAT规则匹配源地址为internal-network出接口选择GE0/0/3转换方式选择“接口地址”。如果运营商给你的是一个地址就用接口地址如果给了一段地址池可以选择地址池再把可用地址填进去。这里有一个关键参数NAT转换模式一般有动态和静态之分。办公网上网场景用动态即可服务器发布场景用静态。目的NAT的配置思路是公网地址或端口映射到内网服务器地址。比如外网用户访问100.64.0.10的443端口映射给内网192.168.20.10的443端口。在“网络-NAT-目的NAT”里新建规则目的地址填公网地址服务填TCP/443转换后的地址写192.168.20.10。如果你只想映射一个特殊端口比如公网8443映射内网443那目的NAT里源端口是8443转换后端口是443。配置过程中可以用一个小Python脚本把你导出的NAT规则CSV跑一遍检查有没有端口映射冲突。规则格式通常包含序号、外部端口、公网地址、内部地址。脚本如下import csv port_map {} with open(nat_rules.csv, encodingutf-8) as f: reader csv.reader(f) header next(reader, None) # 跳过表头 for row in reader: if len(row) 4: continue ext_port row[1].strip() # 外部端口 ext_ip row[2].strip() # 公网地址 int_ip row[3].strip() # 内网服务器地址 key (ext_ip, ext_port) if key in port_map: print(f冲突: {ext_ip}:{ext_port} 同时映射到 {port_map[key]} 和 {int_ip}) else: port_map[key] int_ip print(检查完成共, len(port_map), 条不冲突映射)这个脚本的处理逻辑是把每条规则里的公网IP和外部端口组合成一个key第一次出现就记录下来如果同一个key又出现说明两条NAT规则抢同一个映射入口这就是冲突。参数方面你要按实际导出的CSV列顺序调整索引不要照搬我的列号。输出的冲突列表可以直接用来定位哪条规则需要修改。3.4 放通前的自测小流量验证方法不搞全量放通配置完策略和NAT真正需要做的是小范围验证。很多工程师习惯于先把所有策略都放成ANY等业务通了再收紧但这种方式在交付现场极其危险一旦忘记收紧设备等于裸奔。我常用的做法是只放通最小集然后从内网发起测试。最常见的内网上网验证是登录到内网一台PC上打开命令行执行ping 223.5.5.5再ping一个公网域名测试DNS。如果ping通但域名解析不了检查UDP/53流量是否放通如果DNS通但网页打不开检查TCP/443或TCP/80。在防火墙上看会话表能看到内网到外网是否产生了正向会话以及源NAT后的地址是否变成了出接口地址。如果会话表里只有正向没有回包说明回程路由或策略方向有问题。对于端口映射的验证我会从外网侧发起连接测试。如果没有外网环境也可以用防火墙自己的诊断工具选择一个Untrust接口作为源去访问映射后的公网地址。注意源地址必须选择出接口的公网IP而不是管理口。测试通之后再登录服务器看访问日志确认流量确实到达服务器并且源IP是防火墙转换后的地址。这样记录下来后续排查“服务器看不到来源IP”问题时就有了依据。4. 东软防火墙双机热备VRRP加上会话同步才算完整4.1 为什么双机热备不能只靠VRRP状态同步是防火墙的生命线很多企业网络设计里双机热备是刚需尤其是网关丢包不能容忍的生产环境。但只配VRRP是远远不够的。VRRP能做的是两台防火墙共享一个虚拟IP主设备故障时备用设备接管虚拟IP三层网关不中断。问题是防火墙是有状态的设备内网一台机器和外部服务器建立的TCP会话在防火墙会话表里记录着源地址、目的地址、协议、端口还有TCP序列号。主设备挂了之后如果这台防火墙上会话表没有同步过去备用设备即使接管了虚拟IP它也不知道这些TCP连接之前存在于是把回来的报文当成新连接甚至非法报文直接丢掉的概率很大。所以双机热备要解决的三个问题一是链路和网关冗余二是会话表同步三是配置一致性检查。东软防火墙和大多数厂家一样把这三件事绑定在一个双机热备的功能里。有的文档会叫“主备模式”有的会把VRRP和会话同步分开配置。你拿到设备后先看软件版本是否支持再确认两台设备的版本要一致否则会话同步报文格式对不上备机收到的全是乱码。这里也建议大家不要在模拟器里做了一次实验就直接套到真机上。模拟器里能通过RBMVRRP这些功能做起来不代表真机参数也一样。我在项目里见过两台防火墙配置双机热备后主备机心跳线是通了但会话同步始终不生效最后发现是两台设备的NAT规则里有一条内部地址不一致导致会话同步表无法关联。所以在配置双机热备之前先做一次配置比对把接口、路由、策略、NAT全部导出diff一遍再动手。4.2 配置心跳口与VRRP组四步拿走怕漏主备参数下面这个配置步骤是双机热备最常见的落地过程我在多台设备上都是这么走的具体菜单名称可能因版本略有差异但思路可以复用。第一步规划心跳口。两台防火墙各预留一个物理口作为心跳口比如GE0/0/8用网线直连或者经过一台独立的二层交换机相连。心跳口不要和业务口混在一起更不要在心跳口上配置NAT。给心跳口配置一个专门的网段例如主设备10.10.10.1/30备设备10.10.10.2/30掩码30位只容纳两个地址。第二步配置VRRP组。以内网网关为例主备防火墙的GE0/0/2都接内网核心交换机分别配置物理IP 192.168.10.251和192.168.10.252虚拟IP是192.168.10.254。VRRP组里设置主设备优先级130备设备120虚拟路由的抢占模式开启抢占延时建议30秒以上。这样主设备从故障恢复后不会立刻抢回流量避免因链路抖动导致两边频繁切换。第三步开启会话同步。在双机热备配置里勾选“会话同步”同步内容通常包括TCP、UDP、ICMP会话。心跳口地址填主备两个地址。这里有个参数要注意同步超时时间一般默认即可但如果业务有大量的长连接可以把TCP会话老化时间调大否则长连接会话在备机上被提前清理切换后照样断。第四步把两台设备的配置统一。除了VRRP里主备优先级和心跳口IP不同接口、区域、策略、NAT必须完全一致。很多设备支持配置备份和恢复我会先在主设备上把全部配置导出再把文件导入备机然后手动修改主备相关的两处参数。这样能最大程度避免人为漏配。4.3 切换验证主动断电与被动拔线用Ping脚本看丢包窗口配置完成不代表双机热备生效。我见过不止一次配置完VRRP后两台设备都拿到了虚拟IP或者虚拟IP在主备之间飘来飘去业务却一直受影响。所以必须做一次主动切换和一次被动切换验证。主动切换的做法是主设备上通过Web界面或命令行把VRRP优先级手动调低或者直接重启主设备观察备机是否接管虚拟IP和会话。被动切换的做法是不碰主设备的配置直接拔掉主设备的上行网线或下行网线模拟链路故障。注意拔网线比重启更接近真实故障因为主设备还在运行但它已经收不到业务了。验证时我习惯写一个持续ping虚拟IP的脚本用来统计切换丢包数。脚本如下#!/bin/bash vip192.168.10.254 while true; do if ping -c1 -W1 $vip /dev/null 21; then echo $(date %H:%M:%S) OK else echo $(date %H:%M:%S) LOSS fi sleep 1 done脚本每隔一秒ping一次虚拟IP结果里出现连续的LOSS就是切换窗口。正常情况下VRRP切换的丢包应该在几个包以内如果LOSS持续超过10秒说明备机没有及时接管或者VRRP配置有问题。参数说明-c1表示只发一个包-W1表示超时1秒vip变量按实际虚拟IP修改。脚本要放在一台内网PC上运行不要放在防火墙自己上面否则测的是防火墙本机到虚拟IP的环回路径没有参考意义。在切换前最好先在内网一台服务器上建立一个长连接比如SSH登录一台服务器然后让会话保持住。切换完成后观察这个SSH会话是否断开。如果不断开说明会话同步成功如果断开说明会话同步没做好回到上一节去检查心跳和同步状态。5. 东软防火墙配置中的避坑记录现象、原因、解决5.1 登录与管理面重启失联、证书过期、Console无输出处理过不少东软防火墙的现场问题下面这几条是我重复遇到过的。第一条防火墙每次关机重启后Web管理地址就登不上。现象是设备重启后浏览器访问管理地址超时但设备上电正常。原因通常是管理口的IP配置没有保存到启动配置文件里或者管理口被配置成了DHCP获取重启后拿到一个变了的新地址。解决方法是先用console线登录查看当前接口配置确认管理口的IP是静态地址然后在系统配置里执行保存配置的命令让当前运行配置写入启动配置。把这一步写进每晚的巡检脚本能避免大部分重启后失联问题。第二条浏览器访问https管理界面提示证书错误甚至直接拦截。现象是第一次登录时浏览器显示“您的连接不是私密连接”。原因是设备出厂自签名证书已被浏览器安全策略拦截尤其新版浏览器更严格。解决方法是进入系统管理里的证书管理生成或导入一张新的SSL证书并把证书的域名或IP加入浏览器信任区域。如果项目周期紧可以先在内网环境临时允许继续访问但交付时一定把证书问题处理好否则运维每次登录都要被红屏吓一跳。第三条console线接上后终端里没有输出一片空白。现象是超级终端或SecureCRT里敲回车没反应。原因是串口参数不对、线序不对或者设备没有处于启动状态。解决方法是把串口波特率设成9600数据位8位停止位1位无校验也就是常说的9600,8,N,1换用设备自带的console线不要用普通的USB转串口线将就在设备重新上电的瞬间观察是否有启动日志输出。每次遇到这个情况我都会先把波特率检查一遍十次里有七次是波特率被改过。5.2 策略与NAT端口映射不通、上网抖动、策略顺序被拦截这一节说策略和NAT配置里的几个经典问题。端口映射配好了外网仍然访问不到服务器。现象是内网用服务器内网IP访问正常但通过公网IP访问超时。原因比较多常见的是目的NAT里的公网地址没有绑定到正确的出接口或者是安全策略里没有放行Untrust到DMZ的TCP/443流量或者是运营商封禁了80/443这类常见端口导致测试请求根本没到设备。解决方法是先在外网接口上抓包看有没有外网用户过来的TCP SYN包有包但没回应说明NAT或策略问题没有包先跟运营商确认端口放通情况。然后再看防火墙的NAT会话表确认映射是否命中。内网上网时断时续特别是在下载或视频会议场景下。现象是ping外网偶尔丢包网页加载慢。原因是会话表里的TCP老化时间太短连接空闲一会儿就被回收或者源NAT地址池只有一两个公网IP并发连接数超过上限还有一种可能是TCP MSS没有钳制导致某些运营商链路上的大包被丢弃。解决方法是把TCP会话老化时间从默认的几十分钟调长一些把源NAT的公网IP池扩充同时在防火墙的接口上开启TCP MSS钳制把MSS值设定为1460或更小。三个调整要一起做只调一个往往压不住。策略顺序把本该放通的流量拦截了。现象是明明在策略列表里新加了一条允许策略测试还是不通过。原因是你把新策略加在了列表末尾但列表前面已经有一条更宽的拒绝策略先匹配到了这个流量。解决方法是进入策略列表把这条新策略移动到相关拒绝策略的前面同时查看策略命中计数。如果新策略命中计数仍然是0说明流量根本没有走到这条策略还要从源区域和目的区域的方向去排查。5.3 双机热备会话断层、配置丢失、备机抢不回来最后是双机热备配置里容易踩到的坑。主备切换后所有TCP连接都断了。现象是断电或拔线后备用设备接管了虚拟IP但内存里的长连接会话全部被清空。原因是会话同步功能没有开启或者心跳口上误配了策略和NAT把同步报文处理掉了。解决方法是重新检查双机热备配置确认心跳口地址互可达心跳口没有绑定到任何NAT规则然后在主设备上手动触发一次会话同步再重新测试切换。这里要特别提醒别在心跳口上做什么访问控制心跳流量应该完全放行。备用设备重启后配置变成出厂状态导致VRRP组里只有主设备在跳。现象是备机故障恢复后没有重新加入双机热备虚拟IP一直在主设备上备机没有业务流量。原因是备机在配置完成后没有保存启动配置断电重启后配置丢失。解决方法是配置完双机热备立即在主备两台设备上都执行保存配置并导出一份配置备份文件归档。我的习惯是把配置文件名带上日期放在项目的配置过程文档里和文档标题里的docx一样都是交付时的重要资产。6. 配置验证与排错技巧用三条命令守住网络边界6.1 最常用的三条验证命令日常维护里我真正高频使用的验证命令其实就三条ping、traceroute、查看会话表。在Web诊断页里一般都有对应入口命令行也可以操作。命令使用场景预期结果ping管理口、接口链路、外网网关连通性百分百通丢包率0traceroute业务从防火墙出去后卡在哪一跳每一跳都能看到回应查看会话表确认流量有没有经过防火墙、NAT后地址是否正确有对应会话且双向都有包计数这三条命令的使用顺序很重要。先ping网关再traceroute到目的地址最后看会话表。如果ping通、traceroute也能到但会话表里没有业务流量那就要往策略命中计数方向查了。6.2 定位丢包边界会话表、命中计数、抓包顺序遇到“网络不通”的报告我的排查习惯是先问一句是从哪个点开始不通的。然后在防火墙上分别看入接口和出接口的报文统计。如果入接口有包出接口没包基本可以锁定是策略或NAT的问题。如果出接口有包但回包没有再查回程路由。每次改完策略我会先清空策略命中计数再用一条测试流量走一遍然后看这条策略的命中次数有没有增加。如果没有增加说明配置方向错了如果增加了但业务还是不通再查NAT。这个习惯帮我快速缩小问题范围不至于在配置界面里大海捞针。我的最后一个习惯是所有配置修改都做记录小到改一条策略大到双机热备切换把变更时间、变更人、变更内容写进项目文档。这样设备出问题时有后悔药可吃也方便后来接手的同事。也希望这套东软防火墙配置过程能帮你少走些弯路希望帮到你。本文还有配套的精品资源点击获取