防火墙项目实战：华为 USG 从上架割接到日常运维

在实际工程项目中，防火墙（以主流的华为 USG 系列下一代防火墙为例）绝不仅是"开通个策略"。它在项目中通常承载网络互通、安全隔离、用户认证、流量管控、运维审计多重角色。本笔记以项目生命周期为主线，按五个核心阶段组织：① 初始化与基础割接 → ② 精细化访问控制 → ③ NAT 落地 → ④ 内容安全防御（UTM/L7）→ ⑤ 高可用与日常运维。原理 + Web/CLI 双轨实操，阶段 ①~③ 可在 eNSP（USG6000V）完整复现。

📌 核心概念

0.1 项目五阶段总览

阶段	核心动作	关键配置	验收要点
① 初始化与割接	让防火墙"活起来"并安全接入网络	改默认口令、关 Telnet、划安全区域、接口/路由/拨号	管理可达、内网互通、出口通
② 精细化访问控制	按客户业务需求表逐条"抠策略"	安全策略（区域/地址/服务/用户/应用）	全量测试用例通过
③ NAT 落地	内网共享上网、发布服务器	源 NAT、NAT Server、黑洞路由	内网上网正常、映射端口可达
④ 内容安全防御	开启 L7 深度防御	License 激活、IPS/AV/URL 过滤配置文件	攻击/病毒样本拦截生效
⑤ 高可用与运维	双机热备、VPN、日志审计	HRP、IPsec/SSL VPN、日志外发	主备切换秒级、日志入审计平台

0.2 防火墙与路由器的本质区别

对比项	路由器	防火墙
关注点	可达性（怎么把包送到）	可控性（该不该放行）
转发依据	路由表（FIB）	安全策略 + 会话表
默认行为	有路由即转发	域间无放行策略默认拒绝
部署位置	网络互联节点	信任边界（出口、区域隔离、服务器区前）
典型功能	寻址与路由	访问控制、NAT、VPN、攻击防护、内容安全

0.3 下一代防火墙（NGFW）的核心能力

访问控制：基于安全区域 + 五元组 + 用户/应用的精细化策略；
状态检测：基于会话表跟踪连接状态，回包自动放行；
应用层防护（UTM）：IPS 入侵防御、AV 反病毒、URL 过滤、内容过滤——这是 NGFW 区别于传统路由器/防火墙的关键，需 License 激活特征库。

0.4 华为 USG 系列选型速览

系列	定位
USG6000V	虚拟化防火墙，eNSP 可直接模拟，本文实操对象
USG6000E / USG6000E-S	企业出口主流盒式设备
USG6000F（AI 防火墙）	内置 AI 安全引擎的新一代设备
USG6000 / USG9500	数据中心/运营商高端档

📖 详细内容

阶段① 初始化与基础割接

设备上架后，工程师的第一件事是让防火墙"活起来"并安全地接入网络——注意顺序：先加固、后业务，避免带默认口令上线被扫爆。

1.1 首次登录

USG 出厂管理口（GE0/0/0）默认地址 192.168.0.1/24（属 Trust 区域，默认放行 HTTPS/SSH/Ping），Web 登录地址 https://192.168.0.1:8443，默认账号 admin / Admin@123，首次登录强制改密。

管理 PC 配 IP 192.168.0.2/24，与 192.168.0.1 互通；
取消浏览器代理（否则可能登录不上）；
浏览器访问 https://192.168.0.1:8443，按提示改密后登录。

Web 顶层导航：监控 / 策略 / 对象 / 网络 / 系统（不同版本菜单略有差异，以设备《Web 配置指南》为准）。

1.2 安全加固（改默认，项目第一步）

加固项	做法	关键命令/入口
改默认口令	更换 admin 默认密码，禁用弱口令	`aaa` → `manager-user admin` → `password irreversible-cipher xxx`；自改密 `current-user password-modify`
关不安全协议	保持 Telnet 关闭，只留 HTTPS/SSH	`undo telnet server enable`；`stelnet server enable`
收敛管理面	接口只放行必要管理协议	接口视图 `service-manage https permit`、`service-manage ssh permit`
限管理来源	管理员绑定信任主机 IP	系统＞管理员，配置"允许登录的 IP"
缺省策略收紧	默认策略改 deny	`security-policy` → `default action deny`
保留强改密	新管理员首登强制改密（不关闭 password-force-change）	系统＞管理员

加固示例（CLI）：

<USG> system-view
[USG] undo telnet server enable          // 关 Telnet（默认即关，确认一下）
[USG] stelnet server enable              // 开 SSH 服务
[USG] aaa
[USG-aaa] manager-user admin
[USG-aaa-manager-user-admin] password irreversible-cipher NewP@ssw0rd-2026
[USG-aaa-manager-user-admin] quit
[USG-aaa] quit
[USG] interface GigabitEthernet1/0/2
[USG-GigabitEthernet1/0/2] service-manage https permit
[USG-GigabitEthernet1/0/2] service-manage ssh permit
[USG-GigabitEthernet1/0/2] quit

要点：service-manage 开启时，管理协议在接口上单独放行；执行 undo service-manage enable 后则改为完全由安全策略（Local 域）控制管理流量——两种方式二选一，理解当前设备用的是哪种，避免"Web 突然登不上"。

1.3 划定安全区域（Zone）

安全区域是华为防火墙的核心逻辑：把接口归入不同安全等级的区域，流量跨区域时才受安全策略控制。工程师按业务分区：

默认区域	优先级	项目中的典型用途
Local	100	设备自身（不可删改，接口无法加入）
Trust	85	内网办公区
DMZ	50	公司对外服务器集群
Untrust	5	互联网

要点：

接口必须加入安全区域才有域间安全意义；
域间默认拒绝：无放行策略，跨区域流量一律丢弃（部分出厂版本缺省为 permit，上线前务必改为 deny）；
同一区域内接口间流量默认互通，不受域间策略控制；
项目中常按业务新增区域（如 server-db 数据库区、branch 分支区），用优先级区分信任等级——区域规划建议在割接方案里一次定稿，避免后期"一个 Trust 塞所有网段"导致策略失控。

1.4 网络通达配置

常见出口场景按需组合：

场景	配置	关键命令
固定公网 IP 接入	接口 IP + 静态缺省路由	`ip route-static 0.0.0.0 0.0.0.0 <下一跳>`
内网跑动态路由	OSPF 与内网核心互联	`ospf 1` → `area 0` → `network <网段> <反掩码>`
运营商拨号	PPPoE 拨号（Dialer 接口）	`interface Dialer1` + `pppoe-client bind-bundle`（参数按运营商）
内网自动分配	防火墙做 DHCP Server	`dhcp select interface`（接口视图）

1.5 贯穿案例（eNSP 可完整复现）

以 USG6000V 为 FW1、R1+Server2 模拟互联网，后续阶段②③的策略与 NAT 实操均基于此拓扑：

PC1 ─── SW1 ─── GE1/0/2: 192.168.10.254/24 (trust) ┐
                                                    │
Server1(Web) ── GE1/0/3: 192.168.20.254/24 (dmz) ──[FW1 USG6000V]── GE1/0/1: 202.100.1.1/24 (untrust)
                                                    │                    │
管理PC ── GE0/0/0: 192.168.0.1/24 (trust, HTTPS)    │                 [R1] GE0/0/1: 202.100.1.2/24
                                                                         │ GE0/0/2: 202.100.2.254/24
                                                                    Server2（公网 Web）202.100.2.100

地址规划：

对象	接口/位置	IP 地址	安全区域
FW1	GE1/0/1	202.100.1.1/24	untrust
FW1	GE1/0/2	192.168.10.254/24	trust
FW1	GE1/0/3	192.168.20.254/24	dmz
FW1	GE0/0/0	192.168.0.1/24	trust（管理口）
PC1	内网	192.168.10.10/24，网关 .254	—
Server1	DMZ	192.168.20.100/24，网关 .254，Web 服务	—
R1	GE0/0/1	202.100.1.2/24	—
R1	GE0/0/2	202.100.2.254/24	—
Server2	公网	202.100.2.100/24	—
NAT Server 公网地址	—	202.100.1.20，端口 8080 → 80	—

接口与路由（Web：网络＞接口 / 网络＞路由＞静态路由）：

[FW1] interface GigabitEthernet1/0/1
[FW1-GigabitEthernet1/0/1] ip address 202.100.1.1 24
[FW1-GigabitEthernet1/0/1] quit
[FW1] firewall zone untrust
[FW1-zone-untrust] add interface GigabitEthernet1/0/1
[FW1-zone-untrust] quit
[FW1] firewall zone trust
[FW1-zone-trust] add interface GigabitEthernet1/0/2
[FW1-zone-trust] quit
[FW1] firewall zone dmz
[FW1-zone-dmz] add interface GigabitEthernet1/0/3
[FW1-zone-dmz] quit
[FW1] ip route-static 0.0.0.0 0.0.0.0 202.100.1.2

R1 侧只需直连路由——FW 内网网段经 NAT 隐藏，R1 无需任何内网路由。

阶段② 精细化访问控制（项目核心重点）

华为防火墙默认拒绝所有跨区域流量。项目中最耗时的就是根据客户的业务需求表格逐条"抠策略"。

2.1 安全策略原理

匹配顺序：自上而下逐条匹配，命中即执行、不再继续；新建策略默认追加在末尾，特殊策略需置顶；
策略要素：源/目的安全区域、源/目的地址、服务（协议+端口）、用户、应用、动作（允许/拒绝）；
默认策略：列表末尾不可删除的兜底策略，正式上线改为 deny。

2.2 会话表与状态检测

首包经安全策略检查通过后建立会话表项（五元组、区域对、状态与老化时间）；后续报文与回包按会话表直接转发，无需反向策略。

PC1 访问公网 Web：
首包：trust → untrust 安全策略检查 → 通过后生成会话表项
回包：untrust → trust，命中会话表 → 直接放行（不查安全策略）
会话空闲超老化时间后表项删除，此后流量需重新匹配策略

2.3 ASPF 与 ALG（多通道协议的坑）

FTP/SIP/H.323 等协议在控制报文载荷中动态协商端口，按固定端口放行会导致"控制通道通、数据通道不通"。开启 ASPF/ALG 后，防火墙解析协商报文，自动生成 Server-map 表放行动态通道（display firewall server-map）。

2.4 从 L3/L4 到 L7：应用与用户维度

现代项目不止看 IP 和端口，策略可直接引用应用作为匹配条件：

同样走 80 端口：放行网页浏览（HTTP/HTTPS 应用），拦截该端口下的 P2P 下载、游戏流量（应用识别）；
结合认证策略（本地用户 / RADIUS / AD 单点登录），策略还能按"用户/用户组"控制——例如"财务组工作时间只允许访问业务系统与邮件"，这是上网行为管理的基础。

[FW1] security-policy
[FW1-policy-security] rule name trust_web_only
[FW1-policy-security-rule-trust_web_only] source-zone trust
[FW1-policy-security-rule-trust_web_only] destination-zone untrust
[FW1-policy-security-rule-trust_web_only] source-address 192.168.10.0 24
[FW1-policy-security-rule-trust_web_only] application category Web          // 应用维度
[FW1-policy-security-rule-trust_web_only] action permit

（应用识别的颗粒度依赖特征库，eNSP 虚拟环境受限；生产环境在对象＞安全配置文件 / 策略＞安全策略中配置。）

2.5 实操：按需求表落策略

Web 路径：策略＞安全策略＞安全策略＞新建。

需求	策略名	源区域	目的区域	源地址	目的地址	服务	动作
内网 PC1 可访问公网	trust_to_untrust	trust	untrust	192.168.10.0/24	any	any	允许
公网经映射访问 DMZ Web	untrust_to_dmz	untrust	dmz	any	192.168.20.100	TCP 80	允许
拒绝 DMZ 主动访内网	dmz_deny_trust	dmz	trust	any	any	any	拒绝（置顶）

等效 CLI：

[FW1] security-policy
[FW1-policy-security] rule name trust_to_untrust
[FW1-policy-security-rule-trust_to_untrust] source-zone trust
[FW1-policy-security-rule-trust_to_untrust] destination-zone untrust
[FW1-policy-security-rule-trust_to_untrust] source-address 192.168.10.0 24
[FW1-policy-security-rule-trust_to_untrust] action permit
[FW1-policy-security-rule-trust_to_untrust] quit
[FW1-policy-security] rule name untrust_to_dmz
[FW1-policy-security-rule-untrust_to_dmz] source-zone untrust
[FW1-policy-security-rule-untrust_to_dmz] destination-zone dmz
[FW1-policy-security-rule-untrust_to_dmz] destination-address 192.168.20.100 32
[FW1-policy-security-rule-untrust_to_dmz] service http
[FW1-policy-security-rule-untrust_to_dmz] action permit
[FW1-policy-security-rule-untrust_to_dmz] quit

工程规范建议：

地址一律对象化：用对象＞地址（ip address-set）引用网段，改网段时只改对象，不动策略；
命名可追溯：源区域_目的区域_业务 或关联工单号，后期审计能对回需求表；
精确在上、宽泛在下，拒绝类策略按需置顶，定期清理冗余策略（display security-policy rule all）。

阶段③ 地址转换与映射（NAT 落地）

公网 IP 珍贵 + 隐藏内网拓扑，NAT 是必做操作。

3.1 NAT 类型一览

NAT 类型	Web 配置入口	转换方向	典型场景
源 NAT（NAT 地址池 / NAPT）	策略＞ NAT策略＞源NAT	内网 → 公网	多用户共享地址池上网
源 NAT（出接口地址 Easy-IP）	策略＞ NAT策略＞源NAT	内网 → 公网	公网地址动态获取/复用出接口
源 NAT（No-PAT，只转 IP 不转端口）	策略＞ NAT策略＞源NAT	内网 → 公网	需要公网保留一对一映射的场景
NAT Server（服务器映射）	策略＞ NAT策略＞ NAT Server	公网 → 内网	发布 DMZ/内网服务器
no-nat（免转换）	策略＞ NAT策略＞源NAT	—	VPN 流量免转换，置顶使用

3.2 源 NAT：内网共享上网

Web 路径：策略＞ NAT策略＞源NAT ＞新建。

参数	取值
源安全区域	trust
目的安全区域	untrust
源地址	192.168.10.0/24
转换方式	出接口地址（Easy-IP）

[FW1] nat policy
[FW1-policy-nat] rule name internet_easyip
[FW1-policy-nat-rule-internet_easyip] source-zone trust
[FW1-policy-nat-rule-internet_easyip] destination-zone untrust
[FW1-policy-nat-rule-internet_easyip] source-address 192.168.10.0 24
[FW1-policy-nat-rule-internet_easyip] action source-nat easy-ip
[FW1-policy-nat-rule-internet_easyip] quit

固定多公网 IP 时改用 NAT 地址池：

[FW1] nat address-group pool1
[FW1-address-group-pool1] section 0 202.100.1.11 202.100.1.15     // 公网地址段
[FW1-address-group-pool1] quit
// NAT 策略中 action source-nat address-group pool1（默认 NAPT 端口复用）
// 关键：为地址池配置黑洞路由防环！
[FW1] ip route-static 202.100.1.11 32 NULL0
[FW1] ip route-static 202.100.1.15 32 NULL0                        // 池内地址逐条/按段指向 NULL0

3.3 NAT Server：发布 DMZ 服务器

Web 路径：策略＞ NAT策略＞ NAT Server，新建映射：

参数	取值
公网地址/端口	202.100.1.20 : 8080
协议	TCP
私网地址/端口	192.168.20.100 : 80

[FW1] interface GigabitEthernet1/0/1
[FW1-GigabitEthernet1/0/1] nat server web_server protocol tcp global 202.100.1.20 8080 inside 192.168.20.100 80
[FW1-GigabitEthernet1/0/1] quit

⚠️ 新手最高频翻车点：安全策略匹配的是 NAT 转换后的地址——放行策略（2.5 的 untrust_to_dmz）目的地址必须填私网地址 192.168.20.100，而不是公网映射地址 202.100.1.20。源 NAT 场景下策略仍按真实源地址匹配。

3.4 结果验证

[FW1] display firewall session table          // 会话表
[FW1] display firewall session table verbose  // 含转换前后地址
[FW1] display firewall server-map             // NAT Server / ASPF 映射表
[FW1] display security-policy rule all        // 策略命中统计

PC1> ping 202.100.2.100        → 0% loss（经 Easy-IP 上网）
Server2 访问 http://202.100.1.20:8080 → 打开 Server1 页面（NAT Server 生效）
会话表可见：源 192.168.10.10:1025 → 202.100.2.100:80，转换后源 202.100.1.1:10259

Web 界面对应：监控＞会话表。

阶段④ 深层内容安全防御（UTM / L7）

这是 NGFW 区别于传统路由器的关键，通常需要导入 License 授权文件激活特征库（虚拟环境 eNSP 默认不可用，不影响阶段①~③实验）。

4.1 License 与特征库先行

按整机/模块申请 License 并激活（display license 查看授权状态）；
升级特征库（IPS 签名库、病毒库、URL 库），建议配置定时在线升级（Web：系统＞特性库升级，版本间菜单名有差异）；
特征库过期 = 防御能力持续衰减，运维巡检必查项。

4.2 三大内容安全模块

模块	防御对象	典型动作
IPS 入侵防御	针对操作系统/数据库/中间件漏洞的攻击行为	实时匹配签名，直接阻断并告警
AV 反病毒	经 HTTP/FTP/SMTP 等协议传输的文件	全流量文件扫描，拦截勒索/木马
URL 过滤	上网行为	按分类禁止博彩、钓鱼、恶意欺诈站点

4.3 配置骨架：配置文件 + 策略引用

UTM 采用"安全配置文件 → 安全策略引用"两级模型：

# 1）定义/裁剪配置文件（一般基于缺省 default 修改：签名过滤器、动作=阻断/告警）
[FW1] profile type ips name ips_web
[FW1-profile-ips-ips_web]  （按资产与业务风险裁剪签名过滤器，此处略）
[FW1] profile type av name av_file
[FW1] profile type url-filter name url_office
（黑名单/白名单、预定义分类控制等）

# 2）在安全策略中引用——放行流量的同时做内容检测
[FW1] security-policy
[FW1-policy-security] rule name untrust_to_dmz
[FW1-policy-security-rule-untrust_to_dmz] profile ips ips_web
[FW1-policy-security-rule-untrust_to_dmz] profile av av_file
[FW1-policy-security-rule-untrust_to_dmz] profile url-filter url_office

（具体子命令随版本变化较大，以设备《配置指南—安全配置文件》为准；上面骨架体现的是配置模型，这套模型同样适用于后续的反垃圾邮件、内容过滤等模块。）

4.4 验证

用 EICAR 测试文件验证 AV 拦截（业界标准测试样本，无害）；
监控＞攻击日志 / 病毒日志 / URL 日志中确认命中记录；
上线初期建议动作为"告警"观察一周，确认无误伤后再改"阻断"。

阶段⑤ 可靠性与日常运维（高可用部署）

企业级项目中防火墙一旦断网业务即瘫痪，高可用是标配；同时日志审计是等保合规硬性要求。

5.1 双机热备（HRP / VGMP）

协议关系（面试高频）：

协议	层级	作用
VRRP	接口级	网关冗余：多个接口的 VRRP 备份组提供虚拟 IP/虚拟 MAC
VGMP	设备级	统一管理本机所有 VRRP 组：任一业务口故障 → 整机优先级降低 → 整体切换，保证主备状态一致
HRP	同步通道	走"心跳线"实时同步会话表和配置，主墙故障备份设备毫秒级接管，业务不中断

两种模式：

主备备份（Active-Standby）：最常用，全流量走主墙；
负载分担（Active-Active）：两台各持一组 Active 的 VGMP，分摊流量，需两个 VGMP 组、注意非对称路由问题。

典型主备模式配置（FW1 主 / FW2 备，上下行 + 直连心跳）：

# FW1（主墙）
[FW1] interface GigabitEthernet1/0/1
[FW1-GigabitEthernet1/0/1] vrrp vrid 1 virtual-ip 202.100.1.254 24 active    // 上行 VRRP，本机 active
[FW1] interface GigabitEthernet1/0/2
[FW1-GigabitEthernet1/0/2] vrrp vrid 2 virtual-ip 192.168.10.254 24 active   // 下行 VRRP
[FW1] hrp interface GigabitEthernet1/0/0 remote 10.1.1.2                      // 心跳口直连对端
[FW1] hrp track interface GigabitEthernet1/0/1                                 // VGMP 监控业务口
[FW1] hrp track interface GigabitEthernet1/0/2
[FW1] hrp enable

# FW2（备墙）：VRRP 同 vrid 但指定 standby，并声明本机为备
[FW2] interface GigabitEthernet1/0/1
[FW2-GigabitEthernet1/0/1] vrrp vrid 1 virtual-ip 202.100.1.254 24 standby
[FW2] interface GigabitEthernet1/0/2
[FW2-GigabitEthernet1/0/2] vrrp vrid 2 virtual-ip 192.168.10.254 24 standby
[FW2] hrp interface GigabitEthernet1/0/0 remote 10.1.1.1
[FW2] hrp standby-device
[FW2] hrp enable

要点：

hrp enable 后，安全策略/NAT 等配置只在主墙做，HRP 自动同步到备墙（备墙大部分配置只读）；
生产环境建议双心跳线（直连 + 经交换机两条路径），防单心跳故障脑裂；
验证：display hrp state（主备状态）、display hrp interface（心跳状态）、拔线测试切换与业务保持。

5.2 VPN 对接

IPsec VPN（站点到站点）：总部 ↔ 分公司固定互联。两种模式：基于 ACL 的策略模式、基于 Tunnel 接口的路由模式（利于动态路由和策略编排）；核心五元配置：IKE 提议/对端、IPsec 提议、安全策略、应用接口；
SSL VPN（远程接入）：员工出差远程办公，浏览器/客户端 + 账号认证，按角色分配内网资源，配合认证与最小授权原则。

（VPN 命令量大，建议单开一篇实操笔记，见文末延伸拓展。）

5.3 日志外发与审计合规

将攻击日志、流量/会话日志通过 Syslog 外发给堡垒机、日志审计系统或态势感知平台，满足《网络安全法》与等保合规要求（日志留存不少于 6 个月是硬指标）：

[FW1] info-center enable
[FW1] info-center loghost 10.0.0.1 514                       // 指向日志审计/态势感知平台
[FW1] info-center source default channel loghost log level informational
[FW1] info-center source audit channel loghost state on      // 外发审计类日志

Web 路径：系统＞日志设置（版本间菜单名有差异）。审计平台侧添加资产时注意编码/厂商类型匹配（如 GBK/UTF-8）。

5.4 日常巡检命令集

display hrp state                      // 双机状态
display firewall session table        // 会话规模
display security-policy rule all      // 策略命中（长期 0 命中的策略考虑清理）
display license                       // 授权状态
display version                       // 版本/补丁
display cpu-usage / display memory-usage

六、eNSP 中 USG6000V 上手注意

USG6000V 需在 eNSP 注册设备包后才能启动，启动慢属正常；
默认 admin/Admin@123，首登强制改密；多次失败锁定需命令行解锁；
Web 管理：GE0/0/0 通过"Cloud 云"桥接本机网卡，浏览器访问 https://192.168.0.1:8443；
IPS/AV/URL 过滤需 License，虚拟环境默认不可用——阶段①~③ 完全可做，阶段④理解配置模型即可；
Web 菜单随版本略有差异，找不到路径先查设备自带《Web 配置指南》。

七、Web 路径与 CLI 对照速查

配置项	Web 路径	等效 CLI（视图）
接口/区域	网络＞接口	interface + firewall zone
静态路由	网络＞路由＞静态路由	ip route-static（系统）
安全策略	策略＞安全策略	security-policy + rule（系统）
源 NAT	策略＞ NAT策略＞源NAT	nat policy + action source-nat（系统）
NAT Server	策略＞ NAT策略＞ NAT Server	interface 下 nat server（接口）
地址对象	对象＞地址	ip address-set（系统）
安全配置文件（IPS/AV/URL）	对象＞安全配置文件	profile type ips/av/url-filter（系统）
双机热备	系统＞高可靠性	hrp enable / hrp interface（系统）
日志外发	系统＞日志设置	info-center loghost（系统）
会话表	监控＞会话表	display firewall session table
管理员	系统＞管理员	aaa + manager-user（系统）

💡 重点难点

上线即加固：改默认口令、关 Telnet、收敛管理面，缺省安全策略改 deny（部分出厂版本缺省 permit，直接上线=全网裸奔）；
安全策略匹配 NAT 转换后的地址：NAT Server 放行策略目的地址填私网地址；源 NAT 场景策略按真实源地址匹配——新手排查"映射不通"第一反应；
策略自上而下、命中即止：精确置顶、宽泛靠后，地址一律对象化；
回包靠会话表放行，无需反向策略；FTP/SIP 等多通道协议必须开 ASPF/ALG；
NAT 地址池/NAT Server 公网地址配黑洞路由（NULL0），防止公网回包在出口环路；映射地址不得与接口地址/地址池重叠；
UTM 不生效三连查：License 是否激活 → 特征库是否最新 → 安全策略是否真正引用了配置文件；
双机热备只在主墙配置（HRP 自动同步），备墙改配置可能被同步覆盖；心跳线建议两条；
管理流量双重控制：接口 service-manage 与 Local 区域安全策略共同约束，排障"登不上设备"时两者都要查；
双机切换的前提是会话同步：HRP 关闭/心跳异常时主备切换，已有连接会全部中断。

🔗 延伸拓展

VPN 专篇（可作为第 13 篇）：IPsec IKE 协商细节（主模式/野蛮模式）、路由模式 Tunnel 接口 + OSPF、SSL VPN 网关与角色授权；
双机热备实验：eNSP 双 USG6000V 搭主备 + 两层交换，验证 display hrp state 与拔线切换；
等保 2.0 与安全域设计：安全区域划分方法论、边界完整性检查项；
HCIA-Security 认证路径：本文五阶段 ≈ 考纲主线，进阶看 HCIP-Security（CES、攻击防范、云安全）；
对照系列笔记：10-ACL访问控制、11-NAT地址转换是本文阶段②③的原理基础。

面试高频问答

防火墙与路由器的本质区别？ 路由器关注可达性（按路由表转发），防火墙关注可控性（按安全策略与会话表检查），域间无放行策略默认拒绝。
什么是状态检测？ 首包过策略后建立会话表，回包按表直接放行；会话老化后需重新匹配策略。
安全策略的匹配顺序？ 自上而下逐条匹配、命中即止，最后落到默认策略；策略顺序与置顶操作非常重要。
配置 NAT Server 后公网访问不通，排查什么？ ①放行策略目的地址是否填转换后私网地址；②untrust→dmz 策略与服务端口；③防火墙到服务器的路由；④会话表确认报文是否到达、是否被改写。
DMZ 的作用？ 隔离对外服务器：DMZ 主机被攻破也不直接威胁 trust 内网，策略上"内网可访问 DMZ、DMZ 有限访问内网"。
会话表与 Server-map 表的区别？ 会话表记录已建立的连接；Server-map 记录 ASPF/ALG 与 NAT Server 生成的"预放行"映射，供后续流量命中后建会话。
防火墙如何实现高可用？ HRP 双机热备：心跳线同步会话与配置，VGMP 统一管理 VRRP 协商主备，支持主备与负载分担。
HRP、VGMP、VRRP 的关系？ VRRP 提供接口级网关冗余；VGMP 把本机多个 VRRP 组打包成整体状态（Active/Standby），保证整机一致性切换；HRP 承载在心跳线上负责配置与会话同步。
双机热备为什么必须连心跳线？ 同步 VGMP 状态（谁主谁备）、HRP 同步配置与会话表、检测对端故障；心跳断链会导致双主（脑裂）。
UTM 各功能不生效怎么排查？ License 授权 → 特征库版本 → 安全策略是否引用配置文件 → 动作是告警还是阻断 → 命中日志验证。
等保/网安法对防火墙日志的要求？ 采取网络日志留存措施不少于六个月；防火墙需把攻击、流量、操作日志 syslog 外发至日志审计/态势感知平台。
企业防火墙上线后 Telnet 为什么必须关？ 明文传输凭据易被嗅探；统一走 SSH/HTTPS 加密管理，并限定管理源 IP。

记忆口诀

五阶段：一活二控三转换，四防五备审日志（割接 → 策略 → NAT → UTM → 高可用+审计）；
区域：Local 100、Trust 85、DMZ 50、Untrust 5，数字越大越可信，Local 代表设备自身；
策略：从上往下逐条查，命中执行就回家，默认最后一把锁；
转换与策略：出去转源进来转目，策略匹配转完后；
会话：首包查策略建会话，回包查表不查策略；
排查 NAT Server：一查映射二查区，三查目的私网地；
双机：VRRP 管接口，VGMP 管整机，HRP 管同步，配置只做主墙上。

参考来源

官方文档（命令与流程依据）：

文档	链接	对应章节
USG 防火墙常用维护操作（含管理员改密）	https://support.huawei.com/enterprise/zh/doc/EDOC1100213548	阶段①
USG 配置指南（安全策略/NAT/区域）	https://support.huawei.com/enterprise/zh/doc/EDOC1100201341	阶段①②③
双机热备配置命令（hrp 系列）	https://support.huawei.com/enterprise/zh/doc/EDOC1100336507/e1f9faea	阶段⑤
双机热备 FAQ（VGMP 优先级叠加）	https://support.huawei.com/enterprise/zh/doc/DOC1000160160/d239ebf9	阶段⑤
HRP/VGMP/VRRP 三协议对比（华为社区）	https://forum.huawei.com/enterprise/cn/zh/thread/blog/e1e01c3d-61f9-450f-8a2c-42b7ac060ae5	阶段⑤
service-manage enable 命令说明	https://support.huawei.com/enterprise/zh/knowledge/EKB1000093482	阶段①
stelnet server enable 命令参考	https://support.huawei.com/enterprise/zh/doc/EDOC1100336596/902007d8	阶段①
配置发送 Syslog 格式审计日志	https://support.huawei.com/enterprise/zh/doc/DOC1000160160/7be28987	阶段⑤
登录 Web 配置界面（上线指南，华为云）	https://support.huaweicloud.com/qiankunbpr-qiankuncs/qiankuncs_devicetoyun_ess_3012.html	阶段①
示例：Web 配置华为 USG 防火墙（华为云）	https://support.huaweicloud.com/admin-vpn/vpn_admin_0010.html	阶段②③

优质二手来源（实践视角）：

来源	链接	价值点
腾讯云：防火墙安全区域/项目实践	https://cloud.tencent.com/developer/article/2649364	阶段①③
知乎：华为防火墙配置命令大全	https://zhuanlan.zhihu.com/p/701987480	全篇命令速查
掘金：华为防火墙区域与策略	https://juejin.cn/post/6972347076159995912	阶段①②
CSDN：安全策略配置示例	https://blog.csdn.net/Richardlygo/article/details/121510614	阶段②
腾讯云：HRP/VGMP/VRRP 详解	https://developer.cloud.tencent.com/article/1822835	阶段⑤
6ICT：eNSP USG Web 实操	http://www.6ict.com/102.html	贯穿案例

说明：Web 菜单路径与部分子命令随 USG 软件版本（V500/V600）差异较大，动手时以设备自带《Web 配置指南》与《命令参考》为准；本文标注"骨架/示意"的配置块侧重模型理解。

防火墙项目实战：华为 USG 从上架割接到日常运维 ​

📌 核心概念 ​

0.1 项目五阶段总览 ​

0.2 防火墙与路由器的本质区别 ​

0.3 下一代防火墙（NGFW）的核心能力 ​

0.4 华为 USG 系列选型速览 ​

📖 详细内容 ​

阶段① 初始化与基础割接 ​

1.1 首次登录 ​

1.2 安全加固（改默认，项目第一步） ​

1.3 划定安全区域（Zone） ​

1.4 网络通达配置 ​

1.5 贯穿案例（eNSP 可完整复现） ​

阶段② 精细化访问控制（项目核心重点） ​

2.1 安全策略原理 ​

2.2 会话表与状态检测 ​

2.3 ASPF 与 ALG（多通道协议的坑） ​

2.4 从 L3/L4 到 L7：应用与用户维度 ​

2.5 实操：按需求表落策略 ​

阶段③ 地址转换与映射（NAT 落地） ​

3.1 NAT 类型一览 ​

3.2 源 NAT：内网共享上网 ​

3.3 NAT Server：发布 DMZ 服务器 ​

3.4 结果验证 ​

阶段④ 深层内容安全防御（UTM / L7） ​

4.1 License 与特征库先行 ​

4.2 三大内容安全模块 ​

4.3 配置骨架：配置文件 + 策略引用 ​

4.4 验证 ​

阶段⑤ 可靠性与日常运维（高可用部署） ​

5.1 双机热备（HRP / VGMP） ​

5.2 VPN 对接 ​

5.3 日志外发与审计合规 ​

5.4 日常巡检命令集 ​

六、eNSP 中 USG6000V 上手注意 ​

七、Web 路径与 CLI 对照速查 ​

💡 重点难点 ​

🔗 延伸拓展 ​

面试高频问答 ​

记忆口诀 ​

参考来源 ​