华为防火墙命令行有哪些常用命令？

华为防火墙命令行是网络安全管理员进行设备配置、管理和故障排查的核心工具，其命令行界面（CLI）提供了丰富的功能指令，支持通过文本化操作实现对防火墙策略、路由、NAT、安全域等参数的精细化控制，以下从基础操作、安全策略配置、NAT配置、高可用与维护等方面详细介绍华为防火墙命令行的使用方法。

基础操作与系统配置

登录华为防火墙命令行通常通过Console口、SSH或Telnet方式，首次登录后需进入系统视图进行初始化配置,基础命令包括：

• 用户视图与系统视图切换：用户视图下输入system-view进入系统视图，返回用户视图使用quit，直接退出登录用logout。
• 设备基本信息配置：在系统视图下，通过sysname FW1设置设备名称，clock timezone GMT add 8配置时区（东八区），save保存配置。
• 接口配置：接口是防火墙与网络通信的桥梁，需先进入接口视图（如interface GigabitEthernet 0/0/1），配置IP地址（ip address 192.168.1.1 24），并设置接口状态为undo shutdown，接口需绑定安全域（如security-zone trust）,安全域是策略配置的基础单元。

安全策略配置

安全策略是防火墙的核心功能，用于控制数据流的访问权限,配置步骤包括：

1. 定义安全区域：将接口划分到不同安全域，如trust（受信任区域）、untrust（不受信任区域）、dmz（隔离区域）。security-zone name trust进入安全域视图，add interface GigabitEthernet 0/0/1添加接口。
2. 配置安全策略：在系统视图下使用security-policy命令，按“源安全域→目的安全域→动作”的顺序配置。

   security-policy
     name permit-trust-to-untrust
     source-zone trust
     destination-zone untrust
     source-address 192.168.1.0 24
     destination-address any
     action permit
     schedule all-day  // 全天生效
     apply qos-profile high-priority  // 应用QoS策略

   默认策略中，同安全域间访问默认禁止，跨安全域默认拒绝,需手动配置允许策略。

3. 应用高级功能：可通过content-security安全（如防病毒、URL过滤），application-filter进行应用层控制。

NAT地址转换配置

NAT用于解决IP地址不足问题，华为防火墙支持源NAT（SNAT）和目的NAT（DNAT）。

• 源NAT配置：将内网地址转换为公网地址访问外网。

  acl number 3000  // 定义ACL匹配内网网段
   rule 5 permit source 192.168.1.0 0.0.0.255
  nat-policy
   name snat-policy
   source-zone trust
   destination-zone untrust
   source-address 192.168.1.0 24
   action source-nat easy-ip  // 使用出接口地址作为NAT地址

• 目的NAT配置：将公网地址映射到内网服务器，常用于服务器发布。

  nat server protocol tcp global 203.0.113.10 80 inside 192.168.2.100 80  // 将公网80端口映射到内网服务器80端口

高可用与维护配置

• VRRP高可用：通过虚拟路由冗余协议实现主备备份。

  vrrp vrid 1 virtual-ip 192.168.1.254  // 配置虚拟IP
  vrrp vrid 1 priority 120  // 主设备优先级更高
  vrrp vrid 1 preempt-mode timer delay 10  // 延迟抢占

• 路由配置：支持静态路由和动态路由（如OSPF），静态路由示例：ip route-static 0.0.0.0 0.0.0.0 203.0.113.1，OSPF配置需先启用ospf 1,再发布网段。
• 日志与监控：通过info-center loghost 192.168.1.100配置日志服务器，display logbuffer查看日志，display cpu-usage监控设备资源。

常用诊断命令

• display interface brief：查看接口状态及IP配置。
• display security-policy：查看已配置的安全策略。
• display nat session：查看NAT会表。
• ping/traceroute：测试网络连通性，如ping 192.168.2.1 -c 4发送4个包。
• debugging：开启调试功能（谨慎使用），如debugging packet-filter调试策略匹配过程。

配置示例表格

相关问答FAQs

Q1: 如何在华为防火墙上配置基于时间的访问控制策略？
A: 可通过schedule命令定义时间段，再关联到安全策略。

1. 定义时间段：time-range work-time，from 09:00 to 18:00 daily（每天9点至18点）；
2. 在安全策略中应用：security-policy，schedule work-time，action permit。
   这样策略仅在work-time时间段内生效,其他时间默认拒绝。

Q2: 防火墙安全策略不生效的常见排查步骤有哪些？
A: 排查步骤如下：

1. 检查策略配置：使用display security-policy确认源/目的安全域、地址、动作是否正确；
2. 验证接口状态：确认接口是否UP且绑定到正确的安全域（display interface）；
3. 检查NAT配置：如果是跨区域流量，确认NAT策略是否匹配（display nat session）；
4. 查看日志：通过display logbuffer分析策略匹配失败原因；
5. 测试连通性：使用tracert跟踪数据流路径,定位策略阻断点。