简介这份PDF以华为USG5500防火墙实验为主线面向网络工程师、高校学生及运维人员帮助读者掌握防火墙安全区域划分、接口配置与策略下发等核心技能。内容围绕内网192.168.0.0/24与外网192.168.1.0/24组成的实验拓扑展开完整演示了AR1、AR2路由器的基础配置、Telnet远程登录设置以及防火墙从接口地址绑定、新建inside/outside安全区域到调整安全优先级、查看策略配置的完整流程。文档为单个PDF文件共113KB将实验思路与命令行操作一体化呈现适合在真机或模拟器中对照练习。已有4743人学习下载可作为HCIA安全或防火墙入门课程的补充资料。读者照着逐步命令可快速搭建拓扑、完成远程管理认证并理解默认包过滤规则在local、trust、untrust、outside等区域间的差异为后续安全策略配置打下基础。1. USG5500配置实验到底在练什么环境、拓扑与三个前置认知拿到“华为USG5500防火墙配置实验”这个题目大多数人的第一反应是找台设备敲命令。但真把拓扑拖出来配完接口地址准备验证策略时很多人会发现一个尴尬事实防火墙和交换机是两套思维。交换机默认全通防火墙默认全拒你在交换机上的那套“配完就能通”的经验到了防火墙上直接失灵。USG5500是华为企业级统一安全网关支持路由、透明、混合三种部署模式配置核心不在接口而在安全策略与NAT的协同。这篇笔记按实验推进顺序来写从开局登录、接口与zone划分、安全策略放通、NAT配置到最后的故障排查。读者如果是刚接触华为防火墙的网工或备考HCIP安全方向的从业者照着走一遍能把实验报告和现场配置的底气一起补上也能少走那些“策略配了却不生效”的弯路。2. 开局配置Console登录、接口地址与Web管理开启2.1 先看清设备形态USG5500的接口类型与实验拓扑选择USG5500系列属于千兆企业级防火墙常见型号带4个千兆电口和2个Combo口支持光口电口复用。实验之前先明确接口布局因为它的接口默认属于不同安全区域接口放错zone后面全乱套。经验做法是提前画一张拓扑表哪个接口接外网、哪个接口接内网、哪个接口接DMZ区。常见实验拓扑分两种单臂路由式防火墙连接一台三层交换机交换机下挂多个VLAN防火墙做网关或旁挂。适合练策略和NAT。三线直连式外网口、内网口、DMZ口分别接三台测试PC最直观适合新手。我一般推荐新手先用三线直连式逻辑清楚排查问题也方便。USG5500的0号口通常作为Console管理口但注意Console口和业务口不共享带宽登录配置时不影响业务流量。2.2 Console登录与恢复密码命令第一次进设备的正确姿势用Console线连接设备终端软件Xshell或SecureCRT设置波特率9600数据位8停止位1无校验。上电后能看到启动信息系统加载完成进入命令行界面。USG5500默认无密码直接进入用户视图但安全设备建议立刻设置enable密码和用户名密码。# 进入系统视图 system-view # 设置管理员用户名和密码华为防火墙常用aaa配置 aaa manager-user admin password irreversible-cipher Admin123456 service-type web terminal level 15 quit quit # 开启telnet管理实验环境方便生产不建议 telnet server enable user-interface vty 0 4 aaa authentication-mode aaa quit逻辑说明AAA是认证、授权、计费体系这里只用到认证和授权。manager-user创建管理员账号password irreversible-cipher表示密码以不可逆密文存储比明文安全。service-type web terminal允许该账号同时登录Web和命令行。level 15是最高权限级别能看所有配置。参数说明实验环境密码可以简单点但建议养成强密码习惯。telnet server enable仅在虚拟实验或隔离网络中使用生产环境务必改用SSH。2.3 Web管理开启feature、service-manage与常见登录失败原因很多人在eNSP里拖出防火墙发现Web页面打不开。USG5500并非默认开启Web管理需要两步接口下放通HTTPS服务同时配置管理员账号。这两步缺一不可是“ensp登录防火墙”最常见的卡点。system-view # 进入内网接口 interface GigabitEthernet0/0/1 ip address 192.168.1.1 255.255.255.0 service-manage ping permit service-manage https permit quit # 设置Web登录超时时间默认10分钟太短调长 web-manager timeout 30逻辑说明service-manage是接口级的管理服务控制命令相当于在接口上打开管理通道。ping permit允许设备被内网ping通https permit允许Web登录。web-manager timeout调整Web会话超时实验里经常配到一半断线重登超时设长一点能减少烦躁感。参数说明192.168.1.1是常见的内网管理地址可根据实验网段自行调整。注意USG5500的老版本VRP上service-manage命令位置在接口视图下新版本有所调整但思路一致。如果用浏览器登录Web管理页地址写https://192.168.1.1不是http协议写错也是登录失败的一个常见原因。3. 安全策略才是核心理解Zone体系与USG5500的默认拒绝逻辑3.1 Zone是什么为什么交换机能通、防火墙不通USG5500的安全区域Zone是划分信任级别的逻辑容器。常见默认zone有trust、untrust、dmz、local还有可自定义的zone。每个接口必须加入某个zone接口间流量通过安全策略放行。默认情况下所有zone之间都是拒绝的包括同zone内互访也需要策略放行这叫同zone隔离和交换机VLAN内互通的逻辑完全不同。这里有一个关键概念local zone代表防火墙自身。你ping防火墙的管理地址流量从接口进到local zone需要在策略里放行local到trust的访问否则管理地址都ping不通。安全策略的匹配顺序是按照配置序号从小到大的前面的策略不匹配才轮到后面的这个逻辑和ACL完全一样。很多“开启防火墙后ping不通”的故障其实是策略没放行或者放行方向写反了。TCP新建连接时防火墙只检查首包方向但USG5500是状态防火墙回程流量自动放行前提是首包命中了策略。3.2 安全策略配置实验放行内网到外网、内网到DMZ配置策略前先建立zone与接口的映射关系再写规则。下面这段是实验里最基础的配置目标实现内网PC能上网、能访问DMZ服务器外网无法访问内网。system-view # 将接口划入安全区域 firewall zone untrust add interface GigabitEthernet0/0/0 quit firewall zone trust add interface GigabitEthernet0/0/1 quit firewall zone dmz add interface GigabitEthernet0/0/2 quit # 配置安全策略 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit rule name trust_to_dmz source-zone trust destination-zone dmz action permit rule name dmz_to_trust source-zone dmz destination-zone trust action permit quit逻辑说明rule name后面是规则名称便于日志查看和维护。source-zone和destination-zone是五元组里最基础的两个维度。USG5500的策略支持更细的源地址、目的地址、服务端口但实验第一阶段先只看zone维度。参数说明这里的场景是内网服务器需要被DMZ服务器反向调用所以放行了dmz_to_trust。如果你的实验里DMZ只需要被内网访问不需要主动访问内网这条策略可以不配。安全策略遵循最小化原则不明确需要的就不放行这正是“防火墙黑白名单”的思想——默认黑名单显式白名单放行。3.3 local zone的作用管理流量与自访问的放通细节local zone是新手最不理解的区域。防火墙自己发出的流量如ping外部、NTP同步、OSPF邻居都算local zone流量。所以当你在防火墙防火墙上ping内网PC时需要一条source-zone local destination-zone trust的放通策略反之亦然。system-view security-policy rule name local_to_trust source-zone local destination-zone trust action permit rule name trust_to_local source-zone trust destination-zone local action permit quit逻辑说明trust_to_local策略解决的是PC访问防火墙管理地址的需求。如果是Web管理还需要额外放通https服务如果只是ping测放通icmp即可。不要图省事直接放通所有服务这个习惯在实验里看不出问题到生产环境下会变成安全漏洞。参数说明可以给规则配上service icmp或service https做精确控制比如rule name trust_to_local后面加service icmp这样只有ping能到防火墙其他访问一律拒绝。实验报告里如果能体现这种精细化配置评分观感会好很多。4. NAT配置实验源NAT、目的NAT与服务器映射4.1 源NAT内网上网最常用的出接口转换USG5500的NAT分为源NAT和目的NAT。源NAT解决内网访问外网时地址转换问题常见做法是出接口地址转换Easy IP或地址池转换。实验里最简单可靠的是Easy IP直接复用接口IP。system-view # 配置源NAT策略 nat-policy rule name snat_to_untrust source-zone trust destination-zone untrust action source-nat easy-ip quit逻辑说明这条策略将所有trust区访问untrust区的流量源地址转换为GigabitEthernet0/0/0接口的IP地址。easy-ip是直接使用接口地址做转换不需要额外配置地址池适合拨号线路和单IP场景。如果外网带宽充足且需要使用多个公网IP可以改用address-group地址池。参数说明如果内网有多个网段且需要保留源IP真实性可以加source-address参数指定具体网段。比如只让192.168.1.0/24网段做NAT其他网段不做就需要在策略里加source-address 192.168.1.0 mask 24。4.2 目的NAT把公网服务映射到内网服务器目的NAT解决外网访问内网服务器的问题也叫端口映射或服务器映射。实验里最典型的场景是把DMZ区的Web服务器映射到外网接口让外网用户能通过公网IP访问内部服务。system-view # 配置目的NAT nat-policy rule name dnat_to_web source-zone untrust destination-zone dmz destination-address 192.168.1.100 action destination-nat static address 192.168.2.10 quit # 配置安全策略配合目的NAT security-policy rule name untrust_to_dmz_web source-zone untrust destination-zone dmz destination-address 192.168.2.10 service tcp 80 action permit quit逻辑说明dnat策略将访问192.168.1.100防火墙外网接口IP的流量目标地址转换为192.168.2.10DMZ区Web服务器。注意如果你不配置目的NAT的端口参数默认全部端口都转换如果只想映射80端口需要加service tcp 80参数。参数说明很多人在这一步会犯一个错误——安全策略里的destination-address写成了映射前的公网地址而不是映射后的内网地址。防火墙执行顺序是NAT先于策略匹配所以在安全策略里目的地址必须写内网服务器真实地址。4.3 双机热备与旁挂场景的NAT差异如果你实验到了HA双机热备或者旁挂部署NAT的处理方式会和单机直连稍有不同。旁挂模式下流量进出路径不一致源NAT策略需要考虑会话表同步的问题。USG5500支持HRP华为冗余协议做主备状态同步和会话表备份。system-view # 启用HRP hrp enable # 配置HRP备份会话 hrp mirror session enable # 配置VGMP组 hrp interface GigabitEthernet0/0/6 remote 192.168.1.2逻辑说明hrp enable开启双机热备hrp mirror session enable使会话表在主备设备间同步这样主设备故障切换后已有连接不会中断。hrp interface配置心跳线接口和对端地址心跳线建议使用独立接口不要和业务接口共用。参数说明双机热备实验中两台设备的型号、软硬件版本必须一致否则会出现会话同步失败。主备设备的业务接口配置也要完全一致否则切换后流量路径会发生不可预测的变化。这个实验适合在eNSP里模拟真机实验对设备数量和授权有要求。5. 避坑与排查USG5500实验最常见的8个故障点5.1 现象Web管理页面打不开浏览器报拒绝连接原因没有在接口下开启service-manage https permit或者管理账号没有配置web服务类型。排查时先用Console线登录执行display this检查接口配置确认https服务已放通。解决方法是补上service-manage https permit命令并确认账号服务类型包含web。5.2 现象内网PC能ping通防火墙但上不了外网原因安全策略和NAT策略缺一不可。单独配置NAT但没有配置trust到untrust的安全策略流量照样被丢弃。很多人在配置完nat-policy后以为大功告成忘了检查security-policy。按顺序检查确认接口zone归属、确认security-policy放通、确认nat-policy执行了源NAT。5.3 现象安全策略配置了流量还是不通过原因策略匹配顺序问题。USG5500的策略按配置顺序匹配如果前面有一条宽松的deny策略后面的permit策略再精确也不会被执行。用display security-policy rule all查看策略顺序必要时用rule move命令调整顺序。这也是安全策略配置中最让人头疼的“黑匣子”问题。5.4 现象已经做了目的NAT外网还是访问不了内网服务器原因目的NAT之后的流量后续的安全策略需要基于转换后的目的地址匹配。如果安全策略里写的是公网地址策略永远不命中。改成内网服务器真实地址就能解决。另一个原因是服务器自身的防火墙没有放行对应端口这个和USG5500无关但容易被误判为设备问题。5.5 现象防火墙配置发完重启后丢了原因USG5500配置文件没有保存。华为设备配置后需要执行save命令否则重启后配置丢失这是实验里最常翻车的一步。配置完成后务必执行save并确认回显提示successfully saved。5.6 现象telnet登录防火墙失败原因VTY接口没有绑定AAA认证或者telnet服务未开启。执行telnet server enable开启服务user-interface vty 0 4下配置authentication-mode aaa并确认账号有terminal服务类型。注意实验环境可以用telnet生产环境必须用SSH。5.7 现象eNSP模拟器中防火墙设备无法启动原因eNSP对USG系列的支持依赖AR1设备的系统镜像不同版本的eNSP适配情况不一样。常见的做法是检查eNSP版本是否适配当前镜像或者在实验中改用USG6000镜像两者命令风格一致能覆盖绝大多数实验需求。如果设备启动不了优先重置设备或重装eNSP。5.8 现象策略中放行了服务但日志显示丢包原因会话表老化或者ASPF应用层状态包过滤没有识别到应用层协议。USG5500默认开启状态检测但对非标准端口的应用协议需要配置ASPF策略。如果有FTP、SIP等特殊协议的实验检查aspf配置。6. 配置验证三板斧用display命令拆解黑匣子状态实验收尾阶段关键是学会用display命令确认每一步配置的真实效果而不是只看命令行有没有报错。这三组命令是我的常规验证顺序也是排查问题时的“后悔药”。# 验证接口与zone配置 display zone display ip interface brief # 验证策略命中与匹配 display security-policy rule all display firewall session table # 验证NAT转换与日志 display nat-policy rule all display nat session tabledisplay zone查看接口与安全区域的绑定关系确认每个接口都在正确的zone下。display ip interface brief看接口ip和状态确认物理层和协议层都是up。display firewall session table是排查NAT会话的核心命令可以看到会话的源地址、目的地址、转换后地址和命中的策略ID如果session表里有会话但方向不对问题基本出在策略顺序上没有会话则说明流量根本没到达防火墙需要检查上游设备。日志排查方面可以执行display logbuffer查看防火墙本地日志。USG5500会记录策略命中、NAT转换失败、认证失败等关键事件。日志缓冲区默认比较小实验里可以先用info-center loghost配置日志服务器方便长时间观察。一个额外建议每次配置完一个功能模块随手save配置并导出一份快照。实验做得越多配置越复杂翻车后回滚就越困难。我习惯每完成一个安全策略或NAT规则就保存一次并在文本里做注释这样即使出问题也能快速恢复到上一个稳定状态。希望这个验证三板斧和保存习惯对你有帮助。本文还有配套的精品资源点击获取