以下是針對?思科（Cisco ASA/Firepower）、華三（H3C）、華為（Huawei USG）防火墻?的基礎配置指南，涵蓋?區域劃分、安全策略、NAT、路由?等核心功能。配置示例基于通用場景，實際部署時需根據網絡環境調整。

---

一、配置防火墻區域（Zone）

1. 思科防火墻（Cisco ASA）

ASA 使用?安全級別（Security Levels）?隱式劃分邏輯區域，接口的安全級別決定流量方向（高到低默認允許，低到高需配置ACL）。

bash

復制

下載

! 配置接口名稱和IP
interface GigabitEthernet0/0nameif outside   # 外部區域（安全級別默認0）security-level 0ip address 203.0.113.1 255.255.255.0interface GigabitEternet0/1nameif inside    # 內部區域（安全級別100）security-level 100ip address 192.168.1.1 255.255.255.0

2. 華三防火墻（H3C）

華三通過顯式定義安全區域（Zone），并將接口加入區域。

bash

復制

下載

# 創建安全區域
security-zone name Inside
security-zone name Outside# 將接口加入區域
interface GigabitEthernet0/0port link-mode routeip address 203.0.113.1 24security-zone Outsideinterface GigabitEthernet0/1port link-mode routeip address 192.168.1.1 24security-zone Inside

3. 華為防火墻（Huawei USG）

華為同樣顯式定義安全區域并綁定接口。

bash

復制

下載

# 創建安全區域
firewall zone name Insideset priority 85
firewall zone name Outsideset priority 5# 將接口加入區域
interface GigabitEthernet0/0/0ip address 203.0.113.1 24firewall zone Outsideinterface GigabitEthernet0/0/1ip address 192.168.1.1 24firewall zone Inside

---

二、配置安全策略（允許內網訪問外網）

1. 思科防火墻（Cisco ASA）

bash

復制

下載

! 允許內部到外部的所有流量
access-list INSIDE_OUT permit ip any any
access-group INSIDE_OUT in interface inside

2. 華三防火墻（H3C）

bash

復制

下載

# 創建策略允許內部到外部
security-policy iprule name INSIDE_TO_OUTSIDEsource-zone Insidedestination-zone Outsidesource-ip 192.168.1.0 24action pass

3. 華為防火墻（Huawei USG）

bash

復制

下載

# 創建策略規則
policy interzone Inside Outside outboundpolicy 0action permitsource 192.168.1.0 0.0.0.255service any

---

三、配置NAT（源地址轉換）

1. 思科防火墻（Cisco ASA）

bash

復制

下載

! 配置動態PAT（內部IP轉換為外部接口IP）
object network INSIDE_NETsubnet 192.168.1.0 255.255.255.0
nat (inside,outside) dynamic interface

2. 華三防火墻（H3C）

bash

復制

下載

# 配置源NAT（Easy-IP模式）
nat address-group 0mode patsection 0 203.0.113.1 203.0.113.1acl advanced 3000rule 0 permit ip source 192.168.1.0 0.0.0.255nat outbound 3000 address-group 0

3. 華為防火墻（Huawei USG）

bash

復制

下載

# 配置源NAT（接口地址轉換）
nat-policy interzone Inside Outside outboundpolicy 0source 192.168.1.0 24action source-nateasy-ip enable

---

四、配置路由（靜態路由）

1. 思科防火墻（Cisco ASA）

bash

復制

下載

! 配置默認路由指向外網網關
route outside 0.0.0.0 0.0.0.0 203.0.113.254

2. 華三防火墻（H3C）

bash

復制

下載

# 配置默認路由
ip route-static 0.0.0.0 0 203.0.113.254

3. 華為防火墻（Huawei USG）

bash

復制

下載

# 配置默認路由
ip route-static 0.0.0.0 0.0.0.0 203.0.113.254

---

五、驗證配置

1. 思科防火墻

bash

復制

下載

show route             # 查看路由表
show nat detail        # 檢查NAT規則
show access-list       # 查看ACL策略

2. 華三防火墻

bash

復制

下載

display security-policy all     # 查看安全策略
display nat outbound            # 查看NAT規則
display ip routing-table        # 查看路由表

3. 華為防火墻

bash

復制

下載

display firewall session table  # 查看會話表
display nat-policy              # 查看NAT策略
display ip routing-table        # 查看路由表

---

六、常見問題排查

1. 流量不通

   • 檢查接口狀態（display interface?/?show interface）。

   • 確認安全策略是否匹配流量（檢查策略命中計數）。

   • 驗證NAT規則是否生效（查看轉換后的地址）。

2. NAT失效

   • 確保NAT規則的應用方向（inbound/outbound）正確。

   • 檢查地址池或接口IP是否可達。

3. 路由缺失

   • 確認靜態路由的下一跳地址正確且可達。

   • 檢查防火墻是否啟用了路由功能（某些場景需關閉透明模式）。

---

總結

• 區域劃分：明確接口所屬安全區域，控制流量流向。

• 安全策略：按最小權限原則開放必要流量（建議細化到端口）。

• NAT配置：確保內部地址正確轉換為公網地址。

• 路由配置：保證防火墻能正確轉發流量到下一跳。

根據實際需求，可擴展配置?端口映射（目的NAT）、VPN、高可用性（HA）?等功能。