问

f1000防火墙，如何设置SSL卸载或者SSL终结

2026-06-06提问

0关注
0收藏，223浏览

zhiliao_UPVOQw

zhiliao_UPVOQw 零段

粉丝：0人关注：0人

问题描述：

F1000-ai-25,V7，9660p51防火墙中，目前只有在策略的应用代理中有SSL解密设置，有没有SSL卸载或者SSL终结的功能，在哪个模块设置实现，如何设置，实现防火墙对SSL证书进行SSL卸载并NAT至局域网的服务器

4 个回答

按时间按赞数

zhiliao_6Ou8lD

zhiliao_6Ou8lD 四段

粉丝：0人关注：0人

第一步：配置SSL解密策略

进入 安全策略 > 应用代理策略 界面。
创建或编辑一条策略，在动作中选择解密。
在策略的高级设置或类似选项中，加载用于解密的CA证书（防火墙本地证书）及私钥。此证书需被客户端信任，或通过其他方式（如组策略）分发到客户端。
配置匹配条件（如源/目的地址、域名等），以精确控制需要对哪些HTTPS流量进行SSL解密（卸载）。

第二步：配置NAT Server（目的地址转换）

进入与外部网络（如Internet）相连的接口视图（例如 GigabitEthernet 1/0/1）。
bash
复制
interface GigabitEthernet 1/0/1
配置NAT Server规则，将公网IP地址和HTTPS端口（通常为TCP 443）映射到内部服务器的私有IP地址和端口。
bash
复制
nat server protocol tcp global [您的公网IP] 443 inside [内部服务器IP] 443此命令将公网IP的443端口访问请求，转发至指定的内部服务器。

第三步：配置安全策略放行流量
SSL解密后的流量变为明文（可视为HTTP流量），需要配置相应的安全策略规则来允许此流量从外部区域（如Untrust）访问内部服务器所在区域（如DMZ或Trust）。需确保策略匹配解密后流量的源目的地址和端口。

暂无评论

Sun

Sun 一段

粉丝：0人关注：0人

https://www.h3c.com/cn/d_202605/2848112_30005_0.htm#_Toc230703587

参考这个案例里的ssl卸载

暂无评论

刘浩存

刘浩存九段

粉丝：21人关注：1人

针对您关于 H3C F1000-AI-25 (V7, 9660p51) 防火墙中 SSL 卸载功能的问题，解答如下：

1. 功能确认与模块位置

有该功能。 在 H3C V7 平台的防火墙（包括 F1000-AI 系列）中，SSL 卸载（或称 SSL 终结、SSL 解密）正是通过您在策略中看到的应用代理模块来实现的。

具体配置路径为：“策略” > “应用代理” > “代理策略”。

2. 实现原理

SSL 卸载（SSL 终结）的工作原理是：设备部署在内网服务器前端并启用 SSL 卸载功能，当客户端发起 HTTPS 连接时，防火墙充当 SSL 代理服务器全面接管加密解密工作，将 HTTPS 流量还原为 HTTP 业务，然后再以明文 HTTP 的方式 NAT 转发至局域网的后端真实服务器。这可以有效减轻内网服务器的加解密负荷。

暂无评论

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：16人关注：2人

F1000‑AI‑25（V7，9660P51）有两种方式实现 “SSL 卸载 / SSL 终结 + 内网服务器 NAT”：

应用代理→SSL 解密（常用，三层口 / NAT 环境）
- 就是你现在看到的 “策略→应用代理” 里的 SSL 解密
- 本质就是SSL 终结 / 卸载：防火墙终结 443，解密后以明文 HTTP 发给内网服务器
- 配合NAT Server（目的 NAT），正好实现：公网 HTTPS → 防火墙解密 → 内网 80 端口服务器
SSL VPN→SSL 卸载（专门的 SSL 卸载模块）
- 菜单：SSLVPN 设置 → SSL 卸载
- 这是官方明确叫 “SSL 卸载” 的功能，用途和上面一致：对外 443，对内 HTTP
- 但需要 SSL VPN 授权，一般做多域名 / 批量卸载才用这个

你要的场景：防火墙承担 SSL 证书，卸载后 NAT 到内网服务器，用第一种（应用代理 + SSL 解密 + NAT Server）最直接、不需要额外授权。下面给完整可照着做的配置。

一、组网与前提

外网口：G1/0/1，公网 IP：202.1.1.1
内网口：G1/0/2，内网服务器：192.168.1.100:80（HTTP）
防火墙对外监听 443，用服务器公网证书 + 私钥（PFX/P12）

二、Web 配置步骤（界面版）

1）导入 SSL 证书（PFX/P12，含私钥）

菜单：对象 → PKI → 证书管理 → 本地证书 → 导入
证书类型：PFX/P12
证书名：server_cert（自定义）
上传文件、输入证书密码 → 确定

2）配置 SSL 解密（SSL 终结 / 卸载）

菜单：策略 → 应用代理 → 代理策略 → 新建
- 名称：SSL_Offload_443
- 源安全域：untrust（外网）
- 目的安全域：local（防火墙自身，因为要终结 443）
- 服务：HTTPS(443)
- 动作：SSL 解密
- 保护模式：server（保护内网服务器，关键！）
- 高级设置 → 选择本地证书：server_cert
- 其他默认 → 确定

3）配置 NAT Server（把解密后的流量转到内网服务器）

菜单：网络 → NAT → NAT Server → 新建
- 接口：G1/0/1（外网口）
- 外部 IP：202.1.1.1（或 “接口 IP”）
- 外部端口：443
- 内部 IP：192.168.1.100
- 内部端口：80
- 协议：TCP
- 确定

4）放行安全策略

菜单：策略 → 安全策略 → 新建
- 源域：untrust
- 目的域：trust
- 目的 IP：192.168.1.100
- 服务：HTTP(80)
- 动作：允许

做完这步：

公网用户 → https://202.1.1.1:443 → 防火墙终结 SSL / 解密 → 明文 HTTP → 内网 192.168.1.100:80

三、命令行（可直接复制）

bash

运行

# 1. 导入证书（先把pfx传到flash根目录）
system-view
pki import certificate server_cert p12 flash://server.p12 password 123456

# 2. 应用代理+SSL解密（server模式）
app-proxy policy SSL_Offload_443
 source-zone untrust
 destination-zone local
 service https
 action ssl-decrypt
 ssl-decrypt protect-mode server
 ssl-decrypt certificate server_cert

# 3. NAT Server（外网443→内网80）
interface GigabitEthernet 1/0/1
 nat server protocol tcp global 202.1.1.1 443 inside 192.168.1.100 80

# 4. 安全策略放行
security-policy
 rule name untrust_to_server
  source-zone untrust
  destination-zone trust
  destination-address 192.168.1.100 32
  service http
  action permit

四、你问的 “SSL 卸载模块” 在哪里？

菜单：SSLVPN 设置 → SSL 卸载
这是专门的 SSL 卸载功能，但：
- 需要SSL VPN 授权
- 多用于多域名、批量卸载
- 普通单服务器卸载，用应用代理 SSL 解密更简单

五、常见坑

必须三层口：透明桥模式不支持 SSL 卸载 / 解密H3C
保护模式选 server：否则是 “客户端解密”，不适合服务器卸载
证书要含私钥：必须 PFX/P12，不能只传 CER
安全域要对：SSL 解密的目的域是local，NAT 后流量再转到 trust 域

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

f1000防火墙，如何设置SSL卸载或者SSL终结

问题描述：

1. 功能确认与模块位置

2. 实现原理

一、组网与前提

二、Web 配置步骤（界面版）

1）导入 SSL 证书（PFX/P12，含私钥）

2）配置 SSL 解密（SSL 终结 / 卸载）

3）配置 NAT Server（把解密后的流量转到内网服务器）

4）放行安全策略

三、命令行（可直接复制）

四、你问的 “SSL 卸载模块” 在哪里？

五、常见坑

编辑答案

提出建议