电脑配置ip地址不能访问ping通f1060防火墙

# SecPath F1060 电脑配置 IP ping 不通防火墙接口（Comware‑V7）

>
> 重要原理：F1060/V7 防火墙，**防火墙自身接口 IP 属于 Local 安全域**；普通域（Trust/Management）访问防火墙本机，必须配置安全策略放行，**不是接口配完 IP、同网段就直接能 ping 通**。

## 故障排查步骤（按顺序执行）

### 1、检查物理接口状态与 IP 配置

```
display ip interface brief
display interface GigabitEthernet 1/0/x
```

1. 接口物理 / 协议状态必须为`Up`；
2. IP 地址、掩码确认和电脑在**同一个子网**；
3. 电脑 IP、子网掩码正确；电脑直连防火墙，不要中间跨交换机 VLAN。

>
> 电脑 ping 不通，先看防火墙 ARP 表，看是否学到电脑 MAC：

```
display arp
```

- 如果**没有电脑 ARP 表项**：二层链路问题（网线、端口 down、VLAN 错），和安全策略无关。
- 如果**有 ARP 表项，但 ping 不通**：报文能到达防火墙，问题在安全策略。

### 2、接口必须加入安全域（高频踩坑）

接口配置 IP 之后，**必须把接口加入安全域，如 Trust/Management**，不加入安全域报文直接丢弃H3C。

```
security‑zone name Trust
import interface GigabitEthernet1/0/1
quit
```

校验：

```
display security‑zone name Trust
```

输出成员列表需要看到该接口。

###3、配置安全策略：Trust→Local（电脑访问防火墙本机）

>
> Local 域代表**防火墙设备自身**；电脑在 Trust 域，ping 防火墙接口 IP，流量源域 Trust，目的域 Local，默认全部拒绝，必须显式放行策略H3C。

```
security‑policy ip
# 允许trust域的主机访问防火墙本机，ICMP(ping)、https/web都放行
rule name trust‑to‑local
source‑zone Trust
destination‑zone Local
action pass
quit
quit
```

>
> 补充：如果需要防火墙主动 ping 内网电脑，再加一条 Local→Trust：

```
security‑policy ip
rule name local‑to‑trust
source‑zone Local
destination‑zone Trust
action pass
quit
quit
```

>
> ⚠️注意：**普通业务转发策略 Trust‑Untrust，不能用来 ping 防火墙本机**，目的域必须写`Local`。

###4、如果接口划入 Management 管理域
Management 域到 Local 默认允许管理流量；但是依旧建议配置策略，或者 Web 页面接口管理选项开启：
Web：网络‑接口‑选中接口，开启`允许ping`、`允许HTTPS`。

## 完整最简配置示例（电脑直连 G1/0/1）

```
system‑view
interface GigabitEthernet1/0/1
port link‑mode route
ip address 192.168.1.1 255.255.255.0
quit

#接口加入trust安全域
security‑zone name Trust
import interface GigabitEthernet1/0/1
quit

#放行trust访问本机local域
security‑policy ip
rule name trust_to_local
source‑zone Trust
destination‑zone Local
action pass
quit
quit
```

电脑 IP 设置：`192.168.1.2/24`，网关可填`192.168.1.1`，此时就可以 ping 通`192.168.1.1`。

## 排错诊断命令

```
#查看安全域接口成员
display security‑zone

#查看安全策略配置
display security‑policy rule

#查看ARP表，确认电脑是否被防火墙学到
display arp

#开启ICMP报文调试（业务低峰测试）
debugging ip icmp
terminal debugging
terminal monitor

#查看会话表，看ping报文是否匹配策略
display session table protocol icmp
```

## 常见误区总结

1. ❌误区：接口配 IP、同网段就可以 ping 防火墙；
✅真相：访问防火墙本机目的域是`Local`，需要专门安全策略，普通转发策略无效。
2. ❌误区：接口忘记加入安全域，报文直接丢弃；
✅真相：接口必须归属某安全域，否则所有报文丢弃。
3. ❌用 zone‑pair 包过滤；F1060 新版本优先用`security‑policy ip`对象安全策略。
4. 能学到 ARP，但是 ping 不通，95% 是缺少`trust‑>local`安全策略。

>
> 测试完 ping 通之后，如果 Web 页面访问防火墙，同样依赖这条 trust‑to‑local 策略，HTTPS 443 会放行。