SMP安全业务管理平台配置SOAP参数

修改防火墙的 HTTPS 服务端口（非默认 443）后，SMP 平台的 SOAP 测试不通，这是因为 SMP 在通过 SOAP 协议与防火墙通信时，双方约定的连接端口不一致导致的。

可以这样理解：SMP 平台不知道你把防火墙的“门牌号”（端口）从标准的 443 换成了别的数字，它仍然拿着旧地址去敲门，自然无法建立连接。

 原因详解：端口不一致导致连接失败

SMP 平台与防火墙之间基于 SOAP 的通信，本质上就是通过 HTTPS 协议发送特定的 XML 格式消息。这个过程涉及两个关键要素：

1. 通信地址：https://<防火墙IP>:<端口号>

2. 通信内容：封装在 HTTP 请求中的 SOAP 消息

你在防火墙上修改 ip https port 命令，相当于更改了整个 Web 服务（包括其 SOAP 接口）的监听端口。但 SMP 在创建 SOAP 模板时，默认或你配置的目标端口仍然是 443，并没有同步更新。因此，SMP 发出的 HTTPS 请求被发送到了一个防火墙不再监听的端口上，连接无法建立，测试自然失败。

可以这样理解它们的关系：

• HTTPS 服务：是防火墙提供的一个“大楼”，默认情况下，它的“大门”开在 443 号地址上。

• SOAP 接口：是这座“大楼”里一个具体的“房间”，但想要进入房间，必须先找到大门。

• 修改端口：相当于你把“大楼”的入口从 443 号街道，搬到了其他（如 8443 号）街道。

• SMP 连接：SMP 作为访客，仍然拿着旧地址（443号街道）去找大楼入口，结果当然是找不到，也就无法进入 SOAP 这个房间了。

 解决方案

要解决这个问题，你需要确保 SMP 平台上配置的目标端口与防火墙上 HTTPS 服务监听的端口完全一致。

一、先理清：SOAP 与 Web HTTPS 的关系（关键区别）

• 关联点：共用同一套 SSL 证书 / 加密策略，但端口、服务进程完全独立。
• 你改了 Web 的 443→8443，SOAP 的 832 端口不受影响；但如果SOAP 端口被占用 / 未放行 / 未开启，SMP 就会测试失败。

二、为什么改 Web HTTPS 端口后 SOAP 不通（常见原因）

1. SOAP 服务未开启：防火墙默认关闭 NETCONF over SOAP，必须手动开启。
2. SMP 模板端口填错：你在 SMP SOAP 模板里仍填 443（Web 端口），而不是 SOAP 的 832（或自定义端口）。
3. SOAP 端口被占用 / 未放行：改 Web 端口后，可能误改 / 占用了 SOAP 端口，或安全策略 / ACL 没放行 832。
4. SSL 证书 / 策略不匹配：SOAP 与 Web 共用 SSL 策略，改 Web 端口后 SSL 未同步生效。
5. 路由 / 安全域拦截：跨三层时，SMP 到防火墙 832 端口的流量被拦截。

三、完整解决方案（按顺序操作）

1. 防火墙侧：开启并配置 SOAP HTTPS（CLI）

2. SMP 侧：修改 SOAP 模板（关键）

1. 进入 运维管理 → 设备管理 → 模板参数管理 → SOAP 模板。
2. 编辑 / 新建模板：
   • 访问 URL 协议：HTTPS
   • 端口号：填防火墙 SOAP 端口（默认 832，或你自定义的 8443）
   • 访问路径：默认 /soap/netconf（不要改）
   • 用户名 / 密码：防火墙具有 NETCONF 权限的账号
3. 保存模板，在 “增加设备” 时选择此模板。

3. 跨三层不通排查（必做）

• SMP 到防火墙：能 ping 通，且TCP 832/8443 端口通（用 telnet/nc 测试）。
• 防火墙到 SMP：回程路由正常，无 ACL / 安全策略拦截。
• 防火墙：管理口已加入正确安全域，域间策略放行 SMP IP 到 832/8443。

四、快速验证命令（防火墙侧）

五、总结

• Web HTTPS（443）≠ SOAP HTTPS（832），是两个独立服务、两个独立端口。
• 改 Web 端口不影响 SOAP，但SMP 必须用 SOAP 的 832 端口，且防火墙要开启并放行该端口。
• 配置顺序：防火墙开 SOAP→放行端口→SMP 模板填对 SOAP 端口。