问题描述：
华为防火墙上配置
firewall detect netbios（华为的aspf和alg均是该配置）
在我们华三防火墙的alg与aspf上均不存在netbios那么 那么如何将华为的firewall detect netbios翻译为华三的，之前听说是要写安全策略，如果写安全策略的话需要怎么写
组网及组网描述：
华为防火墙上配置
firewall detect netbios（华为的aspf和alg均是该配置）
在我们华三防火墙的alg与aspf上均不存在netbios那么 那么如何将华为的firewall detect netbios翻译为华三的，之前听说是要写安全策略，如果写安全策略的话需要怎么写
zhiliao_Gixe
五段
华为firewall detect netbios本质是开启NetBIOS协议的多通道报文解析、载荷内嵌IP地址NAT转换、动态放行关联子连接，H3C主流V7防火墙无预置NetBIOS的ASPF/ALG条目，通过以下配置实现完全等效效果：
1. 定义NetBIOS服务对象：
object-group service srv-netbios
port udp 137
port udp 138
port tcp 139
2. 配置自定义ASPF策略实现动态通道放行：
aspf policy 1
rule 1 permit service srv-netbios
3. 在业务互访的域间实例下绑定ASPF策略，例如Trust与Untrust互访场景：
zone-pair security source trust destination untrust
aspf apply policy 1
zone-pair security source untrust destination trust
aspf apply policy 1
4. NAT场景下开启自定义ALG支持NetBIOS载荷内嵌IP转换：
nat alg custom protocol netbios udp 137 138 tcp 139
5. 配套配置安全策略，匹配对应源目安全域、业务地址段，关联srv-netbios服务，动作配置为permit即可。
如果是老旧V5平台，直接配置双向放通上述3个端口的安全策略，同时将对应会话老化时间调整为300秒以上避免会话提前回收。
1. 定义NetBIOS服务对象：
object-group service srv-netbios
port udp 137
port udp 138
port tcp 139
2. 配置自定义ASPF策略实现动态通道放行：
aspf policy 1
rule 1 permit service srv-netbios
3. 在业务互访的域间实例下绑定ASPF策略，例如Trust与Untrust互访场景：
zone-pair security source trust destination untrust
aspf apply policy 1
zone-pair security source untrust destination trust
aspf apply policy 1
4. NAT场景下开启自定义ALG支持NetBIOS载荷内嵌IP转换：
nat alg custom protocol netbios udp 137 138 tcp 139
5. 配套配置安全策略，匹配对应源目安全域、业务地址段，关联srv-netbios服务，动作配置为permit即可。
如果是老旧V5平台，直接配置双向放通上述3个端口的安全策略，同时将对应会话老化时间调整为300秒以上避免会话提前回收。
你担心的策略写法是对的。问题的关键不在于设备不支持，而在于华三的设备已经不推荐使用“基于应用层状态检测”的旧办法，而是采用现代防火墙更主流的“安全策略”来精细控制。
下面就是两种思路的具体转换方法，供你参考。
方案一：配置ASPF检测 (传统功能“翻译”)
这最接近你提到的“翻译”想法。如果华三防火墙支持，你可以用 detect nbt 命令来实现类似华为 detect netbios 的功能。
命令行配置
# 1. 进入系统视图
值得注意的是：在新版本的Comware V7系统中，ASPF的配置思路和命令可能会有些调整。如果找不到
aspf policy命令，就需要用下面更稳妥的“安全策略”办法来实现。
强烈推荐：方案二：通过安全策略精确放行 (现代化方案)
这是目前华三推荐的标准做法。这里没有直接的“翻译”，而是通过放行NetBIOS相关的通信端口（137/UDP, 138/UDP, 139/TCP）来达到同样的放通效果。
命令行配置
# 1. 进入系统视图
华为 firewall detect netbios 等效翻译成 H3C 防火墙配置
先讲核心原理，再给你直接可用配置，不用猜、不用凑。
一、原理对齐
华为
firewall detect netbios作用：开启 NetBIOS 应用层网关 / 多通道报文解析，放行 NetBIOS 协议的动态端口、会话检测、多通道穿透，本质就是：NetBIOS 协议 ALG + ASPF 智能报文检测。H3C 没有单独 netbios detect 命令
H3C 实现同样效果靠两种组合：
- 全局开启 ASPF 智能应用检测
- 安全策略里放行 NetBIOS 标准端口
- H3C 底层对 NetBIOS 自带 ALG 适配，不用单独敲 alg netbios
二、NetBIOS 协议端口（必须放行）
NetBIOS 涉及三个关键端口：
- UDP 137（NetBIOS Name）
- UDP 138（NetBIOS Datagram）
- TCP 139（NetBIOS Session）
三、H3C 等效配置（完全对标华为 firewall detect netbios）
1. 全局开启 ASPF（对应华为 detect 检测能力）
bash
运行
system-view
# 全局启用ASPF 应用层智能检测
firewall aspf enable all
2. 自定义服务组（把 NetBIOS 端口打包）
bash
运行
# 创建服务组
service-group NETBIOS
port udp 137
port udp 138
port tcp 139
3. 写安全策略（业务放通，对标华为 detect 穿透）
场景 1：内网 Trust → 外网 Untrust
bash
运行
security-policy ip
rule permit-netbios
source-zone Trust
destination-zone Untrust
service-group NETBIOS
action pass
场景 2：全网互访需要就放通对应域间，替换源目域即可
四、关键补充说明
- H3C 开启 firewall aspf enable all 后自动对 NetBIOS、FTP、SIP、H323 等多通道协议做应用层解析、动态端口放行，等效华为的 detect 机制。
- 不用单独配 ALGH3C 版本 7.1/7.2 默认对 NetBIOS 已经内置 ALG 处理，只要：
- 开了 ASPF
- 放通 137/138/139就和华为
firewall detect netbios效果完全一致。
- 不用找 netbios 专属命令华三没有这条单独指令，就是 ASPF + 放通三个端口 标准替代方案，行业通用做法。
五、最简总结
华为：
plaintext
firewall detect netbios
华三等效替代：
firewall aspf enable all- 新建服务组放通 TCP139、UDP137、138
- 域间安全策略放行该服务组
您好，这个不是会在应用层面会随机一个端口号的嘛，如果只是安全策略进行放通，会不会对原有的业务造成影响
zhiliao_k5TGPq
发表时间：4天前
更多>>
您好，这个不是会在应用层面会随机一个端口号的嘛，如果只是安全策略进行放通，会不会对原有的业务造成影响
zhiliao_k5TGPq
发表时间：4天前
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明