防火墙如何开启和打开状态检测模式，如何查看当前是否为状态检测模式

DPI？

H3C 防火墙（F1000-AK、F1000-C、SecPath M9000 全系）状态检测（ASPF）配置 + 查看方法
H3C 防火墙默认全局已经开启状态检测 ASPF（状态防火墙核心机制），无需额外全局开启；只有部分特殊场景需要手动关闭 / 开启单协议 ASPF。
一、概念说明
状态检测 = ASPF（Auto Scan Packet Filter，H3C 状态检测技术名称）
防火墙基于五元组建立会话表，只放行内网主动发起出去的回程流量，外网主动入站流量默认阻断，就是状态检测模式。
只要防火墙工作在路由模式 / 透明模式，默认全局 aspf enable 生效。
二、全局 ASPF 状态检测开关（全局层面）
1. 开启全局状态检测（出厂默认开启）
h3c
system-view
aspf enable
2. 关闭全局状态检测（极少使用，关闭后变成包过滤防火墙）
h3c
undo aspf enable
三、精细化：基于安全区域开启 ASPF（推荐标准部署方式）
企业标准做法：在域间策略开启 ASPF，管控跨域流量的状态检测，优先级高于全局配置。
常用域：Trust（内网）、Untrust（互联网）、DMZ（服务器区）
h3c
# 在内网Trust访问外网Untrust方向开启状态检测
security-zone interzone trust untrust
aspf enable
quit

# DMZ主动访问外网也开启状态检测
security-zone interzone dmz untrust
aspf enable
quit
域间配置 ASPF 优先级 > 全局 ASPF。
四、针对多通道协议开启 ASPF（FTP、SQL、RTSP 等，解决多通道放行问题）
状态检测默认只处理单流 TCP/UDP；FTP 主动 / 被动模式等多通道协议，需要单独开启对应协议的 ASPF 解析：
h3c
system-view
aspf enable protocol ftp
aspf enable protocol rtsp
aspf enable protocol sqlnet
aspf enable protocol h323
五、查看当前是否处于状态检测模式（3 条核查命令）
1. 查看全局 ASPF 总开关状态
h3c
display current-configuration | include aspf enable
回显存在 aspf enable：全局开启状态检测；
无回显 / undo aspf enable：全局关闭状态检测。
2. 查看域间安全域的 ASPF 配置（最准确，工程核验用）
h3c
display zone-pair security trust untrust
查看输出中的 ASPF status: Enabled / Disabled。
3. 查看会话表（最直观验证是否在状态检测模式）
只要防火墙正常生成会话表，就代表状态检测在生效：
h3c
display session table count
display session table verbose
正常有大量 TCP/UDP 会话条目 = 状态检测工作正常；
无会话表、所有流量依靠 ACL 放行 = 状态检测被关闭。
4. 查看各协议 ASPF 功能启用情况
h3c
display aspf configuration
六、补充关键点
H3C 防火墙出厂默认：全局 ASPF 开启 + 域间默认开启状态检测，绝大多数场景不用配置；
如果你发现外网能主动访问内网任意主机，大概率是：域间 ASPF 被关闭、安全策略全放通、或者配置了 NAT inbound 映射；
透明模式、路由模式均支持 ASPF 状态检测。
七、快速判断总结
执行 display zone-pair security trust untrust，ASPF Status 为 Enabled → 状态检测已开启；
能正常生成会话表 = 状态防火墙模式；
全局 undo aspf enable 之后，防火墙退化成为普通 ACL 包过滤防火墙。