防火墙替换
- 0关注
- 0收藏，63浏览
1. 确认接口配置
检查连接光猫的接口IP是否为光猫同网段DHCP获取/静态配置，且接口加入正确安全域：
display ip interface brief //查看接口IP状态
display security-zone //确认接口所属安全域
若为DHCP获取，确认接口已开DHCP客户端：ip address dhcp-alloc
2. 安全策略放通
V7默认域间 deny，需放通 本地→光猫所在域、光猫所在域→本地 的ICMP及对应业务策略：
display security-policy rule all //查看现有策略
新增放通示例（假设光猫在untrust域）：
security-policy
rule name ping_ont
source-zone local untrust
destination-zone local untrust
action pass
3. 路由检查
确认到光猫网段路由存在（一般直连路由自动生成）：
display ip routing-table 光猫网段
4. ARP检查
查看是否学到光猫ARP：
display arp interface 连接光猫的接口
无ARP可手动触发：ping 光猫IP -c 1
5. 光口协商检查
光口替换后确认协商正常：
display interface 光口编号 //查看链路状态、协商速率
从V5防火墙更换为V7防火墙后，无法ping通光猫网关，根本原因在于V5和V7两代防火墙系统在默认安全策略上的巨大差异。
简单来说，H3C V5防火墙默认放行所有流量，而V7防火墙默认拒绝所有流量。因此，新防火墙接管网络后，由于安全策略的限制，ping报文（ICMP协议）被默认丢弃了。这并非硬件故障，而是需要在新防火墙上进行必要的策略配置。
核心配置步骤：放通PING流量
要解决此问题，需要在V7防火墙上完成以下两步核心配置：
1. 将接口加入安全域
V7防火墙的接口默认不属于任何安全域，因此无法处理任何流量。首先需要将连接光猫的接口（假设为GigabitEthernet1/0/1）加入一个安全域，例如Untrust域。
2. 配置安全策略，放行ICMP流量
接口加入安全域后，还需要创建明确的安全策略来允许特定流量。本例中，需要允许从Local域（防火墙自身）到Untrust域（光猫所在区域）的ICMP报文通过。
service ping：这个参数明确指定放行ICMP协议的ping报文。action pass：表示允许匹配的流量通过。
其他排查方向
如果完成上述配置后问题依旧，可以再检查以下几点：
检查NAT配置：确保防火墙没有对去往光猫网关的流量做不必要的NAT转换。通常，防火墙与直连网关之间的流量不需要NAT。
检查路由表：确保防火墙有到达光猫网关的正确路由。
查看会话表项：通过
display session table命令检查ping请求的会话状态，确认报文是否被正确转发或丢弃。
完成配置后，建议执行save命令保存配置，防止设备重启后配置丢失。
V5 防火墙替换为 V7 防火墙：外网光猫 DHCP 获取地址，防火墙自身 ping 不通光猫网关
现象：V5 旧防火墙接光猫 DHCP 正常，可以 ping 光猫网关；更换 V7 版本防火墙，WAN 接口 DHCP‑client 可以拿到 IP 地址、掩码、网关，但是防火墙本机 ping 光猫网关不通，内网有可能也上不了外网。 本质差异：V5 和 V7 安全域、local 域策略、service‑manage 机制完全不同；V5 很多域间默认放通，V7 全部默认拒绝，本机始发 ICMP 访问外网网关也要放行策略。
第一步基础信息收集（先确认底层没问题）
#1、确认外网接口UP，DHCP拿到参数
display ip interface brief
display dhcp client interface GigabitEthernet 1/0/X
#2、确认路由表，DHCP自动生成的默认路由是否存在
display ip routing‑table
#3、看ARP，是否学到光猫网关MAC（重点！学不到MAC一定ping不通）
display arp interface GigabitEthernet 1/0/X
- 情况 A：ARP 表里面没有光猫网关 MAC 地址：二层问题；检查网线、光猫端口、速率双工、运营商 MAC 绑定（旧 V5 设备 MAC 被光猫 / 运营商绑定）H3C。
- 情况 B：ARP 可以学习到网关 MAC，但是 ping 不通：V7 安全策略（Local 域）拦截本机 ICMP 报文（最常见）。
场景 B：ARP 正常学到网关 MAC，ping 不通网关（绝大多数现场）
V7 防火墙设备自身发出的 ping 报文属于 Local 安全域流量；外网 WAN 口属于 Untrust 安全域；默认 Local‑>Untrust 全部 deny，即使是直连网关的 ICMP 也被拦截，V5 版本没有这么严格限制，所以旧设备正常，换新 V7 就异常。
修复方案两种（二选一）
方案 1：接口下 service‑manage 放行 ICMP（推荐，粒度小）
外网 DHCP 接口下开启 service‑manage ping，允许防火墙本机从该接口发出 ping 报文。
system‑view
interface GigabitEthernet 1/0/X #对接光猫的外网接口
service‑manage ping
quit
⚠️service‑manage ping：只控制防火墙本机（Local 域）访问该接口对端设备；不控制内网穿越防火墙业务流量。配置完成之后再 ping 光猫网关测试。
方案 2：域间安全策略放通 Local‑>Untrust ICMP
security‑policy
rule name Local‑To‑Untrust‑Ping
source‑zone local
destination‑zone untrust
service icmp
action permit
quit
其他高频踩坑点（V5 迁移 V7 特有）
坑 1：运营商光猫绑定旧防火墙 V5 的 MAC 地址
光猫 DHCP 分配地址，但不回复 ARP，新 V7 防火墙学不到网关 ARP。
- 处理：V7 外网接口克隆旧 V5 防火墙的 MAC 地址
interface GigabitEthernet 1/0/X
mac‑address xxxx‑xxxx‑xxxx
quit
或者光猫管理页解除 MAC 绑定。
坑 2：接口没有加入 untrust 安全域
V7 所有三层接口必须划入安全域，如果外网接口没有加入 untrust 域，直连网段通信异常。
system‑view
interface GigabitEthernet 1/0/X
port‑security‑zone untrust
quit
坑 3：DHCP‑client 没有自动生成默认路由
查看display ip routing‑table，确认存在 DHCP 获取生成的 0.0.0.0/0 路由。
接口 DHCP 客户端模式，默认会自动生成默认路由；如果缺失，接口下配置：
interface GigabitEthernet1/0/X
dhcp client gateway‑detect enable
quit
坑 4：MTU/MSS 问题（ping 大包不通，ping 小包通）
光猫 PPPoE 场景，外网接口 MTU 建议 1492，避免分片丢包。
内网上网额外检查（ping 通光猫网关之后还要确认）
- 内网接口加入 trust 安全域；
- 安全策略
trust‑>untrust permit； - 源 NAT 策略，内网网段做源 NAT 转换外网接口；
nat‑policy
rule name nat‑inner
source‑zone trust
destination‑zone untrust
action nat easy‑ip
quit
完整排错执行顺序
- 确认接口 UP，DHCP 拿到 IP / 网关；
display arp确认学到光猫网关 MAC；- 外网接口加入 untrust 安全域；
- 接口配置
service‑manage ping； - ping 光猫网关测试；
- 不通检查是否运营商绑定旧设备 MAC，克隆 MAC；
- 网关通之后再调试内网安全策略 + 源 NAT。
小结：V5 迁移 V7 最大变化：防火墙本机发起访问直连外网网关，也受安全域 Local‑>Untrust 管控，需要 service‑manage ping 或者域间策略放行 ICMP，V5 无该限制，替换设备之后就出现 ping 不通网关现象。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
老师，我获取到了地址也正常放通了策略，并且也有arp