H3C F100-C-G5防火墙配置国内白名单IP配置问题

根源在于出口白名单策略的“全量匹配”机制，对防火墙F100-C-G5形成了巨大的性能压力。这导致CPU处理不过来，出现丢包甚至断网。

 问题根源：性能瓶颈，而非配置错误

当一条策略的源或目的地址引用了一个包含数千个IP的对象组时，防火墙需要对每一个数据包进行逐条规则匹配，直到找到匹配项或遍历完整个列表。这个过程会消耗大量CPU资源，尤其在多用户并发上网时，CPU极易达到瓶颈，从而导致你描述的“有时候连百度都打不开，很多时候都好像断网”的现象。

 解决方案：从“全量匹配”到“精确优先”

优化的核心是大幅减少每个数据包需要遍历的规则数量。建议你按以下顺序调整：

1. 优化策略顺序，确保“精确优先”

安全策略默认按创建顺序从上到下匹配。你需要登录防火墙，通过 display security-policy ip 查看当前策略顺序。

将最精确、匹配范围最小的策略放在最前面。例如，一条针对特定服务器（如 10.0.0.5）的允许策略，应放在引用大地址组的策略之前。这样，这部分流量匹配第一条规则后就会停止，不会再往下遍历那5500个IP，极大减轻了CPU负担。

2. 合并地址组，减少对象数量

你的5500个IP分散在两个组里。建议将两个组的内容合并到一个对象组中（如果设备版本支持），或创建一个父级对象组，将cn_grp1和cn_grp2作为子对象嵌套进去。这样做的好处是，防火墙在匹配时，可以一次性检查合并后的组，减少内部处理的开销。

注意：请先确认F100-C-G5对单个对象组的最大条目数限制。有资料显示M9000系列单组上限可能为1024个对象，F100-C-G5可能更低。如果合并后超限，则此方案不可行。

3. 使用“例外”策略，减少白名单规模

如果出站白名单的目的是放行大部分国内网站，只拒绝少数恶意或高风险IP，更高效的策略是黑名单模式：

• 创建一条允许所有出站流量的宽松策略，放在最底部。

• 创建一条拒绝特定恶意IP的策略，放在允许策略之前。
  这样，防火墙只需匹配少数黑名单条目就能做出决定，大大减少了匹配工作量。

4. 开启“策略匹配加速”功能

H3C防火墙支持策略匹配加速功能，能显著提升连接建立和报文转发性能。建议在系统视图下检查并开启：

请通过 display security-policy accelerate 确认当前状态，并参考设备版本说明确认支持性。

 关键注意事项

• 性能影响：向防火墙添加大量IP地址（如10000条）肯定会占用设备资源，影响性能。5500个IP已属于较大规模，优化是必要的。

• 会话数限制：除了CPU，还需关注并发会话数是否接近设备上限。会话数超限也会导致丢包。可通过 display session statistics 查看。

• 版本差异：不同软件版本对对象组数量、策略加速的支持存在差异。建议查阅对应版本的配置指导。

可以在打不开某个网站的时候抓包，看是不是有地址没放通

抓包看看访问不了的网站是不是在地址对象里了

1. 故障根源：一条安全策略同时引用 2 个超大地址组（合计 5500 条 IP），F100-C-G5 硬件 TCAM 资源耗尽，CPU 升高、策略匹配性能差，网页打开不稳定；百度 IP 不在白名单或者 DNS 报文被策略阻断也会打不开。
2. 需求是出站白名单，入站不需要引用国内 IP 白名单，入站配置可以删掉，减少资源占用。
3. 优化方案：拆成两条安全策略，分别引用 cn_grp1、cn_grp2；策略配置完成后执行安全策略加速。
4. 额外关键点：DNS 服务器 IP 必须加到白名单，否则域名解析失败，网页打不开；国内 IP 白名单是静态 IP 列表，百度会有多个动态 IP，部分 IP 不在清单内就访问失败。
5. 长期建议：超大 IP 白名单不建议用安全策略目的 IP 匹配；优先用 DNS 过滤域名白名单方案。
6. 检查命令：display security-policy statistics、display qos-acl resource查看 TCAM 资源占用。