H3C SecPath F5000+攻击防范动态黑名单清除

Web 界面的清除统计按钮不是删除单条黑名单，是全局清除所有动态黑名单（内、外网 IP 全部释放），这是页面按钮设计问题。 正确操作：

1. 命令行单独解封指定 IP：reset blacklist ip 192.168.1.10（填写误封 IP）
2. 查看黑名单：display blacklist ip
3. 临时方案：可把容易误判的内网 IP 加入攻击防范白名单，避免被自动拉黑。

要点：勾选 IP 再点清除统计，不会只清勾选条目，是全清动态黑名单，不要用这个按钮做单条解封。

清除个数

你遇到的这个问题，根源在于 Web 界面那个 “清除源地址IPV4动态黑名单” 按钮的设计逻辑。它不是一个“删除选中项”的功能，而是一个批量清除命令，执行后会清除该类型下所有的动态黑名单条目，所以会把你封禁的内外部 IP 地址都一起清除掉。

 为什么会全部清除？

H3C 防火墙的动态黑名单（Dynamic Blacklist）是攻击防范或 IPS 模块在检测到攻击行为后，自动生成的临时封禁列表。你点击的按钮，其底层命令很可能是 reset blacklist ip 或类似的批量重置命令，设计目的是一次性清空所有动态生成的封禁条目，而不是只删除你勾选的那一条。

此外，Web 界面上的“攻击防范统计-黑名单”列表，可能并不显示所有动态黑名单条目，有些是由 IPS 模块独立管理的，但清除操作却会影响到它们。

🛠️ 解决方案：改用命令行精确删除

要只删除误封的特定 IP，最可靠的方法是使用命令行（CLI）进行精确操作。

1. 查看当前所有动态黑名单

首先登录防火墙的命令行界面，执行以下命令查看完整的动态黑名单表项，包括那些 Web 界面可能看不到的条目：

你也可以通过 | include <IP地址> 来过滤查看特定 IP 是否在列表中。

2. 精确删除单条误封的 IP

确认要删除的 IP 后，使用 undo 命令进行精确删除。请根据你的设备软件版本选择正确的命令格式：

• 通用格式（多数版本）：

  text

  undo ip blacklist dynamic source <IP地址>

  例如，删除误封的内部 IP 192.168.1.100：

  text

  undo ip blacklist dynamic source 192.168.1.100

• 备选格式（部分版本）：
  如果上述命令不生效，可以尝试：

  text

  reset blacklist ip <IP地址>

  这条命令在用户视图下执行。

3. 验证删除结果

再次执行 display ip blacklist dynamic，确认目标 IP 已从列表中消失。

 最佳实践：使用“豁免列表”防止误封

为了避免未来再次误封重要的内部 IP，更好的方法是配置动态黑名单豁免功能。这样，即使这些 IP 触发了攻击检测，防火墙也不会将其加入动态黑名单。

命令行配置示例：

Web界面配置路径（参考）：
进入 “策略” → “IPS策略” → “IPS全局设置”，找到 “黑名单豁免地址” 或 “动态黑名单白名单”，将信任的 IP 加入其中。

注意：这个豁免列表是 IPS 动态黑名单的专用白名单，和普通的 IP 白名单不是一回事，普通白名单无法阻止 IPS 模块自动拉黑。