问
F100-C60-WINET防火墙端口不通
1小时前提问
- 0关注
- 0收藏，34浏览
zhiliao_Gixe
九段
以下是F100-C60-WINET防火墙端口不通的常用排查步骤与配置方案：
1. 确认接口域与安全策略
接口加入安全域： 将连接互联网的接口（G1/0/1）加入 Untrust 域，内网接口（G1/0/2等）加入 Trust 域。
shell
进入内网口
interface GigabitEthernet 1/0/2
port security-zone trust
进入外网口
interface GigabitEthernet 1/0/1
port security-zone untrust
放通安全策略： 确保 Trust 到 Untrust 的策略允许流量通过。
shell
security-policy ip
rule name trust_to_untrust
source-zone trust
destination-zone untrust
source-ip any
destination-ip any
service any
action pass
2. 检查 NAT 配置
防火墙通常需要配置 Easy IP 进行地址转换才能上网。
shell
1. 定义 ACL
acl basic 2000
rule 0 permit source 192.168.1.0 0.0.0.255
2. 在外网口应用 NAT
interface GigabitEthernet 1/0/1
nat outbound 2000
3. 路由与接口 IP
配置默认路由指向光猫/公网网关。
确认内网 PC 的网关指向防火墙内网口 IP。
4. 零段（192.168.0.0/24）注意事项
部分防火墙出厂默认管理地址与外网光猫网段冲突（都是192.168.0.1/24）。
建议： 将防火墙内网 IP 改为 192.168.1.1/24，避免路由冲突。
1. 确认接口域与安全策略
接口加入安全域： 将连接互联网的接口（G1/0/1）加入 Untrust 域，内网接口（G1/0/2等）加入 Trust 域。
shell
进入内网口
interface GigabitEthernet 1/0/2
port security-zone trust
进入外网口
interface GigabitEthernet 1/0/1
port security-zone untrust
放通安全策略： 确保 Trust 到 Untrust 的策略允许流量通过。
shell
security-policy ip
rule name trust_to_untrust
source-zone trust
destination-zone untrust
source-ip any
destination-ip any
service any
action pass
2. 检查 NAT 配置
防火墙通常需要配置 Easy IP 进行地址转换才能上网。
shell
1. 定义 ACL
acl basic 2000
rule 0 permit source 192.168.1.0 0.0.0.255
2. 在外网口应用 NAT
interface GigabitEthernet 1/0/1
nat outbound 2000
3. 路由与接口 IP
配置默认路由指向光猫/公网网关。
确认内网 PC 的网关指向防火墙内网口 IP。
4. 零段（192.168.0.0/24）注意事项
部分防火墙出厂默认管理地址与外网光猫网段冲突（都是192.168.0.1/24）。
建议： 将防火墙内网 IP 改为 192.168.1.1/24，避免路由冲突。
暂无评论
故障根因
V7 防火墙接口必须加入安全域、配置安全策略、NAT、路由，接口接线通灯亮不代表报文可以转发H3C。
- GE1/0/1（外网）需要加入
Untrust非信任域；接交换机的内网接口全部加入Trust信任域。 - 缺少安全策略放行 Trust→Untrust 内网访问外网流量。
- 缺少源 NAT（SNAT），内网网段访问外网没有做地址转换。
- 缺少默认路由指向上游路由器。
WiNet 系列出厂向导配置才会自动生成全套策略，手动接线只插网线，接口不会自动生效转发。
完整 CLI 配置步骤
1、接口与安全域划分
GE1/0/1 为外网口，接路由器；GE1/0/2‑GE1/0/8 接内网交换机。
system‑view
#外网接口GE1/0/1加入Untrust域
security‑zone name untrust
import interface GigabitEthernet 1/0/1
quit
#内网接口全部加入Trust域
security‑zone name trust
import interface GigabitEthernet 1/0/2
import interface GigabitEthernet 1/0/3
import interface GigabitEthernet 1/0/4
import interface GigabitEthernet 1/0/5
import interface GigabitEthernet 1/0/6
import interface GigabitEthernet 1/0/7
import interface GigabitEthernet 1/0/8
quit
接口配置 IP：GE1/0/1 配置上游同网段外网 IP / 网关；内网各接口配置内网网段 IP。
2、配置默认静态路由（指向上游路由器）
ip route‑static 0.0.0.0 0.0.0.0 x.x.x.x
x.x.x.x 为上游路由器对接防火墙 GE1/0/1 的网关 IP。
3、配置安全策略，允许内网 Trust 访问外网 Untrust
security‑policy ip
rule name trust‑to‑untrust permit
source‑zone trust
destination‑zone untrust
source‑ip‑address any
destination‑ip‑address any
quit
4、配置源 SNAT，内网访问外网做地址转换
nat address‑group 1
address x.x.x.x x.x.x.x
quit
security‑policy ip
rule name nat‑trust‑untrust permit
source‑zone trust
destination‑zone untrust
source‑ip‑address any
destination‑ip‑address any
nat address‑group 1
quit
地址组填写外网接口可用公网 IP；如果运营商是 DHCP 获取外网地址，可以使用
easy‑ip，直接复用接口 IP 做 NAT。 easy‑ip 写法示例：
security‑policy ip
rule name nat‑trust‑untrust permit
source‑zone trust
destination‑zone untrust
nat easy‑ip
quit
5、保存配置
save
Web 界面快速排查点（如果用网页管理）
- 网络‑安全域：确认外网口在 Untrust、内网口全部在 Trust；
- 安全‑安全策略：确认 Trust 到 Untrust 有 permit 放行策略，开启源 NAT；
- 网络‑路由：确认存在默认路由指向上游路由器；
- 网络‑接口：确认接口 IP 地址配置正确，接口物理状态 UP。
排查排错命令
#查看接口属于哪个安全域
display security‑zone
#查看安全策略匹配计数，看是否有报文命中
display security‑policy ip statistics
#查看路由表确认默认路由存在
display ip routing‑table
#查看NAT会话，内网访问外网看是否生成会话表项
display session table
常见误区
❌网线插好、接口灯亮就可以通：防火墙必须安全域 + 安全策略 + NAT + 路由四要素全部齐全才转发报文，单纯接线无法转发业务流量。
一句话总结：F100‑C60‑WiNet 需要外网接口加入 Untrust 域、内网接口加入 Trust 域，配置 Trust 到 Untrust 放行安全策略、SNAT 地址转换、默认路由，内网其余网口才可以访问互联网。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论