问

如何关闭防火墙ipv6的http服务，保留ipv4的http服务

Web防护

9小时前提问

0关注
0收藏，50浏览

zhiliao_k0vr1V

zhiliao_k0vr1V 四段

粉丝：0人关注：1人

问题描述：

如何关闭防火墙ipv6的http服务，保留ipv4的http服务

F5000-M-G2

undo ipv6 http en

dis tcp 还是可以看到80端口打开了

ipv6和ipv4的http服务是一个开关，还是分开的

组网及组网描述：

如何关闭防火墙ipv6的http服务，保留ipv4的http服务

F5000-M-G2

undo ipv6 http en

dis tcp 还是可以看到80端口打开了

ipv6和ipv4的http服务是一个开关，还是分开的

3 个回答

按时间按赞数

已采纳

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：19人关注：2人

IPv4/IPv6 设备 Web 管理 HTTP 是同一个全局服务开关
ip http enable 一开，设备同时监听 IPv4 0.0.0.0:80 + IPv6 [::]:80；
undo ipv6 http enable 这条命令不存在、无效，防火墙没有单独关闭 IPv6 HTTP 服务的全局开关，所以执行后display tcp依旧能看到 tcp6 80 监听。
需求：保留 IPv4 HTTP 管理、彻底封禁 IPv6 HTTP 访问，分两种方案：
方案 1（推荐，彻底阻断）：IPv6 HTTP 绑定空 ACL，拒绝所有 IPv6 客户端连接；
方案 2（兜底）：域间 Local 域拦截所有 IPv6 入站 80；
你看到 80 端口 tcp6 还在 LISTEN，是服务进程本身同时监听双协议栈，ACL 只是拒绝新建连接，不会关闭端口监听状态。
二、为什么 undo ipv6 http en 无效？
F5000-M-G2 V7 防火墙命令区分：
ip http enable：全局开启设备 Web HTTP（同时支持 IPv4+IPv6）
http ipv6 acl：单独控制 IPv6 侧 HTTP 访问权限（唯一隔离 IPv6 Web 的标准命令）
没有 ipv6 http enable / undo ipv6 http enable 这条系统视图命令，输入会提示命令不存在，你执行的语句不生效，端口自然还在监听。
三、方案 1：ACL 隔离 IPv6 HTTP（最优，仅封 IPv6 Web，IPv4 不受影响）
步骤 1：创建 IPv6 高级 ACL，拒绝所有 IPv6 访问本机 HTTP
plaintext
system-view
# 新建IPv6高级ACL 3000
acl ipv6 advanced 3000
rule deny tcp any eq 80
rule permit ip any any
quit
步骤 2：绑定 ACL 到 IPv6 HTTP 服务，阻断所有 IPv6 客户端
plaintext
http ipv6 acl 3000
验证
IPv4 地址正常 http:// 防火墙 IP 登录，不受任何限制；
任意 IPv6 地址访问防火墙 http [ipv6 地址] 直接连接被拒绝；
display tcp 依旧显示 tcp6 80 LISTEN，属于正常现象（进程监听套接字未关闭，但新建连接全部拦截）。
配套 HTTPS 同步处理（可选，同步封 IPv6 443）
plaintext
https ipv6 acl 3000
查看当前绑定状态
plaintext
display http ipv6 acl
display https ipv6 acl
四、方案 2：域间策略拦截 IPv6 本地 80（双重保险）
防火墙所有访问本机管理流量都会经过安全域→Local域策略，叠加一层拦截：
plaintext
# 进入所有外网/业务域到Local域的IPv6策略
interzone ipv6 source any destination local
rule 10 deny service http
rule enable
quit
作用：从报文转发层面直接丢弃 IPv6 访问本机 80 的流量，双重防护。
五、排查：如果 80 端口仍被占用（其他功能占用）
执行查看全量 TCP 监听，确认 80 占用进程：
plaintext
display tcp verbose
若输出中除了 Web HTTP，还有以下进程占用 80，需要额外关闭：
URL 自动下发功能（autodeploy url）
plaintext
undo autodeploy url enable
Netconf SOAP HTTP
plaintext
undo netconf soap http enable
SMARTMC 运维管理组件
plaintext
undo smartmc tc enable
关闭后保存配置，重启设备 Web 服务：
plaintext
undo ip http enable
ip http enable
六、关键补充说明
端口 LISTEN ≠ 允许访问
tcp6 [::]:80 LISTEN 只是进程套接字存在，绑定http ipv6 acl deny后，所有 IPv6 新建连接直接丢弃，外部无法通过 IPv6 访问 Web；
无法单独关闭 IPv6 监听套接字
V7 防火墙 Web 服务是双栈统一进程，不能只监听 IPv4、关闭 IPv6 套接字，只能通过 ACL 访问控制隔离；
区分两个概念
全局开关ip http enable：控制 Web 服务是否启用（IPv4+IPv6 一起开 / 关）
http ipv6 acl：仅控制 IPv6 侧客户端能否连接本机 Web，互不影响 IPv4 访问。
最简可直接复制完整配置
plaintext
system-view
acl ipv6 advanced 3000
rule deny tcp any eq www
rule permit ipv6
quit
http ipv6 acl 3000
https ipv6 acl 3000
# 可选域间兜底
interzone ipv6 source any destination local
rule 10 deny service http
rule enable
quit
save

暂无评论

zhiliao_Gixe

zhiliao_Gixe 六段

粉丝：12人关注：9人

1. 排查步骤：
确认设备是否支持独立控制IPv4和IPv6的HTTP服务：F5000-M-G2的HTTP服务默认是同时监听IPv4和IPv6，undo ipv6 http enable仅关闭IPv6的HTTP监听，但需检查是否还有其他配置导致IPv6端口仍开放。
执行命令：display http server status，查看IPv4和IPv6的HTTP服务状态。
若IPv6 HTTP服务已关闭但仍有80端口监听，可能是设备bug或配置残留，尝试重启HTTP服务：undo http server enable，再http server enable（仅开启IPv4）。
2. 关键命令：
关闭IPv6 HTTP服务：undo ipv6 http enable
查看HTTP服务状态：display http server status
重启HTTP服务（仅保留IPv4）：
undo http server enable
http server enable
3. 原理说明：
H3C防火墙的HTTP服务默认同时监听IPv4和IPv6地址，undo ipv6 http enable会关闭IPv6的监听，但需确保无其他配置（如绑定IPv6地址的HTTP服务）。若dis tcp仍显示IPv6的80端口，可能是设备未完全生效，重启HTTP服务可解决。
4. 补充检查：
检查是否配置了ipv6 http server enable（部分版本可能需要明确关闭）。
确认设备版本是否存在相关bug，必要时升级版本。