防火墙如何开启和打开状态检测模式，如何查看当前是否为状态检测模式

DPI？

H3C 防火墙（F1000-AK、F1000-C、SecPath M9000 全系）状态检测（ASPF）配置 + 查看方法
H3C 防火墙默认全局已经开启状态检测 ASPF（状态防火墙核心机制），无需额外全局开启；只有部分特殊场景需要手动关闭 / 开启单协议 ASPF。
一、概念说明
状态检测 = ASPF（Auto Scan Packet Filter，H3C 状态检测技术名称）
防火墙基于五元组建立会话表，只放行内网主动发起出去的回程流量，外网主动入站流量默认阻断，就是状态检测模式。
只要防火墙工作在路由模式 / 透明模式，默认全局 aspf enable 生效。
二、全局 ASPF 状态检测开关（全局层面）
1. 开启全局状态检测（出厂默认开启）
h3c
system-view
aspf enable
2. 关闭全局状态检测（极少使用，关闭后变成包过滤防火墙）
h3c
undo aspf enable
三、精细化：基于安全区域开启 ASPF（推荐标准部署方式）
企业标准做法：在域间策略开启 ASPF，管控跨域流量的状态检测，优先级高于全局配置。
常用域：Trust（内网）、Untrust（互联网）、DMZ（服务器区）
h3c
# 在内网Trust访问外网Untrust方向开启状态检测
security-zone interzone trust untrust
aspf enable
quit

# DMZ主动访问外网也开启状态检测
security-zone interzone dmz untrust
aspf enable
quit
域间配置 ASPF 优先级 > 全局 ASPF。
四、针对多通道协议开启 ASPF（FTP、SQL、RTSP 等，解决多通道放行问题）
状态检测默认只处理单流 TCP/UDP；FTP 主动 / 被动模式等多通道协议，需要单独开启对应协议的 ASPF 解析：
h3c
system-view
aspf enable protocol ftp
aspf enable protocol rtsp
aspf enable protocol sqlnet
aspf enable protocol h323
五、查看当前是否处于状态检测模式（3 条核查命令）
1. 查看全局 ASPF 总开关状态
h3c
display current-configuration | include aspf enable
回显存在 aspf enable：全局开启状态检测；
无回显 / undo aspf enable：全局关闭状态检测。
2. 查看域间安全域的 ASPF 配置（最准确，工程核验用）
h3c
display zone-pair security trust untrust
查看输出中的 ASPF status: Enabled / Disabled。
3. 查看会话表（最直观验证是否在状态检测模式）
只要防火墙正常生成会话表，就代表状态检测在生效：
h3c
display session table count
display session table verbose
正常有大量 TCP/UDP 会话条目 = 状态检测工作正常；
无会话表、所有流量依靠 ACL 放行 = 状态检测被关闭。
4. 查看各协议 ASPF 功能启用情况
h3c
display aspf configuration
六、补充关键点
H3C 防火墙出厂默认：全局 ASPF 开启 + 域间默认开启状态检测，绝大多数场景不用配置；
如果你发现外网能主动访问内网任意主机，大概率是：域间 ASPF 被关闭、安全策略全放通、或者配置了 NAT inbound 映射；
透明模式、路由模式均支持 ASPF 状态检测。
七、快速判断总结
执行 display zone-pair security trust untrust，ASPF Status 为 Enabled → 状态检测已开启；
能正常生成会话表 = 状态防火墙模式；
全局 undo aspf enable 之后，防火墙退化成为普通 ACL 包过滤防火墙。

H3C防火墙的状态检测功能，在Comware V7系统中通常默认就是开启的。不过，如果你的设备配置被修改过，或者你想确认当前状态，可以参考下面的方法。

⚙️ 如何开启状态检测模式（ASPF）

状态检测依赖于ASPF（高级状态包过滤） 策略，它通常应用在安全域间实例（即不同安全域之间的通道）上。

1. 进入系统视图：

   text

   <H3C> system-view

2. 配置安全域间策略并开启状态检测：

   • 首先，创建或进入你想要配置的域间策略视图。例如，配置从 Trust 域到 Untrust 域的策略：

     text

     [H3C] policy interzone trust untrust inbound

   • 在策略视图中，执行命令开启状态检测功能：

     text

     [H3C-policy-interzone-trust-untrust-inbound] stateful enable

     stateful enable 命令就是显式开启状态检测的开关。如果之前被关闭（stateful disable），用这个命令就能重新打开。

3. （可选）配置更精细的ASPF策略：
   系统默认的ASPF策略支持对常见协议（如TCP、UDP、FTP等）进行检测。如果需要更精细的控制，可以自定义ASPF策略并引用到域间实例上。

🔍 如何查看当前是否为状态检测模式

• 方法一：查看域间策略配置
  这是最直接的方法，可以精确查看特定域间的状态检测是否开启。

  text

  display security-policy interzone trust untrust inbound

  在输出信息中，如果看到 stateful enable 的字样，就表示状态检测功能已开启。

• 方法二：查看会话表（Session Table）
  状态检测防火墙的核心是维护会话表。如果防火墙在处理流量并生成会话，就说明状态检测功能在正常工作。

  text

  display session table ipv4 verbose

  如果这个命令能显示出丰富的会话信息（包括协议、状态、地址等），就说明状态检测功能是生效的。

💡 重要补充说明

• ASPF与状态检测：在H3C设备中，ASPF（高级状态包过滤）是实现状态检测的核心技术。可以说，开启ASPF就是开启了高级的状态检测功能。

• inspect bypass 命令：这个命令用于全局关闭应用层检测引擎。如果执行了 inspect bypass，则会关闭所有应用层协议的检测功能。正常情况下，应确保此功能处于关闭状态（undo inspect bypass）。

• TCP首包检测：作为状态检测的一部分，ASPF还可以开启对TCP连接首包的严格检查（要求必须是SYN报文）。这可以在ASPF策略中进行配置。