华为防火墙配置翻译华三怎么做
- 0关注
- 0收藏，105浏览
问题描述：
华为防火墙命令翻译华三怎么配置：
firewall packet-filter default permit interzone local trust direction inbound
firewall packet-filter default permit interzone local trust direction outbound
firewall packet-filter default permit interzone local untrust direction inbound
firewall packet-filter default permit interzone local untrust direction outbound
firewall packet-filter default permit interzone local dmz direction inbound
firewall packet-filter default permit interzone local dmz direction outbound
firewall packet-filter default permit interzone trust untrust direction inbound
firewall packet-filter default permit interzone trust untrust direction outbound
firewall packet-filter default permit interzone trust dmz direction inbound
firewall packet-filter default permit interzone trust dmz direction outbound
firewall packet-filter default permit interzone dmz untrust direction inbound
firewall packet-filter default permit interzone dmz untrust direction outbound
#
firewall packet-filter basic-protocol enable
#
最佳答案
华三配置思路：
1. 创建安全域并加入接口：
security-zone name trust
import interface GigabitEthernet1/0/1
security-zone name untrust
import interface GigabitEthernet1/0/2
security-zone name dmz
import interface GigabitEthernet1/0/3
2. 配置域间策略，放行local到各安全域的流量：
zone-pair security source local destination trust
packet-filter 3000
zone-pair security source trust destination local
packet-filter 3000
zone-pair security source local destination untrust
packet-filter 3000
zone-pair security source untrust destination local
packet-filter 3000
zone-pair security source local destination dmz
packet-filter 3000
zone-pair security source dmz destination local
packet-filter 3000
3. 定义ACL 3000允许所有：
acl advanced 3000
rule 0 permit ip
注意：华三防火墙默认域间策略为拒绝，需显式放行。若需默认全通，可在每个zone-pair下应用permit all的ACL。Local域代表防火墙本身，与华为概念一致。
- 华为：
firewall packet‑filter default permit interzone xxx xxx direction xxx：对该域间所有未匹配 ACL 流量直接放行华为。- H3C V7 没有 “域间 packet‑filter default permit” 这条命令；H3C V7 是安全策略 security‑policy‑ip模型，所有跨域、本机 Local 流量全部由安全策略规则控制，无匹配规则直接丢弃H3C。
- 安全域名称一一对应：
Local(防火墙本机)、Trust、Untrust、DMZ，H3C 内置同名域，不需要新建H3C。- 华为
firewall packet‑filter basic‑protocol enable：放行 IP 头里面的基础协议报文 (GRE/ESP/AH 等)，H3C 不需要单独开关，安全策略允许对应协议就放行。
华为原始含义
把下面全部域间双向流量全部默认放行：
- Local ↔ Trust 双向
- Local ↔ Untrust 双向
- Local ↔ DMZ 双向
- Trust ↔ Untrust 双向
- Trust ↔ DMZ 双向
- DMZ ↔ Untrust 双向
H3C V7 等效配置（安全策略，全部双向放行）
system‑view
#进入IPv4安全策略视图
security‑policy‑ip
#1 Local‑Trust双向
rule name Local‑Trust
source‑zone local
destination‑zone trust
action pass
quit
rule name Trust‑Local
source‑zone trust
destination‑zone local
action pass
quit
#2 Local‑Untrust双向
rule name Local‑Untrust
source‑zone local
destination‑zone untrust
action pass
quit
rule name Untrust‑Local
source‑zone untrust
destination‑zone local
action pass
quit
#3 Local‑DMZ双向
rule name Local‑DMZ
source‑zone local
destination‑zone dmz
action pass
quit
rule name DMZ‑Local
source‑zone dmz
destination‑zone local
action pass
quit
#4 Trust‑Untrust双向
rule name Trust‑Untrust
source‑zone trust
destination‑zone untrust
action pass
quit
rule name Untrust‑Trust
source‑zone untrust
destination‑zone trust
action pass
quit
#5 Trust‑DMZ双向
rule name Trust‑DMZ
source‑zone trust
destination‑zone dmz
action pass
quit
rule name DMZ‑Trust
source‑zone dmz
destination‑zone trust
action pass
quit
#6 DMZ‑Untrust双向
rule name DMZ‑Untrust
source‑zone dmz
destination‑zone untrust
action pass
quit
rule name Untrust‑DMZ
source‑zone untrust
destination‑zone dmz
action pass
quit
quit
极简替代（生产不推荐，仅测试环境用！any‑to‑any 全部放行）
⚠️等价于华为全部 interzone default‑permit，测试调试用，严禁上线生产网
security‑policy‑ip
rule name Any‑Any
source‑zone any
destination‑zone any
action pass
quit
quit
关于 firewall packet‑filter basic‑protocol enable
H3C 没有对应全局开关；只要安全策略 rule action pass，GRE、ESP、AH 等基础 IP 协议报文就直接放行，不需要额外命令。
重要差异提醒（华为→H3C 迁移必看）
- 华为可以针对每一组域间单独设置 default‑permit；H3C V7 没有域间 default‑permit，全部依赖 security‑policy‑ip 规则，没有匹配就丢弃H3C。
- H3C Local 域代表防火墙本机本身，和华为 Local 语义完全一样，用于防火墙产生 / 接收的报文（SSH、ping 设备、路由协议报文等）华为。
- 华为老配置是 “先放行全部，后面 ACL 再拒绝”；H3C 安全策略规则从上往下匹配，匹配即停止，拒绝规则要放在 pass 规则前面。
- 如果接口还需要同安全域内互通，额外配置：
security‑zone intra‑zone default permit
含义：同一个安全域内部接口之间流量放行，华为默认行为，H3C 默认关闭H3C。
验证查看命令
display security‑policy‑ip all
display security‑policy‑ip statistics
补充：如果是 H3C V5 版本防火墙（老版本，zone‑pair 报文过滤模型）配置方式会不一样，现在主流都是 V7。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明