华为防火墙作为企业网络安全的核心设备,其命令行界面（CLI）提供了丰富的配置和管理功能，掌握常用命令对于网络管理员高效运维至关重要，以下从基础操作、安全策略配置、NAT配置、高可用与维护等方面详细介绍华为防火墙的常用命令。
基础操作与系统管理
首次登录防火墙通常通过Console口或远程SSH/Telnet，默认管理IP需预先配置，进入系统视图后，system-view命令是进入配置模式的入口，quit用于返回上一视图，return直接退至用户视图，查看系统信息是日常运维的基础，display device查看设备硬件状态，display version获取系统版本及运行时间，display cpu-usage和display memory-usage分别监控CPU和内存占用率，日志管理方面，display logbuffer查看系统日志缓冲区，logfile命令配置日志服务器，确保审计日志可追溯，用户账户管理通过local-user命令实现，例如创建用户admin并设置密码为Huawei@123，需指定service-type ssh和authorization-attribute level 3赋予最高权限。
接口与网络配置
接口是防火墙与网络通信的枢纽,进入接口视图需执行interface GigabitEthernet 0/0/1，配置IP地址使用ip address 192.168.1.1 255.255.255.0，开启接口状态需undo shutdown，安全区域划分是华为防火墙的核心概念，通过security-zone name trust创建信任区域，并将接口加入该区域add interface GigabitEthernet 0/0/1，常见区域包括trust（内网）、untrust（外网）、dmz（隔离区），不同区域间的通信需通过策略控制，查看接口状态与区域关联信息可用display interface和display security-zone。
安全策略配置
安全策略控制跨区域流量,基本流程包括定义源/目的安全域、配置访问控制规则，进入安全策略视图security-policy，通过rule name policy1创建策略，配置source-zone trust destination-zone untrust，然后定义动作action permit，为增强安全性，可添加应用控制application-group http和用户组source-user-group admin_group，策略匹配顺序默认按优先级（数值越小优先级越高），可通过rule name policy1 priority 10调整，查看策略命中情况使用display security-policy session all，实时监控会话状态，对于需要阻断的流量，可配置action deny并联动日志log enable。
NAT地址转换
NAT解决内网主机访问外网的IP地址问题,常见配置为源NAT（PAT），在nat-policy视图中创建策略rule name nat_rule1，指定源安全域source-zone trust和目的安全域destination-zone untrust，配置action source-nat easy-ip（使用出接口IP作为转换地址），对于服务器映射，需配置nat server，例如将公网端口2022映射至内网服务器168.1.100的22端口：nat server protocol tcp global 2022 inside 192.168.1.100 22，验证NAT转换可通过display nat session查看会话表，display nat server查看服务器映射表。
高可用与维护
华为防火墙支持VRRP实现主备备份,在接口视图下配置vrrp vrid 1 virtual-ip 192.168.1.254，并设置优先级priority 120（主设备更高），备份设备需配置相同虚拟IP但较低优先级，会话同步功能确保主备切换不中断连接，需开启session sync enable，日常维护中，save命令保存配置至startup.cfg，reset saved-configuration清除配置，文件管理可通过ftp或tftp上传/下载系统文件，例如tftp 192.168.1.100 get vrpcfg.zip，故障排查时，ping和tracert测试网络连通性，debugging命令（需谨慎使用）可开启模块调试信息，如debugging packet-filter调试策略匹配过程。
高级功能配置
针对复杂场景,可配置VPN、IPS/IDS等高级功能，IPSec VPN通过ike peer配置对端信息，ipsec proposal定义安全提议，ipsec policy绑定接口和应用场景，IPS特征库更新需执行update-ips signature，并启用ips profile策略，流量整形通过traffic classifier定义分类规则，traffic behavior配置限速动作，traffic policy绑定至接口，限制内网主机下载流量不超过10Mbps：classifier operator and，if-match acl 3000，behavior cir 10240，policy name p1。
命令操作注意事项
- 命令分级：华为防火墙命令分为用户视图（0级）、监控视图（1级）、配置视图（2-3级），高级别命令可执行低级别操作，反之需通过
super提权。 - 帮助与补全：输入可查看当前可用命令，
Tab键补全命令关键词，减少输入错误。 - 配置回滚：错误配置可通过
abort放弃未保存修改，或rollback恢复至指定历史配置版本。 - 批量配置：通过
.txt脚本文件批量导入命令，使用batch-file命令执行，提升配置效率。
相关问答FAQs
问题1：如何查看华为防火墙当前生效的安全策略？
解答：使用命令display security-policy，可查看所有策略的规则ID、源/目的安全域、动作、应用、优先级及命中次数，若需查看实时会话匹配的策略，可执行display security-policy session all，该命令会显示当前活跃会话对应的策略名称，便于定位流量控制效果。
问题2：防火墙NAT配置后，内网主机无法上网，如何排查？
解答：排查步骤如下：
- 检查NAT策略是否生效：执行
display nat session，查看是否有内网IP转换后的公网IP会话表项，若无则说明NAT未匹配。 - 验证NAT策略配置：确认
nat-policy中源/目的安全域是否正确，action source-nat是否配置，优先级是否合理（避免被其他策略覆盖）。 - 检查路由表：确认内网主机访问外网网关路由是否可达，
display ip routing-table查看目的网段路由是否存在。 - 检查安全策略：确认放行流量的安全策略已配置，且动作为
permit，可通过display security-policy查看策略是否命中。 - 检查接口状态：确认出接口是否UP，
display interface查看接口状态及IP配置是否正确。
