H3C防火墙作为企业网络安全的核心设备，其命令配置与管理是保障网络稳定运行的关键，掌握H3C防火墙的常用命令，能够有效提升网络管理效率，增强安全防护能力，以下从基础配置、安全策略、NAT转换、路由管理及日志监控等方面,详细解析H3C防火墙的常用命令手册。
在基础配置方面，首先需要进入系统视图并配置设备基本信息，通过命令system-view进入系统视图后，可使用sysname设置设备名称，例如sysname FW1将设备命名为FW1，配置管理IP地址是远程管理的基础，命令为interface Vlan-interface 1进入VLAN接口视图，再使用ip address 192.168.1.1 255.255.255.0配置IP地址和子网掩码，为保障管理安全，建议配置SSH登录，通过aaa进入AAA视图，创建用户并设置权限，例如local-user admin password cipher Admin@123，再通过user-interface vty 0 4配置VTY线路，启用protocol inbound ssh限制仅SSH登录，保存配置需使用save命令,避免设备重启后配置丢失。
安全策略配置是防火墙的核心功能，通过定义ACL（访问控制列表）和策略规则实现流量控制，创建ACL可通过acl number 3000进入高级ACL视图，使用rule permit source 192.168.1.0 0.0.0.255允许特定网段流量，或rule deny禁止所有流量，在安全策略中，需配置源/目的区域、服务及动作，命令为firewall security-policy进入策略视图，例如security-policy name policy1创建策略，配置source-zone trust destination-zone untrust service tcp destination-port 80，并设置action permit，对于复杂场景，可结合时间段和用户组，通过time-range worktime 08:00-18:00定义时间范围,并在策略中引用。
NAT（网络地址转换）配置解决内网主机访问外网的IP地址问题，常见配置为Easy IP，命令为interface GigabitEthernet 1/0/1进入外网接口视图，使用nat outbound 3000将ACL 3000定义的流量进行NAT转换，若需要静态NAT映射，可通过static nat global 202.96.1.1 inside 192.168.1.100将内网主机192.168.1.100映射为公网IP 202.96.1.1，对于PAT（端口地址转换），可配置nat address-group 1 202.96.1.2 202.96.1.10定义地址池，并在接口下使用nat outbound 3000 address-group 1。
路由管理确保防火墙与其他网络设备的互通，静态路由配置命令为ip route-static 0.0.0.0 0.0.0.0 202.96.1.254，配置默认下一跳地址，动态路由方面，OSPF配置需进入OSPF视图ospf 1，使用area 0定义区域，并通过network 192.168.1.0 0.0.0.255 area 0宣告网段，若启用BGP，命令为bgp 65001，通过peer 202.96.1.254 as-number 65002对等体配置，并使用network 192.168.1.0发布路由。
日志监控与故障排查是日常运维的重要环节，通过display logbuffer查看系统日志，或使用display trapbuffer查看告警日志，实时监控流量可执行display traffic policy applied-record查看策略应用情况，网络连通性测试中，ping命令用于检测网络可达性，例如ping 192.168.2.1，而tracert命令可追踪路径，如tracert 8.8.8.8，对于防火墙会话管理，display session table查看当前会话表，若需清除特定会话，可使用reset session table。
以下为常用命令速查表,便于快速查阅：
| 功能分类 | 命令示例 | 说明 |
|---|---|---|
| 系统基础配置 | sysname FW1 |
设置设备名称 |
interface Vlan-interface 1 |
进入VLAN接口视图 | |
ip address 192.168.1.1 24 |
配置IP地址 | |
| 安全策略 | acl number 3000 |
创建高级ACL |
rule permit tcp source 192.168.1.0 0.0.0.255 |
允许特定TCP流量 | |
firewall security-policy |
进入安全策略视图 | |
| NAT配置 | nat outbound 3000 |
对ACL 3000流量进行NAT转换 |
static nat global 202.96.1.1 inside 192.168.1.100 |
静态NAT映射 | |
| 路由配置 | ip route-static 0.0.0.0 0.0.0.0 202.96.1.254 |
配置默认路由 |
ospf 1 |
启动OSPF进程 | |
| 日志与监控 | display logbuffer |
查看系统日志 |
display session table |
查看当前会话表 |
相关问答FAQs
Q1: 如何在H3C防火墙上配置基于时间的访问控制策略？
A1: 可通过time-range命令定义时间段，再在ACL或安全策略中引用，先创建时间段time-range worktime 08:00-18:00 Monday-Friday，然后在ACL规则中使用rule permit source 192.168.1.0 0.0.0.255 time-range worktime，最后将ACL应用于安全策略，实现仅在工作时间内允许特定流量访问。
Q2: 防火墙配置NAT后，内网主机无法上网，如何排查？
A2: 可按以下步骤排查：1）检查NAT配置是否正确，执行display nat session查看会话是否生成；2）确认ACL规则是否匹配流量，使用display acl 3000检查ACL是否包含源/目的地址和端口；3）验证路由表，确保外网路由可达，执行display ip routing-table查看默认路由是否正确；4）检查接口安全域配置，确保流量经过trust和untrust区域，可通过display zone查看区域绑定情况。
