2025年配置华为防火墙最常用的50条指令，分类整理

前言

防火墙是网络安全的核心防线，通过精准的规则策略，可有效隔离内外网风险，保障业务连续性。同时，灵活管理NAT、VPN和访问控制，满足企业合规与数据安全需求。在数字化转型中，防火墙配置能力直接体现工程师对安全架构的理解，是抵御威胁、构建可信网络的关键技能，也是职业竞争力的重要体现。今天阿祥就整理了一份华为防火墙最常用的50条指令，希望能够对初学的朋友们产生帮助！

指令

一、系统基础配置‌

system-view // 进入系统视图
sysname [FW-Name] // 设置防火墙名称
display current-configuration // 查看当前运行配置
save // 保存配置到设备存储
display version // 查看设备版本信息
clock timezone [时区名称] add/minus [小时数] // 配置时区
display interface brief // 查看接口状态摘要
quit/return // 退出当前视图或返回用户视图

‌二、接口与IP配置‌

interface GigabitEthernet 0/0/0 // 进入接口视图（示例）
ip address 192.168.1.1 24 // 配置接口IP地址 ‌
undo ip address // 删除接口IP地址
shutdown // 关闭接口
undo shutdown // 启用接口
description [文本] // 配置接口描述信息
display ip interface brief // 查看接口IP地址分配

‌三、安全区域与域间策略‌

firewall zone [trust/untrust/dmz] // 进入安全区域视图 ‌
add interface GigabitEthernet 0/0/0 // 将接口加入安全区域 ‌
display zone [zone-name] // 查看安全区域绑定关系 ‌
priority [1-100] // 设置安全区域优先级 ‌
firewall interzone [zone1] [zone2] // 进入安全域间视图 ‌
security-policy rule name [规则名] // 创建安全策略规则 ‌
source-zone [zone1] // 定义策略源区域 ‌
destination-zone [zone2] // 定义策略目标区域 ‌
action permit/deny // 设置策略允许或拒绝 ‌

‌四、NAT与地址转换‌

nat-policy interzone [zone1] [zone2] // 进入NAT策略视图 ‌
source address 192.168.1.0 24 // 定义NAT源地址段 ‌
destination address 0.0.0.0 0 // 定义NAT目标地址 ‌
easy-ip GigabitEthernet 0/0/1 // 配置Easy IP（接口地址转换） ‌
nat server protocol tcp global 203.0.113.1 80 inside 192.168.1.2 80 // 配置端口映射 ‌

‌五、ACL与流量控制‌

acl number 3000 // 创建高级ACL ‌
rule 5 permit ip source 192.168.1.0 0.0.0.255 // 定义ACL规则 ‌
traffic-filter inbound/outbound acl 3000 // 应用ACL到接口 ‌
display acl all // 查看所有ACL配置 ‌

‌六、日志与诊断‌

display session table // 查看当前会话表 ‌
reset session table // 清空会话表 
display firewall statistics system // 查看系统流量统计 ‌
clear firewall statistics system normal // 清空系统统计信息 ‌
logging host 192.168.1.10 // 配置日志服务器地址 ‌
terminal monitor // 开启终端实时日志输出 ‌

‌七、用户管理与认证‌

aaa // 进入AAA配置视图 ‌
local-user admin password cipher [密码] // 创建本地用户 ‌
ssh user admin authentication-type password // 配置SSH用户认证
stelnet server enable // 启用STelnet服务 ‌

‌八、高级功能‌

bypass // 在安全域间启用流量绕过（用于流表过载时） ‌
ipsec policy [策略名] // 配置IPSec VPN策略 ‌
ike proposal 1 // 配置IKE协商参数 ‌
vlan batch 10 20 // 批量创建VLAN ‌
dhcp enable // 启用DHCP服务 ‌
ip route-static 0.0.0.0 0.0.0.0 203.0.113.254 // 配置默认路由 ‌
display firewall cpu usage // 查看CPU利用率 ‌

‌注意事项‌

1、安全策略需明确源/目标区域、地址和服务，避免过度放通。

2、配置完成后务必执行 save 命令保存配置。

3、使用 display 系列命令验证配置生效状态。