天融信防火墙策略配置实战：从基础概念到排错技巧

1. 策略配置前的必修课：先搞懂这三个基础概念

1.1 接口与区域：防火墙是在"翻译"流量，不是在"拦截"流量

很多人第一次接触天融信防火墙，上来就找"怎么加一条允许规则"，结果配置完发现流量还是不通过，或者更糟糕——把设备搞到远程都连不上。问题几乎都出在没搞懂一个核心逻辑：防火墙本质上是在判断"流量是否被允许从一个区域进入另一个区域"。

天融信默认会把接口划分为不同区域，最典型的两个概念是Trust 区域和Untrust 区域。你可以把区域理解成一栋楼里的两层——楼上是自己人办公区（Trust），楼下是公共大厅（Untrust）。没有策略的话，楼上和楼下之间就是物理隔离的。数据包能不能跨层，取决于你是否设置了一道"门禁规则"，这道门禁就是安全策略。

实操里最常见的误区是：只配置了接口IP，没把接口划进区域；或者把所有接口都放在同一个区域里，然后奇怪策略怎么都不生效。实际上，区域是策略决策的基础单位，接口归属哪个区域，决定了后续策略引用时的方向判断。默认情况下天融信设备有untrust / trust / dmz三个常用区域，你也能自己新建区域，比如按业务模块划分成"办公区""服务器区"等。

1.2 策略生效顺序：先"拒绝"还是先"允许"，结果完全不一样

这是一个新手极容易踩坑的地方。天融信防火墙的策略列表是从上到下顺序匹配的，跟路由器ACL的逻辑类似：一个数据包进来，防火墙从第一条策略开始比对，一旦命中某条策略，就执行该策略的动作，后面的策略不再被检查。

举个例子，你有两条策略：第一条是"拒绝 任意 到 财务服务器 端口 3389"，第二条是"允许 运维组 到 财务服务器 端口 3389"。如果把拒绝放在前面，那运维组永远连不上财务服务器的远程桌面，因为包在第一轮就被丢弃了。反过来，把允许放在前面，拒绝策略就形同虚设。

所以策略排序是高优先级还是低优先级，不是说有个"优先级数字"让你填，完全靠放置顺序决定。天融信的Web管理界面里通常提供"上移""下移"按钮（也可以在策略表中调整序号），配置完策略后，一定要检查一遍顺序是否符合业务意图。

1.3 地址对象与服务对象：策略不是写给"IP"，是写给"对象"

很多刚上手的朋友喜欢直接在策略里填死地址，比如"源地址 192.168.1.0/24，目的地址 203.0.113.5"，这样做短期没问题，但后面一旦业务扩展、IP调整，你得逐条策略去翻，维护成本极高。天融信设备支持地址对象和服务对象的概念，你可以把一组业务机器统一归成一个"地址组"，再把常用端口组合成一个"服务对象"，策略里直接引用对象即可。

用生活经验类比：你家的门禁系统如果针对每个家人单独授权，来一个亲戚就要录一次指纹；但你建立了一个"家庭成员"组，把所有人拉进组里，然后只给组授权，新增成员时只需拉到组里就行。防火墙的对象设计就是这个道理——策略跟对象绑定，而不是跟具体IP绑定。

2. 完整实操：从零配置一条可用的访问策略

2.1 登录设备与基础检查

开始配置前，先用Console口或通过管理口地址登录Web管理界面。天融信设备的管理口IP一般在设备面板上有标注，首次登录默认要求修改密码。刚接手一台旧设备时，我建议你第一件事不是配置策略，而是检查设备当前的运行状态：

• 系统时间是否正确（时间错乱会导致会话管理和日志审计出问题）
• 接口状态是否UP
• 当前策略列表是否为空目录或已有残留条目
• 配置同步状态是否正常（如果是双机热备环境）

这些检查通常耗时不到两分钟，但能帮你避免在错误基础上继续搭建问题。

2.2 第一步：创建地址对象（以办公网段为例）

登录Web界面后，在左侧菜单找到对象定义 -> 地址 -> IPv4地址（不同版本菜单位置略有差异，但逻辑一致）。点击"新建"，配置如下：

• 名称：office_network
• 类型：网段
• IP地址：192.0.2.0/24
• 所属区域：不涉及（地址对象本身与区域无关）

同样方式再创建一个"财务服务器地址组"，把财务相关的多台服务器IP加入进去。我习惯在名称里带上业务含义（如finance_servers），方便几个月后再回来看依然一目了然。

2.3 第二步：创建服务对象

在对象定义 -> 服务里新建服务对象。比如财务系统需要开放远程桌面(RDP 3389)和SQL Server(1433)，就可以创建一个finance_app服务对象，包含这两个端口。这里有个小技巧：服务对象支持"端口范围"，如果业务方说"端口开放范围是10000-10050"，你不需要建50个对象，直接填范围就行。

2.4 第三步：新建安全策略

进入安全策略 -> 安全策略菜单，点击新建。核心字段包括：

• 源区域：Trust（办公区）
• 源地址：office_network
• 目的区域：DMZ（财务服务器所在区域）
• 目的地址：finance_servers
• 服务：finance_app
• 动作：允许

这里要注意一个很容易被忽略的选项："启用"勾选。新建策略默认会启用，但如果是从旧配置里复制后修改的策略，有可能沿用了原策略的启用/禁用状态，导致你以为配置成功了，实际上策略根本没激活。

2.5 第四步：策略排序

这条策略的位置很关键。如果你想让财务系统只对办公网开放，同时还有一条"拒绝所有到财务服务器"的兜底策略，那必须把"允许办公网"放在"拒绝所有"的前面。可以在策略列表中勾选该条策略，点击上移/下移调整位置，最终顺序应当是从"特定允许"到"特定拒绝"再到"全部拒绝"的漏斗式排列。

2.6 第五步：验证与备份

配置完成后，不要急着收工。从办公网某台机器尝试访问财务服务器的3389端口，确认连通性。我习惯在验证通过后立即备份配置——导出配置文件到一个本地路径，文件名带上日期。这一步平时不起眼，但设备出现故障需要回退时，你会庆幸自己做了备份。

3. 策略体系设计：从"每条通"到"整体不出问题"

3.1 先梳理业务，再动手配策略

很多人配防火墙没有规划设计，想到一条配一条，结果策略越堆越多，最后谁也说不清每条策略的用途，也不敢删。这样下去设备迟早变成"黑盒子"——只有它自己知道哪些流量是能过的，管理员反而成了局外人。

我的习惯是：拿一张表，把业务需求拆成字段——谁（源IP/源区域）、要去哪（目的IP/目的区域）、用什么协议和端口、这个访问是必须的吗、如果断了会有什么影响。逐个业务梳理出来之后，策略清单其实已经成型了，剩下的只是一条条录入设备而已。

3.2 最小化原则：配少不等于不安全

安全策略的核心不是"尽量多配"，而是"尽量少配"。每条多出来的策略，都是攻击面的一部分。比如某个业务只需要访问数据库的 3306 端口，却把 1-65535 全部放通了，相当于你给客人开了大门，却没锁上里面的每个房间。

我见过一些生产设备的策略列表，上百条策略里有一大半是历史遗留：项目下线了、IP换了、端口改了，但策略没同步清理。这些"僵尸策略"平时不产生流量，却在真实攻击来临时成为通关密道。所以在设计阶段就要明确：源地址能精确到网段就不写any，目的端口能精确到具体端口就不写范围，动作能拒绝就少允许。

3.3 专线连接与多出口场景怎么处理

如果设备有多条出口链路（比如一条办公出口、一条专线连分支），每条链路上的流量需要分别控制。天融信的安全策略支持基于出接口的区分，在策略中可以选择"出接口"，把访问控制按物理链路拆开。这里需要注意：策略的源区域+目的区域是主判断维度，出接口是辅助维度。如果你配置了允许办公网到外网，但没有指定出接口，那数据包走哪条出口都一样能被放行，这不一定符合预期——比如专线流量你也想放行，但办公网段访问专线后端业务系统是应该被阻止的。

4. 常见问题排查与处理实录

4.1 策略配了还是不生效，问题出在哪

这是搜索"防火墙策略配置"时最高频的问题。遇到策略不生效，我的排查顺序是固定的：

• 第一步：看会话表。天融信防火墙内置了会话监控功能，能在"系统状态 -> 会话管理"里查看到当前通过设备的连接情况。如果会话表里有对应连接，说明防火墙放行了；没有，则大概率被策略丢弃或根本没到防火墙。
• 第二步：检查命中计数。在策略列表中通常能看到每条策略的"命中次数"。如果策略一直在增长，说明流量确实被这条策略匹配了，不生效是别的原因；如果命中计数为零，说明流量匹配的前面的策略或根本没进来。
• 第三步：检查NAT关系。很多"策略不生效"其实是NAT配置的问题。天融信防火墙的NAT和路由是叠加在策略之上的——如果NAT转换后的流量匹配不到正确的目的地址，包会被丢弃，这算NAT问题而不是策略问题。

4.2 策略顺序调整后业务突然中断

这种情况多发生在"允许"策略被盖住了之后。比如你新加了一条拒绝策略，正好挡在允许策略前面，业务直接断。防火墙策略列表改动的时候，我建议一次只改动一条策略，改完立刻验证，再动下一条。批量调整看着效率高，但出问题时你不知道是哪一步扬了土。

另外，很多人调整完策略会顺手把策略"禁用"测试，测完忘了启用。这种低级失误的频率远超想象——我建议你在调整完策略后，养成"查看策略状态过滤已禁用条目"的习惯，一眼扫过去确认没有意外禁用项。

4.3 内网能通、外网不通，检查这几个点

外网访问内网服务器不通过，通常不是安全策略的问题，而是NAT映射没做或做错。天融信的端口映射（目的NAT）是独立的配置模块，和安全策略是两层逻辑。你要保证两个条件同时满足：

• 目的NAT把公网IP端口映射到内网服务器
• 安全策略允许从Untrust区域到DMZ区域的该服务流量

漏掉任何一层，结果都是一样的：外网访问不到。

排查NAT问题时，直接在"会话管理"里查看：如果看到公网IP访问的会话里没有产生NAT后的转换记录，基本可以锁定NAT配置没生效。天融信会话列表里能直接看到"转换前"和"转换后"的地址，这是排查NAT问题最好用的工具。

4.4 会话老化时间与连接不稳

防火墙维护了一张会话表，记录通过的数据流状态。如果业务方反馈某种应用连接经常断，可能是会话老化时间设置过短。天融信支持全局会话老化时间调整，也能针对特定服务设置独立的超时时间。最典型的场景是数据库长连接——默认老化时间（比如TCP 60分钟）可能撑不过某些长时间空闲的数据库连接，业务方一旦重新建立连接就会报错。这种情况你该做的不是改全局老化时间（影响面太大），而是为该服务单独设置更长的超时。

4.5 策略日志：找到你的"黑匣子"

发生问题后只靠猜测是效率最低的排查方式。天融信防火墙可以配置策略日志，在每条策略上开启"日志记录"选项。建议至少给拒绝策略开日志，因为被拒流量的记录能帮你快速定位"某个源IP试图访问某个目的地被阻止了"。结合日志里的源区域、目的区域、源端口、目的端口四个字段，基本可以还原数据包的完整路径——你会发现自己排查问题的速度至少快了十倍。

5. 进阶经验：我做了大量策略配置后沉淀下来的几条建议

5.1 给策略加"注释"和"名称"不是可选项

配置策略时，名称和注释字段往往被忽略。我不知道劝了多少次，每次都说"我这策略很简单，不用备注"。但你要知道，企业网络里的设备通常不是一个人管到死的——今天是你配的，明年可能就是另一个人接手。一条策略如果没有名称、没有注释，三个月后没人知道它是干什么的，也没人敢动它。给策略起名时尽量带上业务含义和方向感，比如Allow_LAN_to_FinanceSrv。注释里写上对应工单号或需求来源，后面审计、排障都能追根溯源。

5.2 变更管理也是技术活

很多设备故障都是变更造成的。你可以把每一次策略调整都当成一次小型"上线"：先看清楚当前配置基线，记下要改哪几条策略，改完之后验证对应业务，确认没问题后留存新的配置文件。一小时内能解决的问题，别拖成一整天的事故。

5.3 定期做策略复核，而不是等出了问题再查

策略复核这件事，说难不难，说简单也不简单。难的是坚持。我的建议是每季度花半天，把策略列表导出来，逐条对照业务清单：这条策略还有业务在用吗？源地址范围还能再缩小吗？目的端口还能再收紧吗？保留必要的，删除多余的，你会发现自己维护的防火墙越来越"清爽"，排查问题的时间也越来越短。

5.4 别忘了设备自身的"坚固性"

策略配得再完善，设备本身的脆弱仍然会毁掉一切。访问控制不仅仅是策略列表的事——管理口暴露在trunk口、登录密码长期不换、Web管理界面挂在公网，这些才是更大的风险。天融信设备默认管理口是单独的物理口，这设计很合理，你要做的就是别顺手把管理口划进某个业务区域，并且定期更新设备系统版本。防火墙本身的安全，是所有安全策略的前提。

做防火墙配置这件事，技术本身其实不复杂，复杂的是把问题想清楚、把规则定清楚、把流程走清楚。希望这篇文章能把你在配置天融信防火墙时遇到的大部分"为什么"都解答掉——哪怕只帮你在排障时少踩一个坑，也算没白写。

最后分享一个小习惯：每次配完策略后，我一定会去会话列表里手动发起一次测试连接，只在Web界面看到状态是"Active"且数据包计数在增长时才放心。这个习惯让我避开了无数次"策略看起来配了但实际没生效"的暗自抓狂。你的生产环境里也要记得，验证永远比配置重要一步。