eNSP USG5500 防火墙 Web 管理配置：从 CLI 到 GUI 的 3 步登录与基础策略下发

eNSP USG5500 防火墙混合管理模式实战：CLI与Web双视角配置指南

在网络安全设备管理中，命令行界面（CLI）与图形化界面（Web）各有其不可替代的优势。CLI适合批量操作和精确控制，而Web界面则提供了更直观的策略可视化与管理体验。本文将带您深入探索华为eNSP模拟器中USG5500防火墙的混合管理模式，从基础网络部署到高级策略配置，全面掌握两种管理方式的操作要点与适用场景。

1. 实验环境搭建与基础配置

在开始配置之前，我们需要先完成实验环境的准备工作。这个阶段主要涉及设备连接、IP地址规划以及基础网络参数的设置，为后续的防火墙策略配置打下坚实基础。

网络拓扑规划建议 ：

• Trust区域（内网）：192.168.1.0/24、192.168.2.0/24
• DMZ区域：172.16.2.0/24
• Untrust区域（外网）：172.16.3.0/24
• 管理接口：建议单独规划192.168.0.0/24网段

首先通过CLI完成基础接口配置：

system-view
sysname FW1
interface GigabitEthernet 0/0/0
 ip address 172.16.1.2 255.255.255.0
 undo shutdown
interface GigabitEthernet 0/0/1
 ip address 172.16.2.1 255.255.255.0
 undo shutdown
interface GigabitEthernet 0/0/2
 ip address 172.16.3.1 255.255.255.0
 undo shutdown

区域绑定是防火墙配置的核心步骤，USG5500默认包含三个预定义区域：

CLI配置区域绑定命令：

firewall zone trust
 add interface GigabitEthernet 0/0/0
firewall zone dmz
 add interface GigabitEthernet 0/0/1
firewall zone untrust
 add interface GigabitEthernet 0/0/2

2. Web管理界面启用与登录流程

Web管理界面为防火墙配置提供了可视化操作方式，大大降低了配置复杂度。启用Web管理需要完成管理接口配置、HTTPS服务开启以及访问权限设置等步骤。

Web管理启用关键步骤 ：

1. 配置管理接口IP地址（通常使用独立管理接口或指定业务接口）
2. 开启HTTPS服务并指定端口（默认8443）
3. 配置访问控制列表（ACL）允许特定IP管理
4. 创建管理员账户并设置强密码

通过CLI完成Web管理基础配置：

interface GigabitEthernet 0/0/3
 ip address 192.168.0.1 255.255.255.0
 service-manage https permit
service-manage ping permit
undo shutdown
http server enable
http secure-server enable
aaa
 local-user admin password cipher Huawei@123
 local-user admin service-type http https
 local-user admin privilege level 15

注意：实际环境中建议修改默认管理IP和密码，并限制管理访问源IP范围

登录Web界面的完整流程：

1. 确保本地主机与防火墙管理接口网络连通
2. 浏览器访问 https://192.168.0.1:8443 （根据实际配置调整IP）
3. 忽略证书警告（实验环境）或导入可信证书
4. 输入用户名/密码（admin/Huawei@123）
5. 首次登录需修改默认密码

常见登录问题排查 ：

3. 区域间策略的双模式配置对比

安全策略是防火墙的核心功能，USG5500支持基于源/目的区域、地址、服务和时间等多维度的策略控制。下面我们分别通过CLI和Web界面实现相同的策略需求。

实验策略需求 ：

1. Trust区域主机可互访
2. Trust区域可访问DMZ
3. 192.168.2.0/24网段禁止访问Untrust
4. 192.168.1.0/24网段允许访问Untrust

CLI策略配置示例

# Trust到Untrust策略
policy interzone trust untrust outbound
 policy 1
  policy source 192.168.2.0 0.0.0.255
  action deny
 policy 2
  policy source 192.168.1.0 0.0.0.255
  action permit

# Trust到DMZ策略
policy interzone trust dmz outbound
 policy 3
  action permit

Web界面策略配置步骤

1. 登录Web界面，导航至"策略"→"安全策略"
2. 点击"新建"，配置策略参数：
   • 名称：Trust_to_DMZ
   • 源安全区域：trust
   • 目的安全区域：dmz
   • 动作：允许
3. 重复步骤2创建限制策略：
   • 名称：Block_192.168.2.0_to_Untrust
   • 源地址：192.168.2.0/24
   • 目的区域：untrust
   • 动作：拒绝
4. 点击"提交"保存配置

两种配置方式对比分析 ：

4. 高级功能与混合管理实践

在实际网络运维中，往往需要结合CLI和Web界面各自的优势。USG5500支持两种管理方式的协同工作，可以实现更高效的防火墙管理。

典型混合管理场景 ：

1. 批量初始化配置 ：通过CLI快速完成接口、路由等基础配置
2. 策略精细调整 ：使用Web界面可视化工具优化策略顺序和关系
3. 状态监控 ：利用Web仪表盘实时查看会话、流量状态
4. 故障排查 ：CLI提供更详细的调试命令和日志信息

DNS与NAT配置示例 ：

# DNS配置（允许192.168.1.0/24通过域名访问）
dns proxy enable
dns server group default
 dns server 8.8.8.8
policy-based-route DNS-PBR permit node 10
 if-match acl 3000
 apply ip-address next-hop 172.16.3.2
acl number 3000
 rule 5 permit ip source 192.168.1.0 0.0.0.255

# NAT配置（出向地址转换）
nat-policy interzone trust untrust outbound
 policy 1
  policy source 192.168.1.0 0.0.0.255
  action source-nat
  easy-ip GigabitEthernet 0/0/2

Web界面操作建议 ：

• 定期使用"配置备份"功能导出配置文件
• 利用"策略优化"工具分析冗余策略
• 设置"策略命中计数"监控常用策略
• 启用"日志服务器"转发关键事件

性能监控关键指标 ：

在完成所有配置后，建议通过以下步骤验证功能：

1. Trust区域主机互ping测试连通性
2. 从192.168.1.0/24网段测试外网访问
3. 从192.168.2.0/24网段验证访问限制
4. 检查DMZ区域服务可达性
5. 验证域名解析功能