企业官网建设流程全解析

简介：这是一份面向网络运维人员的东软防火墙配置实操文档。内容以 NetEye 设备为例，完整覆盖初始化设备、设置主机名与系统时间、选择语言、添加管理员、选择连接端口，再到登录 WebUI 后配置接口、安全域、路由、地址映射与访问策略等关键环节，每一步都带有终端交互提示或命令输入示例，适合需要上手配置国产防火墙的初学者或负责专网边界安全部署的工程师参考。文档中“初始化设备”一节详细演示了通过超级终端串口连接完成初始配置的方法，并给出了主机名、时间、语言、口令修改等参数示例；后续章节则逐步展开用户管理、安全域划分、路由配置及自定义服务定义等实操内容。资源包共1个文件，docx格式，大小2.2MB，文件虽少但步骤完整，章节划分与操作顺序一一对应，可直接对照执行。文档已有377人学习下载，其中针对保信业务、电量采集等业务的自定义服务定义和NAT映射部分，能帮助读者快速完成内外网安全策略落地，减少实际配置中的反复调试。

1. 东软防火墙配置过程：先打通管理通道，再谈策略

新到一台东软防火墙，配置过程最容易翻车的地方往往不是策略写得不对，而是连管理页面都登不进去。很多运维兄弟拿到设备，先找 console 线、再看机箱丝印、再翻快速手册，结果发现管理口地址早就被上一个人改过，或者设备里还残留着上一家公司的配置。我习惯把东软防火墙配置过程拆成四段：登录与初始化、接口与路由、安全策略与 NAT、验证与备份。本文按这个顺序讲，每一步都给出可直接抄的参数和命令，并单独用一个章节列踩坑记录，适合刚接手设备、需要独立完成实施的运维和集成工程师。

2. 登录与初始配置：如何拿到 Web 管理页并改掉默认账号

2.1 设备型号与管理口：先看机箱丝印，再连网线

东软防火墙的产品线不少，从入门级的一体化设备和机架式设备都有。每台设备机箱背面或侧面都会有一张小标签，写着型号、序列号、电源规格，有的还会直接标出管理口的丝印位置。不要凭经验猜，我见过有同事把旁边连着光模块的网口当成管理口，结果怎么配都连不上。最稳妥的做法是先看快速安装手册里的“接口说明”页，找到 MGMT 或 Console 丝印。若是已经运行过的旧设备，则通过 console 线登录，执行show interface brief，看哪个接口是 up 状态、地址属于哪个私网段，那个往往才是真实管理口。

判断管理口还有一个技巧：看接口灯的颜色和闪动规律。大多数东软防火墙的管理口在设备启动后会常亮绿色，业务口则是在有流量时才闪烁。如果设备上电后所有网口灯都一样，那只能借助 console 或者把电脑逐个接口去试。地址方面，新设备默认管理地址通常标在手册或机身标签上，常见的是192.168.1.1或10.0.0.1，但旧设备不一定保留默认值。我在现场的做法是先把电脑网卡固定成192.168.1.100/24，再浏览器访问https://192.168.1.1。访问不了就立刻转 console，不浪费时间。

还有一种情况是设备被人恢复过出厂设置。恢复出厂后管理口会回到默认地址，但接口区域和静态路由也会被清空。如果你的防火墙本身是串联在业务链路里的，做出厂恢复前一定要确认旁路或直通能兜底，否则整段网络都会中断。这个风险排第一，务必先备份配置再做恢复操作。

2.2 首次登录的三种途径：console、Web 管理口和恢复模式

拆箱的新设备通常没有密码，Web 页面会引导你强制修改。已经用过的设备，密码遗忘后只能走 console。console 线一般是 RJ45 转串口，接设备 console 口，串口参数是9600, 8, N, 1。Windows 用 SecureCRT 或 Putty，Linux 下可以用 minicom。登录后先看用户态提示符，输入enable进入特权模式，再进全局配置模式。第一次配置时我通常先把管理地址和管理员密码设好，再启用 Web 服务，这样后续维护就不用一直守着 console。

下面这段命令是一个很通用的初始化示意，不同型号、不同软件版本的关键字会有差异，但参数结构一致，照着改成自己的网段即可：

# 进入全局配置模式 configure terminal # 配置管理口地址，掩码用 CIDR 前缀写法 interface mgmt0 ip address 192.168.1.254/24 no shutdown exit # 启用 Web 管理，并限制来源网段，避免管理面暴露 management web enable management web permit 192.168.1.0/24 # 修改超级管理员密码 username admin password YourStrongPass_2026 # 提交到运行配置并保存 commit save

参数说明：mgmt0只是我常用的命名，实际以设备接口列表显示为准，可能是eth0、ge0/0等；permit这一段不是强制项，但强烈建议加，不然内网任何一个网段都能访问管理页；commit表示把改动生效到运行配置，save才是写入启动配置，很多现场就是忘了save，设备一重启就回到配置前状态。

如果忘记密码进不了系统，就使用恢复模式。常见做法是在设备上电时密切关注 console 输出，一般会有类似“Press any key to enter recovery mode”的提示，按提示操作即可进入一个菜单，可以重置管理员密码、恢复出厂或导入配置版本。这里要特别提醒：不要一上来就“恢复出厂”，那会连接口配置一起清掉。恢复模式里通常有“重置密码但不影响配置”的选项，仔细看菜单英文再动手，选错就只能重新做全量配置。

2.3 初始网络参数规划：IP、掩码、网关和 DNS 的填法

规划管理地址时有三个原则。第一，管理网段和业务网段尽量分开，不要把管理口和 trust 口放在同一段，因为业务流量出现广播风暴或异常时，管理通道也会被拖垮。第二，正式上线必须用静态地址，DHCP 只适合临时调试验证。第三，默认网关要填上联设备接口的地址，通常是核心交换机或运营商接入设备，不是随便填一个可达地址就行。

下面这张表是我每次做实施前会先填好的参数表，填完再登录设备：

DNS 这里经常被误解。防火墙上的 DNS 配置只影响设备自身的域名解析，例如日志服务器写域名、策略里引用域名对象时，防火墙才需要 DNS。终端上网使用的 DNS 是终端自己配置的，与防火墙的 DNS 设置没有关系。很多同事反复问“DNS 不配是不是上不了网”，答案是否定的，只要路由和安全策略正确，内网终端自然能上网。所以不要花太多时间纠结防火墙 DNS，它最多影响你在管理页上某个域名对象是否解析得了。真正决定业务通不通的是接口、路由、策略和 NAT 四件事。

3. 接口与路由配置：让防火墙先“通”起来

3.1 接口区域划分：trust、untrust、dmz 的命名逻辑

东软防火墙沿用了主流安全设备的区域模型。区域是接口的集合，接口一旦划入某个区域，就按该区域的默认安全级别处理流量。常见的三个区域：trust 表示信任程度最高，untrust 最低，dmz 居中。默认情况下，高安全级区域访问低安全级区域、低安全级访问高安全级区域，实际上都是默认拒绝的，只有显式添加的安全策略才能放通。这个“默认拒绝”是防火墙存在的前提，很多第一次配的人以为接口配好 IP 就能通，结果忘了把接口加进区域，这是第一道坎。

实际配置时，先在内网交换机上规划好哪些网段走防火墙的哪个物理口，再在防火墙上把物理口加入区域。终端较少时，可以把内网所有网段都放在一个 trust 接口下；如果部门之间需要隔离，则要拆成多个接口或子接口。子接口是常见做法：一个物理口上打多个 VLAN，每个 VLAN 一个子接口，各自划入对应区域。子接口的 IP 就是该 VLAN 内终端的网关，VLAN 封装由防火墙完成，交换机这边只做透传。

接口加入区域的命令示例如下：

configure terminal # eth0 作为内网接口，划入 trust 区域 interface eth0 zone trust ip address 192.168.10.1/24 no shutdown exit # eth2 作为外网接口，划入 untrust 区域 interface eth2 zone untrust ip address 203.0.113.10/24 no shutdown exit

参数说明：zone trust或zone untrust决定接口所属区域；如果设备命令行不支持zone关键字，那就在 Web 界面的接口管理里选择“所属区域”，效果一样。修改接口 IP 前，要确认这个接口上没有跑业务，不然配到一半管理通道会断。尤其是远程操作时，如果误改管理口地址，只能去现场用 console 改回来。

3.2 配置静态路由与默认路由：代码块示例

路由配置决定数据包往哪里走。典型拓扑里，防火墙一边接核心交换机，一边接运营商。需要在防火墙上配置两条路由：一条默认路由指向运营商，让上网流量都能出去；另一条指向内网其他网段，让防火墙知道去往各业务网段的下一跳。如果内网网段直接挂在防火墙接口上，系统会自动生成直连路由，不需要手工配置。只有内网还有三层核心交换机时，才需要写静态路由。

下面是一组静态路由配置示例：

configure terminal # 默认路由：所有互联网访问都交给运营商网关 ip route 0.0.0.0/0 203.0.113.1 # 去往办公区 172.16.0.0/16，下一跳是核心交换机 ip route 172.16.0.0/16 192.168.10.254 # 去往服务器区 10.20.0.0/16，下一跳同样是核心交换机 ip route 10.20.0.0/16 192.168.10.254

参数说明：默认路由的下一跳203.0.113.1必须是防火墙外网口所在网段的地址，不能写一个从内网绕过去的地址；静态路由的下一跳192.168.10.254必须与防火墙 trust 口在同一网段。写完以后用show ip route查看路由表，确认每条路由的接口和下一跳正确。

单台设备没有特殊高可用需求时，不用调整路由优先级。两台防火墙做主备或者负载分担时才需要关心 metric。即使以后要切换链路，也可以在 Web 界面的路由管理里修改下一跳，不需要删掉重建。还有一点：如果内网存在多个互通的网段，核心交换机上也要写回程路由，指明去往防火墙外网段、服务器段都交给防火墙。很多场景下防火墙侧路由是对的，但核心交换机没有回程路由，结果内网访问互联网不通。

3.3 用 ping 和抓包验证链路：常见失败原因

接口和路由配完，先别急着写策略，先做链路验证。在防火墙上执行 ping，分别测内网网关和外网网关。CLI 下的 ping 命令一般支持指定源接口，比如：

# 从外网接口 ping 运营商网关 ping 203.0.113.1 source eth2 # 从内网接口 ping 核心交换机 ping 192.168.10.254 source eth0

如果防火墙能 ping 通两个网关，说明物理链路和路由都没有问题。如果 ping 不通运营商网关，先看接口状态和 IP 是否配错，再看上联设备是否允许 ICMP。有些运营商的接入设备会禁 ping，不能只凭 ping 不通就判断链路断了，可以用show interface counters看外网口有没有收到流量，或者看发送和接收字节数是否在涨。

如果从头到尾没有配置任何安全策略，理论上防火墙可以向任意方向发起 ping，因为 ping 是防火墙自己产生的会话，不经过安全策略。但内网终端发起的流量在没有任何策略时会被默认拒绝，所以验证内网终端上网必须等策略放通后再测。还有一个容易误判的点：电脑 ping 防火墙外网口 IP 不通，不一定说明设备坏了，默认策略通常禁掉了 untrust 区域对防火墙本身的访问，这种“禁 ping”是预期行为。判断外网链路要从防火墙主动 ping 出去，或者在内网终端上访问一个公网地址，而不是把外网口当成普通路由器来测。

抓包验证也常用。东软防火墙的 Web 管理界面通常有“网络诊断”或“抓包工具”入口，可以指定接口和 IP 过滤条件。命令行下常见的是用 tcpdump 或者类似抓包工具，例如抓外网口所有流向服务器 IP 的包：

# 在后台上抓取通过 eth2 的流量，过滤目的端口 443 tcpdump -i eth2 -n host 203.0.113.10 and tcp port 443 -c 100

抓包时要注意，防火墙自身发起的会话与转发会话可能默认不走抓包接口的规则，因此最好把抓包点设在转发链路上。抓到报文后先看源目的 IP 和端口是否与自己预期一致，如果源地址仍然是内网私网地址，说明源 NAT 还没有生效；如果目的地址仍然不是真实服务器地址，说明目的 NAT 还没配上。链路验证和抓包的结论，能直接决定下一步是调路由还是调策略。

4. 安全策略与 NAT 配置：业务放通的关键一步

4.1 策略从上到下匹配：顺序为什么重要

安全策略是整个配置过程的核心，也是翻车重灾区。东软防火墙的策略表按顺序匹配，从第一条开始逐条比对，命中后立即执行，不再看后续策略。所以配置时要把最具体的放通规则放在前面，把兜底拒绝规则放在最后。千万不要为了让“看起来安全”而在最前面加一条“全部拒绝”，否则后面所有放通规则全部变成摆设。这个顺序逻辑和大多数防火墙一致，但 Web 界面上拖拽策略顺序容易误操作，保存后要再检查一遍实际顺序。

一条策略通常由五元组决定：源区域、目的区域、源地址、目的地址、服务。实际业务里最常用的是“办公区访问外网”和“外网访问服务器区”。策略的动作只有允许或拒绝，但还涉及日志开关、会话长连接、时间计划等高级参数。调试阶段建议打开日志，业务稳定后再关闭，否则日志量会非常大。字段对应关系可以用下面这张表理解：

如果设备上有地址组和服务组，建议先建组再写策略。比如把办公网的多个网段放进同一个地址组，策略里直接引用地址组，比一条条写网段清晰得多。后续新增网段时，只需要改地址组，不需要动策略顺序。服务组也一样，Web 相关的 80、443、8080 放进一个组，别在策略里堆一长串端口。

4.2 放通 Web 与办公网段的策略示例

最常见的两类放通需求：内网办公上网，以及外网访问 DMZ 区的 Web 服务器。前者是出方向策略，后者除了策略之外，还要配目的 NAT。先看内网放通策略的命令示例：

configure terminal # 办公网访问外网的策略，源区域 trust，目的区域 untrust rule name office-to-internet src-zone trust dst-zone untrust src-address 192.168.10.0/24 service any action permit log enable exit # 外网访问 DMZ Web 的策略，目的区域 dmz，目的地址指向服务器 rule name internet-to-web src-zone untrust dst-zone dmz dst-address 10.20.0.10 service tcp-80 service tcp-443 action permit log enable exit

参数说明：rule name后面的名称是策略别名，尽量起得有意义，日志里定位时一眼能看出是哪个业务；src-address如果省略，默认为 any；service any放通了所有端口，如果想收敛，就把服务改成tcp-80, tcp-443，这样办公网只能访问网页，其他端口仍然被拒。外网访问 Web 这条，src-zone untrust已经限定了来源区域，不用再写源地址，除非你只想允许特定公网 IP 访问。目的地址写的是服务器真实内网地址，而不是公网地址，因为目的 NAT 转换发生在一条链路的早期阶段，策略匹配会以转换后的目的地址为准，这一点要记牢。

策略写完以后，可以在策略列表里看命中次数。很多防火墙会在每条策略后面显示 “hit count”。让内网终端产生一次访问，然后看统计是否增长。如果放通策略的命中次数一直是 0，而总的会话数在涨，说明流量走了另一条更早的策略，或者区域判断不对。此时调整策略顺序比反复重写策略更有效。

4.3 源 NAT 和目的 NAT 的配置位置

策略放通只是允许流量经过，NAT 决定数据包里的地址是多少。办公网上网需要做源 NAT，把内网私有地址转换成外网接口的公网地址。配置位置一般在“网络”或“NAT”菜单下，CLI 则是在 nat 配置段里。如果运营商只分了一个公网 IP，最简单的方式是选择“出接口地址”，也就是源地址直接转换成外网口 IP。命令结构如下：

configure terminal # 源 NAT：trust 访问 untrust 时，把源地址转换成 eth2 接口地址 nat source src-zone trust dst-zone untrust src-address 192.168.10.0/24 action source-nat to interface eth2 source-nat mode dynamic exit

如果运营商分配了一个公网地址池，比如203.0.113.20 - 203.0.113.30，那就要建地址池并让源 NAT 引用地址池，而不是出接口地址。地址池的好处是并发连接多时不容易碰到端口耗尽，坏处是排障时不好判断具体是哪个公网 IP 出去的，日志里需要多一张转换记录。

目的 NAT 则是把公网 IP 的某个端口映射到内网服务器。假设防火墙外网口地址是203.0.113.10，要映射到 DMZ 区的10.20.0.10的 443 端口，配置如下：

configure terminal # 目的 NAT：将 untrust 访问公网地址 443 端口映射到内网服务器 nat destination dst-zone untrust dst-address 203.0.113.10 service tcp-443 action destination-nat to 10.20.0.10 port 443 exit

参数说明：dst-zone untrust限定这个目的 NAT 只作用于从外网进入的流量；dst-address写防火墙外网口的地址，不要写成服务器地址；action里的to就是真实服务器地址。配置了目的 NAT 之后，外网到 DMZ Web 服务器还需要一条放通策略，NAT 本身不是策略，不能替代安全策略。

这里有一个很常见的边界问题：内网终端直接在浏览器输入公网地址访问服务器，经常不通。原因是目的 NAT 规则的入接口区域是 untrust，而内网终端访问时，数据流的入接口是 trust，根本不会命中这条目的 NAT。解决办法有两种：一是额外加一条源 NAT 规则，把内网访问公网地址的目的地址也转换成服务器真实地址；二是开启设备的“NAT 回环”或“内部访问”开关，大多数东软防火墙把这个开关放在目的 NAT 规则的高级选项里。我建议正式上线前把内网访问测试一并做了，不要只验证外网访问，否则上线后行政部会一直反馈“外网地址打不开自己的网站”。

5. 避坑：东软防火墙配置中最常翻车的五个细节

5.1 现象：策略配了但业务不通

现象：按照流程配完接口、路由、NAT 和策略，内网终端还是无法上网。原因多数不是配置本身，而是策略顺序不对，或者流量命中了另一条隐含拒绝规则。解决：先在防火墙上打开会话表，Web 界面一般在“监控”或“会话管理”里，CLI 下通常用show session。让内网终端发起一次访问，立刻查看会话表，能看到源地址、目的地址、入接口、命中的策略 ID。如果策略 ID 指向的是拒绝规则，就把放通规则往上移。还要检查接口是否加入了正确的区域，物理接口换过但区域没换，是现场非常低级的错误，日志里会话表的入接口会暴露这一切。

# 查看当前会话表，重点看命中策略和接口信息 show session | include 192.168.10.100

另外一个容易忽略的点是地址对象写错。比如内网实际网段是192.168.10.0/25，策略里写成了192.168.10.0/24，看起来差不多，但地址范围不同，部分终端访问仍然被拒绝。建议全部用地址组管理，并在策略保存后核对一次网段掩码。

5.2 现象：Web 管理页打不开

现象：浏览器访问管理地址超时，但设备 ping 得通。原因：管理服务没有启用，或者浏览器用了 HTTP 而设备只允许 HTTPS，也可能是管理地址来源白名单没有当前电脑的网段。解决：先用 console 登录，确认management web enable是否已配置，再确认 Web 服务监听的接口是不是管理口。浏览器访问时手动敲https://前缀，并清理一次缓存。很多浏览器会把 HTTP 访问缓存成连接失败，换一个浏览器或无痕窗口往往立刻恢复。

如果 console 里能看到management web permit 192.168.1.0/24而当前电脑是192.168.100.x，自然访问不了。这个白名单是安全兜底，但有同事在远程运维时改错了白名单，把自己关在门外。我的做法是先不加白名单，登录成功后把管理口地址和管理来源一起改好，再恢复白名单限制。还有一点：不要用无线网卡来管理防火墙，很多笔记本无线网卡在同一网段时仍然会出现 ARP 异常，改用有线直连更稳。

5.3 现象：内网能上网但不能访问内网服务器

现象：服务器做了目的 NAT，外网访问正常，内网终端却通过公网地址访问不了服务器。原因：NAT 回环没开，或者内网流量没有命中目的 NAT。解决：第一种是在目的 NAT 规则里打开“允许内部访问”选项，不同版本叫法不同，有的叫“NAT 回环”，有的叫“内部源访问外部地址”；第二种是增加一条针对 trust 区域的目的 NAT 规则，把源区域改为 trust，源地址限定为内网网段，目的地址仍是公网地址，转换结果指向服务器真实 IP。很多从锐捷防火墙转过来的同事会下意识找“端口映射”菜单，东软里对应的是目的 NAT 加策略，位置不同，但配置逻辑一样。

另外要注意，内网访问服务器时，服务器看到的源地址有可能是内网真实地址，也可能是防火墙转换后的地址。如果服务器和防火墙之间还有一层安全设备，源地址不同会导致后续日志排查时认不出访客。建议用 NAT 回环统一把内网访问的源地址也转换成内网口地址，最大限度减少地址不一致带来的混乱。

5.4 现象：保存配置后重启丢失

现象：配置完成时一切正常，当晚设备断电重启，第二天发现回到了初始状态。原因：改动只写入了运行配置，没有保存到启动配置。Web 界面上点了“应用”并不代表持久化，很多工程师把“应用”当成“保存”，是最大误解。解决：CLI 下执行save，Web 界面点击“配置管理”里的“保存配置”，并且导出一份备份文件到本地。文件名建议带日期和站点名称，比如neatey_fw_shanghai_20260601.bak。

我个人的习惯是每完成一个配置项就保存一次，不要等全部做完再保存。因为中间任何一步操作可能导致管理口断开，如果重启前忘了保存，等于白干。HA 双机场景下，还要确认配置是否同步到备机，有些命令行模式下备机默认不会自动同步，需要显式执行同步命令。否则主设备故障切到备机时，备机还保留着旧配置，业务直接中断。

5.5 现象：日志里全是“session limit”

现象：设备日志被大量 session limit 提示刷屏，业务时好时坏，连接经常被重置。原因：防火墙的会话连接数达到设备上限，或者某个源 IP 的会话数触发了单 IP 限制。解决：先看并发连接数曲线，确认是整体超限还是某个内网 IP 占用过高。整体超限时，要检查是不是有内网终端中了挖矿木马或跑 P2P 下载，这类流量会快速耗尽连接表。某个 IP 异常时，用show session source-ip 192.168.10.88查看该 IP 的会话明细，看看大量连接都去了哪些目的地址。

调大会话限制之前，先确认设备型号的硬件规格，不要无脑把限制改到最大。连接表项大多占用内存，内存被吃光后设备不仅转发慢，连管理页面都可能打不开。如果现场确实有高并发业务需求，定期清理无效长连接、缩短会话超时时间，比单纯调高上限更可靠。调优后观察一天，再决定是否需要长期方案。

6. 验证与收尾：把配置过程变成可复现的文档

6.1 上线前检查清单

把配置过程写成文档，本质上是把验证动作固定下来。我每次做完一台东软防火墙，会按这套顺序过一遍：先在内网终端 ping 网关、ping 公网 IP、再解析域名；然后从外网侧测试端口映射；最后看会话表和 NAT 统计。下面这张表可以直接抄进工单：

6.2 导出配置与回滚习惯

导出配置有两个作用：备份和回滚后悔药。Web 界面的“配置管理”里通常有备份按钮，导出文件多数是文本或压缩包格式。我习惯在每次变更前导出一份，变更完成后再导一份，文件名带日期和后缀。回滚时不要整包导入，最好先备份当前运行配置，再导入旧配置，然后手工核对差异部分，避免把接口区域等无关配置一起覆盖掉。命令行下导出配置就是show config running，把输出重定向到本地文件。

最后说一个我的个人习惯：配置完成后，我会把 console 线、默认账号修改记录、管理口位置用一张不干胶贴在设备正面。因为半年后回来看现场的人往往不是你，一张标签能省掉一次宕机排障。配置过程本身不复杂，难的是每一步都留好后路，让后来的人不看文档也能接得住。希望帮到你。

本文还有配套的精品资源，点击获取