企业官网建设流程全解析

简介：东软防火墙初始化配置过程文档，面向需要部署东软防火墙的网络运维与安全管理人员，重点演示从设备上电到可管理状态的全流程操作。文档以分步命令行与界面截图对照方式，覆盖串口连接初始化、主机名与系统时间设置、中英文语言选择、管理员口令调整、系统管理员添加、网页或命令行配置方式选取、网络接口参数配置以及登录系统完成基本联网准备；后续还延伸到用户权限管理、接口二层转三层、安全域创建、路由配置、地址映射与服务对象定义等常用安全策略设置。资源为单个Word文档，大小2.2MB，章节划分清晰，适合作为动手实操指导或项目配置手册。目前已有三百七十七人学习，对初次接触该防火墙的运维人员可显著缩短初始化上线时间，并能按文档逐步完成基础安全规划。

1. 东软防火墙配置：为什么一份 docx 值得你从头核对

接手一台从未初始化过的东软防火墙（NetEye 系列），最忌讳的事就是拿到配置文档直接往后翻。网上流传的「东软防火墙配置过程.docx」多半是某次项目交付留下的操作记录，里面写的是那台设备、那套网络环境、那位工程师当时的习惯，不是你家拓扑的通用答案。我见过照着 docx 把接口 IP 填错导致内网中断半小时的翻车现场，也见过因为漏配一条回程路由让业务系统「通一半」的黑匣子式故障。这份文档的真正价值不是让你照抄，而是给你一份「该做哪些事、按什么顺序做」的工序清单。

下面我按一个真实可复现的落地顺序展开：从管理口初始化、接口与区域划分、到策略与网络地址转换配置、再到高可用与日常运维。每一步都给出参数建议和失败时的排查方向，你拿着它对着自己的网络改一遍，比通读十篇概念文章有用。

2. 把管理口弄通：初始化登录与 web 管理界面的三个前置条件

2.1 直连网线后先别急着开浏览器：管理口地址与终端 IP 的确认

东软防火墙出厂时管理口（通常是 GE0/0 或 MGMT 口）的默认地址常见是 192.168.1.1/24，不同硬件版本可能不同。第一步是把电脑网口用网线直连到管理口，手动给电脑配一个同网段地址，例如：

ifconfig eth0 192.168.1.10 netmask 255.255.255.0 up ping 192.168.1.1

ping 不通时，先检查网线是否插在管理口而非业务口，再用串口线（Console 线）登录命令行执行display ip interface brief这类命令确认管理口实际地址。很多设备在出厂后被人改过管理地址，文档里写的未必是现场的。确认能 ping 通后再打开浏览器访问https://192.168.1.1，注意是 https 而不是 http，设备默认强制加密访问，直接输 http 大概率看到「无法访问此网站」。

登录凭据方面，新设备常见是 admin/admin 或贴在机箱上的标签。首次登录系统会强制改密码，且要求包含大小写字母与数字。这里要给个提醒：改完密码后立刻把新密码存到密码管理器里，不要贴在显示器边上，也不要写进那份 docx 里到处传。我处理过一次客户把密码写在配置文档首页、文档又转发到工作群的事故。

2.2 浏览器兼容性与字符集：配置页面上看到乱码别急着重装系统

东软防火墙的 Web 管理界面基于 Java Applet 或 ActiveX 控件的旧版本不少，用新版本 Chrome 或 Edge 打开会直接提示不支持。常见做法是准备一台 Windows 10 虚拟机，安装 IE 模式或旧版 Firefox（ESR 版本），并把管理地址加入受信任站点列表。进入界面后如果菜单是乱码，通常是操作系统缺少中文字符集或浏览器编码识别错误，在浏览器「编码」里手动选择 UTF-8 或 GBK 试一遍，多数能解决。

乱码问题还有一个隐蔽来源：docx 里复制出来的命令带上了 Word 的智能引号（“ ”）和全角冒号（：），粘贴到 CLI 或 Web 界面的输入框里会被当成非法字符。我一般会在记事本里先粘贴一次、再复制到设备，或者干脆在命令行界面里逐条手敲。这一步看着琐碎，却是「照着文档配置」最容易翻车的地方。

提示：如果你拿到的 docx 里所有命令看起来都不是等宽字体，先全文替换把全角符号换成半角，再开始操作。

3. 接口、区域与地址对象：把物理口变成可管可控的逻辑边界

3.1 接口 IP 与区域划分：先画拓扑再动手，顺序错一步后面全乱

东软防火墙的配置逻辑和主流防火墙一致：先给物理接口配 IP，再把接口划入安全区域（trust、untrust、dmz 等），最后基于区域间方向写策略。很多人跳过拓扑直接进 Web 界面配 IP，结果内网口地址配到了外网口上，策略写得再对也通不了。

我的一般做法是先画一张三线拓扑图，标注清楚：

• 内网接口：接核心交换机，IP 如 192.168.10.1/24
• 外网接口：接运营商设备，IP 如 202.100.10.2/30，网关为 202.100.10.1
• DMZ 接口：接服务器区，IP 如 172.16.1.1/24

然后在 Web 界面「网络 → 接口」里逐个配置。配完后用如下命令验证接口状态：

# 在 CLI 下查看接口物理状态与协议状态 display interface GigabitEthernet 0/1 # 查看接口是否已划入正确区域 display zone

接口状态必须显示 up/up，物理 up 而协议 down 说明对端设备没接好或光模块故障；物理 down 基本就是网线、光模块、对端端口的问题，先别碰配置。把接口划入区域的操作在「对象 → 安全区域」里完成，注意一个接口只能属于一个区域，删掉旧区域前要先把接口移出。

3.2 地址对象与地址组：别在策略里直接填 IP，否则后续改拓扑会想骂人

策略里直接写192.168.10.0/24这种裸 IP 是新手最爱，也是后期维护的灾难。正确做法是先在「对象 → 地址」里把所有网段定义成命名对象：

# 定义内网网段地址对象 ip address-set 内网网段 type network address 192.168.10.0 mask 24 quit # 定义服务器区地址对象 ip address-set DMZ服务器区 type network address 172.16.1.10 mask 32 address 172.16.1.11 mask 32 quit

地址组（address-group）可以把多个地址对象打包成一个逻辑组，策略里引用组名而不是逐个 IP，后面加新服务器只需要往组里加地址，策略不用动。这个习惯能让你在半年后改需求时少掉一半头发。

3.3 静态路由与默认路由：策略写得再完美，路由不通一切白搭

接口和区域就绪后，先配路由再配策略。典型配置是内网口直连网段自动生成，外网口配一条默认路由指向运营商网关，去往内网其他网段则写静态路由指向核心交换机。Web 界面路径为「网络 → 路由 → 静态路由」，关键参数如下：

配完后在 CLI 执行display ip routing-table确认路由表里存在默认路由和去往内网各段的路由。这里有个常见误区：只配了默认路由、没配去往服务器区专线的回程路由，结果内网访问服务器时请求能到、响应回不来。正确做法是同时检查正向和回程两个方向的路由，尤其是在有专线互联的复杂拓扑里。

4. 策略与网络地址转换：让业务流量按你的意愿穿过防火墙

4.1 安全策略的放行逻辑：区域方向、源地址、目的地址、服务四元组缺一不可

东软防火墙的安全策略基于「源区域 → 目的区域」方向生效。内网访问外网，策略方向就是 trust → untrust；外网访问 DMZ 的 Web 服务器，方向就是 untrust → dmz。每条策略包含源地址、目的地址、服务（协议+端口）、动作四个核心要素。常见做法是遵循「最小放行」原则：只放行业务需要的端口，不要图省事写any to any全放通。

举个例子，放行内网访问外网 DNS 解析和 HTTP 业务的策略：

# 创建安全策略，放行内网到外网的 DNS 与 HTTP policy rule 内网访问外网 source-zone trust destination-zone untrust source-address 内网网段 destination-address any service udp 53 service tcp 80 service tcp 443 action permit quit

这条策略表示「内网区域中的内网网段，可以访问外网区域的任意地址，但只允许 DNS、HTTP、HTTPS 三种服务」。条件里少了任何一个，流量都会被静默丢弃，日志里能看到 deny 记录但业务侧表现就是「连不上」。策略放行顺序是自上而下匹配，命中的第一条生效，所以要把最具体的策略放前面、兜底策略放最后。

4.2 源地址转换配置：内网上网靠它，服务器发布也靠它

内网访问外网时，源地址是私有 IP，运营商不会转发，必须在防火墙外网口做源地址转换（SNAT）。东软防火墙的配置路径在「策略 → NAT → 源 NAT」，常见做法是配置一条基于出接口的地址转换规则：

# 配置源 NAT，内网访问外网时统一转换为外网口地址 nat source-rule 内网上网 source-address 内网网段 egress-interface GigabitEthernet 0/2 translate-to interface-address quit

如果外网口有多个公网 IP，可以配置地址池做轮询转换；如果运营商给了独立公网 IP 段用于服务器映射，则要做目的地址转换（DNAT）。发布内网 Web 服务器到公网的典型配置是把公网 IP 的 80/443 端口映射到内网服务器的 172.16.1.10：

# 配置目的 NAT，公网用户访问映射地址时转发到内网服务器 nat destination-rule 发布Web服务器 destination-address 202.100.10.5 service tcp 80 translate-to address 172.16.1.10 port 80 quit

配完后用display nat session查看转换后的会话，确认源地址和目的地址都已经变成预期值。常见的失败场景是 DNAT 配了但安全策略没放行 untrust → dmz 的 80 端口，流量到了防火墙就被策略拦掉了，根本走不到 NAT 模块。

4.3 策略生命周期管理：先写后改、先放后堵的配置调整策略

实际运维中策略会越积越多，三个月后你再看那堆策略会怀疑人生。我维护防火墙的两条铁律：一是每条策略必须有清晰的命名和备注，写清楚「放行什么业务、给谁用、申请日期」，否则半年后没人记得这条策略是干嘛的；二是做变更遵循「先放后堵」的配置调整策略，先加一条放行策略验证业务通，再删旧策略，避免直接删掉导致业务中断。

查看策略命中次数的方式：

# 查看策略命中计数，确认流量确实命中了预期策略 display policy hit-times

命中计数长期为 0 的策略大概率是冗余策略，可以考虑清理；命中次数异常高的策略则要警惕是否放行过宽。东软防火墙支持配置策略的生效时间，定时放行类需求可以提前设置好时间窗，到期自动失效，不用半夜爬起来手工删策略。

5. 高可用与日常运维中的配置陷阱：五条血泪经验

5.1 配置保存后设备重启丢失：忘了save等于白干

现象：在 Web 界面做完所有配置，业务也通了，结果一断电重启，所有配置回到出厂状态。

原因：东软防火墙的 Web 界面操作默认只写入运行配置（running-config），没有持久化到启动配置（startup-config）。很多人以为界面点「确定」就是保存了，其实只是生效到内存。

解决：配置完成后必须在 CLI 执行save命令，或者在 Web 界面「系统 → 配置管理」里点击保存按钮。建议养成的习惯是每完成一个配置阶段就保存一次，不要等全部配完再保存——万一中途断电，至少前面的阶段没白做。

5.2 Web 界面能登录但页面操作没反应：Java 环境不匹配

现象：管理界面能打开，但点击「策略配置」或「网络配置」菜单后页面白屏、按钮点了无响应，浏览器控制台报一堆脚本错误。

原因：设备内置的 Web 管理组件和现代浏览器的 JavaScript 引擎不完全兼容，尤其旧版本固件对 Java Applet 的依赖较重，新版浏览器默认禁用了相关插件。

解决：换用低版本内核的浏览器访问，或者用命令行界面完成关键配置。我一般在初始化阶段就直接开 SSH 终端，Web 界面只用来查看状态和导出日志。命令行操作虽然学习成本高一些，但胜在稳定，不受浏览器版本影响。

5.3 策略顺序调整后业务突然不通：匹配逻辑没吃透

现象：在某条策略前面插入了一条「全部拒绝」的兜底策略后，原本正常的业务全部中断。

原因：策略是自上而下顺序匹配的，插入的兜底策略匹配范围过大，把后续所有业务流量全部拦住了。

解决：调整策略顺序前，先在草稿纸上推演一遍新顺序下各业务的命中路径。兜底拒绝策略应该放在最底部，并设置日志记录功能，这样既能拦截未放行的流量，又能在日志里看到被拦截的来源，便于后续补充策略。

5.4 修改管理口地址后失去设备访问能力：把自己锁在门外

现象：在 Web 界面把管理口地址从 192.168.1.1 改成 10.1.1.1，点击保存后浏览器立刻断连，之后怎么 ping 都 ping 不通。

原因：修改管理地址后，当前 Web 会话所在的连接被断开，而新的管理地址网段和电脑不在同一网段，电脑无法直接到达设备。

解决：改管理地址前先确认自己的电脑能同时访问新旧两个网段，或者干脆用串口线连接设备后操作。如果不幸已经断连，最快的恢复方式是用 Console 线登录，在 CLI 里把地址改回来。这条经验值一台设备的往返邮费。

5.5 防火墙时间错误导致策略失效：日志和时间戳对不上

现象：配置了定时策略后，策略在「本该生效」的时间没生效；查看日志时发现时间显示为 2000 年。

原因：设备没有配置 NTP 时间同步，系统时间和真实时间偏差过大，定时策略基于错误的时间判断是否放行。

解决：在「系统 → 时间管理」里配置 NTP 服务器，内网有 NTP 服务器用内网的，没有的话用运营商或公共 NTP 地址（前提是防火墙到外网的 DNS 和路由已通）。配完后再检查一次系统时间，确认显示为当前时间。

6. 验证配置的正确姿势：从 ping 通到会话表逐层核对

配置完成不等于工作结束，验证要分层做。第一层验证物理连通性，在防火墙命令行执行ping测试到网关、到内网核心、到外网运营商三个方向的连通性，任何一个方向不通都要先解决再往下走。第二层验证策略和 NAT，从内网客户端访问外网地址，同时在防火墙执行display session table查看会话是否建立、转换后的地址是否正确。

第三层验证发布服务，从外网侧（或用手机 4G 网络）访问映射的公网地址加端口，确认页面能打开。如果公网访问不通，先用内网客户端直连服务器 IP 确认服务本身正常，再逐层排查路由、策略、NAT。我自己常用的排查顺序是：通不通看路由，放不放行看策略，转没转换看会话，最后看日志。日志里能看到被丢弃的流量来源和目的，是定位问题最快的路径。

最后补一个实用习惯：全部配置完成后导出一份配置备份文件，保存到本地或内网共享目录，并写清楚备份日期和对应的设备型号。下次变更前先备份，出问题能快速回滚——后悔药这东西，备了就永远用不上，不备就一定会出事。希望这套配置思路能帮到你少走点弯路。

本文还有配套的精品资源，点击获取