1. 为什么要在模拟器里折腾防火墙区域划分
很多人第一次接触企业级防火墙，都是在模拟器里点开一台设备，看到满屏的security-zone、firewall packet-filter之类的命令，然后就开始犯迷糊：明明交换机路由器配得好好的，怎么到了防火墙这里，接口还得先"归队"？我当初也是这么过来的，后来在几个真实项目里被折腾过几轮之后才明白，防火墙和路由器最大的区别就在于——它默认不信任任何人，所有流量都要先问一句"你从哪个区来，要到哪个区去"。
这篇内容就是围绕"在模拟器里给防火墙做最简单的区域划分和配置"这件事展开的。说白了，就是教你把接口分到不同的安全区域里，然后放行你需要的流量，把不需要的挡在外面。它解决的是"防火墙配完不通"这个新手最常见的痛点，适合刚接触网络安全设备、正在准备相关认证考试、或者需要在模拟环境里搭实验环境的同学参考。哪怕你之前只配过交换机和路由器，跟着走一遍也能把区域这个概念吃透。
我下面讲的所有操作，都是基于模拟器里那台常见的防火墙设备来做的，命令逻辑和真机基本一致，你在模拟器里练熟了，上真机也不会发怵。核心关键词就三个：安全区域、接口划分、安全策略。把这三个搞明白，防火墙最基础的配置就算入门了。
2. 防火墙区域划分的整体设计思路
2.1 先搞清楚防火墙和路由器的本质区别
路由器的工作逻辑是"我认识路，我就转发"，它关心的是目的地址在哪、下一跳是谁。防火墙不一样，它的工作逻辑是"我先看看你是谁、从哪来、要去哪，然后决定让不让你过"。这个"从哪来、到哪去"的判断依据，就是安全区域。
你可以把安全区域理解成机场的安检分区。出发大厅是"内部区"，登机口是"外部区"，中间那个安检通道就是防火墙。从内部区到外部区，安检相对宽松；从外部区往内部区走，那就要严查。防火墙里的区域也是这个道理，不同区域之间的信任级别不一样，默认的放行策略也不一样。
在模拟器里，防火墙通常预置了这么几个区域：
| 区域名称 | 信任级别 | 典型用途 |
|---|---|---|
| Trust | 85 | 内网用户区 |
| Untrust | 5 | 外网/互联网区 |
| DMZ | 50 | 对外服务器区 |
| Local | 100 | 防火墙自身 |
| Management | 100 | 管理平面 |
信任级别这个数字很关键，它决定了默认情况下流量能不能过。高信任级别到低信任级别默认放行，低到高默认拒绝。这就是为什么你把接口划到 Trust 和 Untrust 之后，内网访问外网不用额外配策略就能通，反过来就不行。
2.2 为什么新手要先从"三区域"模型练起
真实企业网络里区域可能划得很细，什么办公区、生产区、服务器区、管理区，十几个区域都有。但你在模拟器里练手，我建议先把最经典的三区域模型吃透：一个 Trust、一个 Untrust、一个 DMZ。
原因很简单，这三个区域覆盖了防火墙最核心的三种流量方向：
- Trust 到 Untrust：内网用户上网，这是最常用的方向，默认放行。
- Untrust 到 DMZ：外网用户访问你对外发布的服务器，需要精细控制。
- DMZ 到 Trust：这个方向必须严格限制，因为 DMZ 的服务器一旦被攻破，不能让它长驱直入进内网。
把这三个方向的策略都配一遍，你就理解了防火墙"分区而治"的精髓。等这个练熟了，再去扩展更多区域，思路是一样的，只是策略条目变多而已。
2.3 接口划分的两种常见做法
在模拟器里给接口划分区域，有两种做法，我分别说一下适用场景。
第一种是物理接口直接划入区域。比如firewall zone trust进去，然后add interface GigabitEthernet0/0/1。这种做法简单直接，适合接口数量少、区域划分清晰的场景。缺点是接口和区域绑死了，后期调整不够灵活。
第二种是用子接口或者 VLANIF 接口划入区域。比如你先创建子接口GigabitEthernet0/0/1.10，配好 VLAN 封装，再把这个子接口加到区域里。这种做法适合一根物理线承载多个区域流量的场景，企业里很常见。
新手练手我建议先用第一种，把逻辑跑通。等理解了区域和接口的关系，再去玩子接口，不然容易在 VLAN 封装那里卡住，分不清是区域配错了还是 VLAN 没通。
提示：模拟器里防火墙的接口默认都在
Untrust区域，你如果不改，直接配地址，流量方向可能和你预期完全相反。所以配完接口第一件事就是确认它到底在哪个区。
3. 核心细节解析与实操要点
3.1 接口、区域、策略三者的关系
这三个东西的关系，我用一句话概括：接口是门，区域是楼层，策略是门禁规则。
接口是流量进出的物理通道，你得先给接口配 IP 地址，它才能工作。区域是逻辑分组，你把接口塞进某个区域，这个接口进来的流量就带上了这个区域的"标签"。策略则是基于区域标签来匹配的，它不关心你具体是哪个接口，只关心你从哪个区来、到哪个区去。
这个设计的好处是解耦。你换一个物理接口，只要还划在同一个区域里，策略就不用改。你加十个接口到 Trust 区，针对 Trust 到 Untrust 的策略还是那一条。这就是为什么企业网络里区域划分要提前规划好，因为策略是跟着区域走的。
在模拟器里配置的时候，顺序很重要：
- 先配接口 IP 地址。
- 再把接口划入对应区域。
- 然后配安全策略放行流量。
- 最后配路由（如果需要）。
这个顺序不能乱。你接口还没划进区域，策略里根本选不到对应的源区域和目的区域，配了也是白配。
3.2 安全策略的匹配逻辑
安全策略是防火墙最核心的部分，它的匹配逻辑是从上到下逐条匹配，匹配到第一条符合条件的就执行动作，不再往下看。
这意味着策略的顺序非常关键。你把一条"允许所有"的策略放在最上面，下面配再多精细的拒绝策略都没用，因为流量在第一行就被放行了。反过来，你把"拒绝所有"放最上面，那下面所有允许策略都失效。
正确的做法是精细策略在上，宽泛策略在下。比如：
策略1：允许 Trust 到 Untrust 的 HTTP 流量 策略2：允许 Trust 到 Untrust 的 DNS 流量 策略3：拒绝 Trust 到 Untrust 的所有流量这样只有 HTTP 和 DNS 能过，其他都被最后一条挡掉。如果你把策略3放最上面，那前两条就形同虚设。
在模拟器里配策略的时候，我建议你养成一个习惯：每条策略都写清楚描述。比如description "allow internal users to browse web"。过两天你回头看，没有描述的策略你根本记不住是干嘛的，尤其是策略条目多起来之后。
3.3 区域配置中的几个关键参数
配区域的时候，有几个参数新手容易忽略，我单独拎出来说。
信任级别。前面说了，高到低默认放行，低到高默认拒绝。但你可以手动改这个级别。比如你把某个区域的级别改成 90，比 Trust 的 85 还高，那从 Trust 到这个区域就变成低到高了，默认就不通了。所以改级别之前想清楚，别随手一改把默认行为搞反了。
区域名称。模拟器里预置的区域名称是固定的，你不能随便改 Trust 这个名字。但你可以新建自定义区域，比如firewall zone name Office。新建的区域默认级别是 0，你需要手动设置。
接口加入区域的方式。有的版本用add interface，有的版本在接口视图下用zone命令。你在模拟器里敲?看一下提示，以实际设备为准。这个不用死记，理解逻辑就行。
注意：一个接口只能属于一个区域。你不能把同一个接口同时加到 Trust 和 Untrust 里，设备会报错。如果你需要一根线承载多个区域，用子接口。
4. 完整实操过程与核心环节实现
4.1 实验拓扑规划
我在模拟器里搭的实验拓扑是这样的：
- 一台防火墙，三个接口分别连接三个区域。
GigabitEthernet0/0/1连接内网 PC，划入 Trust 区，IP 设为192.168.1.1/24。GigabitEthernet0/0/2连接外网模拟设备，划入 Untrust 区，IP 设为202.100.1.1/24。GigabitEthernet0/0/3连接对外服务器，划入 DMZ 区，IP 设为172.16.1.1/24。
内网 PC 的地址是192.168.1.10/24，网关指向192.168.1.1。外网模拟设备的地址是202.100.1.2/24。DMZ 服务器的地址是172.16.1.10/24，网关指向172.16.1.1。
这个拓扑虽然简单，但三个方向的流量都能覆盖到，练手足够用了。
4.2 接口地址配置与区域划分
先进入防火墙的命令行，配接口地址。
system-view interface GigabitEthernet0/0/1 ip address 192.168.1.1 24 quit interface GigabitEthernet0/0/2 ip address 202.100.1.1 24 quit interface GigabitEthernet0/0/3 ip address 172.16.1.1 24 quit地址配完之后，把接口划入对应区域。
firewall zone trust add interface GigabitEthernet0/0/1 quit firewall zone untrust add interface GigabitEthernet0/0/2 quit firewall zone dmz add interface GigabitEthernet0/0/3 quit配完之后，用display zone命令检查一下，确认每个接口都在正确的区域里。这一步千万别省，我见过太多次因为接口没划对区域导致策略不生效的情况。
display zone输出里应该能看到 Trust 区里有GigabitEthernet0/0/1，Untrust 区里有GigabitEthernet0/0/2，DMZ 区里有GigabitEthernet0/0/3。如果哪个不对，重新add一下。
4.3 安全策略配置
区域划好之后，开始配策略。我按三个流量方向分别配。
第一个方向：Trust 到 Untrust，允许内网用户上网。
security-policy rule name trust_to_untrust source-zone trust destination-zone untrust source-address 192.168.1.0 24 action permit quit这条策略的意思是：从 Trust 区来、到 Untrust 区去、源地址是192.168.1.0/24的流量，放行。注意我没有限制目的地址和服务，因为内网用户上网的目的地址是不确定的，服务也是多样的。如果你要限制只能访问某些网站，那就在这条策略里加目的地址和服务。
第二个方向：Untrust 到 DMZ，允许外网访问对外服务器。
rule name untrust_to_dmz_web source-zone untrust destination-zone dmz destination-address 172.16.1.10 32 service http service https action permit quit这条策略只放行了到172.16.1.10这台服务器的 HTTP 和 HTTPS 流量，其他流量默认拒绝。这就是精细控制的体现，外网只能访问你允许的服务，不能随便扫你的 DMZ 区。
第三个方向：DMZ 到 Trust，严格限制。
rule name dmz_to_trust_deny source-zone dmz destination-zone trust action deny quit这条策略明确拒绝 DMZ 到 Trust 的所有流量。虽然默认行为就是拒绝，但显式写一条拒绝策略，一是让配置意图更清晰，二是方便以后排查问题——你一看就知道这个方向是被明确拒绝的，不是默认拒绝的。
配完策略之后，用display security-policy rule all检查一下，确认策略条目和顺序都正确。
4.4 路由配置与连通性验证
策略配完，还要配路由，不然防火墙不知道往哪转发。
ip route-static 0.0.0.0 0 202.100.1.2这条默认路由的意思是：所有不知道往哪走的流量，都扔给202.100.1.2，也就是外网模拟设备。内网和 DMZ 的流量，因为直连，不需要额外配路由。
配完之后开始验证。先从内网 PC ping 外网设备：
ping 202.100.1.2如果能通，说明 Trust 到 Untrust 的方向没问题。然后从外网设备访问 DMZ 服务器的 HTTP 服务，如果能打开，说明 Untrust 到 DMZ 的方向也没问题。最后从 DMZ 服务器 ping 内网 PC，应该不通，说明 DMZ 到 Trust 的拒绝策略生效了。
这三个验证都通过，说明你的区域划分和策略配置基本正确。
4.5 用 display 命令排查配置
模拟器里排查防火墙问题，几个 display 命令必须熟练：
| 命令 | 作用 |
|---|---|
display zone | 查看区域和接口的对应关系 |
display security-policy rule all | 查看所有安全策略 |
display firewall session table | 查看会话表，确认流量有没有建立会话 |
display interface brief | 查看接口状态和 IP |
display ip routing-table | 查看路由表 |
我最常用的是display firewall session table。如果策略配了但流量不通，先看会话表里有没有对应的会话。没有会话，说明流量根本没到防火墙，或者被策略挡了。有会话但状态不对，那可能是路由或者 NAT 的问题。
5. 常见问题与排查技巧实录
5.1 策略配了但不生效的几种原因
这是新手遇到最多的问题。策略明明配了 permit，但流量就是不通。我总结了几种常见原因：
原因一：接口没划进正确的区域。你以为GigabitEthernet0/0/1在 Trust 区，实际上它还在默认的 Untrust 区。策略里写的是source-zone trust，但流量实际从 Untrust 进来，自然匹配不上。解决办法就是display zone确认一遍。
原因二：策略顺序不对。你配了一条 permit，但上面有一条更宽泛的 deny 把它挡住了。防火墙是从上往下匹配的，上面的策略优先级更高。解决办法是调整策略顺序，把精细策略往上提。
原因三：源地址或目的地址写错了。比如你把192.168.1.0/24写成了192.168.1.0/32，那只有192.168.1.0这一个地址能匹配，其他地址都不行。这种错误很隐蔽，因为策略看起来是配了的，但就是不通。解决办法是仔细核对地址掩码。
原因四：服务端口没放行。你放行了 HTTP，但用户访问的是 HTTPS，端口不一样，自然不通。解决办法是把需要的服务都加上，或者临时用service any测试一下，确认是服务的问题后再细化。
5.2 区域信任级别引发的"怪现象"
前面说过，高信任级别到低信任级别默认放行。这个默认行为有时候会给你带来"怪现象"。
比如你把 DMZ 的信任级别改成了 90，比 Trust 的 85 还高。那从 DMZ 到 Trust 就变成了高到低，默认放行了。你之前配的那条dmz_to_trust_deny策略如果没生效，流量就直接过去了。这就是为什么我建议不要随便改预置区域的信任级别，除非你很清楚自己在干什么。
还有一种情况：你新建了一个自定义区域，默认级别是 0。你把接口划进去之后，从 Trust 到这个新区域就变成了高到低，默认放行。如果你不想让它默认放行，要么改级别，要么配显式拒绝策略。
提示：信任级别只是一个默认行为的参考，真正决定流量通不通的还是安全策略。策略的优先级高于默认行为。所以最稳妥的做法是：不管默认行为是什么，你都配一条显式策略，明确告诉防火墙你要什么。
5.3 模拟器里特有的几个坑
模拟器和真机还是有区别的，有几个坑我踩过，提前告诉你。
坑一：接口状态起不来。模拟器里接口默认可能是 shutdown 的，你需要undo shutdown一下。真机上接口一般插上网线就 up，模拟器里需要手动激活。
坑二：策略不生效但也不报错。模拟器里有时候策略配了，语法检查也过了，但就是不生效。这种情况多半是模拟器的 bug，重启一下设备或者重新配一遍就好了。别在这种问题上死磕，浪费时间。
坑三：会话表不刷新。你改了策略，但会话表里还有旧的会话，流量还是按旧策略走。解决办法是reset firewall session table清一下会话表，让流量重新匹配策略。
坑四：保存配置。模拟器里配完不保存，重启就没了。记得save一下，虽然模拟器里重启的概率不高，但养成习惯没坏处。
5.4 常见问题速查表
| 现象 | 可能原因 | 排查方法 |
|---|---|---|
| 内网 ping 不通外网 | 接口没划对区域 | display zone检查 |
| 策略配了但不通 | 策略顺序被挡住 | display security-policy rule all看顺序 |
| 部分流量通部分不通 | 服务或地址没放行 | 检查策略里的 service 和 address |
| 改了策略还是不生效 | 旧会话还在 | reset firewall session table |
| 接口起不来 | 接口被 shutdown | display interface brief看状态 |
| DMZ 能访问内网 | 拒绝策略没生效 | 检查 DMZ 到 Trust 的策略 |
6. 几个能让你少走弯路的实操心得
6.1 先通再严，别一上来就配精细策略
我刚开始学的时候，总想一步到位，把策略配得特别精细，结果流量不通，排查半天不知道是哪条策略挡的。后来我学乖了，先用一条宽泛的 permit 策略把流量跑通，确认区域划分、路由、接口都没问题，然后再逐步收紧策略。
比如你先配一条source-zone trust destination-zone untrust action permit，确认内网能上网了，再在这条策略里加地址限制、服务限制。这样出问题的时候，你至少知道是策略细化导致的，而不是基础配置有问题。
这个方法在真实项目里也好用。割接的时候，先放通，再收紧，比一上来就配一堆精细策略要稳妥得多。
6.2 策略描述一定要写
我吃过这个亏。有一次配了二十多条策略，过了两天回头看，完全记不住哪条是干嘛的。后来我强制自己每条策略都写description，哪怕就写几个关键词，比如description "trust to untrust web"。这样回头看的时候，一眼就知道这条策略的用途。
模拟器里策略描述不影响功能，但真机上策略多了之后，描述就是你的救命稻草。养成习惯，不亏。
6.3 区域划分要提前规划
虽然这篇讲的是简单区域划分，但你在模拟器里练的时候，最好就按真实项目的思路来规划。比如：
- Trust 区放内网用户。
- Untrust 区放外网。
- DMZ 区放对外服务器。
- 如果以后要加管理区，提前想好管理区的接口和地址段。
规划好了再配，比配到一半发现区域不够用再改要省事得多。区域划分是防火墙配置的地基，地基打歪了，上面策略配得再漂亮也是白搭。
6.4 多用 display 和 reset 命令
防火墙排错，display 命令是你的眼睛，reset 命令是你的橡皮擦。display 看状态，reset 清会话。这两个命令用熟了，大部分问题都能自己解决。
我建议你把display zone、display security-policy rule all、display firewall session table这三个命令练到肌肉记忆。遇到问题先敲这三个，基本能定位到八成以上的故障。
6.5 模拟器练熟再上真机
模拟器里配错了，大不了重启重来。真机上配错了，可能影响业务。所以我在模拟器里练的时候，会故意配错几次，看看报错信息长什么样，看看 display 命令的输出有什么变化。这样上真机的时候，遇到类似情况心里有底。
比如你故意把接口划到错误的区域，看看策略匹配不上是什么现象。故意把策略顺序调反，看看流量被挡是什么现象。这些"故意犯错"的经验，比顺顺利利配一遍要有价值得多。
7. 区域划分之后还能怎么扩展
把三区域模型练熟之后，你可以往几个方向扩展。
方向一：加一个管理区。把防火墙的管理接口单独划到一个管理区，只允许特定主机访问，这样管理流量和业务流量分开，更安全。
方向二：用子接口承载多个区域。一根物理线，通过子接口划分多个 VLAN，每个 VLAN 对应一个区域。这个在企业里很常见，练熟了能应对大部分场景。
方向三：配 NAT。内网用户上网需要做源 NAT，外网访问 DMZ 服务器可能需要做目的 NAT。NAT 和区域策略配合起来，能玩出很多花样。
方向四：配双机热备。两台防火墙做热备，区域和策略配置需要同步。这个稍微复杂一点，但原理还是那套，区域划分是基础。
我个人在实际操作中的体会是，防火墙这东西，区域划分是入门，策略配置是核心，NAT 和热备是进阶。你把区域和策略这两块吃透了，后面学 NAT 和热备会顺很多。因为不管功能怎么变，防火墙"先分区、再放行"的基本逻辑是不变的。
最后再分享一个小技巧：在模拟器里配完一套完整的区域和策略之后，把配置文件导出来，存一份。下次搭类似环境的时候，直接导入改改就能用，省得从头配。这个习惯我保持了几年，攒了好几套模板，搭实验环境的速度快了很多。
