绿盟防火墙配置手册怎么用？绿盟防火墙配置教程详解

先通过串口或默认管理IP完成设备初始化，再在Web界面配置接口IP、安全策略和NAT规则，最后开启日志和告警功能。整个过程并不复杂，但细节容易出错，尤其是首次部署时容易在路由和策略优先级上踩坑，下面这份配置手册基于实际运维场景整理，帮助你避开常见问题。

绿盟防火墙配置前需要知道的几个关键点

绿盟防火墙（NGFW系列）在企业边界防护中用得比较多，界面逻辑和其他品牌有差异，但核心思路一致，动手配置之前，把下面几件事先搞清楚。

设备默认管理方式和初始登录

新设备出厂时,管理口默认IP是 168.1.1/24，用户名 admin，密码 admin，这个信息在设备背面贴纸上也有，第一登录后系统会强制要求修改密码，新密码建议包含大小写字母和数字，长度不低于10位。

管理方式有两种：

• Web界面：浏览器输https://192.168.1.1，适合日常运维操作。
• 串口命令行：用Console线连接，参数为9600波特率、8数据位、1停止位、无校验，主要用于初始化调试和网络不通时排查。

授权和版本检查

配置前先确认设备的授权到期时间和软件版本，路径是“系统”->“系统信息”，这里能看到特征库版本和授权状态，如果IPS特征库或应用识别库过期，部分策略会失效，近几年有些用户反映绿盟防火墙升级到新版本后，Web界面切换菜单变快但部分配置项位置有调整，这属于正常变化。

绿盟防火墙命令行配置教程：常用命令和操作路径

虽然Web界面能完成大部分工作,但少数场景下命令行更高效，比如排查策略匹配计数、批量查看会话、调试路由问题。

通过SSH进入命令行

在Web界面开启SSH服务：系统->管理配置->开启SSH，然后用终端软件连上去，默认端口22，进入命令行后是用户视图，需要输入enable进入特权模式，这个和华为设备的操作习惯类似。

常用查询命令：

• show interface：查看所有接口IP和状态。
• show ip route：查看路由表。
• show session：查看当前会话连接。
• show log：查看系统日志。
• show config：查看当前完整配置。

修改管理IP的两种方法

Web界面方式：网络->接口->选择管理口->输入新的IP和掩码->确认。

命令行方式：

configure terminal
interface eth0
ip address 192.168.10.1 255.255.255.0
exit
save

命令行修改后务必执行save，否则设备重启后配置丢失，行业共识认为，绿盟防火墙的命令行保存机制和思科类似，write命令也可以，但save才是标准写法。

绿盟防火墙策略配置实例：从放通到NAT

策略是防火墙的核心,下面以“内网用户访问互联网”这个最常见的场景，走一遍完整配置过程。

配置接口IP和区域划分

进入网络->接口，将内网口（例如eth1）IP设为 168.10.1/24，安全区域设为“Trust”，将外网口（例如eth2）IP设为运营商给的公网地址，安全区域设为“Untrust”，如果有DMZ区域服务器，单独划分一个接口放到“DMZ”区域。

安全策略配置步骤

路径：策略->安全策略->新建，关键字段这样填：

• 源区域：Trust。
• 目的区域：Untrust。
• 源地址：内网网段或地址对象。
• 目的地址：Any。
• 服务：Any（或只放通HTTP、HTTPS、DNS等常用端口）。
• 动作：允许。

这里有个经常被问到的坑：绿盟防火墙的策略匹配顺序是自上而下，和飞塔防火墙（FortiGate）一样，第一条匹配的策略生效，所以要把严格的策略放前面，宽松的放后面。

NAT配置：源地址转换

路径：策略->NAT策略->新建，新建一条源NAT规则：

• 源地址：内网网段。
• 目的地址：Any。
• 转换方式：接口地址（即用外网口IP做PAT）。

配置完成后,内网终端把网关指向防火墙内网口IP，DNS填运营商或公共DNS，理论上就能上网了，如果你在南京做等保整改，记得把政策要求的内网审计和访问控制策略一并加上，避免后续补配置。

策略不生效的排查方法

如果发现策略配置了但流量不通,按下面顺序检查：

1. 在策略列表看命中次数是否为0，如果是0，说明流量根本没走到这条策略。
2. 检查接口是否已经加入正确的安全区域。
3. 检查路由表,确认有回程路由。



4. 在命令行执行 show session | include 目标IP，看会话是否建立。

相当一部分“策略不生效”问题出在区域划分错误或路由缺失，不是策略本身写错了。

绿盟防火墙WEB界面登录不了怎么办

这是一个高频搜索问题,遇到Web界面打不开，先从这几个方向排查。

确认管理口IP和物理连接

• 检查电脑网卡IP是否和管理口IP在同一网段,如果管理口是192.168.1.1，电脑要设成192.168.1.x。
• 检查网线是否插在管理口上,部分型号的管理口和业务口是分开的，业务口默认没有管理地址。
• 尝试ping管理IP,如果不通，检查设备是否正常启动，指示灯状态是否正常。

浏览器兼容性和缓存问题

绿盟防火墙的Web界面使用Java或HTML5组件,旧版本对浏览器兼容性要求较高，近年来新版本已全面支持Chrome和Edge，不建议使用IE模式，如果打开页面空白，清一下浏览器缓存或换另一台电脑试。

应急恢复方法

如果忘记管理IP,用Console线连接设备，重启后在启动过程中按Ctrl+B进入BootROM菜单，选择恢复出厂设置或修改管理IP，这个操作会中断业务，建议在维护窗口执行。

绿盟防火墙和深信服对比怎么选

这个对比是百度上很热门的长尾问题,作为使用过两个品牌防火墙的运维人员，我直接说结论：没有绝对好坏，关键看场景和预算。

对比维度	绿盟防火墙（NGFW）	深信服防火墙（AF）
策略配置逻辑	传统安全厂商思维，细粒度控制强	偏向业务导向，模板化程度高
Web界面易用性	功能密度高，新手需要适应	界面直观，上手快
硬件稳定性	长期运行稳定，散热设计扎实	硬件稍轻，但功能集成度高
价格水平	同等性能下通常略低	品牌溢价明显，价格相对高
适合场景	政企、运营商、等保合规项目	中小企业、云环境、快速交付项目

从技术角度看,绿盟的策略命中计数和会话排查功能做得更细，适合复杂的网络环境，深信服的一键封堵和云端联动功能更贴合中小企业的操作习惯，如果预算充足且追求省心，选深信服；如果需要精细管控和合规审计，绿盟更合适，价格方面，同档位硬件绿盟比深信服低

10%-20%左右，这个差异在一些地方的项目招标中会直接影响选型结果。

绿盟防火墙NGFW配置的高可用和日常运维

生产环境不允许单点故障,双机热备（HA）配置是必须掌握的技能。

HA主备模式配置

路径：系统->高可用性->HA配置，配置步骤：

1. 备机上先完成基础网络配置。
2. 在两台设备上配置相同的HA心跳接口（例如用eth3）。
3. 设置优先级：主设备优先级100，备设备优先级50。
4. 开启配置同步功能。

HA切换时间通常在1秒以内，对业务影响极小，切换时会有告警日志，注意查收。

日志和审计配置

等保2.0要求日志留存不少于6个月，绿盟防火墙默认支持远程日志转发，路径：日志->日志设置->Syslog服务器，填上日志服务器的IP和端口，做好这一步，后续审计检查会省很多事。

配置备份和恢复

定期备份配置是基本素养,路径：系统->配置管理->备份配置，备份文件是.dat格式，解压后是XML文本，可以用记事本打开查看关键配置项，恢复时选择相同型号相同软件版本（或高版本）的设备，避免兼容性问题。

绿盟防火墙配置常见问题解答

绿盟防火墙默认密码是什么，登录后如何修改？

出厂默认地址是 168.1.1，用户名 admin，密码 admin，首次登录强制修改密码，如果已经改过又忘记了，只能通过Console口进入BootROM菜单恢复出厂设置，但会清空所有配置，操作前确认业务影响。

绿盟防火墙配置了允许策略但网络还是不通，是什么原因？

先在策略列表看命中次数,如果命中为0，检查安全区域划分和路由表，如果命中次数在增加但业务不通，检查NAT转换是否生效，以及目的服务器的网关和防火墙策略，多数情况下是回程路由问题，检查上游设备是否有到内网网段的路由。

绿盟防火墙的命令行和Web界面配置哪个更推荐？

日常运维建议用Web界面,配置可视化程度高，不容易误操作，命令行适合批量修改、排障查询和脚本自动化场景，两个界面下的配置实时同步，不存在冲突问题，对于新接触绿盟设备的运维人员，先从Web界面入手，逐步学习命令行查询命令即可。