配置山石防火墙，核心不在背命令，而在理清接口、地址、策略、日志这条链路，网络通不通、安全策略是否生效，都能从这条链路上找到答案。
山石防火墙怎么配置从初始化到接口层，一个完整闭环
很多刚接触山石防火墙的朋友，第一反应是去找命令行手册，但实际上，山石防火墙绝大多数日常配置，通过Web界面就能完成,命令行反而用在排错和深度调优上。
登录设备前，先把管理口地址定下来
新设备开机后，默认管理口通常是eth0或MGT口，IP默认是168.1.1，子网掩码255.255.0，电脑网线直连管理口，手动配一个同网段地址，浏览器输入https://192.168.1.1即可进入登录页。
- 默认账号
hillstone，密码hillstone首次登录会强制改密。 - 支持Web和SSH双通道管理，但SSH默认只允许从管理口所在区域访问，生产环境建议把管理口划到独立管理VLAN,跟业务流量彻底隔离。
- 如果忘记密码，需要Console线进底层，通过
reset命令恢复出厂，这属于应急操作,日常用不上。
接口配置：路由模式还是透明模式？
山石防火墙的接口分三层口（路由模式）和二层口（透明模式），同一个物理口可以切换，但切换前必须确认该接口没有绑定任何策略或NAT规则,否则系统会拒绝操作。
具体路径：网络配置 > 接口，选择目标接口，配置IP、掩码、管理属性（如开启ping、HTTPS、SSH）。
- 路由模式适合做出口网关，接口配IP,走三层转发。
- 透明模式适合串接在已有网络中间，不改变原有IP规划,接口直接桥接。
- 子接口（VLAN接口）支持单臂路由，在物理口上创建
eth0.10、eth0.20这类子接口,配合交换机trunk口实现多VLAN互访。
接入层配置完成后，建议先做一次连通性测试从防火墙ping下游网关、上游运营商地址，确认物理链路通了,再往下做策略。
山石防火墙配置命令，这些场景其实比Web界面更高效
虽然Web界面直观，但批量修改、脚本化部署、查看会话时，命令行有不可替代的优势，山石防火墙命令行是类Cisco风格，但有自己的层次结构，熟悉config模式是第一步。
常用配置命令速查
进入系统视图：
configure terminal配置接口IP：
interface ethernet0/1
ip address 192.168.10.1 255.255.255.0
zone untrust
exit配置静态路由：
ip route 0.0.0.0/0 10.10.10.1查看安全策略命中情况：
show security-policy
show session table查看NAT转换状态：
show nat session命令行下的排错思路
行业内对山石防火墙配置常见问题的处理，有一套共识流程：
先查会话，再查策略，最后查路由，一条业务不通,按以下顺序排查：
show session table | include <目标IP>看会话是否建立。- 会话没建起来，检查安全策略是否放通源、目的、端口。
- 策略已放通仍未通，查路由表
show route,确认回包路由是否存在。 - 往返路由都正常,再考虑NAT是否做了反向转换。
这套逻辑不仅适用命令行，在Web界面的监控 > 会话列表里也能对应排查,掌握这套思路比背一百条命令都实用。
山石防火墙配置的核心：策略和NAT，顺序错了全盘皆输
安全策略和数据转换是防火墙的两条腿，缺一不可，大多数配置“不生效”的问题,根源都在策略顺序或NAT关联关系上。
安全策略：默认拒绝是底线，放行要精准
山石防火墙默认策略是全拒绝，新建策略时要注意，策略匹配从上到下，命中即停止，相同匹配条件下,放行策略必须放在拒绝策略前面。
配置路径：策略配置 > 安全策略 > 新建。
- 源区域/目的区域：先选区域，再选地址，常见错误是把源和目的区域搞反，尤其部署在出口时,untrust到trust和trust到untrust是完全不同的两条链路。
- 服务对象：尽量用
服务对象而不是直接填端口，例如只放行DNS解析，用默认的DNS服务，比单独填TCP/UDP 53更清晰。 - 动作：匹配后执行放行或拒绝，日志选项建议首次配置时勾上,方便后续验证规则是否生效。
源NAT和目的NAT，别搞混方向
战略层面看,NAT分为两类：
- 源NAT（SNAT）：内网访问互联网时转换源地址，常见于出口设备上，配置路径：
策略配置 > NAT策略 > 源NAT，选择源区域为trust、目的区域为untrust,转换方式为接口IP或地址池。 - 目的NAT（DNAT）：外网访问内网服务器，常用于端口映射，配置路径：
策略配置 > NAT策略 > 目的NAT，外网接口IP+端口映射到内网服务器IP+端口。
一个细节：山石防火墙的NAT策略同样有顺序优先级，多条NAT规则存在重叠时，排在上面的先匹配，行业里有个常见坑：内网访问服务器时走了源NAT转换，导致服务器看到的源地址是防火墙接口IP，访问日志里的真实客户端IP丢失，解决方法是添加一条目的区域为trust、源区域为trust的NAT排除规则（通常是no-NAT）,把它放在NAT策略最上面。
场景实操：双出口+端口映射+内网互访，山石防火墙配置实例
以某中小型企业为例：两条运营商线路，电信负责办公上网，联通跑视频会议和特定业务，防火墙部署在核心交换机与运营商之间,需要实现：
- 内网员工通过电信线路出网。
- 视频会议终端走联通线路,且只允许访问特定IP段。
- 外网通过电信线路访问内网OA服务器（端口映射）。
第一步：接口与区域规划
eth0/1接电信，区域untrust,IP为电信固定IP。eth0/2接联通，区域untrust,IP为联通固定IP。eth0/3接核心交换机，区域trust，IP为内网网关168.1.1。- 在
网络配置 > 区域中，确认三个口的区域划分正确,trust口开启ping和HTTPS管理。
第二步：路由配置
- 默认路由指向电信网关（优先级10）。
- 通向联通业务IP段的明细路由指向联通网关（优先级5，数值越小优先级越高）。
- 配置路径：
网络配置 > 路由 > 静态路由。
第三步：源NAT与策略
两条源NAT规则：
| NAT规则 | 源地址 | 目的地址 | 转换方式 |
|---|---|---|---|
| 电信出网 | 内网网段 | any | 电信接口IP |
| 联通出网 | 视频终端IP | 联通业务IP段 | 联通接口IP |
安全策略对应放行，注意联通线路的放行策略范围要比电信出网策略小得多,只针对视频终端和特定目的地址。
第四步：目的NAT与访问验证
- 目的NAT规则：电信接口IP的8080端口映射到内网OA服务器
168.1.10的80端口。 - 安全策略放行untrust到trust、目的端口为80的流量。
- 在外网用
telnet 电信IP 8080测试端口连通性，然后在OA服务器上查看访问日志，确认客户端源地址是真实外网IP（而非防火墙接口IP）。
山石防火墙和深信服对比，同为国产防火墙，差异在细节
不少企业选型时会在山石和深信服之间纠结，行业共识认为，山石强在多核并行处理和高并发转发性能，深信服优在应用层识别和云管理生态,但具体到配置习惯上差别更明显。
策略组织方式不同
山石防火墙的策略编辑界面偏向传统网络设备思维，先选源区域、目的区域，再匹配地址和服务，层次分明，深信服的策略则更强调“用户、应用、内容”三个维度,适合以人为主的管控场景。
比如做同样的“禁止研发部访问抖音”规则：
- 山石需要先建用户组（对接LDAP或本地用户）、再建应用对象（识别抖音）,然后在策略里组合条件。
- 深信服直接在策略里选用户组、选应用组,一步到位。
日志查询逻辑差异
山石日志可以按会话、威胁、NAT分类查询，支持模糊搜索和多条件过滤，对习惯命令行排错的老工程师更友好，深信服日志界面则偏向图形化和时间轴展示，能直观看到流量拓扑图，但精确到某一台终端的会话排查时,反而不如山石干脆。
配置学习的迁移成本
如果你之前用过Cisco或华为的防火墙，上手山石会非常快，因为它的命令层级和策略逻辑保留了很多“网络工程师视角”，深信服则更像家用路由器的加强版，Web界面引导性强，适合没有专职网络运维的小团队，两者没有绝对优劣,选型更多取决于团队的技术背景和运维习惯。
山石防火墙价格构成，选型别只看硬件报价
“山石防火墙价格”是搜索量很高的长尾词，但价格本身不好一概而论，因为防火墙的成本由硬件、功能授权、服务费三块组成。
- 入门级型号（如E系列，适合百人以下企业）售价通常在万元以内，但注意是否包含URL过滤、IPS等会额外收费的模块。
- 中端型号（适合中型企业或分支互联）价格区间较大，硬件每年迭代,具体报价以官方或代理商业当时为准。
- 选购时除了看吞吐量和并发连接数，还要问清楚：质保是否包含硬件更换、规则库升级是否限时免费、有没有提供配置迁移服务，这些软性成本比硬件本身的差异更影响总拥有成本，多数情况下，采购时多花一点钱买延保,比后期临期续费合算得多。
山石防火墙配置常见报错，这样排查最快
配置操作时，系统会给出错误提示，但很多提示对新手并不友好，以下三个高频问题,你可以直接对照定位。
提示“接口已被引用”或“接口存在关联配置”
这个报错说明接口上还绑着安全策略、NAT规则或路由，先把相关规则清掉，再去改接口模式，路径：策略配置和网络配置 > 路由里逐一检查是否有该接口的引用项。
配置了源NAT但上网不通
先确认NAT规则里的源区域和目的区域是否与实际流量路径一致，再查安全策略，NAT放行和策略放行是两个独立环节，很多人在NAT规则里做了转换,却忘了在安全策略里放行对应的流量。
端口映射做了，外网仍无法访问
优先排查运营商是否封禁了该端口（80、443常见），再用内网PC通过防火墙的公网IP访问一下，能通说明映射本身成功，问题在运营商侧，如果内网访问公网IP不行，多半是NAT回流（hairpin NAT）没配置，山石需要在NAT策略里额外放通“trust到trust”的NAT规则。
山石防火墙配置常见问题QA
山石防火墙配置时，安全策略和NAT规则哪个先生效？
山石防火墙的流程是先做NAT转换，再匹配安全策略，也就是说，新建NAT规则后，安全策略的匹配是基于转换后的地址进行的,不是原始地址。
山石防火墙能不能跨厂商做配置迁移？
山石支持从配置文件导入导出，但格式是私有的，从Cisco、华为等厂商迁移时，没有官方一键转换工具，需要手动梳理地址、端口、策略，建议先用show running-config导出当前配置，按对象、策略、路由三层分别重建,策略联调阶段逐条放行并检查会话日志。
山石防火墙的配置备份在哪里查看？
路径为系统配置 > 配置文件管理，山石支持手动备份和定期自动备份，备份文件可以下载到本地保存，恢复配置文件时，系统会要求选择恢复后是否重启，建议选恢复不重启，在Console终端人工确认配置无误后再手动重启,避免因配置不兼容导致设备失联。