华为防火墙的流量过滤功能非常强大，能够应对各种复杂的网络安全管理需求。为了让你快速了解其核心应用场景，下面这个表格汇总了四种典型情况。

应用场景	核心目标	关键技术/对象	配置核心思路
​​基础访问控制​​	实现网络区域间（如内网到外网）的最小权限访问	安全策略 + 地址对象/组​​	创建地址对象定义IP范围，在安全策略中引用，明确允许或拒绝特定流量。
​​快速威胁封堵​​	应对大规模恶意IP攻击（如DDoS），实现一键封禁	​​流量封堵	将恶意IP列表（支持连续IP、地址段）批量上传，防火墙立即拦截所有相关流量。
​​NAT环境过滤​​	在存在地址转换的网络中正确识别和过滤流量	安全策略（匹配NAT后地址）	配置策略时，目的地址应填写NAT转换后的私网地址，而非公网地址。
​​动态策略​​	实现基于时间或特定条件的灵活访问控制	安全策略 + 时间段​​	创建时间段对象并在安全策略规则中引用，使策略仅在特定时间生效。

 场景配置详解与命令解析

下面我们深入探讨上述场景的具体配置方法。

​​1. 基础访问控制：基于地址组的精细化管理​​

这种场景最常见，目的是实现精细化的网络访问控制。

​​场景举例​​：只允许研发部（IP段 192.168.1.0/24）访问位于DMZ区的代码服务器（IP 10.1.1.100），并禁止该部门访问互联网。

​​配置思路​​：创建地址对象代表研发部，在安全策略中设置源为该地址对象、目的为服务器IP的允许规则，并设置一条拒绝该地址对象访问外网的规则。

​华为配置命令示例​​：

# 创建地址对象，定义研发部的IP范围

<HUAWEI> system-view

[HUAWEI] ip address-set R_D_Dept type object

[HUAWEI-address-set-R_D_Dept] address 192.168.1.0 mask 255.255.255.0

[HUAWEI-address-set-R_D_Dept] quit

# 配置安全策略：允许研发部访问代码服务器

[HUAWEI] security-policy

[HUAWEI-policy-security] rule name Permit_RD_to_Server

[HUAWEI-policy-security-rule-Permit_RD_to_Server] source-address address-set R_D_Dept

[HUAWEI-policy-security-rule-Permit_RD_to_Server] destination-address 10.1.1.100 32

[HUAWEI-policy-security-rule-Permit_RD_to_Server] service ssh http  # 允许SSH和HTTP服务

[HUAWEI-policy-security-rule-Permit_RD_to_Server] action permit

[HUAWEI-policy-security-rule-Permit_RD_to_Server] quit

# 配置安全策略：禁止研发部访问互联网（Untrust区域）

[HUAWEI-policy-security] rule name Deny_RD_to_Internet

[HUAWEI-policy-security-rule-Deny_RD_to_Internet] source-address address-set R_D_Dept

[HUAWEI-policy-security-rule-Deny_RD_to_Internet] destination-zone untrust

[HUAWEI-policy-security-rule-Deny_RD_to_Internet] action deny

[HUAWEI-policy-security-rule-Deny_RD_to_Internet] quit

[HUAWEI-policy-security] quit

​​关键点​​：使用地址组 (address-set) 可以极大简化管理。当研发部IP变更时，只需修改 R_D_Dept地址对象，所有引用此对象的安全策略会自动更新。

​​2. 快速威胁封堵：应对大规模攻击​​

当网络遭遇大量恶意IP扫描或攻击时，需要快速响应。

​​场景举例​​：监控发现IP段 202.120.35.0/24在持续发起SSH暴力破解，需立即完全阻断。

​​配置思路​​：使用流量封堵功能，将恶意IP段批量导入封堵列表。

​​华为云防火墙配置（在管理控制台）​​：

1.登录CFW控制台。

2.进入“访问控制 > 流量过滤”下的“流量封堵”页面。

3.开启流量封堵功能，点击“添加封堵对象”。

4.在“添加方式”中选择“文本输入”，直接填入 202.120.35.0/24。

5.选择生效范围（如EIP）并确认。

​​效果​​：配置后，所有来自及去往 202.120.35.0/24的流量将被防火墙直接丢弃。这种方式比逐条配置ACL规则效率高得多，非常适合应急响应。

​​3. 动态策略：基于时间的访问控制​​

让安全策略能够自动适应业务时间变化。

​​场景举例​​：允许员工在工作时间（周一至周五 9:00-18:00）访问外网，但非工作时间完全阻断以降低安全风险。

​​配置思路​​：先定义一个工作时间段，然后在安全策略中引用该时间段。

​​华为配置命令示例​​：

# 定义一个名为WorkTime的时间段

[HUAWEI] time-range WorkTime 09:00 to 18:00 working-day

# 配置安全策略，并关联时间段

[HUAWEI] security-policy

[HUAWEI-policy-security] rule name Allow_Internet_During_WorkHours

[HUAWEI-policy-security-rule-Allow_Internet_During_WorkHours] source-zone trust

[HUAWEI-policy-security-rule-Allow_Internet_During_WorkHours] destination-zone untrust

[HUAWEI-policy-security-rule-Allow_Internet_During_WorkHours] time-range WorkTime  # 关键：引用时间段

[HUAWEI-policy-security-rule-Allow_Internet_During_WorkHours] action permit

[HUAWEI-policy-security-rule-Allow_Internet_During_WorkHours] quit

​​关键点​​：策略 Allow_Internet_During_WorkHours只在 WorkTime定义的时间段内生效。其他时间，流量会匹配后续的拒绝规则或默认策略，从而实现动态控制。

 进阶应用技巧

除了上述基础场景，华为防火墙还支持更精细的过滤方式：

1. 基于应用的过滤​​：现代防火墙能识别流量所属的具体应用（如微信、钉钉）。你可以直接放行或阻断某个应用，而不必关心它使用了哪个IP或端口，有效应对应用使用非标准端口的情况。
2. 基于用户的过滤​​：将IP地址与具体用户或用户组绑定。当员工工位变更IP地址时，基于用户的策略无需修改，因为策略控制的是“谁”而不是“哪个IP”。
3. 域名过滤​​：对于IP地址经常变化的云服务，可以配置域名组策略。防火墙会自动解析域名并更新IP地址，确保策略持续有效。

重要注意事项

配置流量过滤策略时，请牢记以下几点：

1.策略匹配顺序​：防火墙从上至下匹配安全策略规则。因此，最具体的规则应放在顶部​​，宽泛的规则（如permit any）应放在底部，否则精确策略可能被覆盖。

2.隐含拒绝所有：华为防火墙在任何安全策略集的末尾都有一条隐含的"拒绝所有"规则。如果流量没有匹配到任何显式配置的允许规则，将会被丢弃。

3.长连接处理：修改或部署新的拒绝策略后，可能不会立即中断已有的长连接（如SSH会话）。对于需要立即生效的场景，可能需要等待连接超时或配置独立的老化时间。

希望这些详细的场景分析和配置示例能帮助你更好地规划和实施华为防火墙的流量过滤策略！如果你有更具体的网络环境或安全目标，欢迎随时提出。