适用场景

H3C SecPath（Comware）在政企与园区很常见，思路与华为 USG 接近，但命令关键字与对象模型不同，照搬容易踩坑。

配置步骤（日志审计与等保对接）

info-center enable
info-center loghost 10.0.10.20
clock protocol ntp
ntp-service enable
ntp-service unicast-server 10.0.10.5

关键参数与建议

  • 安全域用 security-zone 定义，接口用 import interface 加入
  • 策略用 security-policy ip，按源/目的安全域匹配，默认拒绝
  • NAT 常见两种：接口 nat outbound（源 NAT）、nat server（目的 NAT）
  • 远程管理开启 ssh/https 并关闭 telnet，管理来源用 ACL 限制
  • 日志上送 info-center loghost，配合 NTP 保证时间一致

容易踩的坑

  • 日志只留本地，被覆盖后无法追溯
  • 时间不同步，日志无法与其他设备关联分析
  • 只上送告警不上送会话，事后无法还原攻击路径

验证与巡检

display info-center
display clock
  • 巡检：日志平台可检索、时间误差 <1 分钟、留存周期达标

小结

排障常用：display session table ipv4 看会话、display security-policy ip 看策略、display nat session 看转换。策略改完必须复查命中。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。