华为防火墙的防火web配置界面，说实话，配置第一次打开的教程人容易懵。满屏的防火菜单树，左边一排“网络”、配置“对象”、教程“策略”，防火右边是配置空白的配置区。跟家用路由器那种“设置向导”完全两个物种。教程但摸透它的防火脾气之后，你会发现这玩意儿比命令行友好太多——至少不用背命令。配置

先说怎么登录。教程默认管理口是防火GE0/0/0，IP是配置192.168.0.1/24。电脑网线插上去，教程手动设个同网段IP，浏览器敲https://192.168.0.1。注意，是https，不是http。浏览器会报警告证书不可信，直接点“继续访问”就行。华为出厂自签名证书，都这样，别慌。

登录账号admin，初始密码Admin@123。第一次登录强制改密码，要求至少八位，大写字母小写字母数字都得有。改完重新登录，你就进主界面了。这界面是深蓝色调的，跟企业级设备气质挺搭。

接下来干正事——配接口。点“网络”->“接口”，找到你要接内网的接口，比如GE1/0/0。点编辑，把“连接类型”改成“静态IP”，IP地址填192.168.1.1，掩码255.255.255.0。别忘了勾选“管理访问”里的HTTPS，不然以后远程管理会被防火墙拦死。这步我吃过亏，配完所有东西发现web界面登不上了，就是因为没勾这个。

然后配安全策略。华为防火墙默认拒绝所有流量，这跟家用路由器完全不同。你新加的策略必须手动放行。点“策略”->“安全策略”，点“新建”。源区域选“trust”，目的区域选“untrust”，源地址和目的地址都选“any”。动作选“允许”。这条策略的意思就是：内网可以随便上网。但注意，如果你有多个内网网段，最好写具体网段，别图省事全放行，不然内网互访也会被防火墙拦——我之前就遇到过，两个部门之间ping不通，查了半天才发现是防火墙策略没放行内网流量。

配NAT。上网必须做地址转换。点“网络”->“NAT”->“源NAT”，新建一条。源区域trust，目的区域untrust，转换后地址选“出接口地址”。这就是最简单的PAT，内网所有设备共用防火墙公网IP上网。如果运营商给你多个公网IP，可以建地址池，但家庭或小企业用出接口地址就够了。

最后验证。打开命令行，ping一下8.8.8.8。能通就说明策略和NAT没问题。再ping个域名，比如www.baidu.com，能解析出来就说明DNS也通了。注意，华为防火墙默认没开DNS代理，你得在“网络”->“DNS”里把运营商的DNS填进去，不然内网设备没法解析域名。

还有个坑要提醒：配完所有东西，记得点右上角“保存”。华为防火墙的web界面不像家用路由器那样自动保存配置，你不点保存，重启就全丢了。这设计确实反人类，但就这么设计的，习惯就好。

整体流程就这些：改密码、配接口、放策略、做NAT、填DNS、点保存。半小时能搞完。比命令行省事多了——至少你不用记“firewall zone trust”这种命令。但web界面也有缺点，比如批量修改策略时，得一条条点，效率反而低。所以我现在都是web配置基础，命令行调优。两者配合，才是华为防火墙的正确打开方式。