简介：H3C SecPath系列防火墙（V5）日常维护指导手册是杭州华三通信技术有限公司发布的官方技术资料，适合企业网络运维工程师、安全管理员及H3C设备技术支持人员参考，用于规范防火墙设备的日常巡检、周期维护和故障处理流程。资源包含1个PDF文件，压缩包整体仅667KB，内容紧凑易查阅，可方便保存在本地或打印为纸质手册。手册按日常维护建议总则、安装操作指导、现场巡检、日常/季度/年度维护、入门维护与常见故障处理等模块展开，其中故障诊断流程覆盖连通性、NAT、攻击防范等典型场景，并给出NAT专题FAQ及维护记录表格的使用说明，帮助运维人员按照标准步骤快速定位和解决问题。目前已有264人学习下载，适合希望系统性掌握H3C防火墙维护要点的网络运维人员。

1. 一本维护手册的真实价值：V5防火墙不是配完就能不管的黑匣子

很多第一次接手H3C SecPath系列防火墙(V5)的工程师，都会把它当成一个"业务配置做完就能放半年"的黑匣子。直到某天SSH突然连不上、会话表爆了导致全网卡顿、版本升级到一半设备起不来，才想起翻那本《H3C SecPath系列防火墙(V5)日常维护指导手册》。这本手册真正解决的问题不是教你怎么配安全策略，而是告诉你：登录方式失效了怎么救、日常巡检到底盯哪几个数、配置怎么做才能留后悔药、升级和回退的先后顺序是什么。适合手里管着一批V5防火墙、又没时间逐条啃命令的运维和网络工程师，也适合刚接手二手设备的同学照着做一遍体检。V5平台的老设备不可怕，可怕的是没人敢动它。

2. 登录与状态核查：CLI优先，Web只是后门

2.1 第一次登录：控制台、SSH与CRT连不上的三个原因

H3C SecPath系列防火墙V5平台默认只开放控制台，SSH和Web都要手动开。第一次到手，先用console线连接，串口参数按常规来：波特率9600，数据位8，停止位1，无校验。CRT、Xshell、SecureCRT都行，但很多人卡在第一步——电脑根本没识别到com口，或者识别了但按回车没反应，十有八九是驱动没装或者波特率不对。V5设备的控制台登录后停在用户视图，提示符是<H3C>，敲system-view才进系统视图。

拿到设备第一件事不是配业务，而是改默认账号密码。V5防火墙的本地用户管理在Comware V5上是local-user加class manage的模式，命令大致如下：

<H3C> system-view [H3C] local-user admin class manage [H3C-luser-manage-admin] password cipher ChangeMe_2024 [H3C-luser-manage-admin] service-type ssh terminal [H3C-luser-manage-admin] authorization-attribute user-role network-admin

service-type ssh terminal是允许这个账号走SSH和终端登录，authorization-attribute user-role network-admin给足管理权限。改完密码后，平时维护就别再依赖console线了，把SSH打开省得每次搬小板凳。SSH的开启和账号绑定是两件事，漏一个都连不上：

[H3C] public-key local create rsa [H3C] ssh user admin service-type stelnet authentication-type password [H3C] ssh server enable

这里public-key local create rsa生成设备自身的RSA主机密钥，ssh user admin把刚才的admin账号绑定到SSH服务，最后ssh server enable才让整个SSH服务真正监听。很多人说CRT SSH连接H3C的交换机、防火墙连不上，排错顺序就三条：一是ssh server enable没开；二是账号没有加service-type ssh；三是老设备上的SSH算法和新客户端不匹配，Xshell报"key exchange failed"时，要么换老版本客户端，要么在设备上调整算法。最省事的验证方式是先在设备本地ping管理PC，通了再谈SSH，别让网络问题背锅。

2.2 一套display命令做完"从头到脚"的体检

日常维护不需要背几百条命令，把下面这组命令存成文本，每次上设备按顺序敲一遍，状态基本就摸清了：

<H3C> display version <H3C> display device <H3C> display cpu <H3C> display memory <H3C> display interface brief <H3C> display session statistics <H3C> display logbuffer

display version看的是系统版本、BootRom版本和运行时间，升级前后都要对着它核对。display device看的是板卡、电源、风扇的状态，V5防火墙在N+1电源场景下，如果显示某个电源异常，别急着报修，先看是不是整机负载太低导致电源进入了休眠状态，这种现象看着吓人，其实是设计如此。display cpu要重点看5秒、1分钟、5分钟三段负载，单看瞬时值没意义，5分钟持续超过70%就要留意是不是有策略循环匹配。display memory看内存占用百分比和剩余内存，V5设备内存泄漏的早期特征就是free内存缓慢下降，配合后面会说的logbuffer一起判断。

接口和会话这两项放在一起看更有意义。display interface brief只看端口Up/Down和收发报文计数，物理Up但协议Down常见于光模块问题；display session statistics看的是防火墙当前并发会话数、每秒新建会话数，这是决定要不要扩容或调优的硬指标。最后display logbuffer翻一下最近日志，尤其注意有没有接口反复up/down、BGP邻居重置、session资源超限的告警。整套做完不超过三分钟，新手也能看出这设备今晚能不能安心睡觉。

2.3 开通Web登录：账号、服务类型与权限的三段配置

社区里经常有人问H3C S7006X怎么开通Web，防火墙的套路其实同源。V5防火墙的Web管理默认关闭，有些老师傅完全不碰Web，但日常做地址簿维护、看攻击日志时，Web界面确实比命令行直观。开通Web的核心命令是给账号加服务类型，再打开HTTP/HTTPS监听：

<H3C> system-view [H3C] local-user admin class manage [H3C-luser-manage-admin] password cipher Admin@2024 [H3C-luser-manage-admin] service-type http https [H3C-luser-manage-admin] authorization-attribute user-role network-admin [H3C-luser-manage-admin] quit [H3C] ip http enable [H3C] ip https enable

注意service-type http https和前面的service-type ssh terminal不冲突，同一个账号可以在多个服务类型里叠加。ip http enable和ip https enable是设备层面的HTTP/HTTPS服务总开关，缺一个都可能导致浏览器直接拒绝连接。登录地址就是设备的Vlan-interface或管理口的IP，比如https://192.168.1.10，第一次访问证书告警正常，按提示信任就行。

连接H3C防火墙的Web失败，最常见原因不是密码错，而是管理PC和设备之间的路由不通，或者浏览器缓存了老页面。还有一个容易忽略的点：如果之前配置过ACL限制Web访问源，哪怕账号密码全对也会被静默拒绝，先查ACL再查密码。网上很多教程是ensp里配华为防火墙的Web登录，命令风格跟H3C接近，但接口命名、安全域概念和回显格式都不一样，别直接照抄。Web登录对于V5防火墙来说就是个后门，平时维护主路还是CLI，Web页面一旦打不开不要慌，SSH和console永远兜底。

3. 三个高频巡检项：会话表、黑白名单与光口光衰

3.1 会话表与连接数：防火墙最容易被耗尽的东西

H3C SecPath系列防火墙是状态防火墙，V5平台的会话表是设备转发的核心数据结构。跟路由器不同，防火墙不是每收到一个数据包就查一次路由表，而是首包建立会话，后续流量直接匹配会话表。这种机制安全，但也意味着会话表有上限，一旦耗尽，新连接全被丢，老连接还能跑，现象就是"网页转半天打不开、ping管理地址却通"。巡检时必须把display session statistics里的并发连接数和设备规格对比看，V5防火墙中低端型号常见上限在几十万到百万级，别等业务投诉才去看。

<H3C> display session statistics <H3C> display session table size <H3C> display session table ipv4 source-ip 192.168.1.100

display session table size查看会话表最大规格，session table ipv4 source-ip用来查某个内网IP当前建了哪些会话，排障时能快速定位是哪个终端在疯狂建连接。会话表占用率达到80%以上就要开始评估了：先看是不是老化时间设置太长，状态防火墙对TCP、UDP、ICMP有默认老化时间，TCP的established会话默认可能有较长时间保活，如果内网有大量长时间维持的数据库连接，适当调低老化时间是常见做法；再看是不是有异常扫描流量，攻击源在短时间内生成海量连接，会话表瞬间被打满，这时候display session table里会看到同一个源IP占了大半表项，直接定位后封禁。

组播场景要单独说一句。V5防火墙对组播流量的处理不像单播那样逐条建立会话，组播报文往往走的是组播转发表或硬件转发通道，排组播丢包时别死盯着会话表，去查组播组、接口和RP信息更靠谱。新手最容易犯的错是把会话表当流量计数器，看到数值高就报警，实际上会话表高和业务正常并不冲突，关键看新建速率是否异常、是否逼近上限。

3.2 防火墙黑白名单：省心但容易误伤

黑白名单是防火墙里最直觉的功能，V5平台上有命令行的黑名单配置，也有Web界面里的黑白名单管理。黑名单的作用是直接丢弃匹配源IP的报文，适合应急封禁扫描源、攻击源；白名单则是在安全策略之前放行指定IP。配置本身不难，真正坑人的是"误伤"和"优先级"这两个问题。

<H3C> system-view [H3C] blacklist ip 10.2.0.8 [H3C] blacklist ip 10.2.0.0 24

blacklist ip指定单IP或网段，命中即丢。这里有个常见判断：白名单的优先级高于黑名单，如果同一个IP既出现在白名单又出现在黑名单，有些V5版本按白名单放行，有些按黑名单丢弃，不同版本行为不一致，维护手册里不会明说，上设备实测才有底。我见过最典型的误伤事故是这样的：内网DNS服务器被运维手工加进了黑名单，原因是某个安全告警显示该IP在持续对外探测，加了黑名单之后全网域名解析开始随机超时，网页一会儿打得开一会儿打不开，最后查display blacklist才发现问题，解封十分钟后业务恢复。这个案例的教训是：加黑名单之前先用display session table确认这个IP到底在干什么，很多所谓的"扫描流量"其实是正常的健康检查或广告推送SDK。

巡检时还要看黑名单表项的老化属性。V5的blacklist可以设永久和动态两种，动态表项到达老化时间后自动删除，永久表项只能手工删。日常维护建议只对确认无误的攻击源用永久黑名单，临时可疑IP用动态即可，避免设备里堆一堆僵尸黑名单，过三个月你自己都忘了当时为什么封它。判断IP是否真的被拦，最直接的办法是在管理PC上ping这个IP，不通再上设备查表确认，别在业务侧没头没脑排查半天。

3.3 光口光衰：看不懂结果参数就是白测

防火墙的接口经常走光纤上联，光模块衰耗是导致接口间歇性down的元凶。V5设备上查光口光衰的命令跟交换机同一套，最常见的场景就是"h3c交换机查光口光衰命令，结果参数解释"，防火墙直接复用。核心命令是：

<H3C> display transceiver diagnosis interface GigabitEthernet1/0/1

transceiver diagnosis后面的interface要写明具体接口，支持十兆/百兆/千兆/万兆光口。回显里重点看RX Power和TX Power两行，单位是dBm，dBm是功率比值的对数单位，数值越大表示功率越高。温度一项也不能忽略，光模块温度超过70摄氏度时即使光功率正常，也说明散热出了问题，要检查设备风扇和防尘网，不要等到光模块烧了才处理。

光衰的排查经验是：不要只看一端，要把链路两端的模块都测一遍，收发是对应的，A端的TX对应B端的RX，如果A端TX正常但B端RX偏低，说明光路中间衰耗超标，问题在跳线、法兰盘或配线架上，不在模块本身。接口随机闪断、CRC错包计数持续增长是光衰的经典症状，处理办法不外乎三步：重新插拔模块和跳线、用酒精棉清洁光纤头、换一根跳线对比。很多网络工程师把光模块当黑匣子，出问题直接换模块，结果换了还是闪断，其实就是光纤头脏了。V5的display interface回显里如果input errors和CRC在涨，先测光衰再做别的判断。

4. 配置备份与恢复：save、export/import与FTP/TFTP实操

4.1 三条备份路线对比：各管各的用途

V5防火墙的配置备份，日常维护就是三个动作：save、backup startup-configuration、文件传输导出。很多人只记得save，以为保存了就是备份，其实save只是把运行配置固化到本机的startup.cfg，设备硬盘坏了照样全丢。要真正把后悔药留到设备之外，必须把配置文件拿到PC或服务器上。

实际维护中我一般这样搭配：每次改配置后save force是铁律，一周用TFTP导一次完整配置到备份服务器，版本升级前后各导一次。这样即使设备主控板损坏、配置彻底丢失，也能在旧设备或同型号新设备上快速恢复到最近一周的状态，不至于从零开始配安全策略。

4.2 用TFTP把配置导进导出：完整步骤与参数说明

TFTP在V5设备上是个轻量级工具，配置文件和升级包都靠它传。它的特点是实现简单、明文传输、一次只能传一个文件，所以只适合在维护网段内用，别让它跨公网跑。导出配置的完整步骤如下：

<H3C> save force <H3C> dir flash:/ <H3C> tftp 192.168.1.10 put flash:/startup.cfg startup_20240615.cfg

第一步save force确保当前运行配置已经写进startup.cfg，避免导出一个半新不旧的临时状态。第二步dir flash:/确认文件名和大小，V5设备上启动配置文件名通常是startup.cfg，但如果之前做过startup saved-configuration指定了其他文件名，要以dir的实际显示为准。第三步tftp 192.168.1.10 put flash:/startup.cfg startup_20240615.cfg，意思是把设备flash根目录下的startup.cfg文件上传到IP为192.168.1.10的TFTP服务器，保存为startup_20240615.cfg。这个方向是put，从设备出去到服务器；反过来从服务器拉文件到设备用get。

这里有几个参数细节要注意。TFTP服务器IP必须能和防火墙的管理地址互通，这个通不是指能ping通管理口就行，而是设备发出TFTP请求时的源地址要可达，多管理口设备建议先确认走的是哪个源。文件名不要带路径符号和中文，V5对文件名的要求很传统，大小写也要区分，STARTUP.CFG和STARTUP.cfg是不同文件。传输超时和重传次数在设备上没有太多可调项，如果TFTP传到一半卡住，先查管理PC的防火墙是不是拦了TFTP端口，Windows自带的系统防火墙经常干这事，加了放行规则后再传。这个过程，就是很多人说的"防火墙导包"——把配置文件当作一个包，从设备倒腾到PC，再从PC倒腾回设备，手法熟练比什么都要紧。

4.3 恢复现场：从备份文件回到可运行状态

恢复配置是备份的逆过程，核心也是TFTP，方向从get变成put。最朴素的恢复方式是把备份文件传回设备根目录，覆盖原来的startup.cfg，然后重启：

<H3C> tftp 192.168.1.10 get startup_20240615.cfg startup.cfg <H3C> reboot

get命令从TFTP服务器拉取文件，保存在本地flash根目录并命名为startup.cfg，覆盖旧文件后重启，设备就会加载这个配置起来。这个操作前一定要确认几点：备份文件是从同型号设备导出的、设备接口编号和备份时一致、版本没变。V5防火墙不同型号之间即使命令相似，接口命名、默认安全域、默认zone都可能对不上，直接把F1000的配置导入F1020，起机后接口状态会乱，策略引用空接口导致业务全断，这是恢复现场最容易翻车的地方。

另一条更稳的恢复路径是分段恢复：先把备份文件下载到PC，用文本编辑器打开，逐段核对接口配置、安全域、策略，把和当前设备不匹配的接口名改掉再导回。这种做法适合设备型号有差异的迁移场景，慢但不容易出事。还有一点血泪经验：恢复配置后不要马上跑，先display current-configuration确认关键策略在不在，再save force固化一次。如果恢复后业务异常，别急着反复重启，先对比运行配置和备份文件的差异，V5的配置是分层级的，漏一条默认路由都可能让防火墙变成哑设备。

5. 版本升级与BootRom回退：操作步骤与四个避坑点

5.1 升级前必须做好的三件事

V5防火墙升级不是把文件传上去再reboot那么简单。升级前必须确认三件事：当前设备型号和软件版本是否匹配新包、BootRom版本是否满足新App的要求、配置是否已经完整备份。缺任何一样，都可能让设备停在BootRom菜单等你救。

<H3C> display version <H3C> display boot-loader <H3C> dir flash:/ <H3C> save force

display version里除了看软件版本，还要看BootRom版本，很多V5设备升级App时要求BootRom版本不能过低，否则引导过程会失败。display boot-loader看当前启动文件和下次启动文件，升级后一定要再敲一次确认main文件换成了新包。dir flash:/看flash剩余空间，V5上的升级包动辄几十MB，加上当前系统文件，flash剩余空间不够会导致写入失败。最后save force把当前配置固化，升级后如果发现新版本有问题，还能原样回退。

5.2 从BootRom到App的升级路径：两条路都要会

V5防火墙的软件分为BootRom引导程序和App系统程序，BootRom负责硬件初始化和加载App，App才是你日常敲命令的那个系统。升级App的常规动作是：

<H3C> boot-loader file flash:/secpath_fw_v5.ipe main <H3C> reboot

boot-loader file flash:/secpath_fw_v5.ipe main指定flash根目录下的ipe升级包作为下次启动文件，main是主启动文件，还有backup可以保留旧版本。这个命令只改设置，不立即加载，要等reboot重启后才生效。重启过程走的是：BootRom先起，BootRom读取启动文件设置，加载App到内存，进入正常系统。如果BootRom版本太老，加载不了新App，就会在引导阶段报错。

另一条路是BootRom菜单升级。当App损坏、设备根本进不了系统时，重启过程中按Ctrl+B进入BootRom菜单，里面有用以太网口升级的选项。这算是最后一根救命稻草：设置好管理IP，用TFTP把App从PC传到设备，在菜单里指定文件名启动。操作不算复杂，但手一抖传一半断线，设备可能彻底变砖。所以平时升级App，尽量在系统正常的情况下用boot-loader指定，别等到救砖才第一次学BootRom菜单。

5.3 坑1：升级中途断电，设备变"半砖"

现象：升级时boot-loader传完文件、正在写Flash，突然停电，恢复供电后设备起来直接停在BootRom菜单，反复回车都进不了系统。原因：App镜像写入flash未完成，启动文件不完整，BootRom找不到可加载的系统。解决：不要慌，进BootRom菜单走以太网口升级，把同版本的App用TFTP重新传一遍再启动。如果连BootRom菜单里的以太网口传输都反复失败，检查网线和PC的IP设置，PC端防火墙也可能拦TFTP。血的教训是：升级前把设备接到UPS上，哪怕是小型机房的在线式UPS，也别在雷雨天或者物业通知停电的时段操作升级。

5.4 坑2：IPE不是普通压缩包，解压后放根目录不生效

现象：把.ipe升级包在PC上用压缩软件解压，得到几个.bin文件，再传到flash根目录，boot-loader file flash:/xxx.bin main却报错或启动失败。原因：.ipe文件不是给用户解压用的，V5设备的启动加载逻辑要求直接指向完整的.ipe包，BootRom会按照ipe内部的清单逐个加载对应的模块文件，手动拆散反而破坏了包内结构。解决：不要解压，整个.ipe文件传到flash根目录，.boot-loader直接指向flash:/xxx.ipe。这个坑特别容易出现在从PC下载升级包后顺手右键解压的工程师手里，理解了ipe的打包逻辑就不会再犯。

5.5 坑3：回退版本忘了BootRom回退，业务被掐断

现象：新版本运行一段时间后，因为某个特性兼容性问题要回退到旧版本。把App换成旧版，重启后系统起不来，或者起来后业务转发异常。原因：BootRom版本只能升不能随便降，新旧App对BootRom的要求不同。新版本App通常要求新BootRom，回退旧App时如果BootRom还停留在新版本，可能出现引导参数不兼容或硬件驱动不匹配。解决：回退时先把BootRom降回到旧App配套的版本，再回退App。V5设备上BootRom和App有配套关系，升级包发布时通常同时提供两个文件，升级和回退都要成对操作。这是回退流程里最容易被忽略的一步，很多工程师只盯着App版本，忘了BootRom也是软件的一部分。

5.6 坑4：升级后Session全断，老会话表被清空

现象：升级重启完成后，业务系统大面积报连接失败，数据库连接池、ERP、NAS全连不上，但防火墙自身管理地址能ping通。原因：防火墙重启后内存中的会话表全部清空，状态防火墙对已有连接需要重新经过安全策略检查并建立新会话，客户端不会自动重连的TCP长连接全部中断。解决：升级前通知业务方在升级完成后重启应用、重新建立连接池，不要指望防火墙"保留状态下重启"。这个坑其实不算bug，是状态防火墙的固有行为。安排升级窗口尽量避开业务高峰，凌晨操作最稳妥，升级后第一件事不是测业务，而是看display session statistics确认会话表在重建，再让业务方验证关键链路。

6. 双主不是故障：HRP的日常验证与强制切换

6.1 双主是正常现象，先确认心跳再拔线

H3C SecPath系列防火墙V5的双机热备用HRP，日常维护里最吓人的告警就是"两台设备都显示Master"。很多新手看到双主第一反应是抢主冲突，拔线重启，其实双主机不等于故障，先要确认心跳链路状态和HRP配置是否一致。display hrp state是第一个要敲的命令，看到两台都Master，接着敲display hrp interface看心跳口和远端IP有没有生效。心跳线断了、配置里hrp接口不对、或者备机的策略没同步，都会导致双主。先查心跳，后动配置，拔线之前一定要想清楚，心跳口即便物理down，业务口的数据转发和VRRP主备逻辑也不会立刻恢复，拔线不能解决双主根因。

6.2 用一条命令验证主备切换是否可用

日常维护不能只等故障才验证HA，我一般每个季度做一次强制切换演练，命令是hrp standby-device，在主设备上敲完，主备状态会反转，观察业务是否在几秒内恢复正常，再切回来。这里有个细节：强制切换时连接会断一下，状态防火墙的会话表在切换同步时如果没做完，客户端需要重新建连，所以演练也要挑业务空窗期。切换完一定记得再敲一次display hrp state确认两台设备回到主备状态。数年维护经验的习惯是先看备机日志有没有同步告警，再切主，最后查一遍会话同步计数。这台V5防火墙才敢真正被信任。希望这些翻车总结和验证习惯，对正在维护V5防火墙的你有个实际的参考，设备再老，方法到位就不慌。

本文还有配套的精品资源，点击获取