H3C SecPath F100-C-G2 的防火 Web 管理口默认地址是 192.168.0.1，但很多人第一次上电后插上网线发现根本 ping 不通。配置原因不复杂——G2 的防火出厂配置里，GE0/0 口被划到了 Management 安全域，配置而其他业务口默认在 Trust 域，防火且没有放行 HTTPS。配置你得先用 console 线进去，防火或者确认自己插的配置是 GE0/0 那个单独的管理口，不是防火后面那一排业务口。

我上周帮一个客户调这台设备，配置他们买回来直接上架，防火网线插在 GE1/0/1 上，配置然后抱怨 Web 打不开。防火Console 进去 display ip interface brief 一看，配置GE1/0/1 压根没 IP。防火F100-C-G2 的出厂脚本只给 GE0/0 配了 192.168.0.1/24，其余口都是二层交换口，默认在 VLAN 1 里，没有三层地址。想用 Web 配，要么把电脑接 GE0/0，要么先通过命令行给业务口配地址并放行 HTTP/HTTPS 服务。

登录 Web 前必须确认的三件事

第一，浏览器别用太新的。H3C 这套 Web 界面基于老版 jQuery 和 ActiveX 残留逻辑，Chrome 120 以后有些下拉框会卡死。我一般用 Firefox ESR 或者 360 极速模式的兼容内核，省心。第二，电脑网卡设成 192.168.0.2/24，网关不用填，直接访问 https://192.168.0.1。第三，如果提示证书错误，点继续访问，H3C 自签证书就这样，别折腾。

登录账号默认 admin，密码 admin。进去第一件事改密码，第二件事去“系统 > 设备管理 > 软件许可”看一眼授权——F100-C-G2 有些功能比如 IPS 和 AV 需要单独 license，没授权的话 Web 上那些菜单是灰的，点了也没反应。

接口配置的坑：安全域和 NAT 是绑定的

Web 界面左侧“网络 > 接口”里，你可以给 GE1/0/1 配 IP。但配完发现内网还是上不了网，因为没划安全域。H3C 的逻辑是：接口必须加入安全域，域间策略才生效。G2 默认有 Trust、Untrust、DMZ、Management 四个域。你接外网的口要划到 Untrust，接内网的口划到 Trust。然后去“策略 > 安全策略 > 域间策略”里新建一条 Trust 到 Untrust 的 permit 规则。注意，这里不配 NAT 的话，内网包到了外网口会被丢掉——NAT 在“策略 > NAT > NAT 地址转换”里配，源地址选 Trust 域网段，出接口选 Untrust 域那个口，动作选 easy-ip。

有个细节：F100-C-G2 的 Web 界面在配 NAT 时，如果你先配了域间策略再配 NAT，有时候策略不生效。得把域间策略删掉重新加一次，或者直接命令行 reset session table 清会话。我遇到过两次，都是顺序问题，H3C 的 Web 下发配置偶尔和 CLI 不同步。

Web 配置的局限性

说实话，F100-C-G2 的 Web 界面只适合做初始配置和简单策略。真要做双机热备、策略路由、或者基于用户的带宽管理，Web 上要么没有入口，要么配了不生效。我自己的习惯是：Web 只用来改管理口 IP 和放行 HTTPS，剩下的全部 console 或者 SSH 进去用命令行。G2 的 Web 响应也慢，点一个菜单转三秒，不如直接敲 display current-configuration 来得快。

最后提醒一句：改完配置记得在“系统 > 配置文件”里点保存，否则重启就回出厂。H3C 的 Web 保存按钮藏得深，不少人配了半天没保存，断电后一切归零，又得从头来。