华为防火墙开启web管理

华为防火墙默认不开启Web管理。防火出厂状态下，墙开启你只能通过Console口登录CLI。管理想用浏览器配防火墙，防火第一步是墙开启确认型号和当前软件版本——USG6000系列、USG6600系列、管理Eudemon系列的防火操作路径不完全一样，但核心逻辑一致：给接口配IP、墙开启放行HTTPS、管理开服务。防火

我拿一台USG6000V做示例。墙开启Console登录后，管理系统提示符是防火<USG>。进系统视图：

system-view 

先看接口。墙开启GigabitEthernet 0/0/0是管理管理口，默认在Trust区域，IP是192.168.0.1/24。很多教程让你直接用它，但生产环境里我建议单独划一个管理接口，别跟业务口混在一起。假设你打算用GE0/0/0做Web管理：

interface GigabitEthernet 0/0/0 ip address 192.168.1.1 24 service-manage https permit service-manage ping permit quit 

service-manage这行是关键。华为防火墙默认拒绝所有到接口本身的管理流量，不敲这条，HTTPS包直接被丢。ping也建议放行，方便排错。

接着开Web服务。华为防火墙的Web管理走HTTPS，不是HTTP：

web-manager enable web-manager security enable 

有些版本第一条就够了，第二条是强制HTTPS。如果提示命令不存在，说明你的软件版本较老，可能是http server enable或web-manager enable加端口指定。

然后配登录用户。别用默认admin，哪怕改了密码也不够。新建一个：

aaa manager-user webadmin password irreversible-cipher YourPassword@123 manager-user webadmin service-type web manager-user webadmin level 15 quit 

service-type web指定这个账号只能Web登录。level 15是最高权限。密码用irreversible-cipher加密存储，比cipher安全。

最后放行安全策略。从你的PC所在区域到防火墙本地的HTTPS流量：

security-policy rule name permit_web source-zone trust destination-zone local destination-port 443 action permit quit 

如果你从Untrust区域访问，把source-zone改成untrust，但生产环境别这么干。管理面暴露在公网，等于把门敞开。

浏览器输入https://192.168.1.1。证书告警是正常的，华为自签证书没被公共CA信任，点继续访问就行。登录后第一件事：改默认路由、配NTP、设登录超时。Web界面能做的事比CLI少，但日常策略调整够用了。

有个坑我踩过：USG6000V在EVE-NG里跑，Web管理经常打不开。原因是虚拟网卡和service-manage没配全。真机上反而简单。另外，如果你改了Web端口，比如改成8443，service-manage那行也要跟着改端口，安全策略里的destination-port同理。

华为防火墙的Web管理不是“开个开关”就完事。它涉及接口服务、用户认证、安全策略三层。少一层，浏览器就是转圈圈。我见过有人配完IP就狂刷页面，最后发现service-manage https没敲——这种问题Console里一条display current-configuration | include service-manage就能定位。

配完记得保存：

save 

不保存，重启全丢。别问我怎么知道的。