安全设备配置速查
防火墙策略与 NAT、IPS/IDS、WAF 规则、审计日志、双机高可用与版本管理：安全设备配置运维速查。
防火墙策略
安全区域、策略配置与命中分析
华为 USG 安全策略 security-policy热门
USG6000 新版本用 security-policy 下的 rule 定义源/目的区域、地址、服务、应用等条件并放行或拒绝，未匹配流量默认丢弃。
安全区域 security-zone 基础热门
安全区域按信任等级把接口分组（Trust / Untrust / DMZ / Local 等），策略在区域之间生效，是下一代防火墙策略模型的基础。
会话表查看与会话诊断
会话表记录每条流的状态与老化信息，是判断流量是否被设备正常转发的第一手依据。
默认拒绝原则与验证
主流安全设备在策略未命中时的默认动作是丢弃并记录，理解这一点是排查连不通问题的起点。
接口加入安全区域
把物理接口、子接口或 VLAN 接口加入安全区域后，流量才按区域间策略匹配；未加入任何区域的接口流量无法正常转发。
深信服 AF 访问控制策略
深信服 AF 通过控制台配置访问控制策略，按源/目的区域、地址对象、服务、应用与用户维度匹配，动作可选允许、拒绝或记录。
管理面访问控制
限制可登录设备的源地址与登录协议，避免管理口暴露在互联网或内网任意主机均可尝试登录。
H3C 域间策略 zone-pair
Comware V7 先定义安全区域，再用 zone-pair 描述区域对并绑定 object-policy；没有建立策略的区域对流量默认丢弃。
策略匹配顺序与调整
安全策略自上而下逐条匹配，命中即执行并停止后续比较；排布顺序直接决定实际生效的动作。
策略不生效排查流程
按区域、路由、会话、策略命中、NAT 的顺序逐层定位，能快速判断流量在哪一步被丢弃。
TCP MSS 调整与隧道叠加场景
MSS 决定 TCP 单段数据长度，经 IPsec、GRE 等隧道封装后有效 MTU 变小，不调 MSS 会出现网页卡、大包丢的现象。
配置导出与备份留存
定期导出设备配置并异地留存，是设备故障、误操作与版本升级场景下的恢复依据。
策略命中分析
通过命中计数与统计定位有效策略与僵尸策略，是策略精简与变更评估的基础手段。
安全策略日志与外发
策略命中与丢弃日志是安全审计与排障的基础数据，需要明确开启范围并送到日志服务器留存。
IP 黑名单封禁
把确认的恶意源地址加入黑名单，使设备在策略之前直接丢弃其流量，适合处置扫描与暴力破解源。
宽松放行策略的收敛
任何地址到任何服务的放行策略便于快速上线，但会让安全设备退化为路由器，风险集中在横向渗透与数据外发场景。
会话老化时间调整
会话空闲超时后被删除；默认老化时间对数据库长连接、视频流等业务偏短，表现为业务间歇性闪断。
非对称路由导致业务不通
去程与回程走不同设备或不同出口时，有状态设备查不到会话回程表项，表现为时通时不通或单方向可达。
DMZ 区域设计与策略收口
把对外发布服务器放入 DMZ 区，限制 DMZ 主动访问内网，服务器被攻陷时把影响面限制在 DMZ 内。
策略冗余与冲突检查
当一条策略的条件被前面策略完全包含时形成冗余或冲突，表面放行/拒绝与实际不符，多出现在长期迭代的策略库里。
URL 过滤配置
按域名或 URL 类别放行/阻断网站访问，满足上网行为管理与合规要求，通常与安全策略绑定生效。
应用识别 enable 与策略联动
设备通过特征与行为识别流量所属应用（如微信、网盘、远控工具），使策略可以按应用而非仅按端口放行。
端口镜像抓包
把指定接口或 VLAN 的流量复制到观察口，供抓包分析，是排查策略丢包与联动验证的常用手段。
管理员权限分级
按岗位区分设备管理权限（系统管理员、操作员、审计员），避免人人持有超级权限，满足等保对权限分离的要求。
Local 区域策略加固
Local 区域承载设备自身与管理面的流量，收紧对 Local 的放行是防管理面暴露的关键一环。
长连接业务的会话保持
数据库、视频、心跳类业务对中间设备会话状态敏感，除老化时间外还要关注会话同步与多出口路径一致性。
分片报文处理与分片重组
策略匹配依赖端口信息，而只有首个分片携带端口；中间设备对后续分片的处理方式直接影响音视频、VPN 类业务是否能通。
DNS 过滤与恶意域名拦截
对 DNS 请求做检测与拦截，可在连接建立前阻断与恶意域名的通信，是边界防护的性价比手段之一。
设备 Web 管理加固
把 Web 管理从明文 HTTP 切到 HTTPS、改默认端口并限制来源，降低凭据泄露与暴露面风险。
登录失败锁定
连续失败若干次后临时锁定账号或源地址，抵御针对管理入口的口令暴力尝试。
子接口与 VLAN 接口加入区域
单臂部署或 VLAN 终结场景用子接口承载多网段，每个子接口独立加入安全区域并单独匹配策略。
华为 USG 传统域间策略（V300 及更早）
老版本 USG2000/5000 用 firewall interzone 进入域间视图按 policy 编号写规则，升级新版本后统一迁移为 security-policy。
时间段策略 time-range
让策略只在指定时间窗口生效，常用于访客网限时开放、变更窗口放行、非工作时间收紧访问。
用户与组策略（认证联动）
把 IP 维度的策略升级为用户维度，员工换设备、访客接入时策略仍准确，前提是认证系统与设备完成联动。
地域访问控制（GeoIP 策略）
按 IP 归属国家/地区放行或阻断访问，多用于仅对国内提供服务的业务，降低无关地域的扫描与攻击暴露面。
AAA 与 RADIUS 管理员认证
把设备登录认证交给统一的 AAA 服务器，实现集中开停账号、密码策略统一与登录审计。
设备口令策略
对设备本地账号实施长度、复杂度与有效期要求，降低弱口令被撞开的概率。
策略灰度上线与验证
新策略先观察、再小范围放行、最后全量，避免一次性收紧导致大面积业务中断。
策略统计观察与清零对比
清空历史统计后重新观察，能准确判断某段时间内每条策略的真实命中情况，为精简策略提供依据。
防火墙策略问题速查
策略类问题排查通用顺序：查路由与可达性、查策略匹配、查 NAT 影响、查会话与日志，逐层缩小范围。
登录提示信息 header
在登录界面展示授权访问声明，明确非授权访问的法律后果，是合规检查中的常规配置项。
策略定期评审
按周期（建议每季度）评审策略：核对申请依据、命中情况与到期临时策略，输出评审记录与整改项。
拒绝流量日志控制
拒绝日志对审计有价值，但被扫描时可能产生海量记录；按来源与频率做采样或抑制，保留关键拒绝事件。
临时策略生命周期
临时开通（测试、临时接入）必须登记有效期与责任人，到期前复核：延期则走变更，不用则按时删除。
策略审计检查清单
从合规视角审计策略配置：默认拒绝、按需开通、日志记录、权限分离、周期评审逐项核对并留痕。
安全策略命名规范
策略名称写清业务、源、目的、用途与申请单号，几年后仍能看懂一条策略为什么存在；命名规范先于策略数量增长。
冗余策略合并清理
多条策略覆盖同一业务时，适度合并/精简可降低维护成本；合并前确认行为等价，避免隐含差异被抹平。
区域间流量变更评估
调整安全区域划分或接口区域归属属于高风险变更：先梳理受影响流量，评估策略与 NAT 影响后分批实施。
策略文档与归档
策略变更的申请单、评审记录、变更实施记录统一归档：审计、交接、故障复盘都依赖这套文档链路。
策略迁移到新设备
换机或换型时策略需要迁移：导入基准配置后逐项核对，重点关注对象引用、默认动作与日志设置的差异。
虚拟系统（VSYS）基础
部分防火墙支持虚拟系统：一台物理设备划分多个逻辑系统，各自独立策略与管理员，适合多租户或部门隔离场景。
虚拟系统资源分配
为每个 VSYS 设置资源上限（会话、策略数、带宽等），防止单一租户耗尽物理资源影响其他业务。
NAT 与发布
源 NAT、目的 NAT 与服务发布
NAT 类型与处理顺序总览
NAT 分源 NAT、目的 NAT 与双向 NAT 三类；理解设备先查路由再执行 NAT、且目的转换通常先于源转换的顺序，是排错的基础。
服务器映射（目的 NAT）
把公网地址端口映射到内网服务器，是外网访问内部业务的标准做法；配置需限定协议、端口与内网真实主机。
源 NAT 配置思路
内网访问互联网时把私网源地址转换为公网地址，是边界设备最基本的功能配置。
华为 nat-policy 规则结构
华为新版本把源 NAT 与目的 NAT 统一收进 nat-policy，规则结构与安全策略类似，便于按区域与地址统一编排。
NAT 地址池配置
地址池决定内网流量转换为哪些公网地址，池的大小直接影响可承载并发会话数与溯源精度。
NAT 日志与地址溯源
NAT 日志记录源地址、转换后地址与端口，是安全事件回溯到具体内网主机的依据，也是等保要求的审计数据。
H3C NAT 配置要点
Comware 在接口下用 nat outbound 做源转换、nat server 做映射，配合 ACL 控制转换范围，逻辑直观便于排错。
PAT 端口复用
多内网主机共用一个公网地址，靠不同源端口区分会话；CAT 是现在最常用的转换方式，代价是端口资源成为约束。
端口映射规划与最小发布
对外发布只开放业务必需端口，公网端口尽量贴近业务习惯（如 443），内部真实端口保持隐蔽。
NAT 会话查看
查看会话可同时看到原始与转换后的地址端口，是验证 NAT 是否生效的直接证据。
策略路由 PBR 基础
策略路由按源地址、应用或其他条件为流量指定下一跳或出口，优先级高于普通路由表，是实现多出口分流的常用手段。
NAT 不生效排查流程
从策略、路由、NAT 规则顺序、会话与抓包五个角度顺序定位，逐层缩小范围。
接口地址复用（easy-ip）
直接使用出接口的公网地址做源转换，无需单独申请地址池，适合小型出口或地址紧张的链路。
NAT 规则匹配顺序
NAT 规则同样自上而下匹配，命中即停；顺序错误会让本应免转换或指定池的流量走了默认转换。
NAT 与 IPsec 兼容（NAT-T）
IPsec 封装被 NAT 改写后校验失败，NAT-T 用 UDP 4500 封装解决穿越问题，是 VPN 对接的高频考点。
多出口 ISP 选路
接入两家以上运营商时按业务分配出口，可改善访问质量并实现链路互备，核心是「分流规则 + NAT 地址 + 回程一致」。
NAT 回流（hairpin）
内网用户访问公网映射地址时流量需要绕回内网，若设备不支持回流或未开启，会出现内网访问不了自家对外站点。
NAT 端口耗尽排查
地址池端口被占满后新增连接分配失败，表现为高峰时段部分用户无法新建连接（游戏大厅、校用系统典型）。
深信服 AF 的 NAT 配置
AF 的 NAT 在控制台按源地址转换、目的地址转换分模块配置，支持按区域、地址对象与用户维度定义。
服务器负载均衡 SLB
把公网请求分发到多台内网服务器，扩展服务能力；需配置虚服务、真实服务器组与健康检查。
WAF 在发布链路中的位置
WAF 串行部署在边界设备与服务器之间可拦截应用层攻击；旁路部署只告警不阻断，选型要结合业务容忍度。
发布证书管理
证书到期与链不完整是发布故障的高频原因；建立清单、到期提醒与替换流程可避免上线当天才发现问题。
FTP 与 NAT ALG
FTP 控制连接中动态协商数据端口，穿越 NAT 需要 ALG 协助或改用被动模式并放行固定端口范围。
VPN 流量免 NAT 配置
站点间 VPN 互访流量要按原地址转发，不能被上网源 NAT 改写，否则对端回程无法路由。
策略路由配置示例
以华为 VRP 风格展示按源地址分流到指定下一跳的配置，配合 ACL 定义匹配范围。
负载均衡健康检查
定期探测后端存活状态，异常节点自动摘除、恢复后自动上线，是保障服务可用性的关键配置。
双出口故障切换
主链路质量劣化或中断时自动切换备用出口；切换动作包括路由切换与 NAT 地址切换两部分，缺一不可。
对外暴露面收敛
互联网暴露面按「可不开就不开、能内网不放公网、必须发布加防护」三级收敛，是降低被攻击概率的基础工程。
NO-PAT 一对一转换
一个内网地址固定映射一个公网地址且端口保持不变，适合需要固定公网身份的业务（部分专线对接、白名单互访）。
NAT 会话老化与业务影响
NAT 会话超时删除后，该映射端口才释放可被复用；老化时间过短打断长连接，过长则占用端口资源。
链路负载均衡
在单台设备上把流量按算法分摊到多条出口链路，提高带宽利用率；需解决会话一致性与故障切换两个问题。
真实客户端 IP 传递
经过 NAT、负载均衡、WAF 多跳后，后端看到的源地址可能是中间设备地址，需通过 X-Forwarded-For 等机制还原。
DMZ 服务发布链路设计
一条发布链路通常包含公网地址、边界设备映射、前置防护（WAF/负载）与后端服务器，链路每一跳都要登记与验证。
HTTPS 服务发布与卸载
对外服务通常以 HTTPS 发布，证书可部署在服务器侧或由边界/WAF 卸载；卸载后内网链路为明文，需评估合规。
常见问题：能出去回不来
内网能访问公网但收不到回应，多数是源 NAT 缺失或地址池地址没有回程路由。
SIP 与音视频 ALG
SIP 报文里携带协商的媒体地址与端口，NAT 场景需要 ALG 或固定媒体端口，否则能振铃无声音。
策略路由不生效排查
常见原因是匹配条件不精确、下一跳不可达或应用方向错误，按顺序核查可以快速定位。
IPS 与边界设备的串联顺序
IPS 串在出口内侧可对双向流量检测；与 NAT 设备的先后顺序影响其看到的地址形态与检测覆盖范围。
CDN 回源与源站保护
接入 CDN 后用户访问 CDN 节点、节点回源到源站；源站需要只接受 CDN 回源地址并正确处理真实客户端 IP。
先路由后 NAT 的验证方法
设备先查路由确定出接口与下一跳，再执行 NAT；验证这一顺序能解释「NAT 配了但源地址没变」这类现象。
发布服务遇到 DoS 的缓解思路
公网服务不可避免会遭遇流量型或连接型 DoS；防护思路是上游清洗 + 边界限速 + 应用侧弹性组合。
NAT 会话同步要点
双机热备需同步 NAT 会话与端口映射关系，切换后既有连接才能继续使用原公网地址通信。
NAT 配置备份与版本对比
NAT 配置变更频繁，保留变更前后的配置版本并做差异对比，是快速回退与问题定位的有效手段。
NAT 变更风险控制
NAT 变更直接影响业务连通性，按「评估 → 备份 → 窗口执行 → 验证 → 留档」闭环管理。
端口范围与保留端口
NAT 转换使用的源端口可以限定范围；把范围与业务端口规划开，能减少与内部服务、监管要求之间的冲突。
ISP 地址表与智能选路
按目的地址归属选择出口（电信地址走电信线路），可显著改善跨网访问体验，依赖运营商地址库的持续更新。
负载均衡会话保持
让同一客户端在一段时间内的请求始终落到同一台后端，依赖源地址哈希或会话 Cookie 等机制。
链路质量探测与阈值
探测目的地址与阈值设置决定切换是否及时准确；探测目标单一或阈值激进都会造成误判切换。
服务发布验证方法
发布上线后用多维度验证确认可达性、链路正确性与日志完整性，避免「我这里能开」的错误结论。
NAT 映射台账管理
把每条映射（公网地址端口、内网地址端口、用途、责任人、有效期）登记成台账，是暴露面治理的基础工作。
VRRP 与双机 NAT 出口
双机通过 VRRP 提供统一的虚拟网关地址，主备切换时 NAT 出口地址与上行链路要同步切换。
日志外发验证方法
日志配置完成后要验证真实到达与可读，避免出现「配置了但服务器收不到」的静默失效。
GRE 与 NAT 的配合
GRE 隧道本身无端口，穿越 NAT 依赖外层封装（常配合 IPsec 或 GRE over IPsec），单纯 GRE 在 NAT 后无法建立。
NAT 场景的 MSS 与 MTU 注意点
NAT 与隧道叠加时封装开销增加，路径 MTU 变小；不做 MSS 调整时表现为小包通、大包断。
单 IP 会话数限制
限制单个内网地址的并发会话数，能抑制 P2P、扫描类行为对其他用户的影响，是共享出口的稳定器。
NAT 日志字段解读
NAT 日志至少要能回答「某时刻哪个内网地址通过哪个公网地址端口访问了什么」，字段缺失会让溯源断链。
常见问题：时通时不通
间歇性故障多与非对称路径、多出口会话漂移或端口资源紧张相关，按周期性规律与流量特征分析。
内网互访经防火墙转发
单臂部署或不同安全区域互访时，内网流量也要经设备转发，需策略放行并避免被出口 NAT 改写。
IPv6 地址转换 NAT66 与 NPTv6
IPv6 设计上端到端可直达，通常不做 NAT；NAT66 与 NPTv6 仅用于前缀转换等特定场景（如运营商地址变更）。
发布地址的路由与黑洞风险
发布地址在设备上是本地地址，上游若未宣告对应网段，公网流量到不了；上游宣告了但设备无对应配置则形成黑洞。
内网互访免 NAT
内网不同网段之间通信应保持原地址，若被出口源 NAT 改写，访问日志与后续排障都会失真。
端口发布审批流程
新增公网映射属于扩大暴露面的变更，走审批可以避免私人服务或未评估服务被发布到公网。
常见问题：部分主机不能上网
同一网段只有部分主机异常，通常与 NAT 匹配范围、地址池容量或单主机限制有关。
NAT 相关监控指标
把会话数、地址池使用率、转换失败计数纳入监控，能在用户投诉前发现容量与异常问题。
设备更换时的 NAT 迁移
旧设备退役时先梳理映射与策略清单，在新设备上预配并用灰度方式切换，保留旧设备回退能力。
分片报文与 NAT 的兼容
非首片分片不含端口信息，NAT 与策略可能无法正确匹配；音视频与部分 VPN 业务容易受此影响。
临时发布的回收
调试、活动类临时映射要做到期回收，避免形成长期无人维护的暴露点。
NAT 上线检查清单
新部署或大改后按清单逐项确认，把「能上网」升级为「可运维、可审计、可回退」。
公网地址规划与登记
把公网地址按用途分池（上网出口、服务发布、专线互联、VPN），并登记归属与联系方式，利于审计与故障沟通。
NAT 命中情况查看
变更 NAT 前后用会话与日志验证命中：确认流量走了预期的地址转换，而不是回退到其他规则。
代理 ARP 与发布地址
上游设备把发布网段的流量按路由指向本设备时，设备需要代理回应地址的 ARP 请求，否则上游学不到对应 MAC。
NAT 端口利用率监控
出口 NAT 端口利用率高时，新建连接可能失败；监控利用率与端口耗尽告警，提前扩容地址池或调整策略。
NAT 规则台账
维护 NAT 规则台账：规则用途、转换关系、关联业务、责任人，与策略台账并列管理，服务发布与审计共用一份数据。
NAT 变更记录
每次 NAT 变更记录：申请依据、规则内容、实施时间、验证结果、回退方式，形成完整可追溯链条。
地址池监控与告警
对地址池配置使用率告警：池内地址和端口使用异常升高时及时介入，避免业务发布或上网质量受影响。
IPS 与 IDS
特征库、检测模式与联动处置
IDS 与 IPS 的区别
IDS 旁路监测只告警不阻断，IPS 串联在线可实时阻断；两者部署方式、性能影响与运维要求完全不同。
IPS 特征库基础
特征库包含漏洞利用、恶意软件、协议异常等检测规则；特征库版本与授权状态决定设备检测能力的时效性。
IPS 串联部署要点
串联位置决定检测覆盖范围与性能压力，通常部署在出口内侧或关键区域之间，串接前后要保留维护通道。
IPS 动作：告警、阻断与重置
不同动作给出的处置强度不同；告警仅记录、阻断丢包、重置会中断会话，需按风险级别匹配动作。
IPS 配置文件（profile）
把特征启用范围、动作、例外等设置组织为配置文件，供安全策略引用，便于按业务区复用不同强度。
IPS 旁路部署（IDS 模式）
通过镜像口旁路接收流量副本，不影响转发路径，适合先观察学习流量特征或业务不容许中断的场景。
告警研判流程
面对日常海量告警，按「可信度 + 影响面 + 资产价值」建立研判路径，把人力集中在真实威胁上。
暴力破解检测
针对 SSH、RDP、数据库与 Web 登录的密集尝试，可通过频率阈值与失败比例检测并联动封禁。
Bypass 机制与失效策略
硬件 bypass 在设备断电或软件故障时物理直通；需明确「失效开放」还是「失效关闭」，两者对业务与安全影响相反。
IPS 误报处理流程
误报是 IPS 运维的常态工作；标准化流程（确认 → 取证 → 处置 → 复盘）能减少重复劳动。
检测模式：观察与拦截切换
新上线或规则调整后先用观察模式积累基线，再逐步切换到拦截，是控制误报风险的标准做法。
僵尸网络与回连检测
检测内网主机与恶意 C&C 的通信（心跳、DNS 查询、非标端口连接）是发现失陷主机的关键手段。
特征库在线升级
设备直连厂商升级服务器获取规则更新，适合有互联网出口或已配置代理通道的环境。
安全策略绑定 IPS 检测
检测能力随策略绑定生效：只有命中该策略的流量才会做 IPS 检测，绑定前先梳理哪些流量需要检测。
特征分类与启用策略
特征库按类别组织（漏洞利用、恶意软件、协议滥用等），按业务需要启用类别可平衡检测面与性能开销。
IPS 例外与白名单
对确证无害的告警来源、目标或规则组合设置例外，避免持续误报干扰值守与日志分析。
IPS 性能与容量评估
检测是计算密集型工作，吞吐、并发连接数与新建速率都有规格上限；超出后可能丢包或降级检测。
WebShell 通信检测
检测 Web 服务器进程发起的可疑外连或异常 POST 行为，是发现网站被植入后门的重要线索。
IPS 与 WAF 的分工
IPS 检测网络层与传输层攻击（含漏洞利用与恶意软件），WAF 专注应用层 HTTP 语义，两者互补而非替代。
华为 USG 的 IPS 配置框架
华为 USG 通过 IPS 配置文件（profile）集中定义检测范围与动作，再在安全策略中按区域对引用生效。
特征库离线升级
内网隔离环境通过下载离线升级包再导入设备，适合不允许设备直接访问互联网的场合。
告警日志字段与内容
告警日志应包含五元组、命中规则、动作与时间；字段完整度决定研判与溯源效率。
威胁情报联动
将恶意 IP、域名、样本哈希等情报注入检测策略，可提升对已知威胁的识别率，尤其适合阻断回连类行为。
从告警到处置的闭环
规范「发现 → 研判 → 处置 → 复盘」闭环，让每次告警都产生确定结论，而不是停留在已读。
特征库版本核对
定期核对设备实际生效的特征库版本与厂商最新版本，是巡检清单中的固定项。
流重组与会话还原
检测设备按会话重组报文后再匹配特征，重组能力不足会漏检分片、乱序与长会话中的攻击特征。
挖矿与异常外连检测
主机 CPU 异常高且伴随矿池地址外连，多为挖矿木马；检测点包括矿池域名/IP、Stratum 协议特征与性能异常。
加密流量检测与解密合规
解密后可检测 HTTPS 内的攻击，但涉及隐私与合规，必须限定范围、明确告知并保护解密数据。
检测性能瓶颈排查
CPU 或内存持续高位、检测丢包计数增长，意味着检测能力可能已降级，需要定位负载来源。
深信服 AF 的 IPS 配置
AF 将 IPS 作为安全防护模块，在控制台选择防护模板、保护对象与动作，并按策略生效。
检测设备部署位置选择
部署位置决定看到什么流量：出口内侧看全局出访，服务器区入口看业务访问，核心区看横向流量。
规则灵敏度与阈值
部分规则带触发阈值或灵敏度参数；阈值过低易误报，过高会漏报，需要按业务流量基线调整。
硬件 Bypass 与双机组合
硬件 bypass 解决单机故障，双机解决业务连续性；两者组合时需明确切换顺序与健康检查信号。
分片报文与入侵检测
攻击者可能利用分片规避检测；设备需要重组分片后再检测，否则会漏掉跨分片的特征。
IPS 对接 SIEM
把 IPS 告警并入 SIEM 与防火墙、主机日志关联，才能还原完整攻击链；对接质量取决于字段规范与归一化。
DNS 隧道检测
异常 DNS 行为（超长域名、高频查询、大量 TXT 记录）可能是数据外发通道，检测依赖对 DNS 流量的持续观察。
虚拟补丁防护
对暂无法打补丁的系统，用 IPS 规则阻断对应漏洞利用路径，为修复争取时间窗口。
IPS 规则调优循环
调优不是一次性动作：收集告警 → 分析 → 调整 → 观察 → 固化，成为例行运转的闭环。
双机场景 IPS 配置同步
双机热备需同步 IPS 配置文件、特征库版本与例外列表，否则切换后检测策略与预期不一致。
IPS 与防火墙策略的分工
防火墙策略管控「谁能访问谁」，IPS 检测「访问内容是否恶意」；攻击者利用已放行的业务端口时，只有 IPS 能发现。
东西向流量检测
内网横向移动占攻击链的大部分时间，东西向检测（VLAN 间、数据中心内）是发现内网渗透的关键覆盖。
防护有效性验证方法
上线后用无害测试用例（扫描探测、模拟告警流量）验证设备确实在检测与告警，防止「装而不用」的静默失效。
自定义特征规则
厂商特征之外，可按自有业务特征编写自定义规则，用于检测内部特有协议滥用或敏感数据外发行为。
IP 信誉库使用
按 IP 信誉分级对访问源采取措施（放行/监控/阻断），可在连接建立阶段抵御扫描与已知恶意源。
文件信誉检测
对传输中的文件计算哈希并比对信誉库，可在不依赖沙箱的情况下快速识别已知恶意文件。
分区域灰度上线 IPS
按业务重要度与风险暴露面分批上线：先覆盖互联网入口，再覆盖内网重点区域，把影响控制在可接受范围。
告警取证与报文留存
对高危告警留存原始报文，既能支撑研判，也能在事件复盘时提供证据；注意留存范围与隐私合规。
H3C 安全设备的入侵检测配置
H3C SecPath 系列可在策略中引用 IPS 相关配置文件，配置逻辑与域间策略一致，按区域对生效。
特征库升级风险控制
特征库升级会引入新规则与新误报，按变更流程执行并准备回退，可把风险控制在窗口内。
威胁日志留存要求
威胁告警属于安全审计数据，需按合规要求留存足够时长，并保证完整性与可检索性。
威胁日志周审
每周固定审视威胁日志：高危及高频事件、新增规则命中、误报反馈，形成周报与处置跟踪清单。
编码与混淆的检测视角
攻击流量可能经过编码、压缩或协议嵌套以绕过检测；防御侧关注设备对多层解析与异常编码的识别能力。
沙箱联动检测
可疑文件送沙箱动态分析，根据行为判定恶意；联动链路的时延与容量需要规划，避免影响业务体验。
不解密场景的检测能力
不做解密时仍可通过 JA3 指纹、SNI、流量行为与证书信息识别威胁，能力有限但合规风险低。
IPS 例行维护项
把特征库、授权、例外、性能与日志检查固化为例行任务，才能保证检测能力长期有效。
威胁事件分级处置
按事件危害与确定性分级：严重事件立即处置并上报，可疑事件研判后处置，低风险扫描类批量归档，避免一刀切。
IPS 报表与趋势分析
定期输出告警趋势、攻击类型分布与处置统计，为管理层汇报与规则调优提供数据支撑。
TAP 与镜像口选择
旁路取流可用交换机镜像或专用 TAP；镜像依赖交换机性能，TAP 更稳定但需额外硬件与链路改造。
授权与续期管理
IPS 特征库更新依赖授权有效期；到期后更新停止，检测能力冻结在旧版本。
IPS 例行巡检清单
把设备状态、检测能力、策略一致性与日志健康度按清单逐项确认，形成可留档的巡检记录。
IPS 告警去重与聚合
同一威胁源反复触发会产生重复告警：在检测设备或日志平台侧做聚合（同源同规则合并计数），降低处置负担。
IPS 性能基线建立
记录设备在正常业务下的性能基线（CPU、吞吐、时延、检测会话数），异常时对照基线快速判断是否由 IPS 引入。
特征库升级窗口安排
特征库升级安排固定窗口并观察升级后误报：中大型部署可分批升级，出现误报波动时有回退预案。
威胁态势概览与值守
值守界面聚焦「当前活跃威胁、未处置高危事件、资源状态」三类信息，避免信息过载。
特征库回退操作
升级后出现大面积误报或性能问题时，按预案回退到上一版本，先恢复业务再分析原因。
特征库版本差异核对
双机升级后或例行检查时核对两台特征库版本一致；版本差异期间检测能力不一致，切换后会产生告警差异。
WAF 防护
防护规则、模式配置与误报处理
WAF 能力与定位
WAF 解析 HTTP/HTTPS 语义，按规则拦截注入、跨站、爬虫、CC 等应用层威胁，与网络层设备形成互补。
WAF 串联部署
WAF 串行在边界与应用之间，可实时阻断；需要双机或 bypass 保障可用性，避免单点中断。
SQL 注入防护配置
对请求参数、Cookie、头中的注入特征做检测，可结合语义分析与异常评分降低误报。
CC 攻击防护
针对高频请求型攻击，按 URL、来源、会话维度做频率控制与挑战验证，保护后端资源。
XSS 防护配置
检测请求与响应中的跨站脚本特征，配合输出编码与内容安全策略（CSP）形成多层防护。
OWASP CRS 规则集
CRS（核心规则集）是开源 WAF 常用的规则集合，覆盖 OWASP 常见风险，配 ModSecurity 等引擎使用。
文件上传防护
对上传接口做类型、大小、内容检测，阻断伪装扩展名与含恶意代码的文件。
WAF 误拦截排查
业务报障时按「日志 → 规则 → 参数」定位误拦，确认后按粒度加例外并记录原因。
WAF 观察模式
观察模式下规则只记录不拦截，用于上线初期积累误报数据，是防误拦的标准过渡手段。
命令注入与文件包含防护
针对系统命令、模板、文件路径类参数做检测，阻断利用组件漏洞的远程执行尝试。
API 安全防护
对 API 做参数校验、频率控制与鉴权检查辅助，防护重点包括越权、遍历与数据过度暴露。
云 WAF 接入方式
云 WAF 通过 DNS 调度或四层代理接入，流量先到云端节点过滤再回源到源站；源站需限制只接受 WAF 回源。
爬虫与机器人管理
区分善意爬虫（搜索引擎）与恶意爬虫（内容抓取、价格爬取），按特征、频率与行为综合判定。
真实客户端 IP 获取
经过 CDN、负载均衡、代理多层后，WAF 与后端要通过 X-Forwarded-For 或代理协议获取真实源地址。
WAF 拦截模式与回退
切换拦截后要有快速回退通道：能按规则、按站点或整体恢复到观察模式，防止误拦扩大。
WAF 侧 IP 封禁
对确认的恶意源批量封禁，支持手动与自动（联动情报或频率超限）两种来源，注意封禁有效期。
WebShell 通信拦截
通过特征与行为检测 WebShell 通信流量（异常参数、固定回连），与主机侧检测形成互补。
WAF 白名单与例外设计
白名单要精确到规则、路径与参数组合，范围越小越安全；粗放白名单会留下绕过通道。
WAF 日志字段解读
WAF 日志要能还原「谁、从哪里、请求了什么、命中什么规则、动作是什么」，字段完整才能支撑溯源与统计。
ModSecurity SecRule 语法
SecRule 由「变量 + 运算符 + 动作」组成，动作里指定规则 ID、阶段与处置方式，是自定义防护的基础。
WAF 规则库更新
规则库更新带来新防护能力也引入新误报；按版本说明评估、窗口执行、更新后观察是常规做法。
请求限速与并发控制
对接口设置速率与并发上限，防止单个来源或单一接口消耗过多后端资源。
规则命中查看与 ID 定位
每条告警都带规则 ID，通过 ID 可查询规则详情与调整历史，是误报处理的基本功。
WAF 证书与 HTTPS 配置
WAF 侧证书要与站点域名一致，注意多域名（SAN）与通配符场景，证书更新后立即验证。
ModSecurity 引擎模式
ModSecurity 支持 On/DetectionOnly/Off 三种引擎模式，检测模式用于调优阶段，正式运行切到 On。
nginx 集成 ModSecurity
通过 ngx_http_modsecurity_module 把 ModSecurity 嵌入 nginx，实现开源 WAF 能力；编译或安装对应模块后加载规则。
WAF 旁路部署
旁路模式通过镜像检测并告警，不影响转发；可先用它观察攻击面与规则效果，再决定是否转串联。
敏感信息防泄漏
检测响应中的身份证号、手机号、银行卡等敏感数据外发，配置脱敏或阻断策略，满足数据保护要求。
WAF 源站与回源配置
正确配置源站地址、回源端口与 Host，是 WAF 转发成功的前提；多源站场景需健康检查配合。
HTTP 方法限制
仅放行业务需要的请求方法（GET/POST 等），可直接拦掉大量探测与危险方法调用。
CRS 防护等级（Paranoia Level）
CRS 提供 PL1 至 PL4 四个防护等级，等级越高拦截越严、误报越多；多数生产环境从 PL1 起步。
CRS 误报调优方法
调优优先做「排除特定参数」而不是关闭整条规则或提高阈值，保持防护覆盖的同时消除误报。
验证码与挑战机制
对可疑请求触发人机验证，平衡安全与体验；需考虑无障碍与多端兼容。
WAF 自定义规则
按业务特征编写规则（参数取值、路径特征、访问序列），补充通用规则覆盖不到的场景。
WAF 与负载均衡协作
常见链路上是「WAF → 负载均衡 → 服务器」或「负载均衡 → WAF」，顺序不同影响真实 IP 与会话保持方式。
HSTS 与强制跳转
启用 HSTS 后浏览器强制使用 HTTPS，并可按策略包含子域；启用前确保全站 HTTPS 可用，否则用户可能被锁在不可访问状态。
安全响应头配置
通过响应头收紧浏览器行为：CSP、X-Content-Type-Options、Referrer-Policy 等，降低前端类风险。
WAF 性能与容量评估
开启深度检测、解密与挑战后性能显著下降；按峰值请求数与并发连接评估容量并留余量。
WAF 双机与旁路保障
双机热备 + 硬件 bypass 组合保障可用性；维护与升级时先切主备再操作。
CRS 异常评分机制
CRS 对命中的每条规则累加异常分数，达到阈值才拦截，这种评分制能容忍单条低危命中、降低误报。
云 WAF 规则配置要点
云 WAF 通常提供托管规则组、自定义规则与频率控制；开启顺序与本地设备类似，先观察后拦截。
新漏洞的应急防护
公开新漏洞后厂商通常快速发布规则：确认影响范围、开启相关规则、评估虚拟补丁，同时推进组件修复。
WAF 地域访问控制
按来源地域放行或限制访问，适用于仅面向特定地区的业务，可降低无关区域的自动化扫描量。
WAF 健康检查与后端探测
对源站做周期探测，异常节点自动摘除，避免请求被转发到故障后端。
防护有效性自检
用无害测试请求验证 WAF 的检测、动作、日志与告警链路，防止规则失效或白名单过宽导致防护形同虚设。
深信服 WAF 配置要点
深信服 WAF 以控制台配置保护站点、防护策略与规则库，支持观察与拦截模式及白名单调优。
WAF 与 DDoS 清洗配合
流量型攻击由上游清洗中心牵引，WAF 处理应用层攻击；两层职责清晰才能避免互相拖累。
API 鉴权与令牌防护
WAF 可辅助识别无令牌访问、令牌爆破与异常调用模式，但鉴权逻辑仍应由 API 网关或应用实现。
WAF 日志分析
按攻击类型、来源、目标 URL 与规则命中做统计，识别持续扫描源与主要攻击面。
WAF 规则变更管理
规则变更影响线上业务可用性，按变更流程管理：评估、测试、灰度、观察、留档。
TLS 版本与加密套件加固
禁用过时协议与弱套件（SSLv3、TLS1.0/1.1、RC4），只保留 TLS1.2 及以上，满足合规与客户端兼容要求。
扫描器识别与处置
识别常见扫描器特征（UA、路径规律、请愿频率），对持续扫描源做封禁或挑战，减少无效噪声。
WAF 防护规则定期评审
定期评审 WAF 规则：命中效果、误报记录、例外清单、自定义规则时效性，输出调整清单避免规则集失控增长。
Cookie 安全属性
为会话 Cookie 配置 Secure、HttpOnly 与 SameSite，降低被脚本读取与跨站携带的风险。
WAF 版本升级
版本升级涉及新功能与行为变化，按「评估 → 备份 → 备机先行 → 观察」执行。
WAF 配置备份
配置、规则库、证书、白名单与自定义规则定期导出，异地留存，恢复演练验证可用性。
上传大小与请求限制
限制请求体大小与上传类型，可阻断大体积恶意上传与资源耗尽型请求，同时保护后端。
超时与长连接设置
WAF 的读写超时要与后端业务匹配：过短会中断慢接口，过长会占用连接资源并放大慢速攻击影响。
业务接入 WAF 流程
新业务接入按标准流程：信息收集、连通性准备、观察运行、切换拦截与验收归档。
慢速攻击防护
慢速请求（Slowloris 类）通过占用连接拖垮服务；通过请求头/体超时与并发连接限制缓解。
白名单与例外定期复核
每季度复核白名单与例外，清理失效条目并确认必要条目仍有效，防止放行范围随时间膨胀。
WAF 故障恢复流程
WAF 失联或异常时按预案处置：备机切换、旁路放行（需审批）、修复后回归串联，全过程记录时间线与决策依据。
防护模式复核
观察/拦截模式与业务阶段匹配：新业务上线先观察积累误报，稳定后切拦截；长期停留在观察模式等于防护未生效。
拦截页面与用户提示
自定义拦截页面要说明原因并提供联系方式，避免用户把安全拦截当成网站故障。
WAF 上线检查清单
上线与季度核查使用同一份清单，覆盖防护、可用性、可观测与合规四个维度。
WAF 变更记录
WAF 规则的增删改、模式切换、例外调整记录到统一台账：包含原因、审阅人、验证结果与回退方式。
WAF 性能基线
建立 WAF 性能基线（吞吐、时延、并发连接、CPU）并与业务高峰对照，升级或规则调整后评估性能变化。
规则优先级与冲突处理
多条规则命中同一请求时，动作优先级决定最终处置（放行/拦截/记录）；配置例外与白名单时注意与全局规则的执行顺序。
WAF 测试环境与演练
重大规则调整先在测试环境或灰度站点验证，再推送生产，减少误拦风险。
WAF 安全报表
周期性输出防护概况：拦截量趋势、攻击类型分布、重点事件与优化事项，用于汇报与决策。
WAF 运营指标
用少量可量化的指标衡量防护有效性：拦截量、误报率、规则更新及时率、事件闭环率。
WAF 日志导出与取证
按需导出 WAF 日志用于事件取证：保留请求关键字段与命中规则，导出文件登记来源与时间，注意敏感字段脱敏。
SNI 与多域名证书配置
同一 WAF 承载多域名时依赖 SNI 选择证书与后端：确认客户端支持情况、证书覆盖域名完整、缺省证书配置妥当。
审计与日志
日志留存、报表与溯源对接
安全设备日志外发基础
日志外发到集中平台才能满足留存、关联与审计要求；本地缓冲只能短期查看，断电或滚动即丢失。
NTP 时间同步
多设备日志关联的前提是时间一致；设备与日志平台都应同步到统一时钟源，并监控时间偏差。
日志留存周期管理
日志留存周期按合规要求确定（网络安全法相关要求普遍关注不少于六个月），从设备、服务器到归档全链路保障。
管理员操作审计
记录谁在什么时间对设备做了什么操作，是权限滥用与误操作追溯的关键数据，需外发且不可本地篡改。
NetFlow 流量日志基础
NetFlow 记录会话级统计（五元组、字节数、时间），用于流量分析、容量规划与安全溯源，与全量日志互补。
NAT 日志的审计价值
PAT 场景下 NAT 日志是定位具体内网主机的依据；日志需含转换前后的地址与端口。
华为设备日志配置要点
华为设备通过 info-center 统一管理日志：开启功能、指定日志服务器与源接口、选择日志级别。
等保日志审计要求解读
等级保护对日志的采集、留存、保护与审计有明确要求；落地时重点关注覆盖范围、留存周期与防篡改。
Syslog 端口与传输方式
传统 syslog 使用 UDP 514，加密与可靠传输常用 TCP 6514 或厂商专用端口；端口选择影响可靠性。
SNMP Trap 告警对接
设备通过 Trap 主动上报故障（接口 down、电源异常、CPU 超限），是网管平台的实时告警来源。
多源日志关联分析
按时间、地址、资产把安全设备、主机与应用日志串起来，才能区分孤立告警与真实事件。
日志级别与内容选择
按级别区分紧急与常规日志（emerg 到 debug），合理设置级别可兼顾审计完整性与设备性能。
会话日志的作用与取舍
会话日志记录连接建立与结束，是最细的审计数据；全量开启数据量巨大，通常按需针对关键资产启用。
威胁日志留存与使用
IPS/WAF 等威胁日志支撑事件复盘与合规审计，需与流量日志、主机日志关联使用。
登录日志分析与异常发现
分析登录来源、时间与失败次数，可以发现账号爆破、异常地点登录与离职账号使用等问题。
SIEM 对接要点
把多源日志接入 SIEM 做关联分析，成败取决于字段归一、资产台账与时间同步三件基础工作。
告警降噪
通过阈值优化、同类聚合、关联抑制与白名单，把告警从海量噪声变为可处置事件。
Syslog 日志格式
标准格式为「优先级 + 时间 + 主机 + 内容」，厂商在内容部分扩展业务字段；解析前先抽样确认。
rsyslog 接收安全设备日志
rsyslog 是常用的日志服务器组件，按来源分目录存储并配置轮转，便于检索与归档。
日志丢失排查
日志断档按「设备产生 → 传输 → 接收 → 入库」四段排查，重点是链路与容量两类原因。
配置变更日志与留痕
配置变更要记录变更内容、时间与操作人，并与变更单关联，形成可审计的变更历史。
H3C 设备日志配置要点
H3C 同样使用 info-center 体系，配置日志主机与输出规则，支持多日志主机与级别过滤。
日志解析与字段归一
把不同厂商日志映射到统一字段模型（时间、源、目的、动作、规则），是关联分析与报表的前提。
设备日志缓冲查看
排障时用 logbuffer 快速查看近期日志；缓冲会滚动覆盖，重要日志要及时外发或导出。
溯源证据链构建
完整证据链 = 网络侧日志 + 主机侧日志 + 账号认证记录 + 处置记录，任何一环缺失都会让溯源结论不牢固。
日志磁盘写满处理
设备本地日志写满会导致新日志丢失；需配置告警、限制本地容量并把外发作为主通道。
日志服务器接收验证
新接日志源后从两端验证：服务器侧抓包与落盘检查、设备侧发送计数与日志缓冲，确认端到端可用。
深信服设备日志对接
深信服设备主要通过控制台配置日志外发（syslog 或内置日志中心），支持按模块选择外发内容。
ELK 日志平台对接
Elasticsearch + Logstash/Filebeat + Kibana 是常见自建日志方案；需要规划索引生命周期与容量。
日志完整性保护
防止日志被篡改或删除：外发集中存储、只追加写入、权限分离、必要时做哈希校验。
邮件告警配置
重要事件通过邮件触达值班人员：配置 SMTP、收件人分组与触发条件，避免告警风暴与邮件泛滥。
告警通知通道组合
按严重级别组合通知渠道：严重事件电话/短信，一般事件邮件/IM，确保触达与可追溯。
调试命令使用注意
debug 类命令会产生大量日志与 CPU 开销，仅限排障短时使用，使用前评估影响并记录。
日志例行周审
每周审视关键日志：设备健康事件、策略变更、异常登录、威胁告警趋势，输出周报并跟踪未闭环项。
日志多目标转发
日志可同时发送到本地平台与上级监管平台；多目标时注意格式差异与网络可达性，任一目标故障不应影响其他。
审计报表输出
按审计对象输出报表：账号与权限、日志留存、异常事件统计、设备运行状况，满足内审与外部检查。
日志系统访问控制
日志平台账号按角色划分（管理员、分析员、审计员），敏感日志（含载荷、个人信息）单独授权。
日志备份管理
备份与归档不同：备份防止单点故障导致数据丢失，归档解决长期留存与容量问题。
本地日志与外发日志配合
本地日志用于即时排障（查询快、量小），外发日志用于留存与关联；两者保留范围与级别可以不同。
日志平台自身安全
日志平台集中了全量安全数据，本身是高价值目标：需要补丁管理、账号治理、暴露面控制与备份。
日志常见问题速查
汇总日常高频问题：收不到、时间不对、字段缺失、量太大、查不到，各有对应排查入口。
告警处置剧本
为高频告警编写处置剧本：判定条件、影响范围确认、处置动作、升级路径、记录要求，值班按剧本执行减少临场判断。
账号与操作审计复核
定期复核管理账号：人员变动后权限清理、共享账号排查、高危操作（策略变更/升级）核对操作日志与变更单。
日志加密外发
跨不可信网络传输日志时启用 TLS，防止日志内容（含地址与业务信息）在链路上被窃取或篡改。
时区统一配置
时区不一致是日志时间错乱的常见原因；统一使用业务所在地时区或 UTC 并全链路一致。
Graylog 日志平台使用
Graylog 提供流（Stream）与提取器（Extractor）机制，适合中小规模集中日志与告警。
日志归档与恢复
在线存储之外的归档保障长期留存；归档要可检索、可恢复，并定期演练。
日志容量规划
按「设备数 × 日均日志量 × 留存周期」估算容量，并预留峰值与索引膨胀空间。
日志链路演练
定期模拟事件验证「产生 → 传输 → 入库 → 告警 → 处置」全链路，确保关键时刻数据可用。
日志检索基础方法
日志平台检索从条件收窄开始：时间范围→设备来源→关键字段（源 IP/规则/用户名），逐步缩小再导出分析。
日志存储扩容规划
按留存要求与日增量测算容量：预留检索性能余量，扩容或归档分层（近期在线、长期归档）相配合。
日志时延监控
监控日志从产生到入库的时延：时延突增说明链路拥塞或平台积压，尽早处置避免日志丢失与审计缺口。
IPFIX 与 NetFlow v9 选择
新设备通常支持 IPFIX（NetFlow v10），模板可扩展字段；旧系统兼容性决定实际选择。
日志存储加密
含敏感信息的日志在存储与传输环节加密，密钥独立管理；同时评估加密对检索性能的影响。
合规检查应对准备
面对内审或监管检查，准备「制度 + 记录 + 抽测」三件套：日志制度文件、留存与访问记录、现场抽查演示。
日志与安全看板
为值班与汇报配置看板：设备在线率、告警趋势、TOP 威胁、日志接入状态，关键指标一屏总览并支持下钻。
安全报表模板设计
按受众设计报表模板：管理层看趋势与合规状态，运维看事件明细与处置效率，固定口径保证跨期可比。
厂商日志支持与格式获取
对接新设备日志前，先获取厂商日志格式文档或样例，能显著降低解析工作量。
高可用与运维
双机热备、版本升级与配置备份
双机热备概述
两台安全设备组成主备（或负载分担）集群，同步会话与状态，单台故障时业务自动切换，减少单点故障导致的中断。
华为 HRP 基础配置
华为防火墙通过 HRP（Huawei Redundancy Protocol）实现双机热备：指定心跳接口与对端地址后开启功能，设备自动协商主备角色。
心跳链路设计
心跳链路承载双机状态协商与同步数据，必须独立于业务链路，建议直连或独立 VLAN，避免与业务共享路径。
HRP 状态检查
日常巡检与故障排查先看 HRP 状态：当前角色（Active/Standby）、心跳对端状态、同步状态是否正常。
主备与主主模式选择
主备模式下备机待命，主主（负载分担）模式两台同时转发；选择取决于业务连续性要求与设备利用率考量。
H3C RBM 双机配置
H3C 防火墙通过 remote-backup group 定义 RBM 双机：指定数据通道接口、设备角色与备份模式后生效。
设备升级前准备
升级前完成配置备份、版本核对与窗口报备；准备回滚所需的旧版本镜像与配置，再动手操作。
HRP 会话与状态同步
HRP 运行后会话表、NAT 映射等状态在主备之间同步，切换后会话保持依赖同步完整性；同步方向由主设备发往备设备。
深信服设备双机配置
深信服防火墙/IPS 通过控制台的高可用配置完成双机搭建：指定心跳口、同步内容与切换条件。
切换后验证清单
切换完成后按清单逐项确认：角色、会话、策略、NAT、日志、管理通道，避免遗漏局部功能异常。
HRP 配置自动同步
HRP 开启自动同步后，主设备的策略、对象等配置变更会同步到备机；批量变更前后应确认同步结果一致。
双机切换演练组织
定期演练验证双机有效性：按预案执行切换、验证业务、记录问题并闭环整改，避免“纸面双机”。
先备机后主机升级顺序
双机场景升级应先在备机上验证：备机升级观察正常后，切换主备，再升级原主机，全程业务有设备承载。
心跳链路冗余
单条心跳链路故障后，设备仍可通过业务接口探测对端，但切换判断的可靠性下降；关键场景建议部署双心跳链路。
深信服主备切换操作
支持手动切换与自动切换：手动用于维护演练，自动由接口/链路故障触发；两种方式都要确认对端健康后再进行。
双机例行巡检清单
双机状态纳入日常巡检：角色、心跳、同步、切换记录、日志，形成固定检查项与记录模板。
升级后验证清单
升级完成不等于工作结束：按清单核对版本、配置、会话、双机、日志与授权，确认设备完整恢复能力。
双机频繁切换排查
角色来回切换（震荡）多由心跳链路质量、检测参数过敏感或对端设备异常引起，按链路-参数-设备顺序排查。
双机配置一致性核对
双机切换的前提是两台配置一致；变更后、升级前、演练前做一次关键配置段比对，避免切换后出现行为差异。
特征库升级流程
IPS/WAF/反病毒等特征库支持在线与离线升级；升级前后核对版本号，双机下两台都要完成，并观察误报变化。
安全设备日常巡检
按固定周期巡检设备状态：资源占用、接口状态、双机、日志告警、备份情况，输出巡检记录并跟踪异常闭环。
会话同步验证方法
切换能否保持连接取决于会话同步是否真实工作；定期用一条测试连接核对主备会话表是否一致。
双机故障检测方式
除心跳链路外，应配置对业务接口的监视或探测，覆盖“心跳正常但转发异常”的盲区，否则该场景不会触发切换。
配置备份方式与频率
配置备份分设备侧保存与外部导出两级：设备内保存防止重启丢失，外部导出用于灾备与审计对账。
HRP 建连失败排查
HRP 无法建立或状态异常时，按心跳链路、版本授权、基础配置三个层面逐项排查。
VRRP 与双机热备的区别
VRRP 只提供虚拟网关地址的冗余，不解决会话与状态；双机热备在链路冗余之上补充会话与配置同步，两者常配合使用。
双机脑裂预防
双机之间失去互信时可能两台都认为自己是主设备（脑裂）；通过心跳冗余、独立路径与合理参数降低发生概率。
双机版本一致性核对
两台设备的软件版本与补丁应保持一致；版本不一致时可能出现同步兼容问题，升级时按“先备机后主机”顺序推进。
升级路径规划
跨大版本升级通常不能一步到位，需要按官方说明的路径逐级升级；直接跳版可能触发配置兼容问题或启动异常。
升级回滚预案
升级前明确回滚触发条件与操作人：出现启动异常、功能缺陷或性能下降时，按预案回退到旧版本与对应配置。
HRP 优先级与角色控制
通过优先级影响主备角色选举，计划性切换（维护、升级）可先调整优先级让角色平稳迁移。
切换耗时与业务影响
切换时间由检测机制与确认次数决定，通常从秒级到数十秒；长连接业务在切换窗口内可能重连，需要与使用方约定预期。
双机授权一致性核对
功能授权（如 IPS/WAF 特征库、VPN 模块）两台必须一致；否则切换后部分防护能力静默降级，业务与安全双重受损。
双机特征库升级注意
IPS/WAF 等特征库在两台上都要完成升级；只升级一台会形成防护差异，切换后规则版本突变可能带来误报波动。
配置恢复流程
恢复配置会覆盖设备现状：先备份当前配置，再导入目标版本，重启生效后逐项验证，确保回退路径存在。
配置定时自动备份
通过计划任务或网管平台定期自动导出配置；自动化之外还要有失败告警，否则备份断了无人知晓。
设备更换割接流程
设备更换（扩容、故障替换、型号升级）按“新机预配置—离线比对—窗口割接—验证—旧机下架”执行，双机场景先换备机。
安全设备台账管理
维护安全设备台账：型号、序列号、位置、版本、授权、上下联关系、双机配对、维保到期，设备生命周期全程可查。
设备时间同步核对
设备时间必须与统一时源保持同步：时间偏差会让日志时间线错位，直接破坏关联分析与审计取证。
HRP 抢占与延时
抢占让恢复了优先级的主设备重新夺回角色；配置抢占延时可以避免链路抖动引发角色频繁切换。
H3C RBM 状态检查
RBM 运行后查看角色与数据通道状态，确认双机处于预期主备关系且通道健康。
脑裂处置流程
发现双主/地址冲突迹象时，先隔离一台设备（断其业务口或下电），查明原因并恢复同步后再放回，切忌两台同时在线抢角色。
双机下 NAT 配置与同步要点
双机场景中 NAT 地址池与端口分配需要两台一致；部分部署要开启地址池/端口同步相关设置，避免主备转换后端口冲突。
升级失败处置
升级过程卡死、反复重启时，通过 Console 观察启动信息判断所处阶段，必要时按官方救援流程恢复，避免盲目断电。
TFTP 导出配置文件
TFTP 是最通用的配置导出方式：先在设备上确认当前配置文件名，再上传到备份服务器。
配置版本比对
变更前后导出两份配置做文本比对，快速确认改动范围；比对也是审计与双机一致性检查的常用手段。
割接操作清单
割接前把每一步操作、验证点、回退动作、联系人写成清单，现场逐项执行打钩，减少依赖记忆的操作失误。
设备健康监控指标
为设备配置关键指标监控与阈值告警：CPU、内存、会话数、接口流量与丢包、日志存储，提前发现容量与性能问题。
会话容量监控与规划
会话表容量是防火墙的关键资源：监控使用率与新建速率趋势，接近瓶颈时通过优化老化或扩容提前处置。
安全设备应急预案
为设备故障编写应急预案：分级标准、联系人、临时处置手段（备机替换、旁路放行需审批）、恢复目标与演练要求。
维护隔离操作
对单台设备做维护（升级、换件）前，先确认其处于从属角色、流量已由另一台承载；避免两台设备同时进入维护状态。
不同步流量与同步例外
并非所有会话都会同步：不经过设备的流量无关；部分代理类/加密类会话切换后需要重建，应提前识别业务影响。
双机日志处理方式
两台设备都应外发日志到集中平台并携带设备标识；会话/威胁日志可能主备各产生记录，平台侧需要按规则去重或标注。
升级包校验
升级包必须来自官方渠道并完成哈希校验；校验不通过的文件不得用于升级。
离线环境升级操作
内网隔离设备无法在线升级：通过 U 盘或内网文件服务器传递升级包，操作全程记录文件来源与校验值。
配套系统兼容性核对
升级前核对设备与网管、日志平台、认证系统等配套的兼容性：接口协议、API 版本、采集方式可能随版本变化。
SFTP/SCP 导出配置
SFTP/SCP 基于 SSH 加密传输，适合跨管理网导出；相比 TFTP 更安全，备份服务器需开启对应服务并限制来源。
授权台账与续期管理
梳理设备与模块授权清单：授权项、到期时间、绑定序列号，纳入日历提醒，到期前完成续期避免防护能力停摆。
SNMP 网管对接
通过 SNMP 把设备状态接入网管平台统一监控；配置只读团体字或 SNMPv3 用户，限制来源地址，凭据按口令管理。
变更窗口管理
设备变更安排在低峰窗口，提前报备并设置回退时间点；高危操作（双机切换、版本升级、批量策略变更）需双人复核。
备份恢复演练
备份有效性通过恢复演练证明：定期抽取配置备份在测试设备或备用环境恢复，验证内容完整与版本可用。
双机硬件规格一致性
备机规格（接口数量、板卡、性能档次）应不低于主机；规格不匹配时切换后可能出现容量与接口不足。
双机管理地址规划
两台设备各自保留管理地址；心跳网段独立规划；关键场景配置带外（Console/管理口）通道，确保双机异常时仍能登录处置。
配置文件加密与保管
配置文件包含账号口令、预共享密钥等敏感信息：导出后加密存储、限制访问、异地留存，防止凭据泄露。
基准配置管理
维护一份经评审的基准配置：每次变更后更新基准版本并注明变更说明，作为回退与批量部署的依据。
安全设备备件管理
关键设备准备同型号备机与易损件（电源、风扇、光模块、线缆）；备件定期上电检查，确保需要时能立即顶替。
设备退役处理
退役设备先走数据清除：配置、日志、授权凭证全部清理并记录，再办理资产注销与介质销毁，防止信息随设备流出。
心跳线缆物理检查
心跳线缆是双机最脆弱的物理环节：纳入巡检核对标签、接口错包、光功率，更换线缆后立即验证双机状态。
升级记录管理
每次升级记录：升级前版本、目标版本、操作时间与人员、验证结果、遗留问题；记录与镜像文件一并归档。
厂商远程支持接入管理
厂商远程支持需要临时接入时：走审批、限定时间与来源、开启操作审计，支持结束后立即回收通道。
双机术语厂商对照
不同厂商对双机热备的命名不同，跨厂商沟通与文档查阅时按术语对照理解，避免概念混淆。
供电与双电源配置
双电源设备将两条电源线分别接入不同 PDU/UPS 回路，任一路断电设备仍可运行；定期做供电切换测试并记录。
标签与布线管理
设备端口、线缆、机柜位置统一标签规范：两端都标、写清对端设备与端口，心跳线等特殊链路单独标识。
原厂支持与保修管理
记录设备保修期、服务级别与支持渠道；升级、故障、授权问题优先通过正规支持渠道处理，保留工单编号便于跟踪。
设备寿命与替换规划
评估设备生命周期：硬件维保状态、性能余量、版本支持周期，提前规划替换，避免停服（EOL）后无补丁可用。
运维交接清单
人员或班次交接时按清单移交：账号权限、文档台账、在途变更、未闭环问题，双方确认签字避免信息断层。