迁移迁移的是什么
换机、换型号、换厂商时，策略要跟着走。表面是搬配置，实际是搬语义：同一句配置在不同型号或版本上含义可能不同，对象组引用可能失效，默认动作与日志开关的默认值也可能变化。同厂商同代系设备可以直接导入配置文件，跨代系或跨厂商通常要脚本转换或人工重建，因此核对永远比导入本身更重要。
基本信息
| 迁移方式 | 同厂商同代系用配置导入；跨代系或跨厂商用脚本转换或人工重建 |
|---|---|
| 前置准备 | 旧机配置与策略清单导出、新机基础配置（接口/区域/路由）就绪 |
| 核对项 | 策略条数与顺序、对象组引用、默认动作、日志开关、NAT 与策略的对应 |
| 验证方式 | 测试环境或低峰期对关键业务路径抽样打流验证 |
| 回退条件 | 保留旧机与旧配置，迁移失败可按原路径切回 |
典型使用场景
- 设备到货替换：新旧型号并存期做策略迁移与并行验证
- 机房搬迁或链路调整，需要借机清理历史冗余策略后再上线
- 多台防火墙策略收敛到新平台，借迁移统一策略命名与顺序规范
- 跨厂商替换（如不同品牌防火墙互换），以策略清单为蓝本人工重建
- 双机环境替换单台：需保证迁移后主备配置完全一致，会话同步不受影响
- 合规整改：迁移过程中同步消除 any-any 等过宽策略，落地最小化授权
迁移六步
迁移六步
1. 导出旧机完整策略清单与对象定义，按业务标注用途 # 先有清单才能谈核对
2. 新机完成接口、区域、路由等基础配置并连通
3. 导入或重建策略，逐条与清单对照并标注差异 # 差异要写进文档
4. 核对策略顺序与对象组引用，确认无失效引用
5. 低峰期抽样验证关键业务路径（登录、支付、接口）
6. 观察一段稳定期后切旧机下线，归档差异与处理记录迁移差异核对项
| 核对项 | 常见差异 | 后果 |
|---|---|---|
| 策略顺序 | 导入后自动重排或按新机规则排序 | 先匹配的规则变化，实际放行范围与旧机不同 |
| 对象组引用 | 地址与服务对象未同步或名称冲突 | 策略引用为空或指向错误对象，命中异常 |
| 默认动作 | 新机默认拒绝/放行与旧机不一致 | 漏配策略的流量被静默丢弃或意外放通 |
| 日志开关 | 策略级日志开关默认值与旧机不同 | 审计断档，事后无法回溯 |
| 区域与接口映射 | 接口命名与区域归属不同 | 策略挂错区域，安全域间访问失控 |
| NAT 对应关系 | 发布用目的 NAT 未同步 | 对外服务中断或映射到错误后端 |
跨代迁移常见「命令能导入但语义有差异」。只对比策略条数相同就宣布迁移完成，是这类项目最容易踩的坑：条数一致而顺序、引用、默认动作都可能已经变了。
迁移完成不等于旧设备可以立即回收。建议保留旧机与旧配置一段时间，并保留回切路径，确认业务稳定后再走下线流程。