防火墙下两个网段互访不通，除了路由还要配什么
两个内网网段隔着防火墙，怎么都通不了：网关都配了、线都亮着，从 A 段 ping B 段的业务服务器一律超时。在交换机上做 VLANIF 互通那套思路搬过来，发现根本对不上号——防火墙上既没有 VLANIF 这个概念，也不像交换机那样通了个三层口就万事大吉。跨过防火墙的两个网段要互通，到底还差哪几样。
原因分析
防火墙和三层交换机的本质差别在于：交换机默认转发，防火墙默认丢弃。所以跨防火墙互通要有三件套齐备：一是路由可达，防火墙得知道两个网段怎么走，终端的网关和回程路由也得指向正确方向；二是接口归属正确，防火墙的每个接口都要划进安全域，流量按「从哪个域进、到哪个域出」来定性；三是策略放行，域与域之间没有放行策略，路由再通也是白搭，包到了防火墙就被默认丢弃。三件套缺一件，现象一样是 ping 不通，但缺的环节不同，排查看的东西也不同。多数人卡住，是因为带着交换机思维只顾了路由，漏了域和策略这两层。
分步解决
- 先把拓扑画准。两个网段各自接在防火墙哪个接口、网关在防火墙上还是在后面的三层设备上、中间还有没有别的设备。这一步不能凭印象，拿实际接线对着画一遍。网关不在防火墙上的，还要把中间的三层和回程路由一并纳入排查范围。
- 接口划进正确的安全域。逐个接口检查所属安全域，内网两个段一般都划信任域；如果一个段是办公、另一个是服务器区，按安全等级分域更清晰。接口没划域或者划错域，后面的策略根本无从谈起。
- 把两方向的路由都补齐。防火墙上查路由表，到两个网段都得有路（直连或静态）；终端侧网关指向要正确；如果中间还有三层设备，回程路由必须指回防火墙。用 tracert 从 A 段发一包，看断在哪一跳，是路由断点还是策略断点一目了然。
- 配域间放行策略。按「源域、目的域、源地址、目的地址、服务」五要素写清，比如办公段访问服务器段的 80 和 443，就写明具体的地址对象和服务对象，不要用 any 图省事。会话型防火墙回包走会话表，不必反向再写一条；但要确认没有别的策略在这条之前把流量拦截或重定向。
- 用会话表和策略命中数验证。发着流量查会话表，能看到会话生成说明策略命中、路由正常；查策略命中计数，哪条策略在长、有没有命中为零的废策略，都清清楚楚。会话表里有去无回，问题在回程路由或对端网关；会话都建不起来，回到策略五要素逐项核。
- 收尾把对象命名整理干净。地址对象、地址组、服务对象用统一命名规范，策略描述写清「谁为什么开的」。策略条目一多，没命名的 any 策略就是隐患，日后审计和收缩都难。
预防
新网段接入时，接口、域、路由、策略四样在方案里一次写全，不留「先通了再说」的临时条目；确实需要临时策略的，命名打上日期标记，到期清理一遍，别让策略表里攒下说不清来路的放行。我们动防火墙策略前有个固定习惯：先导一份当前配置存底，改完对照命中计数确认生效——策略表干净，出问题时的排查路径才干净。
企业存储选型参考｜贵州诚鑫致达
老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。