检测设备光报警防火墙不动手？华为IDS联动让告警直接变成拦截

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

不少单位已经部署了专门的入侵检测设备，串在网络里专职看流量，发现异常就发告警。可告警归告警，真正动手拦截的防火墙却毫不知情，值班人员还得手工去封地址，等反应过来，攻击早打完了。华为防火墙提供IDS联动机制：检测设备发现威胁后通知防火墙，防火墙按通知直接下发阻断，检测的归检测、拦截的归拦截，两边实时协同。

联动通道怎么搭

这套机制的配置量很小，核心就五步：指定联动设备的地址、约定通讯端口、约定报文认证方式、启动联动功能、验证配置。前提是网络可达——防火墙与IDS设备之间路由通、安全策略放行两者间的通讯报文，这些按现网基础配置做即可。

进入系统视图后，先告诉防火墙联动对象是谁，把IDS设备的IP地址填进去：

system-view

firewall ids client IPV4Address

再约定两边通讯用的端口号，端口号要与IDS设备侧的配置保持一致：

firewall ids port port-number

报文认证必须配，否则任何人伪造一条“阻断谁”的通知发到防火墙，整网都得听它的。认证方式三选一：aes256、md5、sha256，配上认证密钥；要是IDS设备不支持认证，也可以显式配成不认证，但这样做等于把联动通道裸奔，生产环境不建议：

firewall ids authentication { type { aes256 | md5 | sha256 }* [ key key-string ] | key key-string }

firewall ids authentication type none

收尾一步，启动联动功能，机制开始运转：

firewall ids enable

验证与日常运维

配完看一眼配置信息，确认地址、端口、认证方式与IDS侧对得上：

display firewall ids

上线后做个简单演练：让检测设备对一台测试机发起模拟攻击事件，观察防火墙是否自动生成对应的阻断表项，命中流量被丢弃即为联动成功。日常运维关注两点：一是IDS侧策略调整后，防火墙这边不用动，联动的就是“事件”本身；二是若更换了IDS设备，记得同步改联动地址和认证密钥，避免旧通道空转。

安全投入重复建设是很多单位的现状，把已有检测能力和边界拦截串起来，既有设备不浪费，响应速度也提上来。欢迎搜索关注贵州诚鑫致达科技，获取更多边界安全协同防御的实操经验。

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。