防火墙策略里端口号一长串？华为服务组圈起来改一处全局生效

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

安全策略写多了有个通病：一类业务要用好几个协议端口，每条策略都把端口列全，等业务扩容加了端口，得满篇策略挨条改，漏一条就是一次故障。华为防火墙的对象化思路能解决这个问题——把一组协议端口圈成“服务组”，策略里引用组名，成员增减只改组本身，所有引用它的策略同步生效。地址有地址组，服务就有服务组，思路一脉相承。

场景化理解一下：比如把办公区要访问的一组应用端口圈成一个服务组，再比如把多个既有服务组嵌套进一个大组做粗粒度放行，都是同一套做法。下面按官方命令模板过一遍步骤。

建组与加成员

进入系统视图，创建服务组并进入服务组视图。创建时必须带type参数指明是group类型；注意服务组名字不能叫any或all，这两个名字被系统保留。建完之后再次进入该组视图时就不需要再带type参数了：

system-view

ip service-set service-set-name type group

往组里添加成员，成员既可以是单个服务，也可以是另一个服务组，可重复执行逐个加入。加的时候可以顺手写成员描述，将来翻配置不用猜这是给哪类业务开的：

service [ service-id ] service-set service-set-name [ description description ]

（可选）给整个服务组补一段描述信息。描述写得清楚，后期维护省一半力气，尤其是交接场景，一句描述顶半页文档：

description description

验证与落地建议

配完验证。任意视图下执行查看服务组的命令可以按类型列出组信息；要看某个组的成员明细和被引用情况，用带verbose的详细查看命令，item看成员、reference看引用：display ip service-set type group [ vsys vsys-name ]、display ip service-set verbose service-set-name { item | reference } [ vsys vsys-name ]。

落地建议有三条：一是组名规划好命名规则，按业务域起名，别用portgroup1这种流水号，一年后没人记得它装过什么；二是组里成员控制在合理粒度，“一个业务一个组”好过“一个大组包打天下”，否则引用关系乱成一团；三是定期用reference视图反查哪些组已经没人引用，及时清理防止配置膨胀。

服务组配好后，策略从“一串端口”变成“一个组名”，可读性和变更效率都上一个台阶。欢迎搜索关注贵州诚鑫致达科技，获取更多防火墙策略治理的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。兴义（黔西南）：群晖 NAS、信创云盘与数据管理集成服务。