防火墙第一次当出口：静态公网IP接入四步配通
整理自华为官方发布的典型配置案例。
从运营商买来宽带、拿到一个固定公网地址和网关，防火墙第一次站在网络边界上，配置其实就四步：接口配地址并入安全区域、安全策略放行内网上外网、NAT 策略做源地址转换、一条缺省路由指向运营商网关。四步按顺序走完，全公司的出网就通了。示例的数据规划很典型：运营商给的公网地址是 1.1.1.1/24、网关 1.1.1.254，内网用 10.3.0.0/24 网段，终端网关指向防火墙私网口的 10.3.0.1。
接口配地址并归入区域
公网口接运营商，私网口接内网，地址配好后分别加入 untrust 与 trust 区域——区域是防火墙策略语言的骨架，trust 到 untrust 的方向可信度递减；接口先入域，策略再按域间关系写，比逐口堆规则清爽得多：
[DeviceA] interface ge 0/0/1
[DeviceA-GE0/0/1] ip address 1.1.1.1 255.255.255.0
[DeviceA-GE0/0/1] quit
[DeviceA] firewall zone untrust
[DeviceA-zone-untrust] add interface ge 0/0/1
[DeviceA-zone-untrust] quit
[DeviceA] firewall zone trust
[DeviceA-zone-trust] add interface ge 0/0/2
[DeviceA-zone-trust] quit
安全策略放行，NAT 做转换
安全策略匹配源网段与区域方向后放行；NAT 策略用 Easy-IP 方式，直接复用出接口的公网地址做转换——地址池不用建，端口复用区分内部分支，一个固定地址够全员出网，省掉一整段地址池维护。策略里的源地址把转换对象圈在内网网段，范围之外的流量既不转换也不放行，出口的边界感由此而来：
[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_1
[DeviceA-policy-security-rule-policy_sec_1] source-zone trust
[DeviceA-policy-security-rule-policy_sec_1] destination-zone untrust
[DeviceA-policy-security-rule-policy_sec_1] action permit
[DeviceA-policy-security-rule-policy_sec_1] quit
[DeviceA-policy-security] quit
[DeviceA] nat-policy
[DeviceA-policy-nat] rule name policy_nat_1
[DeviceA-policy-nat-rule-policy_nat_1] source-zone trust
[DeviceA-policy-nat-rule-policy_nat_1] action source-nat easy-ip
[DeviceA-policy-nat-rule-policy_nat_1] quit
[DeviceA-policy-nat] quit
四步的顺序有讲究：先区域后策略，策略才有域间可写；先转换后路由，出方向的源转换才挂得上——官方配置思路里这四步是一条链，哪一环缺了都不闭环。
一条缺省路由指往运营商
[DeviceA] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
缺省路由只此一条：去往任何未知网段的流量都交给运营商网关，内网互访走不到它，业务路径与维护路径互不干扰，排障时也不用怀疑路由绕路。
验证与避坑
接口细节里看两个 UP：物理状态与 IPv4 状态都为 Up 才算链路就绪；内网 PC 配好 10.3.0.0/24 网段的地址与网关后，用域名访问外网成功即是全通。解析地址要配公共 DNS——官方特别说明该场景设备不支持 DNS 代理，不能把终端解析指向防火墙接口地址：
<DeviceA> display ip interface brief ge 0/0/1
回显正文里接口、地址掩码、物理状态、协议状态四列，后两列同时为 UP 链路才算就绪。
避坑三条：其一，官方说明该场景设备不支持 DNS 代理，终端的解析地址要配公共 DNS，不能填防火墙接口地址；其二，回程路由由运营商侧完成，官方在思路里写明本地不作介绍——出网不通时先和运营商核对该环节，再回头查本地策略与 NAT 两条规则是否命中；其三，内网终端网关要指向防火墙私网口地址，漏改网关是新手最常见的假故障。
出口网关建设与线路接入配置，贵州诚鑫致达科技提供端到端实施，欢迎搜索了解。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。