【前情提要：开发一个工具，个人认为首先要理解业务逻辑，其次制定工具功能，最后才是动手编写代码。本文为该系列文章第一篇，本篇主要解构安全策略命令语法、逻辑并生成结构化数据便于后期开发调用，后两篇将分别介绍策略梳理工具的使用方法及工具开发技巧，欢迎持续关注】

当防火墙策略成百上千，你是否曾对着满屏的命令行一筹莫展？本文将带你走进华为防火墙的配置世界，揭秘如何让晦涩的命令行“开口说话”，变成清晰易懂的结构化数据。

在网络安全运维工作中，我们常常面临这样一个困境：防火墙配置复杂、策略繁多，特别是当设备运行多年，积累了成百上千条安全策略后，想快速了解某条策略的具体含义，或是审计现有策略是否合理，都变得异常困难。

华为防火墙的安全策略采用命令行形式存储在配置文件中，虽然这种形式对设备来说易于解析，但对人类来说却不够友好。今天，我们就来探讨如何让这些“生硬”的命令行变成“灵动”的结构化数据。

一、理解华为防火墙的配置结构

在开始解析之前，我们需要先了解华为防火墙配置的基本结构。华为防火墙支持虚拟系统（vsys）功能，可以将一台物理防火墙虚拟成多台逻辑防火墙。

1.1 虚拟系统识别

在配置文件中，虚拟系统通常以特定的标记开始：

switch vsys vsys1
!
ip address-set ...
!
security-policy ...
!
return

当解析脚本遇到 【switch vsys】 这样的标记，就表示进入了一个新的虚拟系统。这个虚拟系统的名称就是紧随其后的字符串（如”vsys1″）。识别虚拟系统至关重要，因为不同虚拟系统中的对象和安全策略相互隔离，同名对象在不同虚拟系统中可能代表完全不同的含义。

1.2 地址对象解析：将IP集合转化为可读列表

地址对象是华为防火墙中最基础也最重要的对象之一，它将一组IP地址（可以是单个IP、网段或范围）定义为一个逻辑实体，方便在策略中引用。

在命令行中，地址对象以 ip address-set 开头，后面跟着对象名称和类型：

ip address-set Research_Dept type object
 address 0 192.168.1.1 mask 255.255.255.0
 address 1 10.10.10.10 mask 255.255.255.255

华为官方文档显示，地址对象的定义方式非常灵活，主要有以下几种形式：

• • 网段方式：使用mask关键字指定子网掩码

  address 11 192.168.1.0 mask 255.255.255.0

  或者使用掩码长度：

  address 11 192.168.1.0 mask 24

• • 地址范围：使用range关键字指定起始和结束IP

  address 0 range 192.168.1.10 192.168.1.100

• • 单个IP：掩码为255.255.255.255或32位掩码长度

  address 1 10.104.71.15 mask 255.255.255.255

• • 通配符形式：在某些场景下，华为防火墙也支持通配符掩码

  address 11 192.168.1.1 0.0.0.255

在解析过程中，我们将地址对象名称作为键（key），将其包含的所有IP地址（可能包含多个address条目）作为值，存入字典中等待后续调用。

1.3 服务对象解析：解构复杂的服务定义

服务对象比地址对象稍复杂一些，它定义了协议、源端口、目的端口等信息：

ip service-set serverGroup10094 type object 8197
 service 0 protocol tcp source-port 0 to 65535 destination-port 49000
 service 1 protocol udp destination-port 53
 service 2 protocol icmp icmp-type 8

从华为云防火墙的文档中我们可以了解到，服务对象中的关键要素包括：

• • 协议类型：通常为TCP、UDP或ICMP
• • 源端口：可以是单个端口或端口范围（如”0 to 65535″表示所有端口）
• • 目的端口：同样可以是单个端口或范围
• • ICMP类型：当协议为ICMP时，可能包含icmp-type字段

解析服务对象时，我们需要将每个service条目分解为协议、源端口、目的端口三元组，以服务对象名称为键存入字典。对于ICMP协议，icmp-type字段则需要单独记录。

二、安全策略解析：连接所有点

安全策略是防火墙的核心，它引用前面定义的对象，决定哪些流量允许通过，哪些流量被拒绝。

2.1 基本结构

华为防火墙的安全策略配置通常如下所示：

security-policy
 rule name Permit_RD_to_Server
  source-zone trust
  destination-zone untrust
  source-address address-set Research_Dept
  destination-address 10.1.1.100 32
  service http
  action permit

2.2 策略解析要点

在解析安全策略时，我们需要关注以下几个关键要素：

• • 策略名称：rule name后面的字符串
• • 区域信息：source-zone和destination-zone直接提取区域名称
• • 源/目的地址：
• • 如果以 source-address address-set 开头，表示引用地址对象，需要从之前构建的地址字典中查找对应的IP列表
• • 如果以 source-address 后直接跟IP地址，则表示直接指定的地址（可能是单个IP、网段或范围）
• • 值得注意的是，华为防火墙还支持地址排除功能，即 source-address-exclude 关键字，表示从地址集中排除特定IP
• • 服务匹配：
• • 如果以 service 后跟服务对象名，表示引用服务对象
• • 如果以 service protocol 开头，表示直接指定协议和端口
• • 对于直接指定的服务，也需要像解析服务对象那样分解为协议、源端口、目的端口
• • 动作：直接提取 action 后面的关键字（permit/deny）

三、从混乱到有序：构建结构化策略库

通过上述解析过程，我们可以将原本混乱的防火墙命令行配置转化为结构化的数据：

{
  "虚拟系统": "vsys1",
  "策略列表": [
    {
      "名称": "Permit_RD_to_Server",
      "源区域": "trust",
      "目的区域": "untrust",
      "源地址": ["192.168.1.0/24"],
      "目的地址": ["10.1.1.100/32"],
      "服务": [{"协议": "tcp", "目的端口": "80"}],
      "动作": "permit"
    }
  ]
}

这种结构化的数据形式不仅易于人类理解，也为后续的代码编写、策略分析、优化和可视化打下了坚实基础。

四、实际应用价值

将防火墙策略从命令行转化为结构化数据，能为我们带来哪些实际价值？

• • 策略可视化：基于结构化数据生成表格或图表，直观展示策略数量、分布和关系
• • 策略审计：快速发现冗余策略、冲突策略或过于宽松的策略
• • 策略优化：基于命中次数分析，识别并清理无效策略
• • 配置备份与版本控制：将解析后的结构化数据纳入版本控制，跟踪策略变更历史

五、注意事项与最佳实践

在解析华为防火墙策略时，有几个关键点值得特别留意：

1. 1. 对象引用顺序：防火墙配置文件中，对象定义可能在策略之前，也可能在之后。健壮的代码应该先扫描整个配置文件，建立完整对象字典后再解析安全策略。
2. 2. 策略匹配顺序：安全策略的顺序决定流量匹配的优先级，因此在解析时保留策略的原始顺序至关重要。
3. 3. 对象嵌套：华为防火墙支持地址组（address-set type group），可以包含其他地址对象或地址组，这种嵌套关系需要递归解析。

总结

华为防火墙的命令行解析，本质上是一次 从面向机器的语言到面向人的语言的转换过程。通过本文介绍的方法，我们可以让原本晦涩的配置“开口说话”，为后续的代码编写、策略分析和优化奠定基础。

下一篇文章中，我们将基于今天解析出的结构化数据，介绍一款实用的华为防火墙安全策略梳理工具，展示如何通过工具实现策略的可视化查看、快速搜索和冲突检测，敬请期待！