刚把ENSP装好，准备做第一个防火墙实验的时候，我相信很多人跟我当初一样，对着USG6000V这台设备有点手足无措。它跟AR路由器长得不一样，启动慢半拍，登录方式也不同，连配置思路都完全换了一套逻辑。网上搜“ENSP防火墙基础配置”，出来的教程要么太浅只讲个登录，要么直接上复杂项目看得人劝退。
这篇文章我打算把自己做“ENSP实验一：防火墙基础配置”的完整过程掰开揉碎讲清楚。从USG6000V设备包导入失败怎么处理，到防火墙跟路由器在配置思路上到底差在哪，再到Trust区域和Untrust区域的流量为什么默认不通、怎么用安全策略放通，最后补上Web网管登录配置和几个我踩过的坑。我尽量用大白话把底层逻辑讲透，让新手能照着操作复现，也让有一定基础的人看完能理解防火墙“默认拒绝”这套安全模型。
1. 实验环境准备：先把USG6000V这台“特殊设备”跑起来
1.1 ENSP版本与USG6000V设备包的匹配问题
做防火墙实验之前，有个前置问题绕不开：你的ENSP里到底有没有USG6000V这台设备。很多人在设备列表里找了半天，发现只有AR路由器、S5700交换机，没有防火墙图标，这不是软件坏了，而是USG6000V是独立设备包，需要单独导入。
不同ENSP版本对USG6000V的兼容性差别很大。我最早用的ENSP 1.2，导入的是USG6000V_1.20版本设备包，当时能正常启动，但后来有一次重装系统后装了ENSP 1.3，同一个设备包拖进拓扑里直接报“启动失败40”。后来换用USG6000V_1.30版设备包才恢复正常。
如果你还没装ENSP，我的建议是直接装ENSP 1.3或更新的版本，配合USG6000V 1.30设备包，这套组合兼容性最稳。设备包是后缀为.zip的压缩文件，不需要解压，在ENSP菜单栏“菜单→工具→注册设备”里选择这个zip文件，软件会自动识别并注册。注册成功后新建拓扑，防火墙就会出现在设备列表里。
有一点要特别提醒：USG6000V设备包对电脑内存比较敏感。默认给它分配的内存是2GB，如果电脑本身只有8GB内存，同时跑两台USG6000V再加两台AR路由器，大概率会有设备启动失败或者启动后卡死。建议做实验时一次只启动一台防火墙，或者有条件的话把内存加到16GB。
1.2 启动失败错误代码40的排查思路
启动失败40是ENSP里被问得最多的一个问题，不光是防火墙，AR路由器也经常碰到。热词里“ensp启动设备ar1失败40”“ensp路由器无法启动40”“防火墙usg6000v错误代码40”这些搜索其实指向同一个底层问题。
以我的实际排查经验，错误代码40最常见的原因是VirtualBox虚拟机的网卡或存储配置异常。ENSP底层依赖VirtualBox运行设备。出现40之后，我一般按下面顺序排查：
第一步，打开VirtualBox，看看ENSP自动创建的设备虚拟机是不是处于“已保存”或“异常中止”状态。如果是，右键选择“恢复”或“丢弃”，然后在ENSP里重新启动设备。第二步，检查Windows防火墙是否拦截了VirtualBox的网络通信，这个几乎没人注意。添加VirtualBox到防火墙放行列表，很多时候40错误就凭空消失了。第三步，如果还不行，把ENSP和VirtualBox完全退出，在任务管理器里确认没有残留的VBoxHeadless进程，然后再重启ENSP。
说实话，error code 40这个问题一次能写一整篇文章，我在这里先给一个通用方案：以管理员身份运行ENSP，然后在VirtualBox里把设备虚拟机的“系统→主板→内存”稍微调大一点，再把“网络→网卡1→混杂模式”改成“全部允许”，最后重启设备，90%的情况都能解决。后面第6部分我还会专门列一个排查清单。
1.3 防火墙与路由器在ENSP里的使用差异
这里必须先把一个认知问题说清楚：在ENSP里操作防火墙，跟在AR路由器上操作完全是两回事。AR路由器启动后直接在CLI窗口里敲命令就行，默认账号密码都是admin。但USG6000V这套设备，默认用户名是admin，密码是Admin@123，而且如果设备启动后CLI窗口一直刷“#”，不要急，说明系统还在初始化。
更重要的区别是登录方式。USG6000V除了CLI，更常用的是Web网管方式。很多真实的项目里，防火墙部署完成后运维人员基本都是通过浏览器登录Web界面做日常策略调整的，命令行反而用得少。这也是热词里“ensp配置防火墙web登录”被搜那么多次的原因。
USG6000V默认的管理接口是GE0/0/0，管理IP是192.168.0.1/24，所以做Web登录实验，要把电脑的虚拟网卡（或者云设备）配上192.168.0.0/24网段的地址，浏览器访问https://192.168.0.1才能打开登录页。是的，必须是HTTPS，不是HTTP。
另外一个容易让人懵的地方：防火墙接口默认是“管理口”和“业务口”的概念混杂在一起，而且接口默认属于某个安全区域。USG6000V出厂时已经把GE0/0/0划到了DMZ区域，其余接口默认在Untrust区域。这个区域概念，是防火墙跟路由器配置逻辑最大的分水岭，接下来我用一整节来拆解。
2. 核心思路拆解：为什么防火墙要先谈“区域”再谈“路由”
2.1 Trust、Untrust、DMZ三类区域的定义与默认行为
做防火墙基础实验，必须建立“区域（Zone）”这个心智模型。我习惯用小区的门禁来类比：Trust区域相当于你家室内，Untrust区域相当于小区外面的马路，DMZ区域则像是小区门口的快递柜——既不希望外面的人随便进你家，又需要对外提供某些服务。
USG6000V默认划分了四个区域：Trust区域优先级是85，Untrust优先级是5，DMZ优先级是50，还有一个Local区域优先级是100。优先级数值越大，代表这个区域越可信。默认情况下，防火墙的流量过滤规则是：高优先级区域访问低优先级区域，默认放行；低优先级区域访问高优先级区域，默认拒绝。所以Trust访问Untrust默认通，Untrust访问Trust默认不通，这就是为什么你配好接口IP之后，内网ping外网能通，外网ping内网却不通。
Local区域比较特殊，它代表防火墙自身，比如你从Trust区域的设备去ping防火墙接口IP，或者Web登录防火墙，这些流量都会经过Local区域的安全策略控制。很多新手会遇到“能ping通防火墙但Web登录不了”的情况，往往就是因为没有放行Local区域相关的策略。
2.2 安全策略的匹配逻辑：从“路由表”思维切换到“策略表”思维
在路由器上做配置，核心是路由表，只要路由可达，数据包就能转发。防火墙完全不是这个逻辑。防火墙在路由可达之外，还强行加了一道安检：即使路由表告诉你这个包应该从哪个接口出去，如果安全策略里没有明确允许这条流量，这个包到防火墙这里就被拦下了。
我经常跟学生说一句话：路由器是送快递的，只要地址写对了就送；防火墙是小区保安，地址写对了还不够，还得看你是不是在访客名单里。这个“访客名单”就是安全策略表。
安全策略的匹配顺序是自上而下逐条匹配，命中即停止。所以策略顺序很有讲究，通常把最具体的策略放前面，最宽泛的策略放后面。比如你要允许某个网段访问某个特定服务器，同时又想拒绝这个网段访问其他所有服务器，就应该先写“允许到特定服务器”的策略，再写“拒绝全部”的策略。
防火墙基础配置实验里，理解这个策略匹配逻辑比记住命令更重要。命令只有那么几条，但策略顺序、方向、动作怎么设计，才是真正体现网络工程师水平的地方。
2.3 这个实验的拓扑设计方案
我做这个实验用的拓扑很经典：一台USG6000V防火墙作为网关，连接内网和外网两个区域。内网用一台交换机连接两台PC，模拟企业办公网络，属于Trust区域；外网用一台AR路由器模拟运营商侧设备，属于Untrust区域。防火墙通过GE1/0/0连接内网交换机，地址设为192.168.10.1/24；通过GE1/0/1连接外网路由器，地址设为202.100.1.1/24。
外网路由器上再接一台PC，用来模拟公网服务器。这个PC的地址是202.100.1.2/24，网关指向202.100.1.1。
这个拓扑的好处是：既有内网访问外网的场景，又有外网访问内网的场景，能完整演示Trust到Untrust放通、Untrust到Trust拦截、DMZ对外服务这些核心功能。而且设备数量控制得好，对电脑性能压力不大。
地址规划我放在下面这张表里，做实验时照着填就行：
| 设备 | 接口 | IP地址 | 所属区域 |
|---|---|---|---|
| USG6000V | GE1/0/0 | 192.168.10.1/24 | Trust |
| USG6000V | GE1/0/1 | 202.100.1.1/24 | Untrust |
| 内网PC1 | 网卡 | 192.168.10.10/24 | Trust |
| 内网PC2 | 网卡 | 192.168.10.20/24 | Trust |
| 外网AR路由器 | GE0/0/0 | 202.100.1.2/24 | Untrust |
| 外网PC | 网卡 | 202.100.1.10/24 | Untrust |
3. 命令行实操：一步步完成防火墙基础配置
3.1 接口IP与区域划分的配置命令
USG6000V的命令行与AR路由器很相似，如果你有VRP系统的基础，上手会很快。下面是接口配置和安全区域划分的完整配置。
先配置防火墙内网接口GE1/0/0：
system-view [USG6000V] interface GigabitEthernet1/0/0 [USG6000V-GigabitEthernet1/0/0] ip address 192.168.10.1 24 [USG6000V-GigabitEthernet1/0/0] quit再配置外网接口GE1/0/1：
[USG6000V] interface GigabitEthernet1/0/1 [USG6000V-GigabitEthernet1/0/1] ip address 202.100.1.1 24 [USG6000V-GigabitEthernet1/0/1] quit地址配完只是第一步，关键是要把接口划到正确的安全区域。这个操作与路由器完全不一样，路由器接口配好IP就能转发，防火墙接口不划区域，策略根本没法写：
[USG6000V] firewall zone trust [USG6000V-zone-trust] add interface GigabitEthernet1/0/0 [USG6000V-zone-trust] quit [USG6000V] firewall zone untrust [USG6000V-zone-untrust] add interface GigabitEthernet1/0/1 [USG6000V-zone-untrust] quit划完区域，可以用命令检查一下：
[USG6000V] display zone如果输出显示GE1/0/0在Trust区域、GE1/0/1在Untrust区域，这一步就完成了。
3.2 安全策略配置：放行内网访问外网
接口区域配好之后，现在是测试默认策略的最佳时机。从内网PC1去ping外网PC，你会惊讶地发现：竟然通了。原因就是Trust（优先级85）到Untrust（优先级5）属于高优先级到低优先级，默认放行。
但这里有个陷阱，很多人做到这一步就想当然认为“防火墙就是这么简单”，然后直接开始做NAT、做服务器映射实验，等到外网访问内网测试时一脸懵。我建议你到这里先停一下，做一次反向测试：从外网PC去ping内网PC，你会发现一直超时，因为Untrust到Trust默认拒绝。
接下来配置安全策略。策略的完整语法是：
[USG6000V] security-policy [USG6000V-policy-security] rule name trust_to_untrust [USG6000V-policy-security-rule-trust_to_untrust] source-zone trust [USG6000V-policy-security-rule-trust_to_untrust] destination-zone untrust [USG6000V-policy-security-rule-trust_to_untrust] action permit [USG6000V-policy-security-rule-trust_to_untrust] quit [USG6000V-policy-security] quit这四条命令的含义分别是：给策略起个名字；指定源区域为Trust；指定目的区域为Untrust；动作是允许。
理论上前面说过默认就放行，这里再写一条permit策略是不是多此一举？从功能层面来说确实重复了，但从实验教学和实际项目角度，我建议还是要写。原因有两个：一是默认放行规则是系统隐含的，不透明，显式写出来方便后续查看和维护；二是一旦后续你配置了USG6000V的“缺省包过滤”为拒绝，隐含规则会失效，那时候没有这条显式策略，内网就彻底上不了网了。
3.3 放行防火墙自身管理流量：Local区域策略
安全策略配置里有一个经常被忽略的点：Local区域策略。比如Web登录防火墙、从防火墙ping外网、内网PC通过SSH管理防火墙，这些流量都涉及Local区域。
默认情况下的实际测试结果是：Trust到Local默认放行，所以内网PC能ping通防火墙的GE1/0/0接口地址，也能打开Web管理页面。但Local到Trust默认也是放行的，比如防火墙ping内网PC能通。真正需要留意的是Untrust到Local，默认拒绝，也就是说外网设备无法远程管理防火墙。
在企业真实环境里，通常会从指定运维网段放行到Local的管理流量，比如允许内网某个管理子网SSH访问防火墙。实验里可以练一下这个典型场景：
[USG6000V] security-policy [USG6000V-policy-security] rule name trust_to_local [USG6000V-policy-security-rule-trust_to_local] source-zone trust [USG6000V-policy-security-rule-trust_to_local] destination-zone local [USG6000V-policy-security-rule-trust_to_local] action permit [USG6000V-policy-security-rule-trust_to_local] quit写完这条策略，用内网PC去ping防火墙的GE1/0/0（192.168.10.1），能通，但再去ping防火墙的GE1/0/1（202.100.1.1），你会发现不通。原因很直接：这个包从Trust区域到达防火墙的Local区域时，目的IP是202.100.1.1，防火墙检查接口所在区域是Untrust，而安全策略是Trust到Local，所以被拒。这种细节在配置防火墙时非常容易踩坑，建议多留意。
3.4 配置保存与常用查看命令
配置完成后，保存是必须的一步。很多人做完实验直接关闭ENSP，下次打开发现配置全丢了，又得重新敲一遍。防火墙的保存命令跟路由器略有不同：
[USG6000V] save The current configuration will be written to the device. Are you sure to continue?[Y/N] y只要输入y，配置就会保存到设备存储中。还有一个常用命令组合：
[USG6000V] display current-configuration [USG6000V] display security-policy [USG6000V] display firewall zone这三个命令分别是查看全部配置、查看安全策略配置、查看区域划分情况。做实验时如果发现预期效果没出现，第一步就是这三条命令检查当前配置是否符合预期。我自己一般第一反应是先看安全策略，这个环节出错率最高。
4. Web管理配置：让防火墙从“命令行专用”变成“可视化运维”
4.1 Web登录初始化配置
USG6000V默认是可以通过Web登录的，但需要满足几个条件。如果你登录不上，先检查这三项。
第一，电脑要能访问防火墙的Web管理地址，默认是192.168.0.1，也就是GE0/0/0接口。如果你的网卡地址不在192.168.0.0/24网段内，把电脑IP改成192.168.0.10/24，网关写192.168.0.1，或者直接在防火墙接口上换一个管理IP。
第二，新设备第一次登录时，管理员账号是admin，密码是Admin@123。这里有个细节：如果这台设备之前被别人用过，密码可能已经被改过了，可以通过Console口登录后在系统视图下重置。
第三，浏览器必须通过HTTPS访问，地址栏输入https://192.168.0.1，注意带s。如果你的拓扑里防火墙的GE0/0/0已经划到DMZ区域，没做任何策略改动的话，设备管理流量是默认开启的，不需要额外加策略。但如果你之前手动改过区域归属或安全策略，记得检查一下有放通Trust或者DMZ到Local的策略，否则Web登录也会失败。
第一次登录Web界面后，系统会强制要求修改密码。这一点跟ENSP里其他设备不一样，要注意。把默认密码改成自己好记的，比如Admin@123456，然后重新登录一次。
4.2 通过Web界面配置安全策略
防火墙的真实使用场景，Web界面才是主力操作平台。登录进去之后，左边菜单栏可以看到“防火墙”“网络”“系统”“对象”等几个大类。
新建安全策略的路径是：防火墙 → 安全策略 → 安全策略，然后点击“新建”。源区域选Trust，目的区域选Untrust，源地址和目的地址如果暂时不限定，就保持“任何”，动作选允许。保存之后策略立即生效，跟CLI敲命令的效果是一样的。
我第一次用Web界面给防火墙配置策略时，最大的感受是：策略顺序的调整比命令行直观太多了。命令行里调整策略顺序要先把旧的删掉再重新添加，全靠手工控制顺序；Web界面里直接拖拽就行，对新手非常友好。
但这不是说Web界面可以完全替代CLI。做实验时我还是推荐两种方式配合使用：CLI能帮你精确理解每条命令的含义，Web界面能帮你快速验证配置后的整体逻辑。真实项目交付时，很多老工程师甚至只看CLI输出就能定位问题，Web界面反而用得少。
4.3 防火墙接口Web登录实验完整配置流程
为了让大家能完整复现Web登录实验，我在这里给出一个经过验证的标准流程：
第一步，在ENSP中拖出一台USG6000V防火墙，启动成功并确保CLI能正常进入系统视图。第二步，给GE0/0/0接口配置一个实验网段地址，比如192.168.0.1/24，如果这是默认管理口，可以不重新配置地址，但要确认设备名和区域没有改动过。第三步，确认电脑能ping通192.168.0.1，ping不通说明链路有问题，先解决链路再继续。第四步，启动浏览器，输入https://192.168.0.1，忽略证书警告。第五步，输入admin/Admin@123登录，按提示修改密码。
如果你用的是我前面3.1节里的拓扑，内网PC在192.168.10.0/24网段，而防火墙Web管理默认在GE0/0/0的192.168.0.1，那你的内网PC是访问不到Web管理界面的。解决办法有两个：一是把内网PC临时加一个192.168.0.10的IP地址，作为第二个IP；二是在防火墙上执行命令把Web管理的端口绑定到GE1/0/0，这个操作在CLI下可以配置。
[USG6000V] interface GigabitEthernet1/0/0 [USG6000V-GigabitEthernet1/0/0] service-manage enable [USG6000V-GigabitEthernet1/0/0] service-manage https permit [USG6000V-GigabitEthernet1/0/0] quit这样GE1/0/0接口就开启了HTTPS管理服务，内网PC通过https访问192.168.10.1就能打开防火墙Web登录页面，不用再依赖默认的GE0/0/0。这个小技巧在真实环境里也很常用：把管理服务绑定到业务接口，而不是专用的管理口。
5. 实验扩展：NAT配置与访问控制验证
5.1 源NAT配置：让内网PC共享公网IP出口
做完前面区域划分和策略配置，防火墙基础实验其实已经完成了大半。但在真实企业网络里，防火墙最重要的一个职能是NAT地址转换。内网PC使用的192.168.10.0/24是私有地址，在公网上不可路由，必须通过防火墙的NAT功能转换成公网地址才能访问外网。
USG6000V的NAT配置比AR路由器复杂一点，因为涉及到NAT策略。在防火墙系统视图下，通过下面的命令配置源NAT，让内网流量在出接口GE1/0/1时自动转换源地址为接口IP：
[USG6000V] nat-policy [USG6000V-policy-nat] rule name nat_outbound [USG6000V-policy-nat-rule-nat_outbound] source-zone trust [USG6000V-policy-nat-rule-nat_outbound] destination-zone untrust [USG6000V-policy-nat-rule-nat_outbound] action source-nat [USG6000V-policy-nat-rule-nat_outbound] quit这条NAT策略的意思是：凡是Trust区域发往Untrust区域的流量，在出接口执行源地址转换，转换后源地址为防火墙的GE1/0/1接口地址202.100.1.1。这样做的好处是内网所有PC通过同一个公网IP访问外网，公网测只需要识别这一个IP就能回应。
配置完NAT之后，外网PC去ping内网PC仍然是不通的，但这已经是预期行为了。如果你在外网PC上抓包，会看到内网源IP已经被完全隐藏，看到的都是202.100.1.1发出的包。
5.2 外网访问内网服务器的场景：NAT Server配置
源NAT解决的是“内网主动访问外网”的需求，但企业里还有一个刚需场景：外网用户要访问内网服务器。比如你们的官方网站托管在内网，需要让公网用户通过防火墙公网IP加端口来访问。
这个功能在华为防火墙上叫做“NAT Server”或者“目的NAT”：
[USG6000V] nat server name web_server [USG6000V-nat-server-web_server] protocol tcp [USG6000V-nat-server-web_server] global-address 202.100.1.1 [USG6000V-nat-server-web_server] global-port 8080 [USG6000V-nat-server-web_server] inside-address 192.168.10.10 [USG6000V-nat-server-web_server] inside-port 80 [USG6000V-nat-server-web_server] quit这条命令的意思是：当外网用户访问202.100.1.1的8080端口时，防火墙把流量转给内网192.168.10.10的80端口。这种配置方式常被称作端口映射。
配置NAT Server之后，外网PC访问http://202.100.1.1:8080，就能打开内网PC上搭建的Web服务页面。注意，前提是内网PC的80端口服务已启动，可以通过display nat server查看策略是否生效。
需要提醒的是，目的NAT配置完成后，安全策略的放通逻辑会复杂一些。有些场景下流量经过NAT转换后会重新匹配安全策略，所以你在设计安全策略时要把NAT转换前后的流量走向都想清楚，否则会出现“NAT配置看起来对，但外网访问就是不通”的问题。
5.3 结合默认区域行为的综合验证
做完上面的配置，综合验证是检验这次实验是否成功的标准。我的建议验证清单是这样的：
从内网PC1 ping外网PC，能通，说明Trust到Untrust的默认放行和路由都正常。从外网PC ping内网PC，不通，说明Untrust到Trust的默认拒绝生效。在内网PC上开启HTTP服务，外网PC访问202.100.1.1的8080端口，如果能打开页面，说明NAT Server和安全策略都正常。在Web界面或者CLI里display security-policy，确认策略顺序和内容都有迹可循。最后内网PC ping防火墙两个接口的IP，对比哪个通哪个不通，验证Local区域的策略影响。
这套验证清单做完，你至少能回答“这台防火墙的安全策略到底是怎么工作的”这个问题，而不只是机械地敲命令。
6. 常见问题与排查技巧实录
6.1 USG6000V常见故障排查速查表
| 现象 | 可能原因 | 检查方法与解决方案 |
|---|---|---|
| 设备启动失败，提示40 | VirtualBox虚拟机异常/端口冲突/内存不足 | 打开VirtualBox重置设备虚拟机；退出后重启ENSP；确认未占用设备端口 |
| CLI窗口一直刷# | 系统初始化未完成 | 等待3~5分钟，或重启设备 |
| Web登录页面打不开 | 管理服务未开启/区域策略拦截/浏览器协议错误 | 确认https访问；执行service-manage enable；确认有Local区域放通策略 |
| ping防火墙接口通，但业务不通 | 安全策略未匹配/路由缺失 | display security-policy检查策略；display ip routing-table检查路由 |
| 外网访问NAT Server不通 | NAT策略未生效/安全策略拦截 | display nat server检查映射；查看Untrust到DMZ（或Trust）的策略 |
| 配置丢失 | 未执行save | 设备断电前执行save确认保存成功 |
这张表是我做实验和实际项目排障时不断总结出来的。每一个问题背后都对应一类常见的配置误区，排查时优先从安全策略入手，因为大部分“通了但又不完全通”的诡异现象，根源都在这里。
6.2 安全策略不生效的几个隐蔽原因
“我明明加了permit策略，为什么流量还是不通？”这是实验群里问得最多的一个问题。根据我的经验，通常有三个隐蔽原因。
第一，策略匹配顺序问题。USG6000V的策略按配置顺序从上到下匹配，如果前面有一条deny策略已经把流量拦截了，后面再配置permit策略就无法生效，因为匹配过程在第一条策略上就已经结束。这就像排队过安检，你在第一个人那里就被拦下了，后面的人准许你通过也没用。建议用display security-policy查看现有策略顺序，必要时在Web界面拖拽调整。
第二，区域配置错误。源区域和目的区域搞反是新手最容易犯的错误之一。比如你想放行内网访问外网，结果把源区域写成了untrust，把目的区域写成了trust，策略当然不会生效。我建议每次配置前先display firewall zone，确认接口在哪个区域。
第三，接口没划入任何区域。如果接口没有划入安全区域，流量到达这个接口后会被默认丢弃，而且安全策略里选不到正确的区域。这个问题在实验环境里有个典型表现：内网PC能ping通防火墙的GE1/0/0地址，但流量任何策略都匹配不到。原因是防火墙把没有划区域的接口按“未定义区域”处理，流量直接丢弃。此时只要执行add interface把接口加入对应区域即可。
6.3 命令行操作技巧与配置习惯建议
最后分享几个做防火墙实验时的操作技巧。
技巧一：多用缩写和Tab补全。华为VRP系统支持命令缩写，比如system-view可以缩写成sys，display current-configuration可以缩写成dis cur。Tab补全也很有用，敲到一半按Tab系统会自动补全。少敲几个字母是一方面，更重要的是减少拼写错误导致命令被拒的挫败感。
技巧二：配置前先看清楚当前状态。很多人在没看设备当前状态的情况下就开始敲配置，结果发现接口IP冲突、区域已经添加过接口、策略已经存在导致重复添加。每到一个新设备，我习惯先执行display current-configuration看看上面有没有历史配置。如果是实验环境里反复使用的设备，建议直接reset saved-configuration然后reboot，让设备恢复出厂配置。
技巧三：养成边配置边验证的习惯。每配完一个模块，就做一次连通性测试，不要全部配完再统一验证。比如配完接口和区域，立刻ping测试；配完安全策略，立刻用流量验证；配完NAT，立刻做一次访问测试。这样出问题时能快速定位到具体某一个配置片段，而不是在一堆配置里大海捞针。
技巧四：防火墙的CLI窗口支持右键粘贴，用CLI做配置的时候可以把一整段命令复制进去直接执行。这样既省时间，也避免了逐条敲命令时的笔误。粘贴之前在记事本里把命令先编辑好，按顺序排好，这在批量配置时尤其有用。
6.4 实验完成后如何高效收尾
实验做完，收尾工作不能马马虎虎。我见过不少人做完实验直接关ENSP，结果下次打开发现配置全没了，又得从头敲一遍。
到这里，防火墙基础配置这个实验该收尾了。说实话，这个实验看起来简单，但它背后的“区域模型”“默认拒绝”“策略匹配”这套逻辑，是整个防火墙运维知识体系的钢筋骨架。做实验时多花点时间体会这些概念，比记住几条命令重要得多。
按我的习惯，实验结束后会做三件事：执行save保存配置；用display current-configuration导出一份配置文本存档；最后把拓扑文件另存一份带实验日期和简单描述的版本，方便日后回看。这些都是很小的习惯，但坚持下来，你会发现自己做实验的效率会提升不少。
