恶意IP反复扫内网：防火墙黑名单一条命令直接丢包

本文整理自华为官方发布的典型配置案例，按中小企业常见场景做了场景化梳理。

日志里那个反复出现的地址

安全日志翻多了会发现规律：总有那么几个外部地址，反复探测内网端口、尝试爆破登录。安全策略能放行该放的，但对这种明确不可信的来源，逐条写拒绝策略既繁琐又占策略位。华为防火墙给了一个直来直去的工具——黑名单：命中黑名单的报文，设备直接丢弃，不再进入后续的安全策略匹配。

黑名单适合什么场景

官方文档的定位很清楚：黑名单匹配方式简单，用于对特定 IP 或用户的报文做快速过滤。确认某个地址不可信时把它加进黑名单，来自或发往这个地址的所有报文都会被丢弃。它不是精细策略的替代品，而是处置已知坏地址的快刀。

配置走一遍

官方 CLI 步骤分两步。第一步开启黑名单功能——官方特别强调，无论手工创建还是动态生成的黑名单表项，都必须开启这个总开关才生效；不开的情况下照样能建表项，但全都不起作用：

system-view
firewall blacklist enable

第二步创建表项。按源地址封禁的完整命令格式如下：

firewall blacklist item source-ip { source-ipv4-address | source-ipv6-address } [ source-port source-port ] [ protocol { tcp | udp | icmp | protocol-num } ] [ timeout minutes ]

也可以按目的地址封禁（例如内网某台服务器正被外部地址骚扰），或按用户对象封禁：

firewall blacklist item destination-ip { destination-ipv4-address | destination-ipv6-address } [ destination-port destination-port ] [ protocol { tcp | udp | icmp | protocol-num } ] [ timeout minutes ]
firewall blacklist item user user-name [ timeout minutes ]

timeout 是官方给的一个很实用的参数：表项只在指定分钟数内生效，到期自动删除。处置一次临时告警时带上超时时间，省得事后翻记录清理；不指定 timeout 的表项永久生效，适合长期确定的坏地址。

验证与维护

配置结果用 display firewall blacklist item 查看，表项、生效时长一目了然；要撤销某条封禁，执行 undo firewall blacklist item 删除对应表项即可。

落地提醒

一是黑名单按地址整体丢弃，加错内网地址会直接断业务，回车前核对两遍；二是封禁外部地址优先带 timeout，观察几天无再犯就让它自然过期；三是黑名单是单点手段，配合防火墙的攻击防范功能与日志审计，才构成完整的边界防线。

防火墙安全策略梳理、边界攻击处置与日志巡检，贵州诚鑫致达科技提供上门实施服务，欢迎留言或私信咨询。

（来源：华为 USG6000F-S 官方文档《配置黑名单》，命令与注意事项以官方文档为准）

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。