安全策略不再一条条堆：USG地址对象与服务对象分组管理

防火墙策略写多了的通病：半年后没人说得清哪条规则给谁开的。财务部三台电脑要访问 ERP，来一个 IP 加一条策略；业务系统换端口，十几条规则挨个改——策略表从一页长到十页，审计成了考古。华为 USG 的解法是对象化：把"谁"和"什么服务"抽成对象，策略只引用对象，人变了改对象、策略不动。

第一步，建地址对象与地址组。 常见场景：财务网段、市场网段、ERP 服务器：

ip address-set obj-finance type object
 address 192.168.10.0 mask 255.255.255.0
 description 财务部网段
ip address-set grp-business type group
 description 业务系统相关组
 address address-set obj-finance
 address 192.168.30.10 mask 255.255.255.255

单网段用 type object，多个对象可归入 type group 统一引用。服务器地址建议用 mask 32 单独成对象，加 description 写清用途——半年后看策略，注释就是文档。

第二步，建服务对象。 把端口抽出来，例如 ERP 的 Web 端口与数据库端口：

ip service-set svc-erp-web type object
 service 0 protocol tcp destination-port 8443
ip service-set svc-erp-db type object
 service 0 protocol tcp destination-port 1521

第三步，策略里引用对象。 放行财务网段访问 ERP 的 Web 与数据库：

security-policy
 rule name finance-to-erp
  source-address address-set obj-finance
  destination-address 192.168.30.10 mask 255.255.255.255
  service svc-erp-web
  service svc-erp-db
  action permit

这样做的好处是"一处改动全局生效"：财务部并进新同事，改 obj-finance 的网段即可，不必动策略；ERP 换了 Web 端口，改 svc-erp-web 一行，相关策略全部跟着走。删除对象前 USG 会校验引用关系，被策略引用的对象删不掉，也避免了"删了对象策略悬空"的隐患。

维护习惯建议：对象命名定一套前缀规矩（obj- 单体、grp- 组、svc- 服务），description 必填；每季度用 display security-policy all 对照对象注释过一遍，长期没有流量的规则及时清理。策略表保持"一屏能看完"的规模，防火墙才是资产而不是负担。

对象化策略管理、季度审计这类细活，建议在办公网建设初期就定好规矩。贵州诚鑫致达在为企业做防火墙部署时按对象化规范交付策略表，客户后续自行维护也有据可依，可通过"诚鑫致达 防火墙部署"进一步了解。

（约 930 字）

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。