数通设备配置分析
概述
将「上传/粘贴设备 running-config → 产出结构化配置审计报告」标准化：识别设备与版本 → 还原网络架构 → 逐层审计 → 风险分级 → 输出单文件 HTML 报告（支持导出 PDF）。重点覆盖多出口选路、策略路由顺序、NAT 映射、管理面暴露等高风险点。
触发场景
- 用户提供华为 USG6000/VRP 等设备
dis cu或 running-config 文本，要求「分析配置」「审计」「有哪些坑」「风险评估」「出报告」 - 故障复盘：提供配置 + 故障现象，定位配置层根因（尤其策略路由顺序、NAT 与路由联动问题）
- 输出要求为可离线打开、可导出 PDF 的 HTML 报告
工作流
第 1 步：读取与设备识别
- 记录 sysname、Software Version（如 V600R007C20SPC601）、配置采集时间、总行数
- 识别设备形态：边界防火墙（多出口）/ 企业路由器 / 交换机，据此调整审计重点
第 2 步：架构还原（先画拓扑再写结论）
- 建立「物理口 ↔ Dialer ↔ dial-bundle ↔ PPPoE 账号 ↔ 健康检查」对应表（华为：物理口
pppoe-client dial-bundle-number N对应 Dialer 的dialer bundle N） - 列出所有接口的 IP/别名/带宽/
service-manage/所属安全区域，标记未加区域或未绑定 bundle 的孤儿接口 - 标注安全区域优先级（local 100 / trust 85 / dmz 50 / untrust 5）
- 区分链路角色：专线（固定 IP）、PPPoE 宽带、DHCP 光猫
第 3 步：路由与策略路由联动分析
- 先明确前提（华为官方 EDOC1100486676）：策略路由优先级高于路由表；命中 PBR 的流量按 PBR 出接口转发、不查路由表；只有未命中任何 PBR 的流量才查路由表（缺省 default 策略按路由表转发）
- 列出全部默认路由/静态路由及 preference（preference 越小越优先）
- 列出全部 PBR 规则，按配置顺序排列（=匹配顺序），逐条给匹配条件与动作
- 规则遮蔽推演：自顶向下匹配、命中即停；宽泛规则（如仅 source-zone、其余条件默认 any）在前会遮蔽其后的精确规则。检查每条精确规则是否会被前面的宽规则吞掉
- 输出「流量类型 × 最终出口」路径表，覆盖：trust 出网、local/dmz 起始流量、各固定出口业务（监控/VLAN/专线服务器）
- 检查
redirect-reverse（原路返回）是否覆盖所有出接口
第 4 步：安全策略与 NAT
- 安全策略五元组拆解，注意源/目的区域、服务、地址，检查管理面端口（telnet/web/ssh/api）是否从 untrust 放通且无源限制
- 管理面双层控制：
service-manage（接口层启停）与security-policy（区域层放行）需同时满足 - NAT：easy-ip 源 NAT；nat server 映射逐字段解读——
unr-route（生成 UNR 路由并代答该公网 IP 的 ARP，保证回包到达）、no-reverse（不生成反向静态映射） - 核对：映射（nat server）、安全策略、PBR 三者的出口一致性（进/出同链路）
第 5 步：QoS / 管理 / 对象盘点
- QoS：带宽单位 Kbps；保证带宽必须 ≤ 接口实际带宽（
bandwidth egress），否则超配 - 特征库升级计划（update schedule）≠ 已应用——需确认有安全策略绑定 IPS/AV/URL profile
- 管理通道评价：telnet（明文）/SSH（加密套件）/web/API/SNMP（v2c 明文）
- 僵尸对象盘点：定义了未引用的 ACL、time-range、service-set（注意乱码名、source-port 0）、孤儿接口、未加区域的接口
- 健康检查（healthcheck）：检查 source-ip 是否全部指向单个内网口（单点故障会级联判死所有链路）
第 6 步：风险分级与整改
- 分级：P0 可被公网直接利用/失陷/长时间中断；P1 设计缺陷或严重弱化；P2 配置瑕疵/隐患；P3 规范/可维护性
- 每条风险输出：等级 / 配置行号 / 现象 / 原理 / 业务影响 / 可直接复制的整改命令
- 整改路线图分三档：可在线立即执行 / 需维护窗口 / 需先确认业务
第 7 步：产出单文件 HTML 报告
- 章节结构：报告信息 → 执行摘要 → 设备与系统级 → 网络架构与接口 → 多出口智能选路（含 PBR 遮蔽分析）→ 安全策略 → NAT → QoS → 管理/认证/日志 → 对象与僵尸配置 → 风险清单 → 整改路线图 → 附录（重点行注释 + 命令词典 + 待核实清单）
- 交互：固定侧边目录、风险等级筛选、全文搜索、折叠、一键导出 PDF（@media print A4）
- 不在报告内嵌原始配置文件全文：含密码密文，且 PDF 无法导出大段文本；密文按用户要求决定是否保留（默认不脱敏但只出现于正文引用处）
- 未经核实的信息（可达性、归属、对端设备身份）一律标「待核实」并给出核实命令
专业准确性检查清单（出稿前逐项核对，全部通过才交付）
- PBR 与路由表次序：明确「PBR 优先级高于路由表」；preference 只影响未命中 PBR 的流量，不得得出「默认路由优先级破坏 PBR 负载均衡」的结论
- PBR 遮蔽：配置顺序 = 匹配顺序、命中即停；宽规则在前必遮蔽精确规则；此项为多出口故障最常见根因
- nat server：unr-route = 代答 ARP + 生成 UNR 路由；no-reverse = 不生成反向映射；不得混淆
- PPPoE：拨号口默认路由不要写私网下一跳；物理口 bundle 编号必须与 Dialer 匹配
- healthcheck：source-ip 用内网口造成单点源时，必须标注级联判死风险
- service-manage 与 security-policy 是两层控制，分别核查
- QoS 单位 Kbps，保证带宽 ≤ 实际带宽
- 「特征库每日升级」与「已应用 IPS/AV/URL」是两回事
- 不做无依据推断：所有可达性/归属类结论给「待核实」+ 核实命令（如 display policy-based-route / display firewall session table）
- 命令语法准确：给出的整改命令必须能在该版本 VRP 上执行（如 undo 形式、interface 层级缩进）
参考资料
references/华为设备分析要点.md：华为官方文档引用（策略路由 EDOC1100486676、维护宝典 DOC1000160160、KB1000114474）与本项目实战检查点，分析华为设备前先加载
边界
- 不采集在线设备、不修改运行配置；仅做静态配置分析
- 报告只给整改建议与命令，实际变更由用户执行
