关于#微信#的问题：防火墙放行电脑版微信

Question

在办公区，如何通过华为防火墙（命令行模式，不认域名，只认IP）做到只允许微信正常使用，已对15个微信服务器地址加白名单进行测试，但无效，请问只允许微信功能正常使用通过防火墙怎么做？

Answer 1

引自免费微信小程序：皆我百晓生

要解决这个问题，你需要在华为防火墙上设置特定的规则来允许微信的数据包通过。微信通常使用TCP协议，端口号包括80、443（常规HTTP和HTTPS流量）、以及一些非标准端口，比如5228、5229、5230等。由于你已经尝试了添加15个微信服务器的IP地址到白名单，但是没有效果，可能是因为防火墙策略还需要更精确地匹配微信应用的数据流特征。

以下是设置规则的一般步骤，具体命令可能会因不同版本的华为防火墙有所不同，但基本思路是相同的。这里以华为USG6000系列防火墙为例，提供一个参考示例：

1. 登录华为防火墙的命令行界面。

2. 配置访问控制列表（ACL）来识别微信的数据包特征。微信数据包通常包含特定的源和目的端口号，以及特定的协议类型。例如，创建一个新的ACL，只允许指定的端口号和协议：

   acl number 3000
   rule 0 permit source any destination any protocol tcp port eq 80 or 443 or 5228 or 5229 or 5230
   

3. 创建安全策略来应用这个ACL。这将决定哪些流量会被防火墙按照这个ACL进行检查：

   security-policy
   policy 10
   rule 0 permit source-zone untrust destination-zone trust application 微信
   

   这里，source-zone untrust 和 destination-zone trust 表示流量从外部网络流向内部网络。你需要根据你的实际网络配置调整这些区域名称。application 微信 是指定义一个名为“微信”的应用程序策略，这个策略会基于前面创建的ACL来判断流量是否被允许。

4. 定义微信应用程序的特征。这一步是为了让防火墙能够正确识别微信的数据包。你需要查找微信的特征，通常可以通过抓包工具分析得到。然后在防火墙中创建一个应用程序识别规则：

   application-list 微信
   add service-name 微信 protocol tcp src-port 80,443,5228,5229,5230 dst-port 80,443,5228,5229,5230
   

   这是一个简化的例子，可能需要根据实际情况调整。

5. 应用这个应用程序识别规则到之前创建的安全策略中：

   security-policy
   policy 10
   rule 0 permit source-zone untrust destination-zone trust application 微信
   

   在上述命令中，确保application 微信已经被正确地引用。

6. 最后，执行命令使新的配置生效：

   commit
   

这样应该就可以实现只允许微信功能正常通过华为防火墙了。如果你仍然遇到问题，可能需要进一步排查网络环境中的其他因素，或者检查防火墙日志来确定是否有其他未预期的流量阻塞了微信的连接。记得在配置防火墙时做好备份，并且在生产环境中进行更改前先在测试环境中验证配置。