华为数通配置审计

多出口配置出错时，排查为什么会卡住

企业出口常见 PPPoE 宽带 + 专线混跑，华为 USG6000 上策略路由（PBR）、安全策略、NAT 三者分散在多处配置块里。一旦出现「某条业务走错出口」或「回包丢失」，靠肉眼翻几百行 dis cu 很难定位。典型难点包括：宽泛的 PBR 规则排在精确规则之前造成遮蔽、nat server 的 unr-route 与 no-reverse 语义混淆、PPPoE Dialer 与 dial-bundle-number 编号不匹配、健康检查 source-ip 全部指向同一个内网口导致级联判死。

这个技能如何工作

输入是粘贴或上传的 running-config 文本，流程分七步：

1. 读取与识别：记录 sysname、软件版本、采集时间与总行数，判断设备是边界防火墙、路由器还是交换机，据此调整审计重点。
2. 架构还原：先画拓扑再写结论，建立「物理口 ↔ Dialer ↔ PPPoE 账号 ↔ 健康检查」对应表，标注接口安全区域与链路角色，揪出未加区域的孤儿接口。
3. 路由与 PBR 联动：明确 PBR 优先级高于路由表，preference 只影响未命中 PBR 的流量；按配置顺序逐条排列规则并做遮蔽推演，输出「流量类型 × 最终出口」路径表。
4. 安全策略与 NAT：五元组拆解，核查管理面是否从 untrust 无源限制放通；service-manage 与 security-policy 是两层控制，分别核查。
5. QoS / 管理 / 僵尸对象盘点：带宽单位是 Kbps，保证带宽不得超接口实际带宽；清理定义了却未引用的 ACL、time-range、service-set。
6. 风险分级：按 P0–P3 分级，每条风险给出等级、配置行号、原理、业务影响与可直接复制的整改命令，整改路线图分三档。
7. 产出报告：单文件 HTML，固定侧边目录、风险等级筛选、全文搜索、一键导出 PDF。

适用边界

只做静态配置分析：不采集在线设备、不修改运行配置。报告中未经验证的可达性与对端身份一律标注「待核实」并给出 display 命令，不凭猜测下结论；原始配置全文不写入报告，避免密文外泄和 PDF 体积膨胀。