华为USG防火墙 直连 ping不通是啥问题？以及策略查看命令

USG防火墙直连交换机，USGping交换机不通， 交换机ping USG防火墙也不通

而笔记本直连交换机是可以相互ping通的。

原因：
华为USG不像 思科ASA，本地接口可以直接ping通
USG防火墙默认直连也不通，这里说的不通是指： USG防火墙ping 直连对端； 以及 对端 ping 防火墙

USG防火墙所有的本地所有接口属于 local安全区域， 也必须有策略才能通

第1回接触USG的时候，直连怎么也不通，一度怀疑初中老师教的牛顿万有引力定律，后来才知道真相。

怎么配置

USG ping untrust对端的设备
untrust对端设备ping USG untrust接口IP
USG ping trust 对端的设备
trust对端设备ping USG trust接口IP

防火墙trust 接口ping 对端

security-policy
  rule name Allow_Local_to_Trust_Ping
    source-zone local
    destination-zone trust
    source-address any（或具体的local地址范围，但local地址通常指防火墙本身）
    destination-address any（例如，您要ping的目标网段）
    service icmp
    action permit
#

trust区域 ping防火墙trust IP

 security-policy
 rule name Allow_Trust_to_Local_Ping
    source-zone trust
    destination-zone local
    source-address any（或具体的local地址范围，）
    destination-address any
    service icmp
    action permit
#

untrust区域的也按以上的加上策略

总结排查流程

物理接口 → IP地址与路由 → 安全区域绑定 → 包过滤策略 → Local域安全策略 → 高级安全功能 → 对端设备。

按照这个顺序，绝大部分直连ping不通的问题都能定位。您遇到的“需要放行local to trust”是USG防火墙的一个常见特性，因为local域默认没有全通策略，需要管理员显式配置。

USG上的策略查看命令

display security-policy rule all

查看某1条策略， 后面加name

HRP_M<USG>display security-policy rule name  localinside 
2026-01-18 11:38:48.586 +08:00
 (54093719 times matched)
 rule name localinside
  source-zone Inside
  destination-zone local
  action permit

查看某1条策略的明细，展开object， 后面加verbose

HRP_M<USG>display security-policy rule name  localinside  verbose 
2026-01-18 11:39:15.864 +08:00
 (54093720 times matched)
 rule name localinside
  source-zone Inside
  destination-zone local
  action permit

查看某个流量是否有策略匹配
display firewall session table 后面加源目 zone， 源目IP, port

display firewall  session table source-zone trust destination-zone untrust source inside 10.34.1.1 destination global 223.5.5.5 destination-port global 443