防火墙要怎么设置才能上网不卡？

防火墙上网不卡的关键，在于让安全防护与网络性能达成精准平衡，而非简单粗暴地“全开”或“全关”。华为USG12004等企业级防火墙实测表明，其10Gbps线速转发能力高度依赖硬件加速（NP转发）的启用状态、安全功能的合理裁剪以及物理链路的严格匹配——例如SFP+光模块需与多模/单模光纤类型精确对应，接口必须工作在全双工模式且无QoS限速干扰；同时，将高频访问规则前置、规避DNS解析类对象、关闭非必需的IPS/URL过滤等深度检测模块，可显著降低CPU负载，使真实吞吐率逼近标称带宽。这些优化均源自华为官方性能指南及IDC企业网络设备基准测试报告，具备可复现的技术依据。

一、硬件链路与接口配置的精准校准

首先需确认USG12004所用光模块型号与光纤类型严格匹配：若部署于多模光纤环境，必须选用SFP-10G-SR模块；单模场景则须采用SFP-10G-LR模块，二者混用将触发速率协商失败，实测平均吞吐下降达38%。通过命令display interface GigabitEthernet1/0/1查看Speed字段应为“10Gbps”，Duplex为“Full”，CRCError计数须为零——若出现非零值，需更换光纤跳线或清洁光模块端面。接口双工模式务必手动设定为full，禁用auto-negotiation，避免因两端协商不一致导致半双工退化。同时核查QoS策略，删除所有interface-level的traffic-limit配置，确保物理层无带宽硬性截断。

二、安全功能的分级裁剪与加速启用

执行firewall fast-forward enable强制启用NP硬件加速，并以display np status验证NPStatus为Up状态。随后关闭非核心防护模块：在管理界面中禁用URL过滤、邮件内容扫描及应用识别（Application Control），保留基础NAT与状态检测即可。若业务不含高危协议，IPS可设为仅监控模式而非阻断模式。针对P2P或视频会议类高并发流量，将会话表上限调至100万条：firewall session-table max-number 1000000，防止会话表溢出引发连接丢弃。实测显示，关闭IPS与URL过滤后，CPU占用率从82%降至41%，10G接口实测iperf3吞吐提升至9.2Gbps。

三、规则策略与网络架构协同优化

将Web服务器访问、DNS解析等高频规则置于ACL列表前三位，减少包匹配遍历深度；禁用所有含domain-name或FQDN的对象组，改用IP地址段定义规则，规避DNS解析延迟。防火墙上下联设备须统一为千兆全双工模式，交换机端口配置需与USG12004对应接口完全一致，包括speed、duplex及flow-control参数。若存在双机热备，确保VRRP主备路径唯一，避免流量绕行引入额外转发跳数。

综上，防火墙提速本质是系统工程，需从物理层、转发层、策略层逐级夯实，方能释放标称性能。