Cisco ASA 5515配置迁移至Watchguard M390的技术咨询（含10项配置映射示例需求）
Hey there! Totally get the learning curve when switching from Cisco ASA to WatchGuard Firebox—they use different terminology and workflows, but once you map the core concepts, it gets way easier. Let's break down each of your 10 Cisco config snippets and translate them directly to WatchGuard M390 steps:
1. TCP端口组：DM_INLINE_TCP_1
Cisco原配置：
object-group service DM_INLINE_TCP_1 tcp port-object eq www port-object eq httpsWatchGuard操作：
在Fireware Web UI中，导航到Policy Manager > Services > Add，创建自定义TCP服务组：
- 命名为
DM_INLINE_TCP_1- 类型选择Group
- 将预设的
HTTP (80)和HTTPS (443)服务添加到组内，保存即可。
2. Guest网络允许的TCP端口组：TCP_Allowed
Cisco原配置：
object-group service TCP_Allowed tcp description guest-network-portal-port port-object eq ftp port-object eq www port-object eq https port-object eq ssh port-object eq telnet port-object eq 1935 port-object eq 2001 port-object eq 2376 port-object eq 465 port-object eq 587 port-object eq 7000 port-object eq 993 port-object eq 995 port-object eq ftp-data port-object eq pop3 port-object eq smtp port-object eq 5222 port-object eq 8080 port-object eq 2002 port-object eq 123WatchGuard操作：
同样在Services > Add中创建自定义服务组TCP_Allowed：
- 先添加所有预设服务：FTP、HTTP、HTTPS、SSH、Telnet、FTP-Data、POP3、SMTP、IMAPS (993)、POP3S (995)、SMTPS (465)、SMTP-TLS (587)
- 对于非预设端口（1935、2001等），先单独创建对应TCP服务（比如命名
TCP-1935，端口设为1935），再将这些自定义服务加入TCP_Allowed组，最后添加描述guest-network-portal-port。
3. 外部到内部主机的HTTP允许规则：ACL_OUTSIDE_INBOUND
Cisco原配置：
access-list ACL_OUTSIDE_INBOUND extended permit tcp any host 10.10.xx.xx eq wwwWatchGuard操作：
导航到Policy Manager > Firewall > Add Policy，创建入站防火墙规则：
- 命名：
ACL_OUTSIDE_INBOUND_HTTP- 来源接口：
External（对应Cisco的Outside接口）- 目标：先在Network > Addresses创建
10.10.xx.xx主机对象，再选择该对象- 服务：选择预设的
HTTP (80)- 动作：
Allow- 可添加备注说明规则用途。
4. 内部网段到文件服务器的允许规则：ACL_INSIDE_OUTBOUND
Cisco原配置：
access-list ACL_INSIDE_OUTBOUND extended permit tcp 172.xx.xx.0 255.255.255.0 host 192.168.xx.xx object-group FileServerAccessWatchGuard操作：
先确保FileServerAccess服务组已按前面的方法创建完成，再创建出站规则：
- 命名：
ACL_INSIDE_OUTBOUND_FileServer- 来源：
Internal接口，选择172.xx.xx.0/24网段对象（需先在Network > Addresses创建）- 目标：选择
192.168.xx.xx主机对象- 服务：
FileServerAccess组- 动作：
Allow
5. 特定网段到SecPan的ICMP允许规则：Inside-SecPan_access_in
Cisco原配置：
access-list Inside-SecPan_access_in extended permit icmp 20.xx.xx.xx 255.255.255.0 172.xx.xx.xx 255.255.255.252 object-group DM_INLINE_ICMP_2WatchGuard操作：
先创建DM_INLINE_ICMP_2对应的ICMP服务组（包含Cisco该组内的ICMP类型），再创建规则：
- 命名：
Inside-SecPan_ICMP_Allow- 来源：对应
20.xx.xx.0/24的接口（即后续要创建的AAA-SECURITY接口）- 目标：选择
172.xx.xx.xx/30网段对象- 服务：
DM_INLINE_ICMP_2ICMP服务组- 动作：
Allow
6. 静态NAT：内部主机映射到公网IP
Cisco原配置：
nat (inside,Outside) source static 10.xx.xx.xx 50.201.xx.xx-32 destination static ANY-IPV4 ANY-IPV4WatchGuard操作：
导航到Network > NAT > Add Static NAT：
- 接口映射：从
Internal到External- 本地地址：
10.xx.xx.xx主机对象- 公网地址：
50.201.xx.xx（/32即单个IP）- 勾选Allow bi-directional communication（对应Cisco的双向静态NAT配置）
7. 动态PAT：CONF接口到外部用接口IP
Cisco原配置：
nat (CONF,Outside) after-auto source dynamic any interfaceWatchGuard操作：
导航到Network > NAT > Add Dynamic NAT：
- 接口映射：从
CONF接口（需先在WatchGuard中创建该接口）到External- 源地址：
Any（该接口下所有设备）- 公网地址：选择
External接口的IP地址（即PAT模式）- 优先级设置为After Auto NAT（对应Cisco的
after-auto）
8. Guest接口应用访问列表：guest_access_in
Cisco原配置：
access-group guest_access_in in interface guestWatchGuard操作：
WatchGuard的防火墙规则是接口定向的，无需单独"应用"访问列表。只要将针对Guest接口的入站规则的来源接口设为Guest，规则就会自动生效。比如之前创建的TCP_Allowed组对应的规则，把来源接口设为Guest即可实现该配置效果。
9. LDAP AAA服务器配置：AAA
Cisco原配置：
aaa-server AAA (inside) host 10.xx.xx.xx ldap-base-dn dc=aaa,dc=local ldap-scope subtree ldap-naming-attribute sAMAccountname ldap-login-password xxxxxxxxxxxx ldap-login-dn cn=asaservice,cn=users,dc=adg,dc=local server-type microsoftWatchGuard操作：
导航到System > Authentication > Servers > Add > LDAP Server：
- 命名：
AAA- 服务器地址：
10.xx.xx.xx- 服务器类型：
Microsoft Active Directory- 绑定DN：
cn=asaservice,cn=users,dc=adg,dc=local- 绑定密码：输入对应密码
- 搜索基准DN：
dc=aaa,dc=local- 搜索范围：
Subtree- 用户名属性：
sAMAccountName- 点击测试连接验证配置正确性。
10. VLAN接口配置：AAA-SECURITY
Cisco原配置：
interface GigabitEthernet0/4.3 vlan 3 nameif AAA-SECURITY security-level 90 ip address 20.xx.xx.xx 255.255.255.0WatchGuard操作：
- 导航到Network > Interfaces，找到对应物理接口（对应Cisco的GigabitEthernet0/4），编辑并勾选Enable VLANs
- 添加VLAN ID 3，命名为
AAA-SECURITY- 给该VLAN接口配置IP地址
20.xx.xx.xx/24- 安全级别：Cisco的security-level 90属于高信任，对应WatchGuard的Trusted接口类型。
备注：内容来源于stack exchange，提问作者Schmad05
