当前位置：搜档网 › 华为防火墙实验文档

华为防火墙实验文档

第一部分华为防火墙基本初始化

LAB1 子接口初始化一、实验拓扑

二、基本配置

SW:

[SW]vlan 2

[SW-vlan2]description Untrust

[SW-vlan2]vlan 3

[SW-vlan3]description Trust

[SW-vlan3]vlan 4

[SW-vlan4]description DMZ

[SW]int g0/0/9

[SW-GigabitEthernet0/0/8]port link-type access

[SW-GigabitEthernet0/0/8]port default vlan 3

[SW-GigabitEthernet0/0/8]int g0/0/3

[SW-GigabitEthernet0/0/3]port link-type access

[SW-GigabitEthernet0/0/3]port default vlan 3

[SW]int g0/0/9

[SW-GigabitEthernet0/0/9]port link-type trunk

[SW-GigabitEthernet0/0/9]port trunk allow-pass vlan 1 2 4 [SW]int g0/0/1

[SW-GigabitEthernet0/0/1]port link-type access [SW-GigabitEthernet0/0/1]port default vlan 2

[SW-GigabitEthernet0/0/1]int g0/0/2

[SW-GigabitEthernet0/0/2]port link-type access

[SW-GigabitEthernet0/0/2]port default vlan 4

三、防火墙配置

system-view

Enter system view, return user view with Ctrl+Z.

[SRG]

[SRG]sysname HWFW

[HWFW]int g0/0/0

[HWFW-GigabitEthernet0/0/0]alias Trust ===配置接口描述[HWFW-GigabitEthernet0/0/0]ip add 192.168.1.10 24 [HWFW]int g0/0/1.2

[HWFW-GigabitEthernet0/0/1.2]vlan-type dot1q 2 ====封装VLAN [HWFW-GigabitEthernet0/0/1.2]alias Untrust

[HWFW-GigabitEthernet0/0/1.2]ip add 202.100.1.10 24

[HWFW-GigabitEthernet0/0/1.2]interface GigabitEthernet0/0/1.4 [HWFW-GigabitEthernet0/0/1.4]alias DMZ

[HWFW-GigabitEthernet0/0/1.4]vlan-type dot1q 4

[HWFW-GigabitEthernet0/0/1.4]ip add 172.16.1.10 24

测试：

[HWFW]ping -c 2 192.168.1.1

19:26:33 2014/05/26

PING 192.168.1.1: 56 data bytes, press CTRL_C to break

Reply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=80 ms

Reply from 192.168.1.1: bytes=56 Sequence=2 ttl=255 time=580 ms [HWFW]ping -c 2 202.100.1.1

19:26:55 2014/05/26

PING 202.100.1.1: 56 data bytes, press CTRL_C to break

Request time out

[HWFW]ping -c 2 172.16.1.1

19:27:14 2014/05/26

PING 172.16.1.1: 56 data bytes, press CTRL_C to break

Request time out

为什么直连不通？因为默认不同zone之间流量是不允许访问的，可以通过以下命令查看：[HWFW]display current-configuration

firewall zone trust

set priority 85

add interface GigabitEthernet0/0/0

为了测试，可以将防火墙其它两个两口放入相同的zone

[HWFW] firewall zone trust

[HWFW-zone-trust]add interface g0/0/1.2

[HWFW-zone-trust]add interface GigabitEthernet0/0/1.4

[HWFW]ping -c 2 202.100.1.1

19:32:39 2014/05/26

PING 202.100.1.1: 56 data bytes, press CTRL_C to break

Reply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 202.100.1.1: bytes=56 Sequence=2 ttl=255 time=700 ms --- 202.100.1.1 ping statistics ---

2 packet(s) transmitted

2 packet(s) received

0.00% packet loss

round-trip min/avg/max = 70/385/700 ms

[HWFW]ping -c 2 172.16.1.1

19:32:45 2014/05/26

PING 172.16.1.1: 56 data bytes, press CTRL_C to break

Reply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 172.16.1.1: bytes=56 Sequence=2 ttl=255 time=560 ms --- 172.16.1.1 ping statistics ---

2 packet(s) transmitted

2 packet(s) received

0.00% packet loss

round-trip min/avg/max = 70/315/560 ms

save ===保存配置

19:37:09 2014/05/26

The current configuration will be written to the device.

Are you sure to continue?[Y/N]y

2014-05-26 19:37:11 HWFW ?M/4/SAVE(l): When deciding whether to save configuration to the device, the user chose Y.

Do you want to synchronically save the configuration to the startup

saved-configuration file on peer device?[Y/N]:y

Now saving the current configuration to the device..

Info:The current configuration was saved to the device successfully.

reset saved-configuration ?

reset saved-configuration ====清空配置

19:37:26 2014/05/26

The action will delete the saved configuration in the

device.

The configuration will be erased to reconfigure.

Are you sure?[Y/N]y

Now clearing the configuration in the device.

2014-05-26 19:37:28 HWFW ?M/4/RST_CFG(l): When deciding whether to reset the saved configuration, the user chose Y.

Error:The config file does not exist!

LAB2:

三接口初始化

一、基本配置

[SW]vlan batch 2 to 4

port link-type access

port default vlan 2

interface GigabitEthernet0/0/8

port link-type access

port default vlan 2

interface GigabitEthernet0/0/3

port link-type access

port default vlan 3

interface GigabitEthernet0/0/10

port link-type access

port default vlan 3

interface GigabitEthernet0/0/2

port link-type access

port default vlan 4

interface GigabitEthernet0/0/9

port link-type access

port default vlan 4

二、防火墙配置

[HWFW]undo interface g0/0/1.2 ===删除子接口[HWFW]undo interface g0/0/1.4

ip address 202.100.1.10 255.255.255.0

interface GigabitEthernet0/0/1

ip address 172.16.1.10 255.255.255.0

interface GigabitEthernet0/0/2

ip address 192.168.1.10 255.255.255.0

测试：

[HWFW]ping -c 1 202.100.1.1

20:01:23 2014/05/26

PING 202.100.1.1: 56 data bytes, press CTRL_C to break

Reply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=950 ms [HWFW]ping -c 1 172.16.1.1

20:01:59 2014/05/26

PING 172.16.1.1: 56 data bytes, press CTRL_C to break

Reply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=180 ms [HWFW]ping -c 1 192.168.1.1

20:02:27 2014/05/26

PING 192.168.1.1: 56 data bytes, press CTRL_C to break

Reply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=780 ms

安全区域概述：

安全区域（Security Zone），或者简称为区域（Zone），是一个安全概念，大部分的安全策略都基于安全区域实施。在防火墙中引入“安全区域”的概念是为了对流量来源进行安全等级的划分，以判断何时对流量进行检测。通常情况下，相同安全区域中的流量流动是不需要检测的，而不同安全区域的流量由于存在安全风险，是需要受到防火墙控制的。

一个安全区域是一个或多个接口的集合，这些网络中的用户具有相同的安全属性。

每个安全区域具有全局唯一的安全优先级，安全级别的范围是1-100，数字越大表示安全级别越高，也就是说受保护的程度越高。

防火墙默认安全区域：

Untrust(非受信任区域)：安全级别为5，通常用于定义互联网流量。

DMZ（非军事化区域）：安全级别50，通常用于定义内网服务器所在区域。因为这些设备虽然部署在内网，但经常要被公网访问，存在较大安全隐患，同时一般又不允许其主动访问外网，所以部署安全级别比Trust低，但比Untrust高。

Trust(受信任区域):安全级别85，通常用于定义内网所在区域。

Local(本地区域)：安全级别100，该区域主要定义，设备自身发启的流量，或者是抵达设备自身流量。比如Telnet、SNMP、NTP、IPsec VPN等流量。用户不能改变Local区域本身的任何配置，包括添加接口。

注意：

默认的安全区域不能被删除，同时安全级别也不能被重置。

用户根据实际网络环境需要，自行配置相应安全区域并定义安全级别。安全级别一旦配置，也不能在被修改。

安全域间与方向：

安全域间用来描述流量的传输通道，任意两个安全域间都构成一个安全域间（Interzone）如trust到utrust，配置策略都需要在安全域间视图下配置。需要注意的是在同一个安全域间内转发的流量，在安全域间下发的策略是不起作用的。

安全域间数据转发具有方向性，包括入方向（Inbound）和出方向（Oubound）。Inbound：接口低先级的安全区域到高优先级的安全区域。

Outbound:接口高优先级的安全区域到低先级的安全区域。

通常情况下，通信双方一定会交互报文，即安全域间的两个方向上都有报文的传输。而

判断一条流量的方向应以发起该条流量的第一个报文为准。因为返回的流量检查会话表项。例如，发起连接的终端位于Trust区域，它向位于Untrust区域的Web服务器发送了第一个报文，以请求建立Http连接。由于Untrust区域的安全级别比Trust区域低，所以USG 设备将认为这个报文属于Outbound方向，并根据Outbound方向上的安全策略决定是放行还是丢弃。如果这个连接能够建立，那么设备将为其建立一条会话表。会话表项中记录了这条连接的五元组：源和目的IP地址，源和目的端口号，协议类型。也就是ASA所谓的状态化表项。

实验拓扑：

实验需求：

1.Inside区域用户可以访问Outside区域与DMZ区域用户。

2.Outside区域用户只能访问DMZ区域ICMP与Telnet流量。

3.DMZ区域用户即不能访问Outside区域和Inside区域。

一、基本网络配置

[Outside]sysname Outside

[Outside]int g0/0/0

[Outside-GigabitEthernet0/0/0]ip add 202.100.1.1 24 [Outside]ip route-static 0.0.0.0 0 202.100.1.10

[Inside]sysname Inside

[Inside]int g0/0/1

[Inside-GigabitEthernet0/0/1]ip add 192.168.1.1 24 [Inide]ip route-static 0.0.0.0 0 192.168.1.10 [DMZ]sysname DMZ

[DMZ]int g0/0/2

[DMZ-GigabitEthernet0/0/2]ip add 172.16.1.1 24 [DMZ]ip route-static 0.0.0.0 0 172.16.1.10

system-view

[HW_FW]sysname HW_FW

[HW_FW]int g0/0/0

[HW_FW-GigabitEthernet0/0/0]ip add 202.100.1.10 24 [HW_FW]int g0/0/1

[HW_FW-GigabitEthernet0/0/1]ip add 192.168.1.10 24 [HW_FW]int g0/0/2

[HW_FW-GigabitEthernet0/0/2]ip add 172.16.1.10 24

三、配置zone

查看默认zone

display zone

16:15:14 2014/05/29

local

priority is 100

trust

priority is 85

interface of the zone is (1):

GigabitEthernet0/0/0

untrust

priority is 5

interface of the zone is (0):

dmz

priority is 50

interface of the zone is (0):

查看默认策略：

display firewall packet-filter default all packet-filter in public:

local -> trust :

inbound : default: permit; || IPv6-acl: null outbound : default: permit; || IPv6-acl: null local -> untrust :

inbound : default: deny; || IPv6-acl: null

outbound : default: permit; || IPv6-acl: null

local -> dmz :

inbound : default: deny; || IPv6-acl: null

outbound : default: permit; || IPv6-acl: null

trust -> untrust :

inbound : default: deny; || IPv6-acl: null

outbound : default: deny; || IPv6-acl: null

trust -> dmz :

inbound : default: deny; || IPv6-acl: null

outbound : default: deny; || IPv6-acl: null

dmz -> untrust :

inbound : default: deny; || IPv6-acl: null

outbound : default: deny; || IPv6-acl: null

packet-filter between VFW:

[SRG-policy-interzone-trust-dmz-inbound]policy create-mode auto-sort enable

[HW_FW]firewall zone name Outside ===创建zone

[HW_FW-zone-outside]set priority 1 ===配置安全级别

[HW_FW-zone-outside]add interface GigabitEthernet0/0/0 ===接口加入zone [HW_FW]firewall zone name Inside

[HW_FW-zone-inside]set priority 99

[HW_FW-zone-inside]add interface GigabitEthernet0/0/1

[HW_FW]firewall zone name DMZ

[HW_FW-zone-dmz]add interface GigabitEthernet0/0/2

创建安全区域时，需要遵循如下原则：

1.系统缺省安全区域无需创建，也不能删除。

2.不同VPN实例支持的安全区域数不同。

–USG5500：公网VPN实例最多支持32个安全区域，包括4个保留安全区域和28个自定义安全区域；其他VPN实例最多支持8个安全区域，包括4个保留区域和4个自定

义安全区域。

–USG2110-X/2100/2200/5100和USG2100/2200/5100 BSR/HSR：公网VPN实例最多

支持16个安全区域，包括4个保留安全区域和12个自定义安全区域；其他VPN实例最多支持8个安全区域，包括4个保留区域和4个自定义安全区域。

配置安全区域的安全级别时，需要遵循如下原则：

1.只能为自定义的安全区域设定安全级别。对于新建的安全区域，未设定其安全级别前，该安全区域不生效。

2.安全级别一旦设定，不允许更改。

3.同一VPN实例中，两个安全区域不允许配置相同的安全级别。

将接口加入安全区域时，需要遵循如下原则：

1.除Local安全区域外，使用其他所有安全区域前，均需手工将接口加入安全区域。

2.加入安全区域的接口可以是物理接口，也可以是逻辑接口。

3.加入一个安全区域的接口数不大于1024。

测试：

[HW_FW]ping -c 2 202.100.1.1

16:26:20 2014/05/29

PING 202.100.1.1: 56 data bytes, press CTRL_C to break

Reply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=530 ms Reply from 202.100.1.1: bytes=56 Sequence=2 ttl=255 time=280 ms [HW_FW]ping -c 2 192.168.1.1

16:26:51 2014/05/29

PING 192.168.1.1: 56 data bytes, press CTRL_C to break

Reply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=670 ms Reply from 192.168.1.1: bytes=56 Sequence=2 ttl=255 time=1130 ms ping -c 2 172.16.1.1

16:28:34 2014/05/29

PING 172.16.1.1: 56 data bytes, press CTRL_C to break

Reply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=690 ms Reply from 172.16.1.1: bytes=56 Sequence=2 ttl=255 time=60 ms

ping 202.100.1.1

PING 202.100.1.1: 56 data bytes, press CTRL_C to break

Request time out

ping 172.16.1.1

PING 172.16.1.1: 56 data bytes, press CTRL_C to break

Request time out

四、配置策略

安全策略用于对穿越设备或访问设备的流量进行安全检查、控制哪些流量可以通过设备或访问设备。如果安全策略错误将直接影响网络的正常通信。

安全策略包括对域间、域内、接口收发流量的安全控制。

安全策略分为两大类：

1.域间或域内安全策略：用于控制域间或域内的流量，此时的安全策略既有传统包过滤功能，也有对流量进行IPS、AV、Web过滤、应用控制等进一步的应用层检测的作用。域间或域内安全策略是包过滤、UTM应用层检测等多种安全检查同时实施的一体化策略。

2.应用在接口上的包过滤规则：用于控制接口的流量，就是传统的包过滤功能，基于IP、MAC地址等二、三层报文属性直接允许或拒绝报文通过。

域间安全策略：

域间安全策略控制域间数据流动，根据适用场景分为两类：

1.转发策略：控制设备转发的流量，包括传统的包过滤和应用层的UTM检测。

2.本地策略：控制外界与设备的互访，只根据五元组进行控制。

域间安全策略示意图

域内安全策略：

域内安全策略控制安全区域内数据流动。

域内安全策略与域间安全策略类似，区别就是域内安全策略没有Inbound和Outbound 方向的区分。此外，域内安全策略不支持对Local域内流量的控制。

在安全区域内，可设置域内安全策略缺省动作，即可配置对指定安全区域内没有匹配到任

何安全策略的报文的控制动作。设备将首先查找域内的policy，如果没有找到匹配项则将根据域内安全策略缺省动作对报文进行处理。缺省情况下，域内安全策略缺省动作为允许。接口包过滤：

USG的接口包过滤用于对没有加入安全区域的接口收发的IP报文进行控制。

在接口包过滤中，主要通过基本ACL或高级ACL来对流量进行选择，然后在接口上应用ACL。之后该接口接收或发送的报文中，如果在ACL中对应动作为permit，将允许被转发；如果对应动作为deny，将被丢弃。

基于MAC 地址的包过滤：

基于MAC地址的包过滤主要用于对接口收到的以太网帧进行控制。

在基于MAC地址的包过滤中，主要通过基于MAC地址的ACL来对流量进行选择，然后在接口上应用ACL。之后该接口接收的报文中，如果在ACL中对应动作为permit，将允许被转发；如果对应动作为deny，将被丢弃。

硬件包过滤：

硬件包过滤用于对二层接口接收的IP报文或以太网帧进行控制，只有特定的二层接口卡支持。硬件包过滤可以对特定接口卡接收的报文，直接进行由硬件芯片实现的包过滤。

相比于软件包过滤，其匹配和过滤的速度更快，效率更高，消耗系统资源更少。

硬件包过滤由二层接口卡的芯片直接处理，不会经过设备的CPU处理。

在硬件包过滤中，主要通过硬件包过滤ACL来对流量进行定义，然后在接口上应用ACL。之后该接口接收的报文中，如果在ACL中对应动作为permit，将允许被转发；如果对应动作为deny，将被丢弃。

安全策略的组成

域间安全策略，用来控制域间的流量转发。设备收到报文后首先提取报文的IP头信息，

华为USG防火墙和H3C三层交换机设备组网配置简述.docx

一.USG6350防火墙 1.根据设置向导配置完毕即可正常上网。 2.增加策略路由-（影响外网端口） 3.增加静态路由（目的是让哪个网段上网）内网地址的下一跳是三层交换机与防火墙连接的端口地址 4.对指定服务器进行端口映射

5.对指定网段进行限速，保证服务器有可靠的带宽，不至于被其他网段抢占全部带宽。本项目全部带宽是100M，因为有一个无线网，限定无线网最大占用50M （1）新建一个带宽通道（2）指定网段应用于带宽通道的策略规则二、三层交换机-H3C-S5800-32C 现场需求是有办公电脑，服务器、视频服务器，计划分成4个网段，分别为172.26.11.0/172.26.12.0/172.26.13.0/172.26.14.0/ 14段备用。规划：VLAN100为172.26.10.253 port1-2 与防火墙172.26.10.254 连接 VLAN101为172.26.11.254 port 3-8 与服务器连接 VLAN102为172.26.12.254 port 9-12 与客户机连接 VLAN103为172.26.13.254 port 13-18 与视频服务器连接 VLAN104为172.26.14.254 port 19-24 备用 1.笔记本连接三层交换机配置口，进入命令行配置模式简述步骤：（1）设备改名创建用户和密码（2）创建VLAN，指定某端口属于这个VLAN （3）指定每个VLAN的网关（4）增加一条路由 2.Sys

Sysname H3C-5800 telnet server enable Local-user admin Password cipher #####（此处#是输入密码） Authorization-attribute level 3 Service-type ssh telnet VLAN 100 Port G1/0/1 TO G1/0/2 Quit Vlan 101 Port g1/0/3 to g1/0/8 Quit VLAN 102 Port G1/0/9 TO G1/0/12 Quit Vlan 103 Port g1/0/13 to g1/0/18 Quit Vlan 104 Port g1/0/19 to g1/0/24 Quit Interface Vlan-interface 100 Ip address 172.26.10.253 255.255.255.0 Quit Interface Vlan-interface 101 Ip address 172.26.11.254 255.255.255.0 Quit Interface Vlan-interface 102 Ip address 172.26.12.254 255.255.255.0 Quit Interface Vlan-interface 103 Ip address 172.26.13.254 255.255.255.0 Quit Interface Vlan-interface 104 Ip address 172.26.14.254 255.255.255.0 Quit Ip route-static 0.0.0.0 0.0.0.0 172.26.10.254 Dhcp enable(开通dhcp) Dhcp server ip-pool 9 Network 172.26.12.0 mask 255.255.255.0 Gateway-list 172.26.12.254 Dns-list 8.8.8.8(根据实际修改) Quit 红色字体为9口开通DHCP，可根据实际需求

华为防火墙(VRRP)双机热备配置及组网

防火墙双机热备配置及组网指导防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。 1 防火墙双机热备命令行说明防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。 1.1 HRP命令行配置说明 HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。 HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap 表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。在防火墙的HRP形成主备之后，我们称HRP的主备状态为HRP主或者是HRP备状态，在形成HRP的主备状态之后默认是一部分配置在主防火墙上配置之后能自动同步到备防火墙上的，而这些命令将不能在备防火墙的命令行上执行，这些命令包括ACL，接口加入域等，但其中一些命令行是不会从主防火墙上备份到备防火墙上。 HRP的配置命令的功能和使用介绍如下： ★ hrp enable ：HRP使能命令，使能HRP之后防火墙将形成主备状态。 ★ hrp configuration check acl ：检查主备防火墙两端的ACL的配置是否一致。执行此命令之后，主备防火墙会进行交互，执行完之后可以通过命令行display hrp configuration check acl来查看两边的配置是否一致。

华为usg2210防火墙配置实例

display current-configuration detect h323 d 09:29:14 2016/03/17 detect qq # sysname USG2200 detect #s l2tp enabledetect netbi undo l2tp domain suffix-separator @ undo tunnel authentic #i ike dpd interval 10 allow l2tp #i firewall packet-filter default permit interzone local trust direction inbound unicast undo synchronization # firewall packet-filter default permit interzone local trust direction outbound local-user user2 firewall packet-filter default permit interzone local untrust direction inbound local-user user3 password cipher %$%$`;WkNM${E;O=5--=%y firewall packet-filter default permit interzone local untrust direction outboundal-user user3 service-type ppp local-user use authentication-mode vpndb # nat server 1 protocol udp global 218.56.104.*** any inside 192.100.7.73 anyheme test.scm authorization-mode vpndb # ip df-unreachables enableaccounting-scheme default

华为防火墙2110调试

防火墙说明文档一使用串口转USB加串口转网口组合，网口在防火墙端接入console口，在笔记本电脑中打开CRT选择端口后，链接到防火墙配置输入dis cu 查看防火墙基本配置，按住空格显示更多配置，查看完后输入sys 进入配置[USG2110]抬头下进行网口配置输入interface ethernet1/0/0/6 表示进入LAN6口的端口具体端口表示多少号需要在查询防火墙配置中找到相关端口名称例如1/0/1或者2/0/0等如果该端口没有网线接口使用需要关闭接口输入shutdown就可以成功关闭端口

然后用一根网线用笔记本接入到LAN1口，LAN1口是进入WEB配置界面的口，通常情况下不要当做通讯接口使用。在前面查询防火墙配置的时候就能看的WEB界面的IP端口，通常都是192.168.0.1 （不要以下图IP为例）用户名admin 密码Admin@123 进入之后首先修改密码进入左侧的“系统”——“管理员”——“管理员”点击修改将密码统一改为Fglyc_01 “应用”“返回”

进入左侧的“网络”——安全区域——安全区域点trust的修改按钮在描述中填入描述例如此防火墙用于一二区就填“安全一区”并将不用的lan 口选中并删除留需要用lan口的和lan7口lan7口用于调试然后点“应用”、“返回”

同样方法修改untrust区域如果多条链路接口不够用也可以增加lan口到untrust区

再进入左侧“网络”——“接口”-“接口”中修改wan0口选择“交换”然后修改Access VLAN ID 为2 （lan0和wan0他们为一条通路时，将wan0和lan0都设同样的值就可以，这里设置为2）然后“应用”“返回”

华为路由器防火墙配置

华为路由器防火墙配置一、access-list 用于创建访问规则。 (1)创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] (2)创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source- mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] (3)删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念;为IP时

有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有:等于(eq) 、大于(gt)、小于(lt)、不等于(neq)或介于(range);如果操作符为range，则后面需要跟两个端口。 port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值(如telnet)或0~65535之间的一个数值。 port2 在协议类型为TCP或UDP且操作类型为range时出现;可以为关键字所设定的预设值(如telnet)或 0~65535之间的一个数值。 icmp-type[可选] 在协议为ICMP时出现，代表ICMP报文类型;可以是关键字所设定的预设值(如echo- reply)或者是0~255之间的一个数值。 icmp-code在协议为ICMP且没有选择所设定的预设值时出现;代表ICMP码，是0~255之间的一个数值。 log [可选] 表示如果报文符合条件，需要做日志。 listnumber 为删除的规则序号，是1~199之间的一个数值。

华为USG防火墙配置完整版

华为U S G防火墙配置 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】

华为USG2000防火墙配置 USG2000防火墙基本设置：外观 1个调试口（CONSOLE）； 2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）； 1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。初始配置 GE0/0/0配置为路由接口，IP地址为防火墙访问IP为，登录用户名admin，密码Admin@123 USG2000防火墙配置过程中注意事项：接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。这种情况下需要按‘reset’按钮初始化出厂配置。

USG2000防火墙配置步骤一、配置防火墙的网络接口 1.连接GE0/0/0端口，访问登录防火墙。登录过程中出现证书错误，点击‘继续浏览此网站’继续。输入用户名admin密码Admin@123登录防火墙。登录后，弹出修改用户的初始密码的提示及快速向导。初始密码尽量不要修改。快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。以上为USG2000基本配置界面。现场配置所需要用到的只有网络和防火墙两个主菜单。 2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为 ‘access’，点击应用。 3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘’，子网掩码设置为‘’，最后点击应用。如下图所示 4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I 区端口’。注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到。 5.关闭所有浏览器页面，然后重新开启浏览器，连接GE0/0/0，访问。修改刚添加的‘配置接口’的Vlan端口，将GE0/0/0添加到接口

华为USG防火墙配置

华为USG2000防火墙配置 USG2000防火墙基本设置：外观 1个调试口（CONSOLE）； 2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）； 1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。初始配置 GE0/0/0配置为路由接口，IP地址为192.168.0.1 防火墙访问IP为192.168.0.1，登录用户名admin，密码Admin@123 USG2000防火墙配置过程中注意事项：接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。这种情况下需要按‘reset’按钮初始化出厂配置。

USG2000防火墙配置步骤一、配置防火墙的网络接口 1.连接GE0/0/0端口，访问19 2.168.0.1登录防火墙。登录过程中出现证书错误，点击‘继续浏览此网站’继续。

输入用户名admin密码Admin@123登录防火墙。登录后，弹出修改用户的初始密码的提示及快速向导。初始密码尽量不要修改。快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。

以上为USG2000基本配置界面。现场配置所需要用到的只有网络和防火墙两个主菜单。 2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。

别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。 3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID 设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘192.168.1.100’，子网掩码设置为‘255.255.0.0’，最后点击应用。如下图所示 4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I区端口’。注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到192.168.0.1。 5.关闭所有浏览器页面，然后重新开启浏览器，连接GE0/0/0，访问192.168.1.100。修改刚添加的‘配置接口’的Vlan端口，将GE0/0/0添加到接口成员中。

华为防火墙USG配置

内网：配置GigabitEthernet 0/0/1加入Trust区域 [USG5300] firewall zone trust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/1 外网：配置GigabitEthernet 0/0/2加入Untrust区域 [USG5300] firewall zone untrust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/2 DMZ： [USG5300] firewall zone dmz [USG5300-zone-untrust] add interface GigabitEthernet 0/0/3 [USG5300-zone-untrust] quit 1.4.1 Trust和Untrust域间：允许内网用户访问公网 policy 1：允许源地址为10.10.10.0/24的网段的报文通过 [USG5300] policy interzone trust untrust outbound [USG5300-policy-interzone-trust-untrust-outbound] policy 1 [USG5300-policy-interzone-trust-untrust-outbound-1] policy source 10.10.10.0 0.0.0.255 [USG5300-policy-interzone-trust-untrust-outbound-1] action permit [USG5300-policy-interzone-trust-untrust-outbound-1] quit 如果是允许所有的内网地址上公网可以用以下命令：

华为防火墙USG配置

配置GigabitEthernet 0/0/1加入Trust区域 [USG5300] firewall zone trust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/1 外网：配置GigabitEthernet 0/0/2加入Untrust区域 [USG5300] firewall zone untrust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/2 DMZ： [USG5300] firewall zone dmz [USG5300-zone-untrust] add interface GigabitEthernet 0/0/3 [USG5300-zone-untrust] quit Trust和Untrust域间：允许内网用户访问公网 policy 1：允许源地址为的网段的报文通过 [USG5300] policy interzone trust untrust outbound [USG5300-policy-interzone-trust-untrust-outbound] policy 1 [USG5300-policy-interzone-trust-untrust-outbound-1] policy source [USG5300-policy-interzone-trust-untrust-outbound-1] action permit [USG5300-policy-interzone-trust-untrust-outbound-1] quit

华为防火墙配置使用手册(自己写)

华为防火墙配置使用手册(自己写) 华为防火墙配置使用手册防火墙默认的管理接口为g0/0/0，默认的ip地址为/24，默认g0/0/0接口开启了dhcp server，默认用户名为admin，默认密码为Admin123 一、配置案例拓扑图GE 0/0/1：/24 GE 0/0/2：/24 GE 0/0/3：/24 WWW服务器：/24 FTP服务器：/24 Telnet配置配置VTY 的优先级为3，基于密码验证。# 进入系统视图。system-view # 进入用户界面视图[USG5300] user-interface vty 0 4 # 设置用户界面能够访问的命令级别为

level 3 [USG5300-ui-vty0-4] user privilege level 3 配置Password验证# 配置验证方式为Password验证[USG5300-ui-vty0-4] authentication-mode password # 配置验证密码为lantian [USG5300-ui-vty0-4] set authentication password simple lantian ###最新版本的命令是authentication-mode password cipher huawei123 配置空闲断开连接时间# 设置超时为30分钟[USG5300-ui-vty0-4] idle-timeout 30 [USG5300] firewall packet-filter default permit interzone untrust

local direction inbound //不加这个从公网不能telnet防火墙。基于用户名和密码验证user-interface vty 0 4 authentication-mode aaa aaa local-user admin password cipher ]MQ;4\\]B+4Z,YWX*NZ55OA!! local-user admin service-type telnet local-user admin level 3 firewall packet-filter default permit interzone untrust local direction inbound 如果不开放trust域到local域的缺省包过滤，那么从网也不能telnet的防火墙，但是默认情况下已经开放了trust域到local域的缺省包过滤。地址配置网：进

华为路由器防火墙配置命令详细解释

一、access-list 用于创建访问规则。（1）创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] （2）创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] （3）删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。

listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较

华为防火墙配置

防火墙配置： dis current-configuration #显示当前配置 [SRG]stp region-configuration #进入MST视图 [SRG]active region-configuration #激活MST配置 [SRG]interface GigabitEthernet 0/0/0 #进入GE0/0/0端口 [SRG-GigabitEthernet0/0/0]alias GE0/GMT #别名GE0管理 [SRG-GigabitEthernet0/0/0]ip add 192.168.100.1 255.255.255.0 #端口配置IP [SRG-GigabitEthernet0/0/0]dhcp select interface #客户端从接口地址池中通过dhcp自动获取IP地址[SRG-GigabitEthernet0/0/0]dhcp server gateway-list 192.168.100.1 #DHCP服务默认网关 [SRG-GigabitEthernet0/0/0]dhcp server dns-list 8.8.8.8 #DNCP默认DNS [SRG-GigabitEthernet0/0/1]ip add 192.168.200.1 255.255.255.0 #配置端口IP [SRG-GigabitEthernet0/0/2]ip add 211.1.1.1 255.255.255.0 #配置公网IP [SRG]interface NULL0 #建立伪接口，进行包的分发。当宝的目的和路由不匹配时候，则通过NULL0丢弃ps:如果通过默认路由进行分发的话就会形成环路 [SRG]firewall zone untrust #进入防火墙不信任区域 [SRG-zone-trust]add interface GigabitEthernet 0/0/2 #添加不信任区域端口 [SRG]firewall zone trust #进入防火墙信任区域 [SRG-zone-trust]add interface GigabitEthernet 0/0/0 #添加信任区域端口 [SRG]firewall zone dmz #进入防火墙了隔离区域 [SRG-zone-trust]add interface GigabitEthernet 0/0/1 #添加隔离区域端口 [SRG]firewall zone name usr1 #添加区域 [SRG-zone-usr1]set priority 86 #设置优先级 [SRG-zone-usr1]add interface GigabitEthernet 0/0/8 #添加端口 [SRG-zone-usr1]aaa #aaa认证协议 [SRG-aaa]local-user admin password cipher 123456 #设置用户名和加密密码 [SRG-aaa]local-user admin service-type web terminal telnet #允许三种登入方式 [SRG-aaa]local-user admin level 15 #设置等级为15级 [SRG-aaa]authentication-scheme default #验证方式默认及本地设备验证 [SRG-aaa]authorization-scheme default #验证方式默认及本地设备验证 [SRG-aaa]accounting-scheme default #验证方式默认及本地设备验证 [SRG-aaa]domain default #域缺省 [SRG]nqa-jitter tag-version 1 [SRG]banner enable [SRG]user-interface con 0 [SRG-ui-console0]authentication-mode aaa 允许登陆模式为aaa [SRG]user-interface vty 0 4 [SRG-ui-vty0-4]uthentication-mode aaa [SRG-ui-vty0-4]protocol inbound all # 允许所有登陆协议

(完整word版)华为USG防火墙运维命令大全,推荐文档

华为USG防火墙运维命令大全 1查会话使用场合针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。命令介绍（命令类） display firewall session table [ verbose ] { source { inside X.X.X.X | global X.X.X.X } | destination { inside X.X.X.X | global X.X.X.X } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instance { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ] 使用方法（工具类）首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。 Global：表示在做NAT时转换后的IP。 Inside：表示在做NAT时转换前的IP。使用示例 display firewall session table verbose source inside 10.160.30.2

华为USG防火墙配置实例脚本-PPPOE

华为USG防火墙配置实例脚本-PPPOE PPPOE分两部分： PPPOE-Server(例如ADSL局端)和PPPoE Client（ADSL拨号上网。客户端）PPPOE-Server: G0/0接WAN、G0/1接局域网。客户端通过PPPOE拨号拿IP上网。公网IP 129.7.66.2/24、网关129.7.66.1，局域网拨到拿1.1.1.2/8-100的IP 典型应用：小区宽带、酒店等。 ============================ firewall mode route interface GigabitEthernet 0/0 ip address 129.7.66.2 24 ip route-static 0.0.0.0 0.0.0.0 129.7.66.1 firewall zone trust add interface GigabitEthernet 0/1 firewall zone untrust add interface GigabitEthernet 0/0 firewall packet-filter default permit all #------------------------------------ interface Virtual-Template 1 ppp authentication-mode pap ip address 1.1.1.1 255.0.0.0 remote address pool 1 firewall zone trust add interface Virtual-Template 1 interface GigabitEthernet 0/1 pppoe-server bind Virtual-Template 1 #------------------------------------ aaa local-user usg3000 password simple usg3000 ip pool 1 1.1.1.2 1.1.1.100 #----------------------------------- acl 2001 rule 0 permit source 1.1.1.0 0.255.255.255 firewall interzone trust untrust nat outbound 2001

华为USG防火墙配置

华为U S G防火墙配置 TPMK standardization office【 TPMK5AB- TPMK08- TPMK2C- TPMK18】

以上为USG2000基本配置界面。现场配置所需要用到的只有网络和防火墙两个主菜单。 2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。

别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。 3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP 地址设置为‘192.168.1.100’，子网掩码设置为‘255.255.0.0’，最后点击应用。如下图所示 4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I区端口’。注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到192.168.0.1。

华为防火墙-USG6000-全图化Web典型配置案例(V4.0)

文档版本V4.0 发布日期2016-01-20

登录Web 配置界面 Example9：应用控制（限制P2P 流量、禁用QQ ） Example8：基于用户的带宽管理 Example7：SSL VPN 隧道接入（网络扩展）Example6：客户端L2TP over IPSec 接入（VPN Client/Windows/Mac OS/Android/iOS ）Example5：点到多点IPSec 隧道（策略模板） Example4：点到点IPSec 隧道 Example3：内外网用户同时通过公网IP 访问FTP 服务器Example2：通过PPPoE 接入互联网 Example1：通过静态IP 接入互联网目录 3411182636 51116131141

组网图缺省配置管理接口 GE0/0/0 IP 地址 192.168.0.1/24 用户名/密码 admin/Admin@123 登录Web 配置界面 6～8 10及以上配置登录PC 自动获取IP 地址 1 在浏览器中输入https://接口IP 地址:port 2 输入用户名/密码 3 Firewall 192.168.0.* GE0/0/0 192.168.0.1/24 网口

局域网内所有PC都部署在10.3.0.0/24网段，均通过DHCP动态获得IP地址。企业从运营商处获取的固定IP地址为1.1.1.1/24。企业需利用防火墙接入互联网。项目数据说明 DNS服务器 1.2.2.2/24 向运营商获取。网关地址 1.1.1.254/24 向运营商获取。

2 3 配置外网接口参数 4 5 配置内网接口参数 6 1

华为防火墙配置

（缩略语）目录目录附录 A 缩略语表.....................................................................................................................A-1

附录 A 缩略语表 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z A AAA Authentication, Authorization and Accounting 验证、授权和计费，提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，它是对网络安全的一种管理。 ABR Area Border Router 区域边界路由器 ACL Access Control List 访问控制列表，ACL是由permit | deny语句组成的一系列有顺序的指令列表，在防火墙中，将ACL应用到路由器接口上，路由器根据ACL判断哪些数据包可以接收，哪些数据包需要拒绝。在QoS中，ACL也用于流分类。 AH Authentication Header 报文认证头协议，在传输模式和隧道模式下使用，为IP包提供数据完整性和验证服务。 ALG Application Level Gateway 应用层网关 ANSI American National Standards Institute 美国国家标准协会。 ARP Address Resolution Protocol 地址解析协议，用于将IP地址映射为以太网MAC地址。由RFC 826定义。 ASPF Application Specific Packet Filter 针对应用层的包过滤，即基于状态的报文过滤。ASPF和普通的静态防火墙协同工作，以便于实施内部网络的安全策略。由于ASPF基于应用层协议会话信息，因此可以智能地过滤 TCP和UDP数据包，能够检测由防火墙任意一侧发起的会话。 ATM Asynchronous Transfer Mode 异步传输模式，是一种面向连接的网络技术，使用固定大小（53字节）的信元传送多种服务类型的数据（如文本、音频和视频数据的传输）。信元大小固定使得对信元的处理可以通过硬件进行，从而缩短转发延时，ATM主要设计用来充分利用高速的传输介质，如E3、SONET、T3等。 AUX Auxiliary port 辅助端口。也是一种线设备，该端口提供了一个EIA/TIA-232 DTE接口，通常用于通过Modem进行拨号访问。 B BDR Backup Designated Router 备份指定路由器 BE Best-Effort 尽力而为，传统的IP分组投递服务。其特点是依照报文到达时间的先后顺序采用先来先服务的原则处理报文的转发，所有用户的报文共同分享网络和路由器的带宽资源，至于得到资源的多少完全取决于报文到达的时机。Best-Effort对分组投递的延迟、延迟抖动、丢包率和可靠性等需求不提供任何承诺和保证。

华为防火墙实验文档

华为USG防火墙和H3C三层交换机设备组网配置简述.docx

华为防火墙(VRRP)双机热备配置及组网

华为usg2210防火墙配置实例

华为防火墙2110调试

华为路由器防火墙配置

华为USG防火墙配置完整版

华为USG防火墙配置

华为防火墙USG配置

华为防火墙USG配置

华为防火墙配置使用手册(自己写)

华为路由器防火墙配置命令详细解释

最新华为防火墙l2tp配置资料

华为防火墙配置

(完整word版)华为USG防火墙运维命令大全,推荐文档

华为USG防火墙配置实例脚本-PPPOE

华为USG防火墙配置

华为防火墙-USG6000-全图化Web典型配置案例(V4.0)

华为防火墙配置

相关文档

最新文档