博客

HCIE学习之路11：一个防火墙网络实验

今天以华为USG系列防火墙为例，写一个在企业出口配置防火墙的网络实验。

防火墙作为VAS设备，向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。作为执行器，接收控制器下发的防御策略，及时阻断威胁流量。

应用领域包括：校园出口、广电网络、金融中心、企业园区、云计算等。

以企业园区为例：防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能，主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。

下面列举2个应用场景配置：CLI和Web

管理员登录设备后，首先要对设备进行网络基础配置，使设备快速接入网络，如下图，企业购买了FW作为企业出口网关。管理员在登录FW后，首先需要对FW进行网络基础配置，包括设备名称、时钟、接口IP地址、安全区域、缺省路由及缺省包过滤的配置。

CLI配置思路

  1. 配置FW的设备名称。
  2. 配置FW的时钟。
  3. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  4. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  5. 配置缺省路由，下一跳为ISP提供的接入点。
  6. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

CIL操作步骤

1.配置设备名称

<FW> system-view
[FW] sysname FW_A
[FW_A] quit

2.配置时钟，包括当前时间和时区。

<FW> clock datetime 18:10:45 2023-08-14
<FW> clock timezone BJ add 08:00:00

3.配置接口的IP地址。连接外网的接口IP地址（本例为10.1.1.1/24）需要从当地ISP获取。

<FW_A> system-view
[FW_A] interface GigabitEthernet 0/0/0
[FW_A-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[FW_A-GigabitEthernet0/0/0] quit
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit

4.将各个业务接口加入安全区域。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/0
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface GigabitEthernet 0/0/1
[FW_A-zone-dmz] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/2
[FW_A-zone-untrust] quit

5.配置缺省路由。

[FW_A] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

6.打开缺省包过滤，保证FW能够接入Internet。

这里同样可以用脚本直接导入的方式实现一键配置，以下是完整的配置脚本：

#
 sysname FW_A
#                                                                               
interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0
#                                                                               
interface GigabitEthernet0/0/1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/2
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
#                                                                               
security-policy                                                                 
 default action permit      
#
return

Web配置思路

  1. 配置FW的时钟。
  2. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  3. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  4. 配置缺省路由，下一跳为ISP提供的接入点。
  5. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

Web操作步骤

  1. 配置时钟，包括当前时间和时区。
    1. 选择“系统 > 配置 > 时钟配置”。
    2. 在“配置方式”中选择“手动配置时间”。
    3. 配置“时区”。
    4. 配置“日期”。
    5. 配置“系统时间”。
    6. 单击“应用”。
  2. 配置接口0的IP地址和安全区域。
    1. 选择“网络 > 接口”。
    2. 单击GE0/0/0。
    3. 按如下参数配置接口GE0/0/0。安全区域trust的IP地址192.168.1.1/24
    4. 单击“确定”。
    5. 重复上述步骤按如下参数配置接口GE0/0/1。安全区域dmz的IP地址10.1.1.1/24
    6. 重复上述步骤按如下参数配置接口GE0/0/2。安全区域untrust的IP地址1.1.1.1/24
  3. 配置缺省路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 单击“新建”。
    3. 按如下参数配置缺省路由。目的地址0.0.0.0掩码0.0.0.0下一跳1.1.1.254
    4. 单击“确定”。
  4. 打开缺省包过滤，保证FW能够接入Internet。一般情况下建议保持缺省包过滤关闭，然后配置具体允许哪些数据流通过的安全策略。
    1. 选择“策略 > 安全策略”。
    2. 修改default安全策略的动作为允许。
    3. 单击“确定”。

以上就是企业出口防火墙典型案例的详细配置，感兴趣的同学可以在ensp搭建拓扑图试一下。

标签: ,

这篇文章有 640 个评论

  1. 第 Olliedog页 2026年7月30日 回复

    Свежие новости кино https://kino24.tv сериалов и мира кинематографа. Следите за премьерами, трейлерами, обзорами, рецензиями, кассовыми сборами, новостями стриминговых сервисов, интервью со звездами и главными событиями индустрии кино.

  2. 第 DanielAnigh页 2026年7月30日 回复

    Продажа грунта оптом https://rosagrogrunt.ru в Москве и Московской области с доставкой на строительные объекты, дачные участки и территории благоустройства. Предлагаем качественный грунт различных видов, удобные условия сотрудничества, гибкие цены и поставки точно в срок.

  4. 第 888starz_laka页 2026年7月30日 回复

    لأكون صادق معاكم أنا بلعب هنا من كام شهر وحبيت أكتب رأيي من غير مبالغة. أول حاجة شدتني إن البرنامج مش تقيل على موبايلي القديم، وتثبيت الملف كان سريع جدًا. مفيش حاجة كاملة طبعًا بس الشغل نضيف لحد دلوقتي.

    من ناحية الكازينو الاختيار واسع فعلًا — تقريبًا 3000 لعبة من اللي شفته. من الشركات الكبيرة عندك Pragmatic Play و NetEnt و Play’n GO. أنا بميل ألعب Gates of Olympus و Sweet Bonanza، وكمان في Book of Dead لما يجي مود المخاطرة. القسم بتاع الديلر المباشر من Evolution، والكروبيه حقيقيين وألعاب شوز زي Crazy Time لو بتحب الأجواء دي.

    اللي مهتم بالعروض الأفضل يشوف على العروض الحالية على [url=https://888starz-apk30.com]لعبه ثلاث ثمانيات[/url] قبل ما تسجّل. عرض الترحيب كان معقول وبيوصل حوالي 500% مع فري سبينز، بس اقروا شروط المراهنة لإنه بيوصل x40 وده أكتر حاجة عصبتني.

    من ناحية الفلوس مناسبة للمصريين — Visa و Mastercard موجودين، وكمان Skrill و Neteller، وللي بيتعامل بالعملات الرقمية برضه متاح. بتبدأ بمبلغ بسيط، والسحب عندي جه في يوم تقريبًا رغم إن الكارت أخد وقت أطول شوية.

    التسجيل خلص في دقايق، والسبورت شغال عربي كمان وده مريح لما اتلخبطت في التوثيق. الترخيص عندهم من كوراساو وده بيطمّن شوية. في العموم أنا مبسوط بس بنصح: نزّلوا النسخة الرسمية بس عشان تلاقوا كل حاجة شغالة.

  5. 第 bitcoin_ntet页 2026年7月30日 回复

    Ich zocke jetzt seit ein paar Monaten und muss ehrlich sagen, ich war anfangs skeptisch, ob so ein Laden mit Coins uberhaupt was taugt. Uber nen Kumpel dort gelandet, der seit uber einem Jahr bitcoin online poker spielt, und naja – hangen geblieben bin ich trotzdem. Grade fur deutsche Spieler ist das ohnehin manchmal echt zah, was Ein- und Auszahlungen angeht, aber dazu gleich mehr.

    Was die Auswahl angeht gibts echt genug zu tun – so grob irgendwas um die 2000 Spiele, inklusive Tische. Die ublichen Verdachtigen sind alle dabei: Pragmatic Play mit dem ganzen Kram, plus Betsoft und Yggdrasil, lauft flussig. Der Live-Kram ist von Evolution, echte Dealer und den Gameshows, da versacke ich abends schon zu oft. Aber gut, das eigentliche Ding ist fur mich halt der Pokertisch – Poker in Bitcoin eben, dafur bin ich da.

    Beim Bonus: es gab bei mir 100% bis 500 Euro plus 200 Freispiele, verteilt uber mehrere Tage. Der Umsatz liegt bei 35x, ist fair genug ehrlich gesagt, aber lest euch die AGB genau an. Ab und zu laufen Freeroll-Turniere und mal nen No-Deposit-Kracher, so kann man antesten ganz entspannt ein paar Hande. Die neuesten Angebote schaut euch am besten direkt bei [url=https://btc-poker.de/bitcoin-poker-sites]bitcoin poker websie[/url] bevor ihr einzahlt, ist meist aktueller als der Support.

    Nicht alles ist Gold – das Auszahlen. Mit Krypto war es fix, da kann ich nicht meckern. Aber als ich mal uber Skrill wollte, dauerte es langer und der KYC-Kram hat genervt. Die ublichen Zahlwege sind alle da, unterm Strich der Vorteil von Bitcoin beim Poker ist ja, dass keiner gro? mitliest. Min-Deposit so um die 20 Euro, Anmeldung schnell erledigt.

    Am Handy klappt alles – ne eigene App gibts fur Android und iPhone, alternativ im Browser funktioniert es genauso. Der Kundendienst zu jeder Zeit erreichbar, auf Deutsch war er manchmal ok, aber nicht perfekt, zur Not auf Englisch. Was die Regulierung angeht ist alles sauber dokumentiert, das war mir wichtig. Wer aus DE kommt, die Poker fur Bitcoin antesten mochten – ich bleib erstmal dabei, mal sehen wie lange.

  6. 第 888starz_agSl页 2026年7月30日 回复

    بصراحة بقالي فترة بستخدم المنصة دي وقلت أشارك تجربتي من غير مبالغة. أول حاجة شدتني إن 888starz apk شغال بسلاسة على موبايلي القديم، و888starz تحميل كان سريع جدًا. مفيش حاجة كاملة طبعًا بس الأداء محترم لحد دلوقتي.

    من ناحية الكازينو الاختيار واسع فعلًا — تقريبًا 3000 لعبة من اللي شفته. من الشركات الكبيرة عندك Pragmatic Play و NetEnt و Play’n GO. أنا شخصيًا ألعب Gates of Olympus و Sweet Bonanza، ومرة جربت Book of Dead لما يجي مود المخاطرة. الكازينو الحي من Evolution، والكروبيه حقيقيين وحاجات مسلية زي Crazy Time لو بتحب الأجواء دي.

    بالنسبة لبونص الترحيب أنا نصيحتي تتفرج على الأكواد الجديدة على [url=https://888starz-apk28.com]تنزيل تطبيق 888[/url] عشان تكون فاهم. عرض الترحيب مش وحش وبيوصل لحد 100% زائد لفات مجانية، بس اقروا شروط المراهنة لإنه محتاج صبر وده اللي غلّطني في الأول.

    طرق الدفع فيها اختيارات كتير — Visa و Mastercard متاحين، وكمان Skrill و Neteller، وفي خيار البيتكوين برضه متاح. أقل إيداع رمزي، وطلبت فلوسي ووصلت بسرعة للمحافظ الإلكترونية.

    فتح الحساب سهل وسريع، وخدمة العملاء عربي كمان وده مريح لما كان عندي سؤال. فيه رخصة Curacao وده بيطمّن شوية. في العموم أنا مبسوط بس عايز أقولكم: حدّثوا التطبيق أول بأول عشان متقعوش في نسخ مضروبة.

  7. 第 888starz_mvei页 2026年7月30日 回复

    لأكون صادق معاكم بقالي فترة بستخدم المنصة دي وقلت أشارك تجربتي من غير مبالغة. أول حاجة شدتني إن 888starz apk شغال بسلاسة على موبايلي القديم، وتثبيت الملف ماخدش دقيقتين. مش هقولكم إنه مثالي بس الشغل نضيف لحد دلوقتي.

    بالنسبة للألعاب الاختيار واسع فعلًا — فوق 3000 لعبة من اللي شفته. في مطورين محترمين زي Pragmatic Play و NetEnt و Play’n GO. أنا بميل ألعب Gates of Olympus و Sweet Bonanza، ومرة جربت Book of Dead لما يجي مود المخاطرة. الكازينو الحي من Evolution، والموزعين ناس فعلًا وألعاب شوز زي Crazy Time لو بتحب الأجواء دي.

    بالنسبة لبونص الترحيب أنا نصيحتي تتفرج على العروض الحالية في [url=https://888starz-apk27.com]تنزيل 888starz[/url] قبل الإيداع الأول. بونص أول إيداع محترم صراحة وبيوصل لحد 100% زائد لفات مجانية، بس خدوا بالكم من شرط الرهان لإنه محتاج صبر ودي النقطة اللي مضايقاني.

    طرق الدفع فيها اختيارات كتير — Visa و Mastercard موجودين، وكمان Skrill و Neteller، وفي خيار البيتكوين برضه متاح. الإيداع الأدنى صغير، والسحب مكانش بطيء للمحافظ الإلكترونية.

    فتح الحساب خلص في دقايق، والدعم الفني رد عليّ عربي كمان وده مريح لما كان عندي سؤال. الترخيص عندهم من كوراساو وعلى الأقل مش موقع مجهول. هفضل مكمّل معاهم بس بنصح: نزّلوا النسخة الرسمية بس عشان تلاقوا كل حاجة شغالة.

  8. 第 888starz_inKr页 2026年7月30日 回复

    بصراحة صرفت وقت مش قليل على الموقع ده وقلت أشارك تجربتي من غير مبالغة. اللي عجبني في الأول إن 888starz apk شغال بسلاسة على موبايلي القديم، و888starz تحميل كان سريع جدًا. مش هقولكم إنه مثالي بس الأداء محترم لحد دلوقتي.

    بالنسبة للألعاب القايمة مليانة — فوق 3000 لعبة على ما أعتقد. من الشركات الكبيرة عندك Pragmatic Play و NetEnt و Play’n GO. بحب ألعب Gates of Olympus و Sweet Bonanza، ومرة جربت Book of Dead لما يجي مود المخاطرة. طاولات الأونلاين لايف من Evolution، وفيه ناس بتوزع لايف وعروض زي Crazy Time لو بتحب الأجواء دي.

    اللي مهتم بالعروض أنا نصيحتي تتفرج على العروض الحالية على [url=https://888starz-apk26.com]تحميل برنامج المراهنات 888[/url] عشان تكون فاهم. عرض الترحيب مش وحش وبيوصل لحد 100% مع فري سبينز، بس اقروا شروط المراهنة لإنه محتاج صبر وده اللي غلّطني في الأول.

    من ناحية الفلوس فيها اختيارات كتير — Visa و Mastercard موجودين، وكمان Skrill و Neteller، وللي بيتعامل بالعملات الرقمية برضه متاح. أقل إيداع رمزي، والسحب عندي جه في يوم تقريبًا رغم إن الكارت أخد وقت أطول شوية.

    عمل أكونت مش معقد، والسبورت شغال على الشات لما احتجت مساعدة. فيه رخصة Curacao وعلى الأقل مش موقع مجهول. هفضل مكمّل معاهم بس بنصح: حدّثوا التطبيق أول بأول عشان تلاقوا كل حاجة شغالة.

  9. 第 bitcoin_xkMi页 2026年7月30日 回复

    Also ich spiele jetzt seit dem Fruhjahr und muss ehrlich sagen, ich war anfangs skeptisch, ob so ein Laden mit Bitcoin uberhaupt was taugt. Uber nen Kumpel drauf gekommen, der seit Ewigkeiten online Poker mit Bitcoin spielt, und tja – hangen geblieben bin ich am Ende doch. Grade fur deutsche Spieler ist das eh ne halbe Wissenschaft, was Ein- und Auszahlungen angeht, aber dazu gleich mehr.

    Beim Angebot ist ordentlich was los – ich schatze mal irgendwas um die 2000 Slots, inklusive Tische. Die ublichen Verdachtigen sind alle dabei: Pragmatic Play mit dem ganzen Kram, Book of Dead, ruckelt nichts. Der Live-Kram lauft uber Evolution, echte Dealer und Shows wie Crazy Time, da versacke ich abends schon zu oft. Aber gut, das Kernstuck ist fur mich nun mal der Pokerbereich – Poker in Bitcoin eben, darum gehts mir ja.

    Was den Willkommensbonus angeht: es gab bei mir die ublichen 100% obendrauf plus rund 200 Free Spins, nicht alle auf einmal. Das Wagering liegt bei 35x, geht klar ehrlich gesagt, aber lest euch die Bedingungen wirklich durch. Ab und zu laufen Freerolls und mal was ohne Einzahlung, so kann man antesten risikofrei das Ganze. Die aktuellen Aktionen und Codes findet ihr am besten uber [url=https://bitcoin-poker-online.de/bitcoin-poker-bonus]win bitcoin playing poker[/url] falls ihrs genau wissen wollt, die halten das ganz gut aktuell.

    Nicht alles ist Gold – Withdrawals. Mit Krypto war es meist unter ner Stunde, top. Aber als ich mal uber Skrill wollte, dauerte es langer und die Verifizierung zog sich. Visa, Mastercard, Skrill, Neteller gehen alle, aber ganz ehrlich der ganze Sinn ist ja, dass es eben schneller und anonymer geht. Min-Deposit lag bei 20€, Registrierung war in Minuten durch.

    Unterwegs lauft es uberraschend gut – ne eigene App gibts fur Android und iPhone, sonst uber die Seite geht auch alles. Der Support zu jeder Zeit uber Live-Chat, die deutschsprachige Hilfe war mal besser mal schlechter, zur Not auf Englisch. Was die Regulierung angeht passt es, das war mir wichtig. Wer aus DE kommt, die bitcoin poker spielen ausprobieren wollen – ich bleib erstmal dabei, schaun wir mal.

发表回复