博客

HCIE学习之路11：一个防火墙网络实验

今天以华为USG系列防火墙为例，写一个在企业出口配置防火墙的网络实验。

防火墙作为VAS设备，向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。作为执行器，接收控制器下发的防御策略，及时阻断威胁流量。

应用领域包括：校园出口、广电网络、金融中心、企业园区、云计算等。

以企业园区为例：防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能，主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。

下面列举2个应用场景配置：CLI和Web

管理员登录设备后，首先要对设备进行网络基础配置，使设备快速接入网络，如下图，企业购买了FW作为企业出口网关。管理员在登录FW后，首先需要对FW进行网络基础配置，包括设备名称、时钟、接口IP地址、安全区域、缺省路由及缺省包过滤的配置。

CLI配置思路

  1. 配置FW的设备名称。
  2. 配置FW的时钟。
  3. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  4. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  5. 配置缺省路由，下一跳为ISP提供的接入点。
  6. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

CIL操作步骤

1.配置设备名称

<FW> system-view
[FW] sysname FW_A
[FW_A] quit

2.配置时钟，包括当前时间和时区。

<FW> clock datetime 18:10:45 2023-08-14
<FW> clock timezone BJ add 08:00:00

3.配置接口的IP地址。连接外网的接口IP地址（本例为10.1.1.1/24）需要从当地ISP获取。

<FW_A> system-view
[FW_A] interface GigabitEthernet 0/0/0
[FW_A-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[FW_A-GigabitEthernet0/0/0] quit
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit

4.将各个业务接口加入安全区域。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/0
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface GigabitEthernet 0/0/1
[FW_A-zone-dmz] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/2
[FW_A-zone-untrust] quit

5.配置缺省路由。

[FW_A] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

6.打开缺省包过滤，保证FW能够接入Internet。

这里同样可以用脚本直接导入的方式实现一键配置，以下是完整的配置脚本：

#
 sysname FW_A
#                                                                               
interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0
#                                                                               
interface GigabitEthernet0/0/1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/2
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
#                                                                               
security-policy                                                                 
 default action permit      
#
return

Web配置思路

  1. 配置FW的时钟。
  2. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  3. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  4. 配置缺省路由，下一跳为ISP提供的接入点。
  5. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

Web操作步骤

  1. 配置时钟，包括当前时间和时区。
    1. 选择“系统 > 配置 > 时钟配置”。
    2. 在“配置方式”中选择“手动配置时间”。
    3. 配置“时区”。
    4. 配置“日期”。
    5. 配置“系统时间”。
    6. 单击“应用”。
  2. 配置接口0的IP地址和安全区域。
    1. 选择“网络 > 接口”。
    2. 单击GE0/0/0。
    3. 按如下参数配置接口GE0/0/0。安全区域trust的IP地址192.168.1.1/24
    4. 单击“确定”。
    5. 重复上述步骤按如下参数配置接口GE0/0/1。安全区域dmz的IP地址10.1.1.1/24
    6. 重复上述步骤按如下参数配置接口GE0/0/2。安全区域untrust的IP地址1.1.1.1/24
  3. 配置缺省路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 单击“新建”。
    3. 按如下参数配置缺省路由。目的地址0.0.0.0掩码0.0.0.0下一跳1.1.1.254
    4. 单击“确定”。
  4. 打开缺省包过滤，保证FW能够接入Internet。一般情况下建议保持缺省包过滤关闭，然后配置具体允许哪些数据流通过的安全策略。
    1. 选择“策略 > 安全策略”。
    2. 修改default安全策略的动作为允许。
    3. 单击“确定”。

以上就是企业出口防火墙典型案例的详细配置，感兴趣的同学可以在ensp搭建拓扑图试一下。

标签: ,

这篇文章有 640 个评论

  1. 第 vox_lgEr页 2026年8月4日 回复

    Ogrywam sie tutaj od ze cztery miesiecy i prawde mowiac troche mnie zaskoczyli in plus. Rejestracja zajela mi jakies dwie minuty, KYC przyszla dopiero przy pierwszej wyplacie, i to mi nie przeszkadzalo. Minimalny depozyt to okolice 20 zl, wiec na start nie trzeba topic kasy.

    Co do gier jest masa — gdzies w okolicach 4000 pozycji, w wiekszosci Pragmatic Play, Play’n GO i NetEnt, jest tez troche Microgaming i Yggdrasil. Mnie najbardziej wciagnelo Gates of Olympus, czasem odpale Book of Dead. Live to Evolution — Crazy Time, ruletka, blackjack, ludzie, nie automaty, stoly po polsku tez sie trafiaja.

    Powitalny pakiet wyglada tak: 100% do pierwszej wplaty plus 150 spinow. Wagering x35, czyli standard — realne, choc trzeba usiasc. Aktualne oferty warto sprawdzic w [url=https://vox-casino-promocode.com]kod bonusowy do vox casino[/url] bo sie zmieniaja co miesiac. Krazy tez sporo ofert bez depozytu ale polowa z tego co widze na grupach to sciema, wiec bym uwazal.

    Kasa wychodzi — tu bez fajerwerkow. Blik i karty szly w kilkanascie godzin, Skrill i Neteller praktycznie od razu, Bitcoin zeszlo w niecala godzine. Ale raz czekalem trzy dni bo dorzucili weryfikacje a support mielil godzinami. To mnie najbardziej wkurzylo.

    Support jest calodobowy, po polsku — czasem od razu, czasem 10 minut. Dedykowanej apki brak, ale wersja mobilna chodzi plynnie na moim starym Androidzie. Licencja Curacao, czyli nie Malta, ale u mnie nic nie zginelo. Jak ktos z Polski szuka czegos na spokojne granie — jest w porzadku, tylko czytajcie warunki obrotu zanim klikniecie bonus.

  2. 第 novye-kvartiry 44页 2026年8月4日 回复

    Квартиры в новостройках https://novye-kvartiry78.ru Кировского района Санкт-Петербурга для комфортной жизни и выгодных инвестиций. Актуальные предложения от застройщиков, студии, одно-, двух- и трехкомнатные квартиры, современные жилые комплексы, удобный поиск по цене, площади и срокам сдачи.

  3. 第 novye-kvartiry 728页 2026年8月4日 回复

    Квартиры в новостройках https://novye-kvartiry78.ru Кировского района Санкт-Петербурга для комфортной жизни и выгодных инвестиций. Актуальные предложения от застройщиков, студии, одно-, двух- и трехкомнатные квартиры, современные жилые комплексы, удобный поиск по цене, площади и срокам сдачи.

  4. 第 kvartira 581页 2026年8月5日 回复

    Подберем квартиру https://kvartira-78.ru в Санкт-Петербурге с учетом ваших требований и бюджета. Проверим юридическую историю недвижимости, оценим риски, организуем просмотры, поможем получить ипотеку и сопроводим сделку до государственной регистрации права собственности.

  5. 第 vox_teki页 2026年8月5日 回复

    Ogrywam sie tutaj od ze cztery miesiecy i prawde mowiac spodziewalem sie gorzej. Zakladanie konta zajela mi z trzy minuty, weryfikacja przyszla dopiero przy pierwszej wyplacie, i to mi nie przeszkadzalo. Minimalna wplata to okolice 20 zl, wiec prog wejscia niski.

    Co do gier jest bez liku — gdzies ponad 3000 pozycji, glownie Pragmatic, NetEnt, Play’n GO, dorzucili tez Big Time Gaming i Betsoft. Mnie najbardziej wciagnelo Sweet Bonanzy, od czasu do czasu wchodze w Gates of Olympus. Sekcja live stoi na Evolution — Crazy Time, ruletka, blackjack, ludzie, nie automaty, kilka stolow jest po polsku.

    Powitalny pakiet to u nich: 100% do pierwszej wplaty plus 150 spinow. Obrot czterdziestokrotny, czyli standard — realne, choc trzeba usiasc. Aktualne oferty zerkam sobie w [url=https://vox-casino12.com]vox casino kod promocyjny 2026[/url] bo sie zmieniaja co miesiac. Ludzie szukaja tez wersji bez wplaty i czesc z nich to zwykly clickbait, wiec sprawdzajcie zrodlo.

    Kasa wychodzi — tu bez fajerwerkow. Blik i karty schodzily mi w kilkanascie godzin, Skrill i Neteller szybciej, jakies 2-6 godzin, Bitcoin najszybciej. Raz jednak wyplata wisiala trzy dni bo poprosili o dokument i support odpisywal slamazarnie. To mnie najbardziej wkurzylo.

    Czat jest calodobowy, w naszym jezyku — czasem od razu, czasem 10 minut. Aplikacji jako takiej nie ma, ale strona na telefonie smiga bez zaciec na Androidzie. Curacao, czyli nie Malta, ale przez pol roku nie mialem problemu z platnosciami. Dla kogos z PL — jest w porzadku, tylko regulamin bonusu przeczytajcie, bo tam diabel tkwi.

  6. 第 kvartira 428页 2026年8月5日 回复

    Подберем квартиру https://kvartira-78.ru в Санкт-Петербурге с учетом ваших требований и бюджета. Проверим юридическую историю недвижимости, оценим риски, организуем просмотры, поможем получить ипотеку и сопроводим сделку до государственной регистрации права собственности.

  7. 第 888starz_szoi页 2026年8月5日 回复

    طيب بقالي كام شهر بجرب على الموقع ده وفكرت أقول رأيي بدل ما الناس تسأل في الخاص. أول حاجة إن كتالوج السلوتس ضخم — فوق 7000 لعبة تقريبًا، والجودة مش وحشة زي مواقع تانية. براجماتيك موجودة بقوة ووطبعًا NetEnt وYggdrasil.

    بالنسبالي بحب Sweet Bonanza، وزميلي مش بيقوم من على Book of Dead. الجديد اللي جربته كانت ألعاب Big Time Gaming وكانت حلوة. إنما الحاجة الوحيدة المزعجة إن البحث جوه التطبيق بيهنج أحيانًا لما تدور على لعبة بالاسم.

    جزئية الـlive اللي بيشد فعلًا — Evolution مشغلاه، كروبيهات حقيقيين والستريم مستقر حتى على النت المصري. Crazy Time تحديدًا بتاخد وقت طويل، وكمان فيه ديلرز بيتكلموا عربي وده فرق معايا. بالنسبة لـ البونص فهو مضاعفة أول شحن بالإضافة لـ 150 سبين بتتوزع على أيام، وشرط التدوير حوالي 35 مرة وده مش سيء مقارنة بغيرهم. ممكن تراجع آخر العروض والأكواد من [url=https://sheercurtaindubai.ae]تحميل تطبيق 888 ستارز[/url] قبل ما تسجل لأنها بتتغير.

    التسجيل مش معقد، وأقل مبلغ تشحنه بسيط — حوالي 50 جنيه. الإيداع والسحب بيدعم كروت البنوك، Skrill وNeteller، وكريبتو وهي الأسرع. آخر مرة سحبت خرج بعد 3 ساعات بالـUSDT، بس بالكارت استنيت يومين.

    على الموبايل مفيش مشاكل — تنزيل التطبيق مش من جوجل بلاي وده طبيعي في مواقع الرهان. التحديث بيتحدث لوحده ومفيش لخبطة. السبورت شات مباشر 24 ساعة وأحيانًا الرد الأول بيكون قالب جاهز. الترخيص من كوراساو ومعروف إنه مش صارم زي مالطا، يعني خليك واعي وحط ليمت لنفسك.

  8. 第 vox_vkpr页 2026年8月5日 回复

    Ogrywam sie tutaj od jakichs czterech miesiecy i nie ma co ukrywac troche mnie zaskoczyli in plus. Rejestracja zajela mi jakies dwie minuty, KYC przyszla dopiero jak chcialem wyplacic, i to mi nie przeszkadzalo. Minimalny depozyt to cos kolo 80 zl w przeliczeniu, wiec prog wejscia niski.

    Gierek jest masa — jakos ponad 3000 tytulow, glownie Pragmatic Play, Play’n GO i NetEnt, jest tez troche Microgaming i Yggdrasil. Osobiscie najwiecej gram w Sweet Bonanzy, od czasu do czasu wchodze w Book of Dead. Sekcja live to Evolution — blackjack i te wszystkie teleturnieje, krupierzy realni, kilka stolow jest po polsku.

    Powitalny pakiet wyglada tak: do 4000 zl i 200 darmowych spinow rozlozonych na kilka dni. Wagering x40, czyli nic nadzwyczajnego — realne, choc trzeba usiasc. Aktualne oferty zerkam sobie na [url=https://vox-casino-rejestracja.com]vox casino kod promocyjny bez depozytu forum[/url] przed sama wplata. Krazy tez sporo wersji bez wplaty i czesc z nich to zwykly clickbait, wiec sprawdzajcie zrodlo.

    Wyplaty — tu bez fajerwerkow. Blik i karty schodzily mi do doby, Skrill i Neteller praktycznie od razu, Bitcoin zeszlo w niecala godzine. Ale raz czekalem trzy dni bo dorzucili weryfikacje a support mielil godzinami. To mnie najbardziej wkurzylo.

    Czat jest calodobowy, po polsku — raz odpowiadaja w minute, raz po kwadransie. Dedykowanej apki brak, ale wersja mobilna chodzi plynnie na moim starym Androidzie. Curacao, czyli nie Malta, ale przez pol roku nie mialem problemu z platnosciami. Dla kogos z PL — jest przyzwoicie, tylko czytajcie warunki obrotu zanim klikniecie bonus.

  9. 第 vox_pfPa页 2026年8月5日 回复

    Siedze na tej stronie od mniej wiecej trzech miesiecy i szczerze mowiac spodziewalem sie gorzej. Rejestracja zajela mi jakies dwie minuty, weryfikacja przyszla dopiero przy pierwszej wyplacie, co mi akurat pasowalo. Minimalna wplata to okolice 20 zl, wiec na start nie trzeba topic kasy.

    Co do gier jest masa — gdzies w okolicach 4000 pozycji, w wiekszosci Pragmatic, NetEnt, Play’n GO, jest tez troche Yggdrasil i Betsoft. Ja siedze glownie na Sweet Bonanzy, od czasu do czasu wchodze w Bonanze. Sekcja live to Evolution — Crazy Time i ruletka, ludzie, nie automaty, stoly po polsku tez sie trafiaja.

    Bonus na start to u nich: do 4000 zl i 200 darmowych spinow rozlozonych na kilka dni. Obrot x40, czyli standard — da sie wyrobic, ale bez przesady. Biezace promocje najlepiej sprawdzac na [url=https://pegavisao.org]kod vox casino[/url] bo sie zmieniaja co miesiac. Krazy tez sporo ofert bez depozytu ale polowa z tego co widze na grupach to sciema, wiec sprawdzajcie zrodlo.

    Kasa wychodzi — tu jest ok, ale. Visa, Mastercard, Blik szly w 12-24h, Skrill i Neteller szybciej, jakies 2-6 godzin, krypto zeszlo w niecala godzine. Ale raz wyplata wisiala trzy dni bo dorzucili weryfikacje a support mielil godzinami. To byl moj najwiekszy zgrzyt.

    Support dziala 24/7, w naszym jezyku — czasem od razu, czasem 10 minut. Dedykowanej apki brak, ale strona na telefonie smiga bez zaciec na Androidzie. Curacao, czyli nie Malta, ale przez pol roku nie mialem problemu z platnosciami. Dla kogos z PL — jest w porzadku, tylko regulamin bonusu przeczytajcie, bo tam diabel tkwi.

  10. 第 888starz_paKl页 2026年8月5日 回复

    Bir necha oy bo’ldi bu saytda vaqt o’tkazaman, shu sababli fikrimni aytib qo’yay. Rostini aytsam, avvaliga unchalik ishonmagandim — tanishim aytdi, shundan keyin urinib ko’rdim. Registratsiya ikki daqiqalik ish ekan, birinchi to’ldirish summasi ham arzimagan — men kichik summa bilan boshlagandim.

    Assortimentni hisoblab bo’lmaydi — besh mingdan oshadi deb yozishadi. O’zim ko’proq Pragmatic Play o’yinlari to’g’ri keladi: Gates of Olympus meni tortadi, Sweet Bonanza esa umuman klassika. Play’n GO ning Book of Dead ni ham unutmagan ekanlar, NetEnt va Microgaming o’yinlari ham yetarli. Live bo’lim umuman boshqa dunyo — Evolution ning stollari, haqiqiy krupyelar gaplashib turadi, Crazy Time ni esa aytmasa ham bo’ladi.

    Bonuslar haqida ham ikki og’iz: kirish bonusiga 100% qo’shib berishdi, plyus frispinlar qo’shildi. Faqat otыgrыsh 40 barobar — buni yopish uchun sabr kerak, qoidalarni albatta ko’ring. Ba’zan depozitsiz spinlar ham tashlab turishadi, lekin doim emas. Hozirgi promo-kodlarni bilmoqchi bo’lsangiz [url=https://888starz-apk3.com]888starz скачать на айфон[/url] ga kirib ko’ring, har hafta yangilanib turadi.

    Pul yechish bo’yicha shikoyatim yo’q hisobi: Bank kartasi bilan qabul qilinadi, Skrill va boshqa hamyonlar, Bitcoin ham qabul qilinadi — kripto tezroq chiqadi. O’tgan hafta chiqarib oldim, bir soatgacha ketdi. Bitta holatda hujjat so’rab qolishdi, o’shanda biroz asabiylashdim — aynan shu joyi yoqmadi.

    Mobil versiya bo’yicha: 888starz apk ni o’rnatish qiyin emas, Play Marketda yo’q — bu normal holat. iOS egalari TestFlight orqali o’rnatishadi. Dastur yengil ishlaydi, lekin yangilanish paytida sekin ochildi.

    Qo’llab-quvvatlash ruschada tez javob beradi, lekin ba’zan shablon javob yozishadi. Curacao litsenziyasi bor, bu bizning O’zbekiston uchun odatiy. Xullas, hozircha qolganman — men faqat o’z tajribamni yozdim.

发表回复