博客

HCIE学习之路11：一个防火墙网络实验

今天以华为USG系列防火墙为例，写一个在企业出口配置防火墙的网络实验。

防火墙作为VAS设备，向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。作为执行器，接收控制器下发的防御策略，及时阻断威胁流量。

应用领域包括：校园出口、广电网络、金融中心、企业园区、云计算等。

以企业园区为例：防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能，主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。

下面列举2个应用场景配置：CLI和Web

管理员登录设备后，首先要对设备进行网络基础配置，使设备快速接入网络，如下图，企业购买了FW作为企业出口网关。管理员在登录FW后，首先需要对FW进行网络基础配置，包括设备名称、时钟、接口IP地址、安全区域、缺省路由及缺省包过滤的配置。

CLI配置思路

  1. 配置FW的设备名称。
  2. 配置FW的时钟。
  3. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  4. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  5. 配置缺省路由，下一跳为ISP提供的接入点。
  6. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

CIL操作步骤

1.配置设备名称

<FW> system-view
[FW] sysname FW_A
[FW_A] quit

2.配置时钟，包括当前时间和时区。

<FW> clock datetime 18:10:45 2023-08-14
<FW> clock timezone BJ add 08:00:00

3.配置接口的IP地址。连接外网的接口IP地址（本例为10.1.1.1/24）需要从当地ISP获取。

<FW_A> system-view
[FW_A] interface GigabitEthernet 0/0/0
[FW_A-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[FW_A-GigabitEthernet0/0/0] quit
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit

4.将各个业务接口加入安全区域。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/0
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface GigabitEthernet 0/0/1
[FW_A-zone-dmz] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/2
[FW_A-zone-untrust] quit

5.配置缺省路由。

[FW_A] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

6.打开缺省包过滤，保证FW能够接入Internet。

这里同样可以用脚本直接导入的方式实现一键配置，以下是完整的配置脚本：

#
 sysname FW_A
#                                                                               
interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0
#                                                                               
interface GigabitEthernet0/0/1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/2
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
#                                                                               
security-policy                                                                 
 default action permit      
#
return

Web配置思路

  1. 配置FW的时钟。
  2. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  3. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  4. 配置缺省路由，下一跳为ISP提供的接入点。
  5. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

Web操作步骤

  1. 配置时钟，包括当前时间和时区。
    1. 选择“系统 > 配置 > 时钟配置”。
    2. 在“配置方式”中选择“手动配置时间”。
    3. 配置“时区”。
    4. 配置“日期”。
    5. 配置“系统时间”。
    6. 单击“应用”。
  2. 配置接口0的IP地址和安全区域。
    1. 选择“网络 > 接口”。
    2. 单击GE0/0/0。
    3. 按如下参数配置接口GE0/0/0。安全区域trust的IP地址192.168.1.1/24
    4. 单击“确定”。
    5. 重复上述步骤按如下参数配置接口GE0/0/1。安全区域dmz的IP地址10.1.1.1/24
    6. 重复上述步骤按如下参数配置接口GE0/0/2。安全区域untrust的IP地址1.1.1.1/24
  3. 配置缺省路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 单击“新建”。
    3. 按如下参数配置缺省路由。目的地址0.0.0.0掩码0.0.0.0下一跳1.1.1.254
    4. 单击“确定”。
  4. 打开缺省包过滤，保证FW能够接入Internet。一般情况下建议保持缺省包过滤关闭，然后配置具体允许哪些数据流通过的安全策略。
    1. 选择“策略 > 安全策略”。
    2. 修改default安全策略的动作为允许。
    3. 单击“确定”。

以上就是企业出口防火墙典型案例的详细配置，感兴趣的同学可以在ensp搭建拓扑图试一下。

标签: ,

这篇文章有 639 个评论

  1. 第 Albertzep页 2026年8月7日 回复

    Пройдите комплексное лечение https://medprime-clinic.ru и диагностику в медицинском центре. Полный спектр обследований, консультации профильных специалистов, современные методы лечения, контроль состояния здоровья и индивидуальный подход на всех этапах медицинской помощи.

  2. 第 Albertzep页 2026年8月7日 回复

    Пройдите комплексное лечение https://medprime-clinic.ru и диагностику в медицинском центре. Полный спектр обследований, консультации профильных специалистов, современные методы лечения, контроль состояния здоровья и индивидуальный подход на всех этапах медицинской помощи.

  3. 第 mostbet_ekPi页 2026年8月7日 回复

    Klikam tu od jakichs czterech miesiecy i prawde mowiac trafilem tu przypadkiem. Do tego czasu gralem gdzie indziej i glownie chodzilo mi o to, zeby grac w ciagu dnia z komorki. Pod tym wzgledem apka daje rade — nie tnie nawet na moim starym Xiaomi.

    Gier jest chyba ponad trzy tysiace i w wiekszosci znane studia. Play’n GO jest wszedzie — Book of Dead leci u mnie codziennie, chociaz od jakiegos czasu czesciej klikam Betsoft. Live jest od Evolution, krupierzy mowia po angielsku, Crazy Time potrafi wciagnac na godzine. Po polsku stolu niestety nie ma i to mi troche przeszkadza.

    Bonus powitalny to 100% od pierwszej wplaty i do tego paczke darmowych spinow, nie wszystkie naraz — po 50 dziennie. Warunek obrotu to x60 na spinach — da sie, tylko nie licz na szybkie wyjscie. Warunki i biezace promki sprawdzisz na [url=https://mostbetpol.pl]mostbet pl aplikacja[/url] jesli chcesz to dokladnie przeliczyc. Minimalny depozyt to jakies 20 zl, zapis to dwie minuty, dokumenty zatwierdzili po niecalej dobie.

    Wyplacam najczesciej na Skrill i jest w miare ekspresowo. Karta szlo wolniej, ze dwa dni. Bitcoina i USDT tez przyjmuja, ale tego nie testowalem. Co mi sie nie spodobalo to ze przy pierwszym cashoucie musialem doslac rachunek za prad — logiczne, tylko po co to na ostatnia chwile.

    Support odpowiada po polsku, chociaz o drugiej w nocy odpowiadali mi po angielsku. Odpisuja w kilka minut, bez sciemy. Licencja Curacao, nie jest to nic pod polskim nadzorem — kazdy niech sobie sam to przemysli.

    Plik apk pobiera sie bezposrednio ze strony, bo w Google Play tego nie znajdziesz. Wymaga zgody na nieznane zrodla — standard, nic dziwnego. Na iPhonie kolega sciagal przez profil. Push-e potrafia zasypac, na szczescie da sie to uciszyc.

  5. 第 lalabet_sxSa页 2026年8月8日 回复

    Speel hier inmiddels een maandje of vijf en leek het me wel nuttig om even wat te delen, want de meningen die je online vindt over lalabet casino review voelen als betaalde praatjes. Kwam er via iemand op een andere forum terecht en ging er nogal sceptisch in.

    De slotcollectie is gewoon dik in orde — het zullen er een stuk of 3500 zijn, al tel ik ze niet natuurlijk. Er staat veel Pragmatic tussen met Gates of Olympus en Sweet Bonanza, en verder speel ik meestal Play’n GO — Book of Dead pak ik er altijd weer bij. Ook NetEnt en Yggdrasil zitten in de lijst, dus je verveelt je niet snel.

    De live-hoek draait op Evolution en dat merk je meteen — de stream is stabiel, echte croupiers die ook gewoon Nederlands verstaan af en toe, Crazy Time zit er uiteraard ook bij. Daar ben ik netto zwaar op verlies hoor. Voor de huidige aanbiedingen kun je terecht bij [url=https://lala-nederland.bet/ervaringen/]lalabet review[/url] voordat je stort, want die dingen wijzigen best vaak.

    Ik kreeg 100% tot 500 euro en er kwamen 200 gratis spins bij, met een wagering van 35x — standaard dus, niks bijzonders. Je kunt al vanaf €10 storten, registreren was in een paar minuten geregeld. Waar ik wel positief van verraste was de verificatie: paspoort geupload en binnen een dag goedgekeurd. Elders heb ik dagen zitten wachten.

    Mijn uitbetalingen gaan via Neteller en dat staat er doorgaans binnen 24 uur op. Met Mastercard lukt het ook prima, alleen duurt terugstorten op de kaart langer, drie dagen ofzo. Bitcoin werkt er ook en dat was verreweg het snelst. Waar ik me wel aan stoor: de helpdesk reageerde een avond pas na een half uur, en dan krijg je eerst een Engelstalig standaardbericht. Uiteindelijk wel netjes opgelost hoor.

    Op de telefoon draait het gewoon in de browser en dat werkt vlekkeloos op mijn Android. Waar het in Nederland altijd over gaat is de vergunning — ze draaien op Curacao, geen KSA-vergunning, en dat moet je gewoon voor jezelf afwegen. Mijn geld heb ik altijd gewoon gekregen, meer kan ik er niet over zeggen.

  7. 第 Williecof页 2026年8月8日 回复

    Search impression share can provide context, but it is not a target by itself. A b2b google ads agency should interpret lost share from budget or rank alongside profitability, conversion rate, competitive pressure, and the value of additional traffic before recommending higher spend.

  8. 第 Williecof页 2026年8月8日 回复

    The best google ads agency is not necessarily the largest or closest one. A suitable partner should match the advertiser’s budget, industry complexity, internal capabilities, communication needs, measurement maturity, and preferred level of strategic versus execution support.

  9. 第 lalabet_btkl页 2026年8月8日 回复

    Speel hier inmiddels een maandje of vijf en wilde toch even mijn kant van het verhaal kwijt, want de meeste stukken die je online vindt over lalabet casino review voelen als betaalde praatjes. Kwam er via iemand op een andere forum terecht en had er eerlijk gezegd weinig verwachtingen van.

    Aan spellen geen gebrek — ergens rond de 3000+ dingen kun je draaien, maar dat is nattevingerwerk. Pragmatic domineert een beetje met Sweet Bonanza en Gates of Olympus, en daarnaast draai ik zelf vooral Play’n GO — Book of Dead blijft toch mijn vaste prik. Ook NetEnt en Yggdrasil zitten in de lijst, dus qua variatie kom je niks tekort.

    Voor live tafels leunen ze op Evolution en dat scheelt echt — de stream is stabiel, de dealers zijn gezellig genoeg, en dan heb je Crazy Time nog waar het altijd druk is. Daar ben ik netto zwaar op verlies hoor. Wie de actuele voorwaarden wil checken kan even kijken op [url=https://lalabet-casino-nederland.nl/ervaringen/]lalabet casino review[/url] voordat je stort, want die dingen wijzigen best vaak.

    De welkomstbonus was bij mij 100% tot 500 euro plus 200 free spins, inzetvereiste 35x — niet geweldig, niet dramatisch. Je kunt al vanaf €10 storten, het account aanmaken duurde niks. Waar ik wel positief van verraste was de verificatie: scan erin en de volgende ochtend was het rond. Bij een ander casino wachtte ik ooit een week.

    Uitbetalen doe ik meestal via Skrill en dat staat er doorgaans binnen 24 uur op. Kaartbetalingen kunnen ook gewoon, maar dan wacht je wel drie werkdagen. Bitcoin werkt er ook en dat was verreweg het snelst. Waar ik me wel aan stoor: de helpdesk reageerde een avond pas na een half uur, en dan krijg je eerst een Engelstalig standaardbericht. Uiteindelijk wel netjes opgelost hoor.

    Mobiel gaat via de browser, geen app nodig en dat is bij mij op iPhone prima. Waar het in Nederland altijd over gaat is de vergunning — het is een Curacao-licentie, dus geen Nederlandse toezichthouder, iedereen moet zelf bepalen wat hij daarmee doet. Bij mij zijn alle uitbetalingen binnengekomen, meer kan ik er niet over zeggen.

  10. 第 lalabet_lzot页 2026年8月8日 回复

    Zit hier al sinds ergens begin dit jaar en dacht ik gooi mijn ervaring er ook maar even in, want de meeste stukken die je online vindt over lalabet casino review voelen als betaalde praatjes. Een vriend tipte me en had er eerlijk gezegd weinig verwachtingen van.

    Qua slots zit het echt wel goed — ergens rond de 3000+ dingen kun je draaien, maar dat is nattevingerwerk. Er staat veel Pragmatic tussen met Sweet Bonanza en Gates of Olympus, en verder speel ik meestal Play’n GO — Book of Dead is en blijft mijn ding. NetEnt, Betsoft en wat Big Time Gaming titels vind je er ook, dus je verveelt je niet snel.

    De live-hoek draait op Evolution en dat is gewoon prettig — geen gehaper bij mij, echte croupiers die ook gewoon Nederlands verstaan af en toe, Crazy Time zit er uiteraard ook bij. Dat kost me structureel geld, dat dan weer wel. Wie de actuele voorwaarden wil checken kan even kijken op [url=https://lalabet-netherlands.nl/gratis-spins/]lalabet[/url] voordat je begint, die veranderen namelijk regelmatig.

    Het aanbod was 100% tot €500 met 200 free spins erbovenop, de omzeteis stond op 35x — niet geweldig, niet dramatisch. Tien euro is het minimum om te beginnen, het account aanmaken duurde niks. De verificatie ging sneller dan verwacht: documenten erin, dezelfde dag nog akkoord. Elders heb ik dagen zitten wachten.

    Ik cash uit met Skrill en dat duurt zelden langer dan een etmaal. Visa en Mastercard werken ook, alleen duurt terugstorten op de kaart langer, drie dagen ofzo. Crypto kan ook, ik heb een keer met Bitcoin getest en dat was de snelste van allemaal. Wat me echt tegenviel: de chat-support is ‘s nachts traag, en dan krijg je eerst een Engelstalig standaardbericht. Het kwam wel goed, maar goed.

    Mobiel gaat via de browser, geen app nodig en dat laadt snel genoeg. Waar het in Nederland altijd over gaat is de vergunning — het is een Curacao-licentie, dus geen Nederlandse toezichthouder, iedereen moet zelf bepalen wat hij daarmee doet. Mijn geld heb ik altijd gewoon gekregen, maar dat is een ervaring, van mij.

发表回复