HCIE学习之路11:一个防火墙网络实验

今天以华为USG系列防火墙为例,写一个在企业出口配置防火墙的网络实验。

防火墙作为VAS设备,向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。作为执行器,接收控制器下发的防御策略,及时阻断威胁流量。

应用领域包括:校园出口、广电网络、金融中心、企业园区、云计算等。

以企业园区为例:防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能,主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。

下面列举2个应用场景配置:CLI和Web

管理员登录设备后,首先要对设备进行网络基础配置,使设备快速接入网络,如下图,企业购买了FW作为企业出口网关。管理员在登录FW后,首先需要对FW进行网络基础配置,包括设备名称、时钟、接口IP地址、安全区域、缺省路由及缺省包过滤的配置。

CLI配置思路

  1. 配置FW的设备名称。
  2. 配置FW的时钟。
  3. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  4. 将各个业务接口加入安全区域。一般情况下,连接外网的接口加入安全级别低的安全区域(例如untrust区域),连接内网的接口加入安全级别高的安全区域(例如trust区域),服务器可以加入DMZ区域。
  5. 配置缺省路由,下一跳为ISP提供的接入点。
  6. 打开缺省包过滤,保证FW能够接入Internet。缺省情况下,缺省包过滤关闭。

CIL操作步骤

1.配置设备名称

<FW> system-view
[FW] sysname FW_A
[FW_A] quit

2.配置时钟,包括当前时间和时区。

<FW> clock datetime 18:10:45 2023-08-14
<FW> clock timezone BJ add 08:00:00

3.配置接口的IP地址。连接外网的接口IP地址(本例为10.1.1.1/24)需要从当地ISP获取。

<FW_A> system-view
[FW_A] interface GigabitEthernet 0/0/0
[FW_A-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[FW_A-GigabitEthernet0/0/0] quit
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit

4.将各个业务接口加入安全区域。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/0
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface GigabitEthernet 0/0/1
[FW_A-zone-dmz] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/2
[FW_A-zone-untrust] quit

5.配置缺省路由。

[FW_A] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

6.打开缺省包过滤,保证FW能够接入Internet。

这里同样可以用脚本直接导入的方式实现一键配置,以下是完整的配置脚本:

#
 sysname FW_A
#                                                                               
interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0
#                                                                               
interface GigabitEthernet0/0/1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/2
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
#                                                                               
security-policy                                                                 
 default action permit      
#
return

Web配置思路

  1. 配置FW的时钟。
  2. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  3. 将各个业务接口加入安全区域。一般情况下,连接外网的接口加入安全级别低的安全区域(例如untrust区域),连接内网的接口加入安全级别高的安全区域(例如trust区域),服务器可以加入DMZ区域。
  4. 配置缺省路由,下一跳为ISP提供的接入点。
  5. 打开缺省包过滤,保证FW能够接入Internet。缺省情况下,缺省包过滤关闭。

Web操作步骤

  1. 配置时钟,包括当前时间和时区。
    1. 选择“系统 > 配置 > 时钟配置”。
    2. 在“配置方式”中选择“手动配置时间”。
    3. 配置“时区”。
    4. 配置“日期”。
    5. 配置“系统时间”。
    6. 单击“应用”。
  2. 配置接口0的IP地址和安全区域。
    1. 选择“网络 > 接口”。
    2. 单击GE0/0/0。
    3. 按如下参数配置接口GE0/0/0。安全区域trust的IP地址192.168.1.1/24
    4. 单击“确定”。
    5. 重复上述步骤按如下参数配置接口GE0/0/1。安全区域dmz的IP地址10.1.1.1/24
    6. 重复上述步骤按如下参数配置接口GE0/0/2。安全区域untrust的IP地址1.1.1.1/24
  3. 配置缺省路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 单击“新建”。
    3. 按如下参数配置缺省路由。目的地址0.0.0.0掩码0.0.0.0下一跳1.1.1.254
    4. 单击“确定”。
  4. 打开缺省包过滤,保证FW能够接入Internet。一般情况下建议保持缺省包过滤关闭,然后配置具体允许哪些数据流通过的安全策略。
    1. 选择“策略 > 安全策略”。
    2. 修改default安全策略的动作为允许。
    3. 单击“确定”。

以上就是企业出口防火墙典型案例的详细配置,感兴趣的同学可以在ensp搭建拓扑图试一下。

这篇文章有 639 个评论

  1. mostbet_nasn

    Klikam tu od jakichs czterech miesiecy i prawde mowiac trafilem tu przypadkiem. Do tego czasu siedzialem na dwoch innych budkach i glownie chodzilo mi o to, zeby grac w ciagu dnia z komorki. I akurat tutaj mostbet aplikacja daje rade — nie tnie nawet na moim czteroletnim telefonie.

    Automatow jest tam z 3000+ i w wiekszosci znane studia. NetEnt siedzi tam mocno — Book of Dead leci u mnie codziennie, chociaz od miesiaca bardziej klikam Yggdrasilu. Sekcja live to Evolution, dilerzy normalni, zywi ludzie, Monopoly Live potrafi wciagnac na godzine. Po polsku stolu niestety nie ma i na to troche narzekam.

    Bonus powitalny jest w okolicach 125% do mniej wiecej 1600 zl plus okolo 250 spinow, wydawane porcjami. Wager w okolicach x60 — da sie, tylko nie licz na szybkie wyjscie. Warunki i biezace promki sprawdzisz na [url=https://mostbet-casino1.com.pl]mostbet app[/url] jesli chcesz to dokladnie przeliczyc. Minimalny depozyt to jakies 20 zl, rejestracja zajela mi doslownie minute, KYC przeszlo mi nastepnego dnia.

    Wyciagam wygrane najczesciej na Skrill i leci w kilka godzin. Na Mastercard czekalem dwa dni. Bitcoina i USDT tez przyjmuja, osobiscie nie sprawdzalem. Co mi sie nie spodobalo to weryfikacja przy pierwszej wyplacie — logiczne, tylko po co to na ostatnia chwile.

    Support po polsku dziala, w nocy trafilem na anglojezycznego konsultanta. Odpisuja w kilka minut, konkretnie, nie ogolnikami. Licencja Curacao, nie jest to nic pod polskim nadzorem — warto miec to z tylu glowy.

    Apke sciagalem z ich strony, bo w Google Play tego nie znajdziesz. Trzeba odblokowac instalacje z nieznanych zrodel — standard, nic dziwnego. Na iPhonie kolega sciagal przez profil. Notyfikacje troche spamuja, na szczescie da sie to uciszyc.

  2. lalabet_cyol

    Ben hier nu een maand of vier bezig en wilde toch even mijn kant van het verhaal kwijt, want de verhalen die je online vindt over lalabet casino review voelen als betaalde praatjes. Ik ben er ingerold via een maat van me en had er eerlijk gezegd weinig verwachtingen van.

    Aan spellen geen gebrek — ergens rond de 3000+ dingen kun je draaien, al tel ik ze niet natuurlijk. Pragmatic domineert een beetje met Gates of Olympus en Sweet Bonanza, en zelf hang ik meer rond Play’n GO — Book of Dead blijft toch mijn vaste prik. NetEnt en Big Time Gaming staan er ook op, dus qua variatie kom je niks tekort.

    Voor live tafels leunen ze op Evolution en dat is gewoon prettig — het beeld hapert nauwelijks, de dealers zijn gezellig genoeg, en Crazy Time is daar natuurlijk de grote trekker. Daar ben ik netto zwaar op verlies hoor. Voor de huidige aanbiedingen kun je terecht bij [url=https://lalabet-lala-bet.com/promotiecode/]lalabet[/url] voordat je stort, ze passen dat af en toe aan.

    De welkomstbonus was bij mij 100% tot 500 euro plus 200 free spins, inzetvereiste 35x — standaard dus, niks bijzonders. Tien euro is het minimum om te beginnen, het account aanmaken duurde niks. Waar ik wel positief van verraste was de verificatie: scan erin en de volgende ochtend was het rond. Ik heb het bij andere tenten weken zien duren.

    Uitbetalen doe ik meestal via Skrill en dat staat er doorgaans binnen 24 uur op. Kaartbetalingen kunnen ook gewoon, maar dan wacht je wel drie werkdagen. Crypto kan ook, ik heb een keer met Bitcoin getest en dat was de snelste van allemaal. Het irritante puntje: de chat-support is ‘s nachts traag, en ze antwoordden eerst in het Engels. Het kwam wel goed, maar goed.

    Er is geen aparte app, alles loopt in de browser en dat werkt vlekkeloos op mijn Android. Punt van aandacht voor ons in Nederland blijft de licentie — ze draaien op Curacao, geen KSA-vergunning, dus weet waar je aan begint. Mijn geld heb ik altijd gewoon gekregen, maar dat is een ervaring, van mij.

  3. mostbet_uuSi

    Obstawiam tu od zeszlej jesieni i prawde mowiac trafilem tu przypadkiem. Przedtem siedzialem na dwoch innych budkach i glownie chodzilo mi o to, zeby grac w ciagu dnia z komorki. No i tutaj mostbet aplikacja robi robote — nie tnie nawet na moim czteroletnim telefonie.

    Slotow jest tyle, ze nie ma szans wszystkiego przejsc i w wiekszosci znane studia. Play’n GO jest wszedzie — Book of Dead odpalam chyba najczesciej, chociaz ostatnio bardziej siedze na Big Time Gaming. Sekcja live to Evolution, dilerzy normalni, zywi ludzie, Monopoly Live jest tam oczywiscie. Polskojezycznego dilera brak i to mi troche przeszkadza.

    Pakiet na start jest w okolicach 100% od pierwszej wplaty plus paczke darmowych spinow, wydawane porcjami. Obrot to x60 na spinach — niski to on nie jest, uczciwie mowiac. Szczegoly promocji sa opisane na [url=https://mostbet-kasyno.com.pl]mostbet apk[/url] jak ktos chce sie wgryzc. Wplata minimalna to jakies 20 zl, zapis to dwie minuty, KYC przeszlo mi nastepnego dnia.

    Wyplacam zazwyczaj na e-portfel i schodzi to do 2-3 godzin. Na Mastercard szlo wolniej, ze dwa dni. Bitcoina i USDT tez przyjmuja, ale tego nie testowalem. Co mi sie nie spodobalo to zamrozenie wyplaty na czas KYC — logiczne, tylko po co to na ostatnia chwile.

    Support jest po polsku, czasem w nocy przelacza sie na angielski. Czekalem jakies 4 minuty, bez sciemy. Licencja Curacao, nie jest to nic pod polskim nadzorem — kazdy niech sobie sam to przemysli.

    Plik apk pobiera sie bezposrednio ze strony, w Play Store nie uswiadczysz. Trzeba odblokowac instalacje z nieznanych zrodel — brzmi strasznie, ale to normalka w tej branzy. Na iPhonie kolega sciagal przez profil. Push-e potrafia zasypac, ale to sie wylacza w ustawieniach.

  4. 888starz_lzpn

    Assalomu alaykum, men bu yerda deyarli besh oydan beri stavka qilaman, shuning uchun fikrimni bo’lishmoqchiman. To’g’risi, boshida ishonmagandim — O’zbekistonda bunaqa kontoralar to’lib yotibdi, yarmisi pul to’lamaydi. Ammo 888starz mening holatimda shu paytgacha umuman aldamadi.

    Slotlar tomonini aytsam, assortiment haqiqatan katta — nazarimda 4000dan ko’proq, hech kim sanab chiqmagan bo’lsa kerak. Ko’proq Pragmatic Play narsalarini aylantiraman: Gates of Olympus va Sweet Bonanza eskirmaydi, ba’zan Play’n GO ning Book of Dead ga o’tib turaman. NetEnt va Yggdrasil ham bor, faqat bularni siyrak o’ynayman. Jonli bo’lim yaxshi yig’ilgan — Evolution studiyasi, haqiqiy dilerlar, Crazy Time esa kechqurun dam olishga zo’r.

    Bonus masalasi ham yomon emas: birinchi depozitga 100 foiz qo’shimcha plyus 150 bepul aylanish beriladi. Faqat veydjerga e’tibor bering — odatda x40 atrofida, demak tezda yechib bo’lmaydi, shoshilmaslik kerak. O’zim avvaliga qoidalarni to’liq ko’rmay olgandim, keyin afsuslandim. Amaldagi takliflarni [url=https://888starz-apk5.com]888starz apk[/url] orqali ko’rib chiqsangiz bo’ladi, ro’yxatdan o’tishdan oldin shuni maslahat beraman.

    Pul kirim-chiqimi haqida: Visa va Mastercard ishlaydi, Skrill bilan Neteller ham qo’shilgan, Bitcoin ham qabul qilinadi — men ko’proq USDT dan foydalanib turaman, sababi tezroq. Minimal depozit arzimagan, deyarli 10 000 so’m chamasi bo’lsa kerak. O’tgan hafta yechib oldim — kriptoga yarim soatda tushdi, kartaga esa sutkacha kutishga to’g’ri keldi.

    Telefon versiyasi to’g’risida ham aytay: saytdan ilovani yuklab olsa bo’ladi, Android da muammosiz ishlaydi, iPhone uchun ham yo’l topilgan, faqat biroz murakkabroq. Mobil brauzerda ham normal ishlaydi, dastur bo’lsa yengilroq ko’rindi. Menga bezor qilgan narsa — verifikatsiya ancha cho’zildi, uch kunga yaqin ovora bo’ldim, qo’llab-quvvatlash xizmati rus tilida yaxshi javob beradi, o’zbek tilida gohida sekinroq. Ruxsatnoma Curacao dan, ya’ni odatdagi variant — kimdir buni yoqtirmaydi, menga muhim emas, chunki to’lovda hozircha aldanmadim.

  5. mostbet_yvMl

    Klikam tu od jakichs czterech miesiecy i prawde mowiac zapisalem sie po nudnym wieczorze. Do tego czasu gralem gdzie indziej i najczesciej chodzilo mi o to, zeby nie musiec siedziec przy kompie. I akurat tutaj apka daje rade — nie tnie nawet na moim starym Xiaomi.

    Wybor jest absurdalny, cos kolo 2-3 tysiecy pozycji i to nie sa jakies krzaki. NetEnt jest wszedzie — Book of Dead odpalam chyba najczesciej, aczkolwiek ostatnio bardziej siedze na Betsoft. Stoly na zywo obsluguje Evolution, prawdziwi krupierzy, nie zadne automaty, Crazy Time czasem odpalam dla zabawy. Polskiego stolu jednak nie znalazlem i to troche szkoda.

    Pakiet na start jest w okolicach 125% do mniej wiecej 1600 zl dorzucaja jeszcze okolo 250 spinow, rozbite na kilka dni. Obrot w okolicach x60 — niski to on nie jest, uczciwie mowiac. Aktualne kody i regulamin bonusu mozna podejrzec na [url=https://mostbet-pol.com]aplikacja mostbet[/url] jesli chcesz to dokladnie przeliczyc. Najmniejsza wplata to jakies 20 zl, konto zalozylem w kilkadziesiat sekund, weryfikacja dokumentow poszla w jedna dobe.

    Wyplacam zwykle przez Neteller i schodzi to do 2-3 godzin. Na Vise trwalo dluzej — dwa dni robocze. Bitcoina i USDT tez przyjmuja, ale tego nie testowalem. To co mnie wkurzylo to weryfikacja przy pierwszej wyplacie — logiczne, tylko po co to na ostatnia chwile.

    Czat z konsultantem odpowiada po polsku, chociaz o drugiej w nocy odpowiadali mi po angielsku. Reakcja w granicach paru minut, bez kopiuj-wklej regulaminu. Dzialaja na licencji Curacao, czyli poza polska regulacja — warto miec to z tylu glowy.

    Plik apk pobiera sie bezposrednio ze strony, w Play Store nie uswiadczysz. Trzeba odblokowac instalacje z nieznanych zrodel — standard, nic dziwnego. Na iPhonie kolega sciagal przez profil. Notyfikacje troche spamuja, na szczescie da sie to uciszyc.

  6. mostbet_xhmt

    Obstawiam tu od zeszlej jesieni i nie ukrywam zapisalem sie po nudnym wieczorze. Przedtem gralem gdzie indziej i przede wszystkim chodzilo mi o to, zeby grac w ciagu dnia z komorki. No i tutaj apka nie zawodzi — chodzi plynnie nawet na moim starym Xiaomi.

    Wybor jest absurdalny, cos kolo 2-3 tysiecy pozycji i wiekszosc to normalni dostawcy. Pragmatic Play siedzi tam mocno — Book of Dead to moj standard, aczkolwiek od jakiegos czasu czesciej klikam Betsoft. Stoly na zywo obsluguje Evolution, prawdziwi krupierzy, nie zadne automaty, Crazy Time czasem odpalam dla zabawy. Polskojezycznego dilera brak i na to troche narzekam.

    Powitalny to 100% od pierwszej wplaty plus paczke darmowych spinow, wydawane porcjami. Warunek obrotu w okolicach x60 — niski to on nie jest, uczciwie mowiac. Aktualne kody i regulamin bonusu mozna podejrzec na [url=https://mostbet-pl-casino.com.pl]mostbet casino aplikacja[/url] zanim sie zarejestrujesz. Minimalny depozyt to jakies 20 zl, zapis to dwie minuty, dokumenty zatwierdzili po niecalej dobie.

    Wyciagam wygrane najczesciej na Skrill i jest w miare ekspresowo. Na Mastercard trwalo dluzej — dwa dni robocze. BTC obsluguja, osobiscie nie sprawdzalem. To co mnie wkurzylo to zamrozenie wyplaty na czas KYC — niby standard, a irytuje.

    Support po polsku dziala, w nocy trafilem na anglojezycznego konsultanta. Czekalem jakies 4 minuty, bez kopiuj-wklej regulaminu. Licencja Curacao, wiec bez polskiego pozwolenia — warto miec to z tylu glowy.

    Apke sciagalem z ich strony, bo w Google Play tego nie znajdziesz. Trzeba odblokowac instalacje z nieznanych zrodel — standard, nic dziwnego. Wersja pod iOS tez jest, kolega ma. Push-e potrafia zasypac, na szczescie da sie to uciszyc.

  7. mostbet_odSi

    Obstawiam tu od trzech miesiecy z hakiem i nie ukrywam zarejestrowalem sie bo kolega z pracy marudzil. Wczesniej krecilem sie po innych kasynach i glownie chodzilo mi o to, zeby grac w ciagu dnia z komorki. No i tutaj mostbet aplikacja robi robote — nie zamula nawet na moim zajechanym Samsungu.

    Automatow jest tam z 3000+ i to nie sa jakies krzaki. NetEnt dominuje — Sweet Bonanza leci u mnie codziennie, chociaz od miesiaca czesciej klikam Yggdrasilu. Live jest od Evolution, prawdziwi krupierzy, nie zadne automaty, Monopoly Live potrafi wciagnac na godzine. Polskojezycznego dilera brak i to mi troche przeszkadza.

    Powitalny wynosi 100% do jakichs 1400 zl plus paczke darmowych spinow, wydawane porcjami. Obrot to x60 na spinach — niski to on nie jest, uczciwie mowiac. Warunki i biezace promki sprawdzisz na [url=https://mostbet-app-polska.pl]mostbet aplikacja[/url] zanim sie zarejestrujesz. Wplata minimalna to jakies 20 zl, rejestracja zajela mi doslownie minute, weryfikacja dokumentow poszla w jedna dobe.

    Wyplacam zazwyczaj na e-portfel i leci w kilka godzin. Karta szlo wolniej, ze dwa dni. BTC obsluguja, osobiscie nie sprawdzalem. To co mnie wkurzylo to weryfikacja przy pierwszej wyplacie — logiczne, tylko po co to na ostatnia chwile.

    Czat z konsultantem odpowiada po polsku, chociaz o drugiej w nocy odpowiadali mi po angielsku. Czekalem jakies 4 minuty, bez kopiuj-wklej regulaminu. Curacao — jak wiekszosc takich miejsc, nie jest to nic pod polskim nadzorem — to trzeba wiedziec zawczasu.

    Na Androidzie instalka leci z ich serwera, nie ma tego w sklepie Play. Trzeba pozwolic na zrodla zewnetrzne — standard, nic dziwnego. Na iOS jest osobny sposob instalacji. Powiadomienia o promkach czasem sypia za czesto, wylaczylem to drugiego dnia.

  8. mostbet_lhea

    Gram tu od mniej wiecej pol roku i prawde mowiac zapisalem sie po nudnym wieczorze. Do tego czasu gralem gdzie indziej i glownie chodzilo mi o to, zeby grac w ciagu dnia z komorki. I akurat tutaj apka daje rade — nie zamula nawet na moim czteroletnim telefonie.

    Slotow jest tyle, ze nie ma szans wszystkiego przejsc i to nie sa jakies krzaki. NetEnt siedzi tam mocno — Book of Dead to moj standard, choc ostatnio czesciej klikam Big Time Gaming. Stoly na zywo obsluguje Evolution, prawdziwi krupierzy, nie zadne automaty, Crazy Time czasem odpalam dla zabawy. Po polsku stolu niestety nie ma i to troche szkoda.

    Bonus powitalny to 100% od pierwszej wplaty plus paczke darmowych spinow, rozbite na kilka dni. Wager to x60 na spinach — da sie, tylko nie licz na szybkie wyjscie. Aktualne kody i regulamin bonusu mozna podejrzec na [url=https://mostbet-online.com.pl]mostbet download[/url] jak ktos chce sie wgryzc. Minimalny depozyt zaczyna sie od 20 zl, konto zalozylem w kilkadziesiat sekund, dokumenty zatwierdzili po niecalej dobie.

    Kase wyciagam najczesciej na Skrill i schodzi to do 2-3 godzin. Karta czekalem dwa dni. Krypto tez jest, choc sam nie probowalem. Jedyna rzecz, ktora mnie wnerwila to weryfikacja przy pierwszej wyplacie — zrozumiale, ale wolalbym zrobic to od razu przy zapisie.

    Obsluga po polsku dziala, w nocy trafilem na anglojezycznego konsultanta. Odpisuja w kilka minut, konkretnie, nie ogolnikami. Dzialaja na licencji Curacao, wiec bez polskiego pozwolenia — kazdy niech sobie sam to przemysli.

    Na Androidzie instalka leci z ich serwera, bo w Google Play tego nie znajdziesz. Wymaga zgody na nieznane zrodla — dla niektorych to bariera, dla mnie zaden problem. Na iPhonie kolega sciagal przez profil. Push-e potrafia zasypac, wylaczylem to drugiego dnia.

  9. 第 Jamesled页

    Searchers sometimes treat gay chat, gay dating apps, and local gay hookup sites as interchangeable, although each query can imply a different goal. Clear labels for dating, casual connections, friendship, and conversation help users find compatible profiles and avoid mismatched expectations.

  10. 第 Jamesled页

    If gay hookup sites show the same inactive accounts every day, the local user pool probably isn’t strong.

发表回复