博客

HCIE学习之路11：一个防火墙网络实验

今天以华为USG系列防火墙为例，写一个在企业出口配置防火墙的网络实验。

防火墙作为VAS设备，向租户提供安全策略、EIP、源NAT、IPSec、内容安全等增值安全服务。作为执行器，接收控制器下发的防御策略，及时阻断威胁流量。

应用领域包括：校园出口、广电网络、金融中心、企业园区、云计算等。

以企业园区为例：防火墙部署在大中型企业出口提供Internet接入、VPN互联和安全防护功能，主要使用双机热备、NAT、ISP智能选路、VPN、攻击防范等功能。

下面列举2个应用场景配置：CLI和Web

管理员登录设备后，首先要对设备进行网络基础配置，使设备快速接入网络，如下图，企业购买了FW作为企业出口网关。管理员在登录FW后，首先需要对FW进行网络基础配置，包括设备名称、时钟、接口IP地址、安全区域、缺省路由及缺省包过滤的配置。

CLI配置思路

  1. 配置FW的设备名称。
  2. 配置FW的时钟。
  3. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  4. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  5. 配置缺省路由，下一跳为ISP提供的接入点。
  6. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

CIL操作步骤

1.配置设备名称

<FW> system-view
[FW] sysname FW_A
[FW_A] quit

2.配置时钟，包括当前时间和时区。

<FW> clock datetime 18:10:45 2023-08-14
<FW> clock timezone BJ add 08:00:00

3.配置接口的IP地址。连接外网的接口IP地址（本例为10.1.1.1/24）需要从当地ISP获取。

<FW_A> system-view
[FW_A] interface GigabitEthernet 0/0/0
[FW_A-GigabitEthernet0/0/0] ip address 192.168.1.1 24
[FW_A-GigabitEthernet0/0/0] quit
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit

4.将各个业务接口加入安全区域。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/0
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface GigabitEthernet 0/0/1
[FW_A-zone-dmz] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/2
[FW_A-zone-untrust] quit

5.配置缺省路由。

[FW_A] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

6.打开缺省包过滤，保证FW能够接入Internet。

这里同样可以用脚本直接导入的方式实现一键配置，以下是完整的配置脚本：

#
 sysname FW_A
#                                                                               
interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0
#                                                                               
interface GigabitEthernet0/0/1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/2
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254
#                                                                               
security-policy                                                                 
 default action permit      
#
return

Web配置思路

  1. 配置FW的时钟。
  2. 配置FW各业务接口的IP地址。IP地址需要在配置前进行统一规划。
  3. 将各个业务接口加入安全区域。一般情况下，连接外网的接口加入安全级别低的安全区域（例如untrust区域），连接内网的接口加入安全级别高的安全区域（例如trust区域），服务器可以加入DMZ区域。
  4. 配置缺省路由，下一跳为ISP提供的接入点。
  5. 打开缺省包过滤，保证FW能够接入Internet。缺省情况下，缺省包过滤关闭。

Web操作步骤

  1. 配置时钟，包括当前时间和时区。
    1. 选择“系统 > 配置 > 时钟配置”。
    2. 在“配置方式”中选择“手动配置时间”。
    3. 配置“时区”。
    4. 配置“日期”。
    5. 配置“系统时间”。
    6. 单击“应用”。
  2. 配置接口0的IP地址和安全区域。
    1. 选择“网络 > 接口”。
    2. 单击GE0/0/0。
    3. 按如下参数配置接口GE0/0/0。安全区域trust的IP地址192.168.1.1/24
    4. 单击“确定”。
    5. 重复上述步骤按如下参数配置接口GE0/0/1。安全区域dmz的IP地址10.1.1.1/24
    6. 重复上述步骤按如下参数配置接口GE0/0/2。安全区域untrust的IP地址1.1.1.1/24
  3. 配置缺省路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 单击“新建”。
    3. 按如下参数配置缺省路由。目的地址0.0.0.0掩码0.0.0.0下一跳1.1.1.254
    4. 单击“确定”。
  4. 打开缺省包过滤，保证FW能够接入Internet。一般情况下建议保持缺省包过滤关闭，然后配置具体允许哪些数据流通过的安全策略。
    1. 选择“策略 > 安全策略”。
    2. 修改default安全策略的动作为允许。
    3. 单击“确定”。

以上就是企业出口防火墙典型案例的详细配置，感兴趣的同学可以在ensp搭建拓扑图试一下。

标签: ,

这篇文章有 634 个评论

  1. 第 Brucekah页 2026年8月11日 回复

    Лучшие адвокаты топ адвокатов россии в одном рейтинге. Изучайте профили специалистов, их специализацию, опыт работы и профессиональные достижения, чтобы выбрать адвоката для представительства в суде, защиты и юридического сопровождения.

  2. 第 Lutherbek页 2026年8月11日 回复

    Профессиональная помощь https://szouo.ru от Союза Защиты и Обеспечения Уверенных Обязательств. Защита интересов клиентов, сопровождение обязательств, консультации и комплексное решение финансово-правовых задач с учетом особенностей каждой ситуации.

  3. 第 888starz_xsEl页 2026年8月11日 回复

    بصراحة أنا بقالي قرابة خمس شهور بلعب هنا وكنت فاكر إن الموضوع هيبقى زي غيره، بس طلع مش كده. اللي شدني من البداية إن التسجيل ماخدش مني دقيقتين وأقل مبلغ إيداع في متناول أي حد — حوالي دولار أو دولارين، يعني مش محتاج تحط مبلغ كبير عشان تجرب.

    اللعبة اللي بضيع فيها وقتي هي السلوتس وخصوصًا Gates of Olympus — براغماتيك بلاي عاملة شغل محترم فيها. وفيه برضه عناوين من NetEnt وMicrogaming وYggdrasil، وعدد الألعاب ضخم — فوق الـ٧ آلاف لعبة وده رقم مش مبالغ فيه. القسم المباشر معظمه Evolution والديلرز حقيقيين ولعبة Crazy Time بتلاقي عليها زحمة دايمًا.

    موضوع العرض الترحيبي، جربت بونص البداية وكان مضاعفة للإيداع الأول بالإضافة لفري سبينز حوالي ١٥٠ لفة بتتصرف على مراحل. لكن ركز في نقطة: شرط الرهان مش هين والناس بتقع في ده كتير. فيه كمان عروض بدون إيداع من وقت للتاني، وتقدر تتابع التفاصيل والأكواد الحالية على [url=https://888starz-apk33.com]تحميل 888[/url] قبل ما تسجل.

    الكاش أوت كان أحسن من توقعاتي. في آخر عملية استلمتها بعد يوم واحد. الطرق متنوعة: فيزا وماستركارد، سكريل ونيتيلر، وE-wallets، ووفيه دعم للعملات الرقمية زي البيتكوين — ودي نقطة مهمة للمصريين بسبب مشاكل الكروت البنكية.

    التطبيق بقى الأساس بالنسبة لي. تحميل التطبيق على أندرويد بسيط — الملف موجود على الصفحة الرسمية لأن السياسة عندهم مانعة، ومفيش قلق من الناحية دي. الأداء كويس ومش بياكل بطارية بشكل مبالغ فيه، النقطة الوحيدة المزعجة إن فيه نوتيفيكشنز بتيجي طول الوقت وقفلتها من الإعدادات.

    الدعم الفني متاح ٢٤ ساعة بس الرد بالعربي بيتأخر شوية. فيه رخصة كوراساو وده مش أعلى مستوى في العالم بس مقبول. طبعًا فيه عيوب، التحقق من الهوية أخد مني يومين وحسيت بضيق ساعتها.

  4. 第 888starz_cwel页 2026年8月12日 回复

    بصراحة أنا لي حوالي أربع شهور بجرب المنصة دي وكنت فاكر إن الحكاية زي أي موقع تاني، بس طلع مش كده. الحاجة اللي عجبتني إن التسجيل مستغرقش أكتر من دقيقة ونص والحد الأدنى للإيداع صغير جدًا — حوالي دولار أو دولارين، يعني تقدر تجرب من غير ما تخاطر بفلوسك.

    اللي بقضي عليها معظم وقتي السلوتات وخصوصًا Gates of Olympus — Pragmatic Play شغلها نضيف هنا. وفيه برضه إصدارات من Play’n GO وBig Time Gaming، والمكتبة كبيرة فعلًا — فوق الـ٧ آلاف لعبة والرقم قريب من الواقع. طاولات الـLive بيعتمد على Evolution وفيه موزعين حقيقيين وCrazy Time بتلاقي عليها زحمة دايمًا.

    بالنسبة للبونص، استفدت من بونص البداية وكان في حدود ١٠٠٪ على أول شحن ومعاه سبينات مجانية تقريبًا ٢٠٠ لفة بتتصرف على مراحل. بس انتبه: الـwagering في حدود ٣٥ ضعف ولو مقريتش الشروط هتزعل. فيه كمان عروض بدون إيداع من وقت للتاني، وراجع آخر العروض من [url=https://888starz-apk34.com]888starz تحميل[/url] عشان متتفاجئش.

    موضوع سحب الأرباح جالي أسرع من المتوقع. في آخر عملية وصلت خلال ساعات. فيه اختيارات كتير: فيزا وماستركارد، Skrill وNeteller، وE-wallets، ووفيه دعم للعملات الرقمية زي البيتكوين — ودي نقطة مهمة للمصريين لأن الكروت أحيانًا بتتعب.

    النسخة المحمولة هو اللي بلعب عليه ٩٠٪ من الوقت. تحميل التطبيق على أندرويد مباشر — بتحمل ملف الـ888starz apk من الموقع لأن المتجر مش بينزل تطبيقات كازينو، والموضوع عادي وكل المواقع كده. النسخة سريعة ومبيهنجش على أجهزة متوسطة، بس الحاجة اللي بتغيظني إن فيه نوتيفيكشنز بتيجي طول الوقت وسكتها من أول أسبوع.

    السبورت متاح ٢٤ ساعة بس الرد بالعربي بيتأخر شوية. فيه رخصة كوراساو ويعني مش MGA بس معروف ومنتشر. طبعًا فيه عيوب، التحقق من الهوية أخد مني يومين وده كان مزعج وأنا مستعجل على فلوسي.

  5. 第 888starz_keSa页 2026年8月12日 回复

    بصراحة أنا بقالي تقريبًا نص سنة شغال على الموقع ده وكنت فاكر إن الموضوع هيبقى زي غيره، بس طلع مش كده. أول حاجة خلتني أكمل إن إنشاء الحساب مستغرقش أكتر من دقيقتين والحد الأدنى للإيداع في متناول أي حد — من دولار تقريبًا، يعني مفيش ضغط مالي من أول يوم.

    أكتر حاجة بلعبها هي السلوتس وخصوصًا Gates of Olympus — براغماتيك بلاي ليها حضور قوي. وفيه برضه إصدارات من Play’n GO وBig Time Gaming، وعدد الألعاب ضخم — بيتكلموا عن آلاف العناوين وفعلًا حاسس بيه وأنا بتصفح. جزء الديلر المباشر بيعتمد على Evolution والديلرز حقيقيين وCrazy Time ناس كتير بتلعبها بالليل.

    حكاية المكافأة، استفدت من الترحيبي الأول وكان مضاعفة للإيداع الأول ومعاه سبينات مجانية في حدود ١٠٠ لفة بتتصرف على مراحل. بس انتبه: الـwagering في حدود ٣٥ ضعف ولو مقريتش الشروط هتزعل. وبيطلعوا عروض no deposit بين الفترة والتانية، والأفضل تشوف الشروط المحدثة عند [url=https://888starz-apk31.com]تنزيل تطبيق 888[/url] قبل ما تسجل.

    السحب مفاجأة حلوة. في آخر عملية استلمتها بعد يوم واحد. فيه اختيارات كتير: فيزا وماستركارد، سكريل ونيتيلر، وE-wallets، ووفيه دعم للعملات الرقمية زي البيتكوين — والصراحة ده بيحل مشاكل كتير عندنا هنا مع قيود التحويلات.

    الموبايل هو أساس اللعب عندي. تنزيل 888starz للاندرويد سهل — الملف موجود على الصفحة الرسمية لأن المتجر مش بينزل تطبيقات كازينو، ومفيش قلق من الناحية دي. التطبيق خفيف وبيشتغل عادي على موبايل قديم، النقطة الوحيدة المزعجة إن بيبعتوا تنبيهات دعائية كتير وسكتها من أول أسبوع.

    السبورت بيردوا خلال دقايق على اللايف شات بس الرد بالعربي بيتأخر شوية. الترخيص من كوراساو ويعني مش MGA بس معروف ومنتشر. طبعًا فيه عيوب، إجراءات الـKYC كانت مملة شوية وده كان مزعج وأنا مستعجل على فلوسي.

  6. 第 DavidHouse页 2026年8月12日 回复

    Посетите сайт ДАС Тор https://firevorota.ru – мы занимаемся производством и продажей противопожарных ворот, рольставней и штор в Казани. Собственное производство, доставка, монтаж, ремонт. Гарантия. Посмотрите каталог и реализованные проекты

  7. 第 Jeffreynouro页 2026年8月12日 回复

    Разработка и продвижение сайтов в Краснодаре https://intopweb.ru. Проведём детальный аудит вашего сайта бесплатно. 13 лет опыта и только реальные проекты с кейсами. Узнайте о нас подробнее. Работаем по всей России.

  8. 第 DavidLEr页 2026年8月12日 回复

    Посетите сайт Акула Системс https://acula.by и вы найдете SEO продвижение сайтов в Минске, а также бесплатный аудит, план работ и примеры кейсов. Увеличим трафик и продажи без лишних затрат. Узнайте обо всех наших услугах подробнее на сайте.

  9. 第 Emiliozigma页 2026年8月12日 回复

    Все для успешной учёбы https://lovi-znaniya.ru. Тренажёр для самостоятельной подготовки школьников. Посетите сайт и вы найдете задания, тесты, флеш-карточки, AI-помощник и геймификация — всё в одном месте, а также материалы для обучения для 1-11 классов.

  10. 第 DavidNum页 2026年8月12日 回复

    Everything about https://berlin-ber-international-airport.com/: flight schedules, arrivals and departures, online information boards, terminals, check-in, parking, buses, trains, and transportation to Berlin. Up-to-date information for passengers and tourists.

发表回复