华为防火墙实战配置教程，太全了

article/2025/9/28 23:40:42

防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。

本期我们一起来总结下防火墙的配置，非常全面，以华为为例。

防火墙的配置主要有下面这些：

初始化防火墙

初始化防火墙:

开启Web管理界面:

配置Console口登陆:

配置telnet密码认证:

配置telnet用户名密码认证:

常用查询命令:

防火墙基本配置

初始化防火墙:

配置内网接口:

配置外网接口:

配置安全策略:

配置源NAT:

配置目标NAT:

NAT 地址转换

配置内网区域:

配置外网区域:

配置源NAT:

配置目标NAT:

配置交换机

配置两台交换机:

配置防火墙:

添加防火墙区域:

一、初始化防火墙：

默认用户名为admin，默认的密码Admin@123，这里修改密码为wljsghq@163.

Username:admin
Password:*****
The password needs to be changed. Change now? [Y/N]: y
Please enter old password: Admin@123
Please enter new password: LyShark@163
Please confirm new password: LyShark@163
system-view // 进入系统视图
[FW1] sysname FW1 // 给防火墙命名
[FW1] undo info-center enable // 关闭日志弹出功能
[FW1] quit
language-mode Chinese // 将提示修改为中文
Change language mode, confirm? [Y/N]
提示：变语言模式成功

二、开启Web管理界面:

默认防火墙console接口IP地址是192.168.0.1.
system-view
[FW1] web-manager enable // 开启图形管理界面
[FW1] interface GigabitEthernet 0/0/0
[FW1-GigabitEthernet0/0/0] ip address 192.168.0.1 24 // 给接口配置IP地址
[FW1-GigabitEthernet0/0/0] service-manage all permit // 放行该端口的请求
[FW1-GigabitEthernet0/0/0] display this

三、配置Console口登陆:

system-view // 进入系统视图
[FW1] user-interface console 0 // 进入console0的用户配置接口
[FW1-ui-console0] authentication-mode password // 使用密码验证模式
[FW1-ui-console0] set authentication password cipher Admin1234
// 设置密码为Admin1234
[FW1-ui-console0] quit // 退出用户配置接口

四、配置telnet密码认证:

配置密码认证模式,此处配置密码为Admin@123.
system-view
[FW1] telnet server enable // 开启Telnet支持
[FW1] interface GigabitEthernet 0/0/0 // 选择配置接口
[FW1-GigabitEthernet0/0/0] service-manage telnet permit // 允许telnet
[FW1-GigabitEthernet0/0/0] quit
[FW1] user-interface vty 0 4 // 开启虚拟终端
[FW1-ui-vty0-4] protocol inbound telnet // 允许telnet
[FW1-ui-vty0-4] authentication-mode password // 设置为密码认证模式
[FW1-ui-vty0-4] set authentication password cipher Admin@123 // 设置用户密码
[USG6000V1] firewall zone trust // 选择安全区域
[USG6000V1-zone-trust] add interface GE0/0/0 // 添加到安全区域

五、配置telnet用户名密码认证:

system-view // 进入系统视图
[FW1] interface GigabitEthernet 0/0/0 // 进入接口配置
[FW1-GigabitEthernet0/0/0]ip address 192.168.0.1 24 // 配置接口IP
[FW1-GigabitEthernet0/0/0]service-manage telnet permit // 允许telnet
[FW1-GigabitEthernet0/0/0]service-manage ping permit // 允许ping
[FW1-GigabitEthernet0/0/0] quit //退出
[FW1] firewall zone trust // 进入trust安全域配置
[FW1-zone-trust] add interface GigabitEthernet 0/0/0 // 把GE0/0/0加入到trust安全域
[FW1-zone-trust] quit
[FW1] telnet server enable // 启用telnet服务
[FW1] user-interface vty 0 4 // 进入vty0-4的用户配置接口
[FW1-ui-vty0-4] authentication-mode aaa // 使用AAA验证模式
[FW1-ui-vty0-4] user privilege level 3 // 配置用户访问的命令级别为3
[FW1-ui-vty0-4] protocol inbound telnet // 配置telnet
[FW1-ui-vty0-4] quit // 退出用户配置接口
[FW1] aaa // 进入AAA配置视图
[FW1-aaa] manager-user lyshark // 创建用户vtyadmin
[FW1-aaa-manager-user-lyshark] password cipher admin@123 // 配置用户密码
[FW1-aaa-manager-user-lyshark] service-type telnet // 配置服务类型
[FW1-aaa-manager-user-lyshark] quit // 退出
[FW1-aaa] bind manager-user lyshark role system-admin // 绑定管理员角色
[FW1-aaa] quit // 退出AAA视图

六、常用查询命令:

查询防火墙的其他配置,常用的几个命令如下.
[FW1] display ip interface brief // 查默认接口信息
[FW1] display ip routing-table // 显示路由表
[FW1] display zone // 显示防火墙区域
[FW1] display firewall session table // 显示当前会话
[FW1] display security-policy rule all // 显示安全策略
配置到这里,我们就可以在浏览器中访问了,其访问地址是http://192.168.0.1

七、防火墙基本配置：

 初始化防火墙：

Username:admin
Password:*****
The password needs to be changed. Change now? [Y/N]: y
Please enter old password: Admin@123
Please enter new password: Lyshark@163
Please confirm new password: Lyshark@163
system-view // 进入系统视图
[USG6000V1] sysname FW1 // 给防火墙命名
[FW1] undo info-center enable // 关闭日志弹出功能
[FW1] quit
language-mode Chinese // 将提示修改为中文
[FW1] web-manager enable // 开启图形管理界面
[FW1] interface GigabitEthernet 0/0/0
[FW1-GigabitEthernet0/0/0] service-manage all permit // 放行该端口的请求

配置内网接口：

配置内网的接口信息,这里包括个GE 1/0/0 and GE 1/0/1这两个内网地址.
system-view
[FW1] interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0] ip address 192.168.1.1 255.255.255.0
[FW1-GigabitEthernet1/0/0] undo shutdown
[FW1-GigabitEthernet1/0/0] quit
[FW1] interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1] ip address 192.168.2.1 255.255.255.0
[FW1-GigabitEthernet1/0/1] undo shutdown
[FW1-GigabitEthernet1/0/1] quit
# -------------------------------------------------------
[FW1] firewall zone trust // 将前两个接口加入trust区域
[FW1-zone-trust] add interface GigabitEthernet 1/0/0
[FW1-zone-trust] add interface GigabitEthernet 1/0/1

配置外网接口:

配置外网接口GE 1/0/2接口的IP地址,并将其加入到untrust区域中.
[FW1] interface GigabitEthernet 1/0/2 // 选择外网接口
[FW1-GigabitEthernet1/0/2] undo shutdown // 开启外网接口
[FW1-GigabitEthernet1/0/2] ip address 10.10.10.10 255.255.255.0 // 配置IP地址
[FW1-GigabitEthernet1/0/2] gateway 10.10.10.20 // 配置网关
[FW1-GigabitEthernet1/0/2] undo service-manage enable
[FW1-GigabitEthernet1/0/2] quit
# -------------------------------------------------------
[FW1] firewall zone untrust // 选择外网区域
[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 // 将接口加入到此区域

配置安全策略:

配置防火墙安全策略,放行trust(内网)-->untrust(外网)的数据包.
[FW1] security-policy // 配置安全策略
[FW1-policy-security] rule name lyshark // 规则名称
[FW1-policy-security-rule-lyshark] source-zone trust // 原安全区域(内部)
[FW1-policy-security-rule-lyshark] destination-zone untrust // 目标安全区域(外部)
[FW1-policy-security-rule-lyshark] source-address any // 原地址区域
[FW1-policy-security-rule-lyshark] destination-address any // 目标地址区域
[FW1-policy-security-rule-lyshark] service any // 放行所有服务
[FW1-policy-security-rule-lyshark] action permit // 放行配置
[FW1-policy-security-rule-lyshark] quit

配置源NAT:

配置原NAT地址转换,仅配置源地址访问内网 --> 公网的转换.
[FW1] nat-policy // 配置NAT地址转换
[FW1-policy-nat] rule name lyshark // 指定策略名称
[FW1-policy-nat-rule-lyshark] egress-interface GigabitEthernet 1/0/2 // 外网接口IP
[FW1-policy-nat-rule-lyshark] action source-nat easy-ip // 源地址转换
[FW1-policy-nat-rule-lyshark] display this

配置目标NAT：

外网访问10.10.10.10自动映射到内网的192.168.2.1这台主机上.
[FW1] firewall zone untrust // 选择外网区域
[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 // 将接口加入到此区域
# NAT规则
# 外网主机访问10.10.10.10主机自动映射到内部的192.168.2.2
[FW1] firewall detect ftp
[FW1] nat server lyshark global 10.10.10.10 inside 192.168.2.2 no-reverse

八、NAT地址转换

配置内网区域：

分别配置防火墙内网接口GE1/0/0 and GE1/0/1设置IP地址,并加入指定区域内.
system-view
[FW1]undo info-center enable
# ----配置IP地址-----------------------------------------------
[FW1] interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0] ip address 192.168.1.1 24
[FW1-GigabitEthernet1/0/0] quit
[FW1] interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1] ip address 192.168.2.1 24
[FW1-GigabitEthernet1/0/1] quit
# ----加入到指定区域--------------------------------------------
[FW1] firewall zone trust
[FW1-zone-trust] add interface GigabitEthernet 1/0/0
[FW1] firewall zone dmz
[FW1-zone-dmz] add interface GigabitEthernet 1/0/1

 配置外网区域:

然后配置外网地址,将Gig 1/0/2加入到untrust区域内.
[FW1] interface GigabitEthernet 1/0/2
[FW1-GigabitEthernet1/0/2] ip address 10.10.10.10 8
[FW1] firewall zone untrust
[FW1-zone-dmz] add interface GigabitEthernet 1/0/2

配置源NAT:

配置原NAT地址转换,仅配置源地址访问内网 --> 公网的转换.
# ----配置源NAT转换---------------------------------------------
[FW1] nat-policy // 配置NAT地址转换
[FW1-policy-nat] rule name lyshark // 指定策略名称
[FW1-policy-nat-rule-lyshark] egress-interface GigabitEthernet 1/0/2 // 外网接口IP
[FW1-policy-nat-rule-lyshark] action source-nat easy-ip // 源地址转换
[FW1-policy-nat-rule-lyshark] display this
# ----放行相关安全策略------------------------------------------
[FW1] security-policy
[FW1-policy-security] rule name trust_untrust
[FW1-policy-security-rule] source-zone trust
[FW1-policy-security-rule] destination-zone untrust
[FW1-policy-security-rule] action permit

配置目标NAT:

外网访问10.10.10.10自动映射到内网的192.168.2.2这台主机上.
# ----NAT规则---------------------------------------------------
# 外网主机访问10.10.10.10主机自动映射到内部的192.168.2.2
[FW1] firewall detect ftp
[FW1]nat server lyshark global 10.10.10.10 inside 192.168.2.2 no-reverse
# ----放行规则---------------------------------------------------
[FW1] security-policy // 配置安全策略
[FW1-policy-security] rule name untrs-DMZ // 规则名称
[FW1-policy-security-rule-untrs-DMZ] source-zone untrust // 原安全区域(外部)
[FW1-policy-security-rule-untrs-DMZ] destination-zone trust // 目标安全区域(内部)
[FW1-policy-security-rule-untrs-DMZ] destination-address 192.168.2.2 24
[FW1-policy-security-rule-untrs-DMZ] service any
[FW1-policy-security-rule-untrs-DMZ] action permit // 放行配置
[FW1-policy-security-rule-untrs-DMZ] quit

九、配置交换机、防火墙

 配置两台交换机:

分别配置两台交换机,并划分到相应的VLAN区域内.
# ----配置LSW1交换机
system-view
[LSW1] vlan 10 // 创建VLAN10
[LSW1] quit
[LSW1] interface Ethernet 0/0/1 // 将该接口配置为trunk
[LSW1-Ethernet0/0/1] port link-type trunk
[LSW1-Ethernet0/0/1] port trunk allow-pass vlan 10 // 加入到vlan 10
[LSW1-Ethernet0/0/1] quit
[LSW1] port-group group-member Eth0/0/2 to Eth0/0/3
[LSW1-port-group] port link-type access
[LSW1-port-group] port default vlan 10
[LSW1-port-group] quit
# ----配置LSW2交换机
system-view
[LSW2] vlan 20
[LSW1] quit
[LSW2] interface Ethernet 0/0/1
[LSW2-Ethernet0/0/1] port link-type trunk
[LSW2-Ethernet0/0/1] port trunk allow-pass vlan 20
[LSW2-Ethernet0/0/1] quit
[LSW2] port-group group-member Eth0/0/2 to Eth0/0/3
[LSW2-port-group] port link-type access
[LSW2-port-group] port default vlan 20
[LSW2-port-group] quit

配置防火墙:

配置Gig1/0/0和Gig1/0/1接口为trunk模式,并分别配置好网关地址.
[FW1] vlan 10
[FW1-vlan10] quit
[FW1] vlan 20
[FW1-vlan20] quit
# ----配置防火墙接口地址
[FW1] interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0] portswitch
[FW1-GigabitEthernet1/0/0] port link-type trunk
[FW1-GigabitEthernet1/0/0] port trunk allow-pass vlan 10
[FW1] interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1] portswitch
[FW1-GigabitEthernet1/0/1] port link-type trunk
[FW1-GigabitEthernet1/0/1] port trunk allow-pass vlan 20
# ----分别给VLAN配置IP地址
[FW1]interface Vlanif 10
[FW1-Vlanif10]
[FW1-Vlanif10]ip address 192.168.10.1 255.255.255.0
[FW1-Vlanif10]alias vlan 10
[FW1-Vlanif10]service-manage ping permit
[FW1] interface Vlanif 20
[FW1-Vlanif20]
[FW1-Vlanif20] ip address 192.168.20.1 255.255.255.0
[FW1-Vlanif20] alias vlan 20
[FW1-Vlanif20] service-manage ping permit

添加防火墙区域:

将vlan10和vlan20添加到trust区域内.
[FW1]firewall zone trust
[FW1-zone-trust] add interface Vlanif 10
[FW1-zone-trust] add interface Vlanif 20


http://chatgpt.dhexx.cn/article/93ED0qLU.shtml

相关文章

防火墙配置（命令）

防火墙配置（命令）

拓扑图： 目的：PC1和PC2相互ping通。 配置命令： FW1: //添加端口IP [SRG-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1 [SRG-GigabitEthernet0/0/1]ip add 192.168.1.1 24 [SRG]inter g0/0/2 [SRG-GigabitEthernet0/0/2]ip add 10.…
阅读更多...
防火墙基础配置（二）

防火墙基础配置（二）

拓补图： 方案一（子接口的形式） 实验目的：解决防火墙上的接口不足以为其他区域服务的问题，比方说防火墙上只有两个接口，但是有三个区域，那这个实验的目的为了解决防火墙上的接口不足以为多区域提…
阅读更多...
H3C防火墙基础配置2-配置安全策略

H3C防火墙基础配置2-配置安全策略

1 安全策略简介 安全策略对报文的控制是通过安全策略规则实现的，规则中可以设置匹配报文的过滤条件，处理报文的动作和对于报文内容进行深度检测等功能。 （1）规则的名称和编号 安全策略中的每条规则都由唯一的名称和编号标识。名称…
阅读更多...
H3C防火墙-安全域配置举例

H3C防火墙-安全域配置举例

1. 组网需求 某公司以 Device 作为网络边界安全防护设备，连接公司内部网络和 Internet。公司只对内部提供Web 服务，不对外提供这些服务。现需要在设备上部署安全域，并基于以下安全需求进行域间策略 的配置。 • 与接口 GigabitEthernet1/0/1 …
阅读更多...
Firewalld防火墙实例配置

Firewalld防火墙实例配置

文章目录 环境拓扑需求描述一、环境配置二、防火墙配置1、在网站服务器上配置防火墙2、网关服务器配置防火墙3、企业内网访问外网web服务器4、外网web服务器访问企业内部网站服务器 三、总结问题总结解决方案 环境拓扑 需求描述 1、 网关服务器连接互联网网卡ens33地址为100.1…
阅读更多...
【Linux】配置网络和firewall防火墙（超详细介绍+实战）

【Linux】配置网络和firewall防火墙（超详细介绍+实战）

🥇🥇【Liunx学习记录篇】🥇🥇 篇一：【Linux】VMware安装unbuntu18.04虚拟机-超详细步骤(附镜像文件） 篇二：【Linux】ubuntu18.04系统基础配置及操作 篇三：【Linux】用户与组的操作详…
阅读更多...
防火墙配置

防火墙配置

防火墙（Firewall），也称防护墙。它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。防火墙对于我们的网络安全的重要性不言而喻 但是在实际的开发…
阅读更多...
H3C防火墙-安全策略典型配置举例

H3C防火墙-安全策略典型配置举例

基于 IP 地址的安全策略配置举例 1.组网需求 • 某公司内的各部门之间通过 Device 实现互连，该公司的工作时间为每周工作日的 8 点到 18点。 • 通过配置安全策略规则，允许总裁办在任意时间、财务部在工作时间通过 HTTP 协议访问财务数据库服务器的 Web…
阅读更多...
华为防火墙配置教程

华为防火墙配置教程

01 了解防火墙基本机制 配置防火墙之前请了解防火墙基本工作机制。 1.1 什么是防火墙 防火墙是一种网络安全设备，通常位于网络边界，用于隔离不同安全级别的网络，保护一个网络免受来自另一个网络的攻击和入侵。这种“隔离”不是一刀切&#x…
阅读更多...
防火墙基本配置

防火墙基本配置

防火墙 种类 1.包过滤技术 「 静态防火墙 动态防火墙 」 netfilter 真正的配置 位于linux内核的包过滤功能体系 称为linux防火墙的“内核态” iptables 防火墙的配置 工具 主要针对 网络层 针对IP数据包 「体现在对包的IP地址、端口等信息处理」 链表结构 链 ---- 容纳 规则…
阅读更多...
防火墙详解（三）华为防火墙基础安全策略配置（命令行配置）

防火墙详解（三）华为防火墙基础安全策略配置（命令行配置）

实验要求 根据实验要求配置防火墙： 合理部署防火墙安全策略以及安全区域实现内网用户可以访问外网用户，反之不能访问内网用户和外网用户均可以访问公司服务器 实验配置 步骤一：配置各个终端、防火墙端口IP地址 终端以服务器为例&#x…
阅读更多...
防火墙基础配置

防火墙基础配置

状态防火墙 状态检测防火墙（Stateful Firewall）是一种网络安全设备，它可以检测和过滤网络流量，以保护网络不受未经授权的访问和攻击。 与传统的包过滤防火墙不同，状态检测防火墙可以跟踪网络连接的状态，并…
阅读更多...
10分钟教你完全掌握防火墙配置！！！！！

10分钟教你完全掌握防火墙配置！！！！！

今日提问 1.防火墙支持那些NAT技术，主要应用场景是什么？ 2.当内网PC通过公网域名解析访问内网服务器时，会存在什么问题，如何解决？请详细说明 3.防火墙使用VRRP实现双机热备时会遇到什么问题，如何解决&…
阅读更多...
H3C简单的防火墙配置

H3C简单的防火墙配置

这里写目录标题 实验拓扑实验需求配置过程1.配置ip地址（略）2.配置去往公网的默认路由3.将端口绑定在信任域和不信任域4.配置ipv4安全模板5.配置ospf将内网的连通性完成6.配置nat （easy ip的方式）使内网PC可以访问外网 测试 实验拓…
阅读更多...
防火墙的基础配置（一）

防火墙的基础配置（一）

拓补图： 注意事项： 不要连接着防火墙的g0/0/0口，这个口是防火墙的管理端口一定要将接口划分区域，防火墙有四个区域，分别是local、trust、untrust、dmz，优先级分别是100、85、50、5，优先级越高说…
阅读更多...
三、防火墙配置(1)---防火墙常规配置

三、防火墙配置(1)---防火墙常规配置

一、实验内容 1、在GNS中创建如下图所示的网络拓扑结构。 2、给路由器和防火墙按照拓扑图中的规划，配置好IP地址和路由表。给R1、R2、R4、R6开启远程连接。3、验证防火墙默认安全规则，高安全级别接口（inside）可主动访问低安全级别…
阅读更多...
华为防火墙网管配置实例

华为防火墙网管配置实例

今天给大家带来华为USG6000防火墙的网管配置实例。本文简单的搭建了一个实验拓扑图，通过配置，实现了对华为防火墙的Telnet管理配置、SSH管理配置和Web管理配置。 一、实验拓扑及目的 实验拓扑如上所示，要求对防火墙FW1进行合适的配置&#x…
阅读更多...
华为防火墙实战配置教程

华为防火墙实战配置教程

防火墙（Firewall）也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定…
阅读更多...
华为防火墙基本配置实例

华为防火墙基本配置实例

实验背景 ： 一、trust区域：G1/0/0、G1/0/1接口下的设备划分到此区域 1、SW1与SW2做lacp链路聚合； 2、公司trust区域划分两个VLAN分别在交换层做MSTP，实现流量负载分担； 3、trust区域核心路由器层做双DHCP服务器做双…
阅读更多...
防火墙配置【最详细的实验演示】

防火墙配置【最详细的实验演示】

目录 拓扑及拓扑分析 进入防火墙前准备工作 1.配置其他区域ip 2.如何进入防火墙 防火墙的安全域 1.防火墙的5个安全域 2.如何自定义安全域 3.接口加入安全域 ​ 4.配置接口ip 配置防火墙策略 1.内网到公网 2.内网到服务器 3.公网到服务器 4.内网到公网NAT转换 5.…
阅读更多...
推荐文章

Copyright @ 2022~2023