配置内网访问外网

1、给接⼝配置IP地址（默认是存在的）

[USG6000V1]interface g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip address 192.168.0.1 24

2 、允许接⼝所有服务类型，其中包括 ping ， https

[USG6000V1-GigabitEthernet0/0/0]service-manage enable //开启服务管理
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit //允许所有服务

3、将接⼝加⼊防⽕墙安全区域

[USG6000V1]firewall zone trust //将g0/0/0加⼊trust区域
[USG6000V1-zone-trust]add interface g0/0/0

安全区域

华为防⽕墙的接⼝

 

华为防⽕墙的安全区域

默认安全区： Trust 、 DMZ 、 Untrust

Local 区域：代表防⽕墙本⾝

主要安全级别

Untrust （⾮受信任区域）：安全级别 5 ，通常⽤于定义互联⽹流量

DMZ （⾮军事化区域）：安全级别 50 ，通常⽤于定义服务器区域

Trust （受信任区域）：安全级别 85 ，通常⽤于定义内⽹所在区域

Local （本地区域）：安全级别 100 ，该区域主要定义设备⾃⾝发起的流量，或者是抵

达设备⾃⾝的流量

受信任程度

Local>Trust>DMZUntrust

修改接⼝属于的区域， IP 地址，服务类型

1 、点击接⼝，在弹窗可以修改区域类型， IP 地址等 ...

 2、也可以修改允许拒绝的服务类型

3、假设将ping服务取消，并点确定

 4、在ping的时候是ping不通的

5 、如果在将 ping 服务给打开，会发现可以正常通信

配置内⽹访问外⽹ 

1.  配置接口

1 、配置安全区域和接⼝ IP 地址

 

2、开启接⼝的Ping服务【可选】 

 

 

也可通过命令来配置 IP 地址、所属区域、服务类型

[USG6000V1]interface g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.254 24
[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit
[USG6000V1]interface g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip address 200.1.1.254 24
[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add interface g1/0/0
[USG6000V1]firewall zone untrust
[USG6000V1-zone-untrust]add interface g1/0/1

2. 配置安全策略，允许安全区域的互相访问

1 、配置 trust 可以访问 untrst

 

可以成功ping通 

 

web服务也可以访问

 

但是服务器ping 客⼾端，不通

 

 因为我们配置的是 trust 可以访问 untrust，⽽untrust不可以访问trust

 

也可⽤命令配置

[USG6000V1]security-policy

[USG6000V1-policy-security]rule name OUT

[USG6000V1-policy-security-rule-OUT]source-zone trust

[USG6000V1-policy-security-rule-OUT]destination-zone untrust

[USG6000V1-policy-security-rule-OUT]action permit

 

3⃣ 配置 NAT 策略

1 、配置 EasyIP

 2、抓包查看，地址发⽣了转换，转换为出接⼝地址

 3、也可以配置NAPT，这⾥需要配置地址池

4、将EasyIP的启⽤的对勾去掉，或者之间删除 

 5、抓包查看，地址转换成了地址池中的地址

[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name EasyIP
[USG6000V1-policy-nat-rule-EasyIP]source-zone trust
[USG6000V1-policy-nat-rule-EasyIP]destination-zone untrust
[USG6000V1-policy-nat-rule-EasyIP]action nat easy-ip
//1.3版本的eNSP命令：action source-nat easy-ip

[USG6000V1]nat-policy
[USG6000V1-policy-nat]undo rule name EasyIP
[USG6000V1]nat address-group pool

[USG6000V1-address-group-pool]mode pat
[USG6000V1-address-group-pool]section 200.1.1.10
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name PNAT
[USG6000V1-policy-nat-rule-PNAT]source-zone trust
[USG6000V1-policy-nat-rule-PNAT]destination-zone untrust
[USG6000V1-policy-nat-rule-PNAT]action nat address-group pool

 配置服务器发布

 1、将G1/0/0修改为DMZ

2、配置安全策略，允许untrust访问dmz

3 、新建服务器映射，实现外⽹访问内⽹服务器