华为防火墙基本配置

首先了解Trust是基本连接内网，Untrust连接外网，DMZ连接服务器

首先配置各终端IP地址

 

R1路由器配置IP地址 

<Huawei>sys
[Huawei]sys R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 100.1.1.2 24

 

防火墙配置：华为默认用户名：admin  密码：Admin@123 

输入密码后它会问你是否现在重置密码，选是否则无法配置。（密码需要大小写和字符）

[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.254 24
[USG6000V1-GigabitEthernet1/0/1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 192.168.2.254 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 100.1.1.1 24

把安全域加入到对应的接口中

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g1/0/1
[USG6000V1-zone-trust]q
[USG6000V1]firewall zone untrust 
[USG6000V1-zone-untrust]add int g1/0/2
[USG6000V1-zone-untrust]q
[USG6000V1]firewall zone dmz
[USG6000V1-zone-dmz]add int g1/0/0
[USG6000V1-zone-dmz]q
[USG6000V1]security-policy                     //进入安全策略
[USG6000V1-policy-security]rule name t-to-u    //给策略命名
[USG6000V1-policy-security-rule-t-to-u]source-zone trust   //源trust
[USG6000V1-policy-security-rule-t-to-u]destination-zone untrust  //目的untrust
[USG6000V1-policy-security-rule-t-to-u]source-address 192.168.1.0 24  //源地址（可写可不写）
[USG6000V1-policy-security-rule-t-to-u]destination-address any        //可以访问多个地址（可写可不写）
[USG6000V1-policy-security-rule-t-to-u]action permit                 //采取什么动作，只有两个一个deny 一个permit

 此时PC是无法访问到外网的，因为防火墙需要nat，没有回程路由。

配置nat两个步骤：nat地址池——nat策略 

[USG6000V1]nat address-group groupaddress       //地址池名：groupaddress 
[USG6000V1-address-group-groupaddress]mode pat   //nat的模式：pat
[USG6000V1-address-group-groupaddress]section 0 100.1.1.10 100.1.1.20 //Section ：公网地址，0：表示ID   配置地址池10-20区间
[USG6000V1-address-group-groupaddress]q
[USG6000V1]nat-policy   //进入nat策略
[USG6000V1-policy-nat]rule name policy1   //策略名：policy1
[USG6000V1-policy-nat-rule-policy1]source-zone trust 
[USG6000V1-policy-nat-rule-policy1]destination-zone untrust 
[USG6000V1-policy-nat-rule-policy1]source-address 192.168.1.0 24
[USG6000V1-policy-nat-rule-policy1]destination-address any
[USG6000V1-policy-nat-rule-policy1]action source-nat address-group groupaddress  //源地址的nat对groupaddress进行转换

此时PCping服务器是无法通信的，默认的策略是deny or any，要在防火墙上放行trust—dmz流量 

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name t-to-d
[USG6000V1-policy-security-rule-t-to-d]source-zone trust
[USG6000V1-policy-security-rule-t-to-d]destination-zone dmz
[USG6000V1-policy-security-rule-t-to-d]destination-address any  //可写可不写
[USG6000V1-policy-security-rule-t-to-d]action permit            

如何把服务器地址放在公网上访问 ：映射

开启服务器80端口

[USG6000V1]nat server protocol tcp global 100.1.1.100 80 inside 192.168.2.100 ww
w   //www可写端口80 二选一

此时外网无法访问服务器：因为没有放行，需要放行。

[USG6000V1]security-policy 
[USG6000V1-policy-security]rule name u-to-dmz
[USG6000V1-policy-security-rule-u-to-dmz]source-zone untrust 
[USG6000V1-policy-security-rule-u-to-dmz]destination-address 192.168.2.100 32
[USG6000V1-policy-security-rule-u-to-dmz]action permit 

在外网路由器上访问100.1.1.100 80信息；服务器已有日志信息。