华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

于 2024-05-21 09:17:08 发布
阅读量591 收藏 13
点赞数 26
文章标签： 华为 ssl 安全 android 学习 网络 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/baimao__Ch/article/details/139080529
版权
华为防火墙综合案例
实验拓扑

![image-20230314005459809](https://img-
blog.csdnimg.cn/img_convert/ba1cb8bf075d5bd5a1bb67fbf06c7da6.png)

实验要求
  1. 如图所示，总计四个网络（成都总公司、绵阳分公司、Internet、出差在外员工所处的某酒店网络）
  2. IP地址已经规划完成
* 成都总公司CE1交换机为三层交换机连接了两个vlan，内网客户端直接通过二层交换机连接出口防火墙
* 绵阳分公司一个网络直接和出口防火墙连接
* Internet使用一台路由器进行模拟公网
* 酒店就一个网络直接连接出口路由器
  1. 上网需求
* 成都总公司所有主机（包括服务器）访问Internet在FW1上做SNAT
* 绵阳分公司主机访问Internet在FW2上做SNAT
* 酒店主机访问Internet在AR2上做SNAT
  1. 服务器发布需求
* 成都总公司server1的HTTP服务发布到公网使所有公网用户可以直接访问
  1. VPN需求
* 成都总公司FW3作为VPN设备和绵阳分公司FW2防火墙设备建立IPSec隧道，使绵阳公司主机通过VPN访问到server2上的FTP服务
* 成都总公司FW3作为VPN设备创建SSL VPN，使出差在外的员工（酒店主机）可以接入从而访问到公司内部资源
  1. 攻击模拟
* 使用公网主机对成都总公司服务器发起ICMP Flood攻击，在FW1上配置防护，查看防护情况
实验步骤

1、防火墙web页面管理配置

  • cloud2作为管理防火墙客户机，添加3个接口直接管理3台防火墙，防火墙默认管理接口G0/0/0口IP为192.168.0.1，需要修改其他两台防火墙管理IP

![image-20230314010724217](https://img-
blog.csdnimg.cn/img_convert/1110f333e2dbe068793fa2706fc5858e.png)

    #FW1配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname chengduFW
[chengduFW]int g0/0/0
[chengduFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式

#FW2配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname mianyangFW
[mianyangFW]int g0/0/0
[mianyangFW-GigabitEthernet0/0/0]ip add 192.168.0.2 24			#修改管理IP
[mianyangFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式

#FW3配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname chengduVPN
[chengduVPN]int g0/0/0
[chengduVPN-GigabitEthernet0/0/0]ip add 192.168.0.3 24			#修改管理IP
[chengduVPN-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式
  • 登录防火墙web页面

![image-20230314011846682](https://img-
blog.csdnimg.cn/img_convert/8808c7131e391a25e47f7306f995f71f.png)

2、各接口IP地址配置

  • CE1交换机配置（创建vlan并配置三层交换）

    [~HUAWEI]vlan batch 10 20

    [*HUAWEI]interface Vlanif10
    [*HUAWEI-Vlanif10]ip address 192.168.10.254 255.255.255.0
    [*HUAWEI-Vlanif10]interface Vlanif20
    [*HUAWEI-Vlanif20]ip address 192.168.20.254 255.255.255.0
    [*HUAWEI-Vlanif20]interface GE1/0/0
    [*HUAWEI-GE1/0/0]undo portswitch
    [*HUAWEI-GE1/0/0]undo shutdown
    [*HUAWEI-GE1/0/0]ip address 172.16.1.1 255.255.255.0
    [*HUAWEI-GE1/0/0]interface GE1/0/1
    [*HUAWEI-GE1/0/1]undo shutdown
    [*HUAWEI-GE1/0/1]port default vlan 10
    [*HUAWEI-GE1/0/1]interface GE1/0/2
    [*HUAWEI-GE1/0/2]undo shutdown
    [*HUAWEI-GE1/0/2]port default vlan 10
    [*HUAWEI-GE1/0/2]interface GE1/0/3
    [*HUAWEI-GE1/0/3]undo shutdown
    [*HUAWEI-GE1/0/3]port default vlan 20
    [*HUAWEI-GE1/0/3]commit

  • AR1配置（配置接口IP地址）

    [Huawei]interface GigabitEthernet0/0/0

    [Huawei-GigabitEthernet0/0/0]ip address 23.34.45.2 255.255.255.0
    [Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
    [Huawei-GigabitEthernet0/0/1]ip address 23.34.50.2 255.255.255.0
    [Huawei-GigabitEthernet0/0/1]interface GigabitEthernet0/0/2
    [Huawei-GigabitEthernet0/0/2]ip address 23.34.60.2 255.255.255.0

  • AR2配置（配置接口IP地址并在g0/0/0口上开启接口dhcp）

    [Huawei]dhcp enable

    [Huawei]interface GigabitEthernet0/0/0
    [Huawei-GigabitEthernet0/0/0]ip address 10.10.1.254 255.255.255.0
    [Huawei-GigabitEthernet0/0/0]dhcp select interface
    [Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
    [Huawei-GigabitEthernet0/0/1]ip address 23.34.60.1 255.255.255.0

  • 防火墙配置（接口IP及网关配置）

![image-20230314013759757](https://img-
blog.csdnimg.cn/img_convert/9d1dc57154bd5344f5e367faf3045134.png)

![image-20230314013956075](https://img-
blog.csdnimg.cn/img_convert/04df7d7d15b7d81e61b235ffe657ede3.png)

![image-20230314014128442](https://img-
blog.csdnimg.cn/img_convert/944ae00e64bae69fbc657b1568cd808a.png)

3、上网要求（SNAT）

  • 成都总公司上网

![image-20230314014541658](https://img-
blog.csdnimg.cn/img_convert/fa9ea8c08131f8cb6ce4048161444c84.png)

![image-20230314014609635](https://img-
blog.csdnimg.cn/img_convert/c1046fe4e78e90cf12576dddc0f8dbb9.png)

    #CE1的出口路由
[~HUAWEI]ip route-static 0.0.0.0 0 172.16.1.2
[*HUAWEI]commit

![image-20230314015622952](https://img-
blog.csdnimg.cn/img_convert/8f0d4a52b549c83a7ee8a9146a61b937.png)

  • 绵阳公司上网（SNAT）

![image-20230314014814572](https://img-
blog.csdnimg.cn/img_convert/4e9a99a8068430b7633800b620c972d4.png)

![image-20230314014842385](https://img-
blog.csdnimg.cn/img_convert/4096d3245af90dcd303b441b09a01816.png)

  • 酒店上网（SNAT）

    #AR2配置

    [Huawei]ip route-static 0.0.0.0 0 23.34.60.2
    [Huawei]acl 2000
    [Huawei-acl-basic-2000]rule permit
    [Huawei-acl-basic-2000]int g0/0/1
    [Huawei-GigabitEthernet0/0/1]nat outbound 2000

4、服务器发布需求

  • 成都server1的http服务进行发布

![image-20230314015854343](https://img-
blog.csdnimg.cn/img_convert/1f1a0e9cdeb482fd347ab5941344283d.png)

![image-20230314015920879](https://img-
blog.csdnimg.cn/img_convert/36ef17fd44580cafffac69e1666d462d.png)

5、IPSec VPN需求（FW3和FW2建立IPSec VPN隧道）

  • 在FW1上映射UDP:500和UDP:4500（IKE sa使用的端口）

![image-20230314020351908](https://img-
blog.csdnimg.cn/img_convert/2b03c69a3acc7a4f97554b85358e13a4.png)

![image-20230314020516957](https://img-
blog.csdnimg.cn/img_convert/d60bf268ddcc1f1edc2daa5f9189af1b.png)

  • 在FW3上新建IPSec策略

![image-20230314021100998](https://img-
blog.csdnimg.cn/img_convert/ef464e3f3f7bcb0da500ab146268db39.png)

![image-20230314021228513](https://img-
blog.csdnimg.cn/img_convert/29baae016197840e71e9fa9c9ebb3529.png)

  • FW2上新建IPSec策略

![image-20230314021456188](https://img-
blog.csdnimg.cn/img_convert/ea2bb033454849f0cf0a0b904ac13812.png)

![image-20230314021639378](https://img-
blog.csdnimg.cn/img_convert/7fd576fd7e88332db6c6da346bc3c31e.png)

  • 查看建立成功

![image-20230314022424636](https://img-
blog.csdnimg.cn/img_convert/adbd9bdef358b84c9b117ebdeadabf00.png)

![image-20230314022506524](https://img-
blog.csdnimg.cn/img_convert/fd90f2ca42c3008346a7a46ca95295d3.png)

  • 在CE1上配置路由，将绵阳公司主机访问server2的回包流量引入VPN设备

    [~HUAWEI]ip route-static 192.168.100.0 24 192.168.20.100

    [*HUAWEI]commit

  • 使用绵阳公司主机访问server2的FTP服务

![image-20230314023016565](https://img-
blog.csdnimg.cn/img_convert/a70689a528298fe75110e9270436a72e.png)

6、SSL VPN需求（FW3作为SSL VPN设备为出差在外员工提供服务）

  • 创建ssl vpn（需要在命令行创建）

    [chengduVPN]v-gateway sslvpn1 192.168.20.100 private woniuxy.com

    #sslvpn1 指定vpn名字
    #192.168.30.150 指定vpnIP
    #private 指定域名

  • 网关配置

![image-20230314023728475](https://img-
blog.csdnimg.cn/img_convert/4a58c1780556a09215c3a602e1a1fb0b.png)

  • 开启网络扩展（使连接上的主机可以使用网络扩展功能）

![image-20230314024853508](https://img-
blog.csdnimg.cn/img_convert/59dda32cc86852bfc5e34942b14318ed.png)

  • 创建对应用户并添加到对应角色并授予对应权限

![image-20230314023957273](https://img-
blog.csdnimg.cn/img_convert/2f6c4d8fe475a7c382f0f2d2362fee11.png)

  • 使用出差在外员工主机（酒店客户机）验证

![image-20230314024605780](https://img-
blog.csdnimg.cn/img_convert/af0b5a36b27327dfd519ea8feec5c55f.png)

![image-20230314025236910](https://img-
blog.csdnimg.cn/img_convert/eee0a2107b3b046663e508bb6fc35f96.png)

  • 在CE1上添加路由，使用酒店主机访问酒店内部资源

    [~HUAWEI]ip route-static 10.10.10.0 24 192.168.20.100

    [*HUAWEI]commit

![image-20230314030141157](https://img-
blog.csdnimg.cn/img_convert/8a49a1d4f1d39deaea18c0929722a024.png)

7、安全防护配置

  • 成都FW1上配置超大ICMP报文控制，超过500字节的ICMP报文直接丢弃

![image-20230314030954973](https://img-
blog.csdnimg.cn/img_convert/08445dd0a6eaa8e684d5b95ae4047d14.png)

  • 验证效果

![image-20230314031135453](https://img-
blog.csdnimg.cn/img_convert/1c96668d2fed3e9f153044ff94c08528.png)

最后

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。

因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。

干货主要有：

①1000+CTF历届题库（主流和经典的应该都有了）

②CTF技术文档（最全中文版）

③项目源码（四五十个有趣且经典的练手项目及源码）

④ CTF大赛、web安全、渗透测试方面的视频（适合小白学习）

⑤ 网络安全学习路线图（告别不入流的学习）

⑥ CTF/渗透测试工具镜像文件大全

⑦ 2023密码学/隐身术/PWN技术手册大全

扫码领取

baimao__沧海
关注
  • 26
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
华为防火墙基本配置实例
weixin_45457085的博客
10-13 1万+
实验背景 ： 一、trust区域：G1/0/0、G1/0/1接口下的设备划分到此区域 1、SW1与SW2做lacp链路聚合； 2、公司trust区域划分两个VLAN分别在交换层做MSTP，实现流量负载分担； 3、trust区域核心路由器层做双DHCP服务器做双备份，运行VRRP实现网关备份； 二、DMZ区域：G1/0/2接口下的设备划分到此区域 1、服务器做目的NAT允许untrust区域访问； 2、允许trust区域→DMZ区域的流量访问； 三、untrust区域：G1/0/3接口下的..
华为防火墙IPSec详解与配置实验
m0_68208233的博客
11-04 9590
IPSec（Internet协议安全）是一个工业标准网络安全协议栈，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有限低于网络攻击，同时保持易用性。IPSec通过在IPSec对等体之间建立双向安全联盟（VPN隧道），形成一个安全互通的IPSec隧道，来实现Internet上数据的安全传输。
华为防火墙实战配置教程，太全了
Richardlygo的博客
07-05 1万+
防火墙大全
华为防火墙总部加多分部ipsec-vpn nat穿越，vpn核心旁挂式组网案例命令行和web配置
最新发布
IT技术
11-28 3277
华为防火墙总部加多分部ipsec-vpn nat穿越，vpn核心旁挂式组网案例命令行和web配置
华为路由器 IPSec VPN 配置
一直被模仿，从未被超越
05-31 7707
上面的网络情况跟生产环境基本一致。我们要在 R1 跟 R2 之间配置 IPSec VPN，实现上海与成都两地内网互通。PC1 不能访问 PC2，反之也是。PC1能访问 R2 的外网地址。PC2能访问 R1 的外网地址。一、首先完成网络配置。1、R1 路由器设置。二、配置 IPSec。1、R1 路由器设置。2、R2 路由器设置。
华为防火墙如何为NAT开放安全策略
09-16
如何为NAT开放安全策略
华为防火墙nat端口映射
06-07
对应主页文章名称
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置
04-27
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置 全命令
HUAWEI 防火墙 综合配置案例.zip
11-23
2021年HUAWEI 防火墙 综合配置案例.内容丰富
华为防火墙如何优化安全策略
09-16
如何优化安全策略
华为L2TP+ipsec野蛮模式，nat穿越 配置实例
08-30
华为L2TP+ipsec野蛮模式，nat穿越 配置实例 。。。。。。。。。。。。。
华为防火墙全图化Web典型配置案例(V4.0)
09-11
华为防火墙配置案例,华为防火墙全图化Web典型配置案例(V4.0)
华为防火墙SSL VPN隧道连接实验配置
加油！
05-20 5732
用于远程访问VPN，工作在应用层与传输层之间SSL VPN是以SSL协议为安全基础的VPN远程接入技术，移动办公人员（在SSL VPN中被称为远程用户）使用SSL VPN可以安全、方便的接入企业内网，访问企业内网资源，提高工作效率。SSL与IPSec、L2TP的区别：1.IPSec、L2TP缺点：远程用户终端上需要安装指定的客户端软件，导致网络部署、维护比较麻烦。2.IPSec、L2TP配置繁琐3.网络管理人员无法对远程用户访问企业内网资源的权限做精细化控制。
华为USG6000防火墙安全策略配置实例（CLI方式）
永远是少年
07-26 1万+
今天给大家介绍华为防火墙的安全策略配置实例。本文采用华为eNSP模拟器，设计了一个USG6000系列防火墙的配置实例，并安全要求完成了相应配置。 一、实验拓扑及要求 实验拓扑如上所示，现在要求配置如图所示的实验拓扑图，并配置防火墙安全策略实现： 1、Trust区域可以访问Untrust区域。 2、Trust区域可以访问DMZ区域的lo0，但不能访问其他IP地址。 二、实验配置命令 （一）华为防火墙默认安全策略 在华为系列防火墙中，默认的安全策略根据出入区域的不同而不同，具体如下所示： 1、域内流量。 域内
ensp防火墙综合实验lab
enterprise2333的博客
12-20 1万+
实验要求： 1.完成防火墙组网基础配置（IP，安全域，路由（可配置动态路由,只可宣告防火墙untrust所在网段）ISP路由器不能存在防火墙非untrust区域内路由），校本部和南校区防火墙管理地址分别为192.168.0.1/24，192.168.0.2/24 2.校本部防火墙1/0/1设置为二层接口，在防火墙上配置SVI分别为vlan 10和vlan 20的网关，两SVI安全域均为trust 3.PC2可以使用防火墙出接口地址上网访问到百度服务器（可ping通6.6.6.6即可） 4.使用校本部防火墙出
华为防火墙实战配置教程
热门推荐
LiangSton的专栏
05-15 2万+
防火墙（Firewall）也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。 今天给大家带来的是华为防火墙相关的实战，内容详实，可供参考！ 目录 目录 初始化防火墙 初始化防火墙: 开启Web管理界面: 配置Console口登陆: 配置telnet密码认证:
华为防火墙 GRE over IPSec [适用点到点、点到多点]
白话聊网络的博客
03-20 3405
但是在over的场景中，以上两种方式并不适用，因为配置方式不同，所以在over的场景中像实现点到多点的部署，就需要将点到点的方式拼凑而成，举个例子，在不over的场景中，1个总部对应10个分部，那总部可以采用策略模板方式，节省配置量，如果在1v10的场景中加上over，那总部则需要写10组配置，分别1-1，1-2，1-3。仔细的同学会发现，基于路由的方式，ips中没有感兴趣流，是的，它的流量走向完全以靠静态路由的出接口，至于限制谁和谁不通，可以靠防火墙的安全策略来限制。那如可直到加密报文是否进隧道呢？
华为防火墙基础NAT实验及配置
11-11
本次实验主要是基于华为防火墙进行基础的NAT实验及配置。学习目的是掌握在防火墙上基于地址池配置NAPT的方法以及配置NAT Server的方法。在公司的网络环境中，需要将内部网络Trust区域的用户能够访问外部区域，并且将...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值