华为防火墙内网隔离同网段IP

华为防火墙内网隔离同网段IP

网络示意图
因为是生产网络，所以全是内网，导致服务器和现场生产电脑都在同一网段，为了避免未知IP访问服务器，增加一台防火墙做隔离。
为啥不用黑白名单？为啥不写ACL，不知道，毕竟我不做决定QAQ

示例：
主机IP：192.168.1.0/24
服务器：192.168.1.226/24

![这里插入图966c54211d5ab8.png
随便找的网络示意图，大差不差的，就是在两个交换机之间新增 一台防火墙。
**

1. 旧的思路(常规配置)

**
想先配置了防火墙，然后接上不就好了
步骤是先配置交换机，然后防火墙连接交换机的接口，安全策略，路由（我看的有一些新的配置好像不用写路由，反正上外网是要写的，而且要增加NAT地址转换）
a)配置两边的交换机连接端口为ACC，默认通过该网段的vlan

port link-type acc
port default vlan 123

b)配置防火墙的接口
要求是可以ping通防火墙的接口，但是，防火墙两个接口不可以在同一个网段。

比如接口3是192.168.1.123/24
那么接口4不能是192.168.1.125/24只能是其他网段的了。。。。
要不然会报地址冲突，得，出师未捷身先死。
c) 如果不是同网段的，那么可以配置接口4为192.168.2.123/24
确保两边电脑都可以ping通接口地址即可。
d)然后配置安全策略（有的走到这一步就可以通信）
如果上访问外网的话，那么需要配置NAT地址转换

如上图配置，可以跳通外网
e）写路由

2. 新的思路

既然旧的想法不行，我们就简单的在防火墙上实现一个IP过滤的功能，那么我感觉透明一点，直接设置成交换模式，设置好VLAN的ID只允许该VLAN通过就好了

如上图所示，将两个防火墙接口都换成交换模式，选择trunk然后default vlan 设置成该IP的VLAN，即可
要通过多个VLAN 在上面的trunk VLAN ID里面设置，英文逗号间隔（我试了一下，好像不通…）。

总之，按照上面的设置，完成之后就差不多了。
然后设置接口加入安全区域

安全策略的话
如下图选择好源区域，和目的区域，将允许通过的IP地址加到对应安全区域的地址组里面即可

这种方式不用写路由，然后测试调通。

当然不是同网段隔离的选择第一个方式即可。