华为防火墙配置

 组网要求：

1、本实验中的防火墙为USG5500系列防火墙；

2、 防火墙三个接口的IP地址按照上图所示进行配置；将这三个接口划入相应的安全域；

3、配置防火墙的域间包过滤策略，使得PC1能够主动访问PC2，但是PC2无法主动访问PC1；PC2能够主动访问WebServer的WEB服务

防火墙中的配置：

防火墙的配置

[FW]interface GigabitEthernet 0/0/0
[FW-GigabitEthernet0/0/0]ip address 10.10.1.254 24

[FW1]int GigabitEthernet 0/0/1
[FW1-GigabitEthernet0/0/1]ip address 10.10.100.254 24

[FW1]int GigabitEthernet 0/0/2
[FW1-GigabitEthernet0/0/1]ip address 10.10.200.254 24

#将接口添加到相应的安全区域：

[FW1]firewall zone trust
[FW1-zone-trust]add interface GigabitEthernet 0/0/0

[FW1-zone-trust]firewall zone dmz
[FW1-zone-dmz]add interface GigabitEthernet 0/0/1

[FW1-zone-dmz]firewall zone untrust
[FW1-zone-untrust]add interface GigabitEthernet 0/0/2

#配置域间策略，使得trust域的10.10.1.1/24网段用户能够访问untrust区域的10.10.200.1/24网段
[FW1]policy interzone trust untrust outbound
[FW1-policy-interzone-trust-untrust-outbound]policy 10
[FW1-policy-interzone-trust-untrust-outbound-10]policy source 10.10.1.0 0.0.0.255
[FW1-policy-interzone-trust-untrust-outbound-10]policy destination 10.10.200.0 0.0.0.255
[FW1-policy-interzone-trust-untrust-outbound-10]action permit

#配置域间策略，使得untrust区域的10.10.200.0/24网段用户能够访问Server的WEB服务
[FW1]policy interzone dmz untrust inbound
[FW1-policy-interzone-dmz-untrust-inbound]policy 10
[FW1-policy-interzone-dmz-untrust-inbound-10]policy source 10.10.200.0 0.0.0.255
[FW1-policy-interzone-dmz-untrust-inbound-10]policy destination 10.10.100.0 0
[FW1-policy-interzone-dmz-untrust-inbound-10]policy service service-set ftp
[FW1-policy-interzone-dmz-untrust-inbound-10]action permit