ensp华为防火墙的简单区域划分和配置

实验环境

实验思路

• 规划并配置IP
• 设置安全区域
• 设置安全策略
• 检查连通性

具体实施

规划并配置IP：

PC1:

server1:

FW1:

[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]undo  shutdown
[USG6000V1-GigabitEthernet1/0/1]ip address 192.168.1.254 24 
[USG6000V1-GigabitEthernet1/0/1]service-manage ping permit
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]undo  shutdown
[USG6000V1-GigabitEthernet1/0/0]ip address 200.2.2.254 24 
[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit

设置安全区域：

FW1:

[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add interface g1/0/1
[USG6000V1]firewall zone untrust
[USG6000V1-zone-untrust]add interface g1/0/0

设置安全策略：

FW1:

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name t-u
[USG6000V1-policy-security-rule-t-u]source-zone trust 
[USG6000V1-policy-security-rule-t-u]destination-zone  untrust
[USG6000V1-policy-security-rule-t-u]source-address 192.168.1.0 24 
[USG6000V1-policy-security-rule-t-u]action  permit

检查连通性:

PC1 ping server:

PC>ping 200.2.2.1

Ping 200.2.2.1: 32 data bytes, Press Ctrl_C to break From 200.2.2.1: bytes=32 seq=1 ttl=254 time=15 ms From 200.2.2.1: bytes=32 seq=2 ttl=254 time=16 ms From 200.2.2.1: bytes=32 seq=3 ttl=254 time<1 ms
From 200.2.2.1: bytes=32 seq=4 ttl=254 time<1 ms From 200.2.2.1: bytes=32 seq=5 ttl=254 time=16 ms

--- 200.2.2.1 ping statistics ---
5 packet(s) transmitted
5 packet(s) received 0.00% packet loss
round-trip min/avg/max = 0/9/16 ms

server ping PC1:

实验总结

本次实验学习了防火墙的原理和配置方法。防火墙用来 保护一个网络区域免受另外一个网络区域的攻击或入侵。本次实验主要介绍了安全区域和安全策略，而安全区域和安全策略是防火墙的重要组成部分。通过安全区域来划分网络以及标识报文的流动，以接口的划分来确认不同的安全区域。其中共有三个安全区域：Untrust、DMZ和Trust以及一个表示自身的Local区域。安全策略则用来检测和控制数据包的流动。与防火墙相连的网段无法直连，且在配置防火墙时不能自动连线，因为接口g0/0/0是管理口。