eNSP实验——防火墙配置（Zone 区域配置 + 安全策略配置）

已于 2025-04-09 22:55:49 修改
阅读量2.7k 收藏 26
点赞数 42
分类专栏： eNSP 文章标签： 网络
于 2025-04-03 19:43:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_61323957/article/details/146814897
版权

文章目录

eNSP实验——防火墙配置（Zone 区域配置 + 安全策略配置）

仅供参考

基础概念

一、防火墙简介

1. 防火墙的定义

防火墙（Firewall）是一种网络安全设备（硬件或软件），用于监控和控制进出网络的流量，基于预定义的安全规则允许或阻止数据包的传输。其主要目的是在可信网络（内网）和不可信网络（外网） 之间建立安全屏障，防止未授权访问、恶意攻击和数据泄露。

防火墙既可以是二层设备，也可以是三层设备，具体取决于其工作模式和部署场景。

特性三层防火墙二层防火墙
工作层级网络层（Layer 3）数据链路层（Layer 2）
IP地址需求需要配置IP地址和路由无需IP地址，透明转发
部署影响需调整路由表对网络拓扑无影响
过滤依据IP/端口/协议MAC地址/VLAN/二层协议
典型用途边界防护、跨子网隔离内部流量监控、隐身部署
2. 防火墙的核心功能
  1. 访问控制
    • 基于源/目标IP、端口、协议等过滤流量（如阻止外部访问内部数据库）。
  2. 网络地址转换（NAT）
    • 隐藏内网IP，提供地址转换（如将多个内网IP映射到一个公网IP）。
  3. 状态检测（Stateful Inspection）
    • 跟踪连接状态（如仅允许已建立的TCP会话返回流量）。
  4. 应用层过滤（DPI）
    • 识别并控制特定应用（如阻断P2P软件或恶意HTTP请求）。
  5. 日志与审计
    • 记录流量日志，用于安全分析和合规性检查。
  6. VPN支持
    • 提供加密隧道（如IPSec/SSL VPN）保障远程访问安全。
3. 防火墙的类型
类型特点典型应用场景
包过滤防火墙基于IP/端口过滤，无状态检测，性能高但安全性较低。早期网络、简单边界防护
状态检测防火墙跟踪连接状态，动态允许合法返回流量，安全性更高。企业网络边界防护
应用层防火墙（WAF）深度解析HTTP/HTTPS流量，防御SQL注入、XSS等Web攻击。Web服务器保护
下一代防火墙（NGFW）集成IPS、AV、沙箱等功能，支持应用识别和用户策略。高级威胁防护（如APT防御）
云防火墙虚拟化部署，适用于云环境（如AWS Security Group、Azure Firewall）。公有云/混合云安全

防火墙核心特性

  • 状态化检测机制
  • 默认拒绝原则（Implicit Deny）
  • 安全区域隔离逻辑

与传统网络设备对比

特性防火墙交换机/路由器
默认行为拒绝所有流量允许同网段/VLAN流量
控制维度L2-L7深度检测L2/L3基础转发

防火墙的特殊性：

  1. 基础要求更严格：
    • 必须配置接口IP地址
    • 必须将接口划分到安全区域（Zone）
    • 必须手动配置安全策略放行流量
  2. 默认安全策略：
    • "默认拒绝"原则（Default Deny）
    • 不做任何配置时，所有流量都会被过滤
    • 必须显式配置才能允许特定流量
  3. 多层控制机制：
    • 基于安全区域的隔离（Zone）
    • 细粒度的安全策略控制（Policy）
    • 状态化检测（Stateful Inspection）
    • 可选的服务管理控制（Service-Manage）

二、安全区域（Zone）

1. Zone 定义

Zone（安全区域） 是华为防火墙中用于 逻辑划分网络边界 的核心概念，通过将物理接口或子网分配到不同安全区域，实现：

  • 网络隔离：不同 Zone 默认禁止互访
  • 策略控制：基于 Zone 定义流量放行规则
  • 信任分级：标识网络的安全等级（如内网=高信任，外网=低信任）

📌 本质：Zone 是安全策略的容器，防火墙通过 Zone 间规则决定流量是否允许通过。

2. 核心特性
2.1 基础特性
特性分类详细说明配置示例关联
接口绑定每个物理/逻辑接口必须且只能属于一个Zoneadd interface GigabitEthernet0/0/1VLAN、子接口
优先级机制1-100表示信任等级（Local=100固定），数值越大可信度越高set priority 85策略匹配顺序
默认访问规则不同Zone间默认禁止通信，需显式放行；同Zone内默认允许（可关闭）intra-zone default deny白名单模型
方向性控制策略需明确指定源Zone→目的Zone（如Trust→DMZ）source-zone Trust安全策略
2.2 高级特性
特性分类详细说明配置示例关联
三维度隔离网络层（IP划分）、协议层（ICMP限制）、应用层（APP识别）立体隔离rule deny protocol icmpACL/应用识别
策略匹配机制按策略列表顺序匹配，首条命中后立即生效；末尾隐含deny any规则display security-policy all策略优化
与ACL/NAT绑定所有ACL必须关联Zone；NAT策略需基于Zone配置（如Untrust→DMZ端口映射）nat-policy interzone Untrust DMZ地址转换
3. Zone 基础概念

备注：想要不同优先级通信其实就是不同Zone之间通信，因为一个Zone只有一个优先级，但是自定义创建Zone时，优先级不能和默认的Zone的优先级重复（数字越大，优先级越高）。

3.1 Zone 类型
区域类型安全级别典型用途访问权限默认优先级优先级范围跨区域通信特性
Local最高防火墙自身管理严格管控100固定不可变• 禁止Untrust→Local • 允许Trust→Local需策略
Trust高内部可信网络较宽松851-100• Trust→DMZ默认拒绝 • Trust→Untrust需策略
DMZ中对外服务区受限访问501-100• DMZ→Trust默认拒绝 • Untrust→DMZ需NAT策略
Untrust低不可信网络(如Internet)严格限制51-100• 禁止Untrust→Trust • Untrust→DMZ需严格策略
3.2 不同 Zone 通信规则

防火墙五元组策略控制矩阵

 源Zone → 目的Zone | 源IP | 目的IP | 服务（端口/协议） | 动作（允许/拒绝）
策略要素字段类型配置示例通配符支持
源安全区域Zone名称source-zone Trustany (任意区域)
目的安全区域Zone名称destination-zone DMZany
源IP地址IPv4/IPv6地址/网段source-address 192.168.1.0/240.0.0.0/0 (任意IP)
目的IP地址IPv4/IPv6地址/网段destination-address 10.0.1.1000.0.0.0/0
服务（端口/协议）协议+端口组合service HTTP (TCP/80)ANY (所有服务)

示例：允许内网访问 DMZ 区域的 Web 服务：

 Trust → DMZ | 192.168.1.0/24 | 10.0.1.100 | HTTP(80) | Permit  

# 允许内网访问DMZ的Web服务

rule name "Permit_Trust_to_DMZ_Web"		# 策略规则命名
  source-zone Trust						# 源安全区域：信任的内网区域
  destination-zone DMZ					# 目标安全区域：对外服务的DMZ区域  		
  source-address 192.168.1.0/24			# 源IP范围：允许192.168.1.0网段的所有主机		
  destination-address 10.0.1.100		# 目标服务器：DMZ区的Web服务器IP
  service HTTP							# 允许的服务：HTTP协议（TCP 80端口）		
  action permit							# 动作：允许通过

备注：示例里面配置的是内网访问DMZ区域的Web服务，但是Web服务不能访问内外，这里做的是单向通信。

三、安全策略配置

1. 安全策略的定义（Security Policy）

安全策略（Security Policy）是华为防火墙的核心控制机制，是一组规则，用于定义允许或拒绝特定流量/行为的准则，用于精细化管控不同安全区域（Zone）之间的数据流。

安全策略是华为防火墙的流量管控中枢，通过规则集实现：

  • 精准控制：基于安全区域（Zone）的访问权限管理
  • 流量过滤：五元组（IP/端口/协议）+ 时间/用户等多维条件
  • 深度防护：与IPS/AV/URL过滤等安全服务无缝联动

📌 本质：安全策略是防火墙的"交通警察"，决定哪些流量可以通行，哪些需要拦截。

2. 安全策略的特性
特性说明
基于Zone的管控必须指定源/目的安全区域（如Trust→DMZ）
五元组匹配支持源/目的IP、服务（端口/协议）、时间、用户等多维度条件组合
状态化检测自动跟踪合法连接状态（如TCP会话）
策略优先级按配置顺序从上到下匹配，首条匹配规则生效
日志记录可记录策略命中情况，用于安全审计
与NAT联动支持在策略中引用NAT规则
3. 安全策略的基本概念
3.1 策略组成要素
rule name <规则名称>
  source-zone <源区域>  
  destination-zone <目的区域>
  source-address <源IP/网段>
  destination-address <目的IP/网段> 
  service <协议/端口>
  action <permit/deny>
  [可选] time-range <时间范围>
  [可选] profile <安全配置文件>
3.2 策略匹配机制
机制类型说明
匹配顺序按策略ID从小到大逐条匹配，首条匹配成功后立即执行动作（后续规则跳过）
默认策略所有未明确允许的流量自动拒绝（符合等保"默认拒绝"原则）
隐式规则同Zone内设备默认互通（可通过inter-zone default deny关闭）
特殊规则本地策略（Local）、管理策略（Management）优先于普通策略
3.3 策略动作类型
动作类型说明典型应用场景
permit允许通过放行合法业务流量
deny拒绝并丢弃阻断已知威胁流量
log仅记录不拦截（需配合其他动作）安全审计/攻击行为分析
  • 默认策略：通常为“隐式拒绝”（未明确允许的流量均拒绝）。
  • 策略粒度：可细化到用户、应用层协议（如HTTP方法）。
  • 策略组（Policy Group）：将同类策略归类管理（如“远程访问策略组”）。
  • 策略优化：需定期合并冗余规则，避免策略膨胀。

四、对防火墙与常规二/三层设备通信特性的对比

设备类型基础通信条件默认行为
二层交换机▶ 同VLAN内设备直连即可通信 ▶ 依赖MAC地址表进行转发允许所有同VLAN流量
三层设备 （路由器/三层交换）▶ 接口配置同网段IP即可通信 ▶ 依赖路由表转发允许同网段直连通信
防火墙▶ 必须满足以下所有条件： - 接口IP配置正确 -接口通过流量 - 接口加入安全区域（Zone） - 配置安全策略允许流量默认拒绝所有流量

五、防火墙通信的要素

1. 接口基础配置（配置接口IP地址）
 interface GigabitEthernet 0/0/1
  ip address 192.168.1.1 24		# 配置接口IP地址
2. 安全区域绑定（把防火墙接口划入Zone）
  firewall zone trust						# Trust区域
   add interface GigabitEthernet 0/0/1		# 在Trust区域加入GigabitEthernet 0/0/1接口
3. 安全策略放行（基于五元组配置）
 security-policy					# 安全策略配置
  rule name allow_traffic			# 策略规则命名
   source-zone trust				# 源 Zone
   destination-zone untrust			# 目的 Zone
   action permit					# 允许通过

如果想要不同Zone之间通信，需要配置安全策略放行

4. 服务管理（如需管理防火墙本身）
  interface GigabitEthernet 0/0/1
   	service-manage ping permit  		# 允许 ping 防火墙接口

  interface GigabitEthernet 0/0/1
     service-manage all permit		# 放行接口所有服务（可选）

六、其他补充（直连防火墙通信）

1. 关于二层交换机和三层设备的通信
  • 二层交换机：
    同一 VLAN 内的主机通过 MAC 地址直接通信（无需配置），跨 VLAN 需三层设备介入。
  • 三层设备直连（路由器/三层交换机）：
    同网段配置 IP 后可直接通信，但需注意：
    • 如果启用 ACL 或防火墙功能（如三层交换机的端口安全），可能仍需放行规则。
    • 某些厂商设备默认启用 ICMP 拦截
2. 关于防火墙的通信机制
  • 防火墙的默认行为：
    防火墙默认拒绝所有流量（隐式 Deny All），必须显式配置安全策略才能放行。
    • 接口本身不“过滤”服务，而是由安全策略（Security Policy）控制流量。
    • Zone 的作用：
      • 接口必须加入 Zone（如 trust、untrust），但同 Zone 的接口间仍需策略放行
      • 跨 Zone 通信必须配置策略。
  • 补充：
    • 防火墙的接口 IP 仅用于路由和管理，不直接影响流量转发。
    • 例外情况：
      • 某些防火墙的“虚拟路由器”允许接口间路由，但仍需安全策略。
      • 管理接口（如 MGMT）可能默认允许 SSH/HTTPS，但数据接口严格拦截。

防火墙直连两台PC通信（以这个拓扑图参考）

在这里插入图片描述

这里要清楚的是，即使是配置了防火墙的接口IP地址，也就是PC通往的网关，依然是不能够通信的，因为防火墙本身只要是没有做配置，像Zone和策略之类的，全部都默认拒绝。

1. 防火墙配置接口IP
[FW]dis ip int b
2025-03-31 11:55:35.800 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
(d): Dampening Suppressed
(E): E-Trunk down
The number of interface that is UP in Physical is 4
The number of interface that is DOWN in Physical is 6
The number of interface that is UP in Protocol is 4
The number of interface that is DOWN in Protocol is 6

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              192.168.1.254/24     up         up        
GigabitEthernet1/0/1              192.168.2.254/24     up         up        
GigabitEthernet1/0/2              unassigned           down       down      
GigabitEthernet1/0/3              unassigned           down       down      
GigabitEthernet1/0/4              unassigned           down       down      
GigabitEthernet1/0/5              unassigned           down       down      
GigabitEthernet1/0/6              unassigned           down       down      
NULL0                             unassigned           up         up(s)     
Virtual-if0                       unassigned           up         up(s)     

[FW]
2. PC1 ping防火墙的接口IP地址

可以看到只有192.168.1.1的主机给防火墙发送数据包，而防火墙的接口（192.168.1.254）并没有给192.168.1.1主机回应这个数据包，也就是说数据包到了防火墙的接口时就已经被过滤掉了。PC2这边也是一样的，没有划分zone和通过接口流量都是这样被拒绝数据包。

在这里插入图片描述

3. 防火墙和直连设备通信
  • （1）需要先把接口划入zone
    • 默认zone自带优先级，如果是自定义的zone需要手动配置优先级，否则zone无法生效，一样默认被防火墙过滤数据包
  • （2）把接口的所有服务放行
    • 如果只用ICMP协议， service-manage ping permit 就可以了

配置完之后再看PC2能否ping通防火墙。

# PC1
[FW]firewall zone trust 		# 进入firewall的trust（信任区域）
[FW-zone-trust]add int g1/0/0	# **加入g1/0/0接口到trust（信任区域）**
[FW-zone-trust]q
[FW]
[FW]int g1/0/0
[FW-GigabitEthernet1/0/0]ip address 192.168.1.254 24
[FW-GigabitEthernet1/0/0]
[FW-GigabitEthernet1/0/0]service-manage all permit		# **放行通过所有服务**
[FW-GigabitEthernet1/0/0]

# PC2
[FW]firewall zone trust 		# 进入firewall的trust（信任区域）
[FW-zone-trust]add int g1/0/1	# **加入g1/0/1接口到trust（信任区域）**
[FW-zone-trust]q
[FW]
[FW]int g1/0/1
[FW-GigabitEthernet1/0/1]ip address 192.168.2.254 24
[FW-GigabitEthernet1/0/1]
[FW-GigabitEthernet1/0/1]service-manage all permit 		# **放行通过所有服务**
[FW-GigabitEthernet1/0/1]
4. 测试

这里可以看到PC2发送出去的这个数据包，防火墙这边也同样做出了一个回应。

在这里插入图片描述

如果PC1要和PC2通信，划分zone，接口加入zone。接口允许通过ICMP服务

在这里插入图片描述

实验环境

1. 拓扑图

在这里插入图片描述

2. 设备信息划分
区域设备类型设备名称接口IP 地址
Trust（信任区）防火墙FWGE 1/0/0192.168.100.1
GE 1/0/110.1.1.1
GE 1/0/2100.1.1.1
Trust（信任区）三层交换机SW1GE 0/0/1192.168.100.2（Vlan 100）
GE 0/0/2192.168.1.254（Vlan 10）
GE 0/0/3192.168.2.254（Vlan 20）
Trust（信任区）二层交换机SW2Ethernet 0/0/1连接 SW1（Vlan 10 相关）
Ethernet 0/0/2连接 PC1
Ethernet 0/0/3连接 PC2
Trust（信任区）二层交换机SW3Ethernet 0/0/1连接 SW1（Vlan 20 相关）
Ethernet 0/0/2连接 PC3
Trust（信任区）主机PC1Ethernet 0/0/1192.168.1.1
Trust（信任区）主机PC2Ethernet 0/0/1192.168.1.2
Trust（信任区）主机PC3Ethernet 0/0/1192.168.2.2
DMZ（服务区）服务器Server1Ethernet 0/0/010.1.1.2
Untrust（不信任区）路由器AR1GE 0/0/2100.1.1.2
GE 0/0/1200.1.1.2
Untrust（不信任区）路由器AR2GE 0/0/1200.1.1.1
GE 0/0/210.10.10.1
Untrust（不信任区）主机Client1Ethernet 0/0/010.10.10.2

组网环境配置

1. 配置接口加入VLAN

[SW1]vlan batch 10 20 100
Info: This operation may take a few seconds. Please wait for a moment...done.
[SW1]
[SW1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access 
[SW1-GigabitEthernet0/0/2]port default vlan 10
[SW1-GigabitEthernet0/0/2]q
[SW1]
[SW1]
[SW1]int g0/0/3
[SW1-GigabitEthernet0/0/3]port link-type access 
[SW1-GigabitEthernet0/0/3]port default vlan 20
[SW1-GigabitEthernet0/0/3]q
[SW1]
[SW1]
[SW1]
[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access 
[SW1-GigabitEthernet0/0/1]port default vlan 100
[SW1-GigabitEthernet0/0/1]q
[SW1]
[SW1]

2. 配置VLAN接口IP地址

[SW1]int Vlanif 10
[SW1-Vlanif10]ip address 192.168.1.254 24
[SW1-Vlanif10]q
[SW1]
[SW1]
[SW1]int Vlanif 20
[SW1-Vlanif20]ip address 192.168.2.254 24
[SW1-Vlanif20]q
[SW1]
[SW1]
[SW1]int Vlanif 100
[SW1-Vlanif100]ip address 192.168.100.2 24
[SW1-Vlanif100]q
[SW1]

3. 配置接口IP地址

[AR1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip address 100.1.1.2 30
[AR1-GigabitEthernet0/0/2]q
[AR1]
[AR1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip address 200.1.1.2 30
[AR1-GigabitEthernet0/0/2]q
[AR1]

[AR2]int g0/0/1
[AR2-GigabitEthernet0/0/1]ip address 200.1.1.1 30
[AR2-GigabitEthernet0/0/1]q
[AR2]
[AR2]
[AR2]int g0/0/2
[AR2-GigabitEthernet0/0/2]ip address 10.10.10.1 30
[AR2-GigabitEthernet0/0/2]q
[AR2]
[AR2]

[FW]int g1/0/0
[FW-GigabitEthernet1/0/0]ip address 192.168.100.1 24
[FW-GigabitEthernet1/0/0]q
[FW]
[FW]
[FW]int g1/0/1
[FW-GigabitEthernet1/0/1]ip address 10.1.1.1 24
[FW-GigabitEthernet1/0/1]q
[FW]
[FW]
[FW-GigabitEthernet1/0/2]ip address 100.1.1.1 30
[FW-GigabitEthernet1/0/2]q
[FW]
[FW]

4. 配置Zone区域

[FW]firewall zone trust 
[FW-zone-trust]add interface g1/0/0
[FW]
[FW]
[FW]firewall zone dmz 
[FW-zone-dmz]add int g1/0/1
[FW]
[FW]
[FW]firewall zone untrust 
[FW-zone-untrust]add interface g1/0/2
[FW-zone-untrust]q
[FW]
[FW]

5. 端口放行服务

这里直接放行所有服务（可选）

[FW]int g1/0/0
[FW-GigabitEthernet1/0/0]service-manage all permit 
[FW-GigabitEthernet1/0/0]q
[FW]
[FW]
[FW]int g1/0/1
[FW-GigabitEthernet1/0/1]service-manage all permit 
[FW-GigabitEthernet1/0/1]q
[FW]
[FW]int g1/0/2	
[FW-GigabitEthernet1/0/2]service-manage all permit 
[FW-GigabitEthernet1/0/2]q
[FW]

配置到这里，和防火墙直连的设备都能 ping 通防火墙的接口，但由于都不在同一个Zone区域，所以设备发送数据包还不能从防火墙接口出去。

6. 配置路由

没有路由就配路由，直接配置出口默认路由即可。

注意：默认路由适合做出口的路由，不能完全精准匹配到具体路由，如果配置好策略还是不能通信可以使用尝试使用静态路由。

[SW1]ip route-static 0.0.0.0 0 192.168.100.1
[SW1]

[FW]ip route-static 0.0.0.0 0 100.1.1.2
[FW]ip route-static 0.0.0.0 0 192.168.100.2
[FW]

[AR1]ip route-static 0.0.0.0 0 100.1.1.1
[AR1]ip route-static 0.0.0.0 0 200.1.1.1 
[AR1]ip route-static 10.10.10.0 24 200.1.1.1
[AR1]

[AR2]ip route-static 0.0.0.0 0 200.1.1.2
[AR2]

7. 配置安全策略

7.1配置允许 Trust 区域 能访问 DMZ 区域

这里只做了单向通信（不允许 DMZ 访问 Trust 区域）

[FW]security-policy  		# 进入安全策略配置视图
[FW-policy-security]rul	
[FW-policy-security]rule nam	
[FW-policy-security]rule name Trust_to_DMZ  				# 命名规则为"Trust_to_DMZ"（自定义）
[FW-policy-security-rule-Trust_to_DMZ]source-zone trust  	# 设置源区域为信任区域(trust)
[FW-policy-security-rule-Trust_to_DMZ]destination-zone dmz  # 设置目标区域为DMZ区域(dmz) 
[FW-policy-security-rule-Trust_to_DMZ]action permit  		# 设置动作为允许(permit) 
[FW-policy-security-rule-Trust_to_DMZ]q
[FW-policy-security]q
[FW]

这里在SW1交换机尝试能否和Server1进行通信，如果能通信，那PC设备也可以和Server1进行通信

<SW1>ping 10.1.1.2
  PING 10.1.1.2: 56  data bytes, press CTRL_C to break
    Reply from 10.1.1.2: bytes=56 Sequence=1 ttl=254 time=40 ms
    Reply from 10.1.1.2: bytes=56 Sequence=2 ttl=254 time=30 ms
    Reply from 10.1.1.2: bytes=56 Sequence=3 ttl=254 time=50 ms
    Reply from 10.1.1.2: bytes=56 Sequence=4 ttl=254 time=1 ms
    Reply from 10.1.1.2: bytes=56 Sequence=5 ttl=254 time=40 ms

  --- 10.1.1.2 ping statistics ---
    5 packet(s) transmitted
    5 packet(s) received
    0.00% packet loss
    round-trip min/avg/max = 1/32/50 ms

<SW1>
测试

这里两个网段的PC都能和DMZ的Server1服务器通信
在这里插入图片描述

7.2 配置允许 Trust 访问 Untrust 区域

这里做的是单向通信

只有 Trust区域 访问 Untrust区域 ，Untrust区域 是访问不进来 Trust区域的。

[FW]security-policy			# 进入安全策略配置视图
[FW-policy-security]rule name Trust_to_Untrust	# 创建规则并命名为Trust_to_Untrust（信任区到非信任区的访问规则）		
[FW-policy-security-rule-Trust_to_Untrust]source-zone trust 	# 指定源区域为trust（通常连接内网的接口所在区域）
[FW-policy-security-rule-Trust_to_Untrust]destination-zone untrust 	# 指定目标区域为untrust（通常连接外网的接口所在区域）
[FW-policy-security-rule-Trust_to_Untrust]action permit		# 设置动作为允许通过（permit表示放行，deny表示拒绝）
[FW-policy-security-rule-Trust_to_Untrust]q
[FW-policy-security]q
[FW]
测试

这里可以看到PC1是可以通防火墙g1/0/2（Untrust区域接口）

Untrust区域是ping不通Trust内网的，但是Trust区域可以访问Untrust。

在这里插入图片描述

7.3 配置内网网段做NAT转换

将192.168.1.0/24和192.168.2.0/24网段的流量，都通过防火墙的 出接口 IP 做 NAT 转换（即 源 NAT + Easy-IP）

[FW]nat-policy 
[FW-policy-nat]
[FW-policy-nat]rule 
[FW-policy-nat]rule name NAT_Trust								# 创建规则（自定义）
[FW-policy-nat-rule-NAT_Trust]source-zone trust					# 数据包来自内网（Trust区） 
[FW-policy-nat-rule-NAT_Trust]destination-zone untrust			# 数据包去往外网（Untrust区）			
[FW-policy-nat-rule-NAT_Trust]source-address 192.168.1.0 24		# 匹配源IP段
[FW-policy-nat-rule-NAT_Trust]source-address 192.168.2.0 24		# 匹配源IP段	
[FW-policy-nat-rule-NAT_Trust]action source-nat easy-ip			# 使用出接口IP做NAT（关键配置）	
[FW-policy-nat-rule-NAT_Trust]q			
[FW-policy-nat]q
[FW]

easy-ip：直接使用防火墙出接口（如 100.1.1.1）作为转换后的 IP。

测试

这里使用 PC1和PC3的网段的主机 和 AR1的g0/0/2接口 通信

PC1和PC3给AR1发送数据包，抓包显示，源IP是哪个发送的，而这里可以看到Source的IP地址都是100.1.1.1，这个就是防火墙接口IP地址。 PC1 和 PC3 访问 AR1（100.1.1.2）时，源 IP 被转换为防火墙出接口 IP（100.1.1.1），符合 Easy IP 的行为。说明这个Easy IP NAT配置成功了。

在这里插入图片描述

7.4 配置允许 Trust 区域的PC 和 Untrust 的 client1 设备通信

给策略配置加上源IP网段和目标IP网段通过即可（这里做的是单向通信）

回到 Trust_to_Untrust 这个策略规则里面配置策略

[FW]security-policy
[FW-policy-security]
[FW-policy-security]dis th
2025-04-03 10:33:21.760 
#
security-policy
 rule name Trust_to_DMZ			# Trust访问DMZ的策略
  source-zone trust
  destination-zone dmz
  action permit
 rule name Trust_to_Untrust		# Trust访问Untrust的策略
  source-zone trust
  destination-zone untrust
  action permit
#
return
[FW-policy-security]
[FW-policy-security]
[FW-policy-security]rule name Trust_to_Untrust
[FW-policy-security-rule-Trust_to_Untrust]source-address 192.168.1.0 24			# 源IP网段（添加）
[FW-policy-security-rule-Trust_to_Untrust]source-address 192.168.2.0 24     	# 源IP网段（添加）
[FW-policy-security-rule-Trust_to_Untrust]destination-address 10.10.10.0 24		# 目标网段（添加）（client1所在的网段）
[FW-policy-security-rule-Trust_to_Untrust]action permit 						# 允许通过（添加）
[FW-policy-security-rule-Trust_to_Untrust]dis th
2025-04-03 10:35:15.980 
#
 rule name Trust_to_Untrust
  source-zone trust
  destination-zone untrust
  source-address 192.168.1.0 mask 255.255.255.0
  source-address 192.168.2.0 mask 255.255.255.0
  destination-address 10.10.10.0 mask 255.255.255.0
  action permit
#
return
[FW-policy-security-rule-Trust_to_Untrust]
测试

这里用内网的PC主机 ping 一下 client1。

从抓包信息来看，源IP都是 100.1.1.1，目标是 10.10.10.2。也是因为两个PC的网段的主机通过防火墙接口IP地址出去访问的，所以说10.10.10.2回应的IP只会是100.1.1.1。

在这里插入图片描述

其他补充

备注：client1是不能和PC通信的，除非做双向通信。

# 这里举例做双向通信
ecurity-policy
  rule name Trust_to_Untrust
    source-zone trust        # 假设源区域为trust
    destination-zone untrust # 假设目标区域为untrust
    source-address 192.168.1.0 24
    source-address 192.168.2.0 24
    destination-address 10.10.10.0 24
    action permit

  rule name Untrust_to_Trust
    source-zone untrust      # 注意区域方向反转
    destination-zone trust
    source-address 10.10.10.0 24
    destination-address 192.168.1.0 24
    destination-address 192.168.2.0 24
    action permit
【ENSP】防火墙基础配置
weixin_44372082的博客
04-16 4019
g0/0/0不可以使用，这是防火墙的管理接口类似于交换机的console管理口。local本地区域 优先级：100。trust信任区域 优先级：85。防火墙默认用户名为：admin 密码：Admin@123。untrust非信任区域 优先级：5。dmz非军事化区域 优先级：50。1.允许trust区域访问untrust区域。2.允许untrust区域访问dmz区域。第一次登陆需要修改密码，密码有复杂性要求。
ENSP实验一：防火墙基础配置
热门推荐
Carohuan的博客
07-19 1万+
配置client（内网）、FTP Server（外网）的IP地址。进入防火墙，输入密码：默认为admin@123。
安全防御——二、ENSP防火墙实验学习_ensp模拟防火墙旁挂控制实验_ensp两个防火墙ping不通
最新发布
韩束一叶子
03-14 845
防火墙的基本作用是保护特定网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。安全策略是控制设备对流量转发以及对流量进行内容安全一体化检测的策略，作用就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。
ENSP实验十三——USG5500的基本配置（一）
qq_21230015的博客
12-16 8733
一、设备清单及目标 1,设备 10台PC，4台交换机S5700，2台路由器AR2220，2台服务器server，1台防火墙USG5500。 2，目标 ①Trust区域各个主机可以互联 ②trust区域内各个主机可以访问dmz ③trust区域内192.168.2.0/24网段不能访问外网untrust区域，.1.0/24可以 ④开启域名服务器使trust内192.168.1.0/24可以直接ping域名。 二、拓扑图 三、配置 1，PC PC1：IP/掩码 192.168.1..
安全防御——二、ENSP防火墙实验学习
钟言的博客
11-04 1万+
本篇为安全防御——二、防火墙的基本概念以及配置，Web界面的配置，使用，详细内容包含了：防火墙接口以及模式配置 1、untrust区域 2、trust区域 3、DMZ区域 4、接口对演示 防火墙的策略 1、定义与原理 2、防火墙策略配置 2.1 安全策略工作流程 2.2 查询和创建会话3.实验策略配置 3.1 trust-to-untrust 3.2 trust-to-dmz 3.3 untrust-to-dmz 、防火墙的区域等等
IDEA DataGrip连接sqlserver 提示驱动程序无法通过使用安全套接字层(SSL)加密与 SQL Server 建立安全连接的解决方法
qq_53058639的博客
02-23 907
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
ensp防火墙配置
gxiaobaicn03的博客
09-24 5519
本文主要讲的是ensp中防火墙的配置，IP的配置、区域配置和安全策略的配置。
网络安全实验-eNsp防火墙配置实验
weixin_44431612的博客
12-05 4432
通过ensp去配置防火墙，通过此次实验可以学会如何使用命令行的形式去配置防火墙以及如何使用可视化界面去配置防火墙。
防火墙配置ENSP实验-USG6000V
weixin_38018494的博客
01-29 2308
内外网通过防火墙实现内外网互访的配置
华为ensp防火墙配置（纯享版）
qq_45673244的博客
11-05 4682
防火墙是生活和项目中不可或缺的一部分，本篇文章对华为的ensp防火墙配置做一个总结。在之前的dhcp配置中有软件的下载地址，需要地址的小伙伴可以去看之前的dhcp中继配置。防火墙的配置拓展很多，本文不涉及抄袭，写文的目的是解决自在配置时候的问题，并总结经验，提供一些方法给需要的同学！！！！
ENSP防火墙配置
G2511624722的博客
05-28 3234
文章介绍了ensp防火墙配置web界面，以及web界面的详细配置，内网到外网的互通，内网之间的互通，配置安全策略，安全区域等...
防火墙基础配置1_ensp防火墙配置_ensp华为防火墙配置_
09-29
这是我自己制作的关于ensp防火墙的基本配置文件
ENSP实验十二——USG5500策略配置命令验证
qq_21230015的博客
12-15 7539
一、设备清单及目标 1，设备 3台PC，1台USG5500。 2，目标 配置并验证USG5500一些策略配置命令。 二、拓扑图 三、配置 1，PC PC1作为trust区域 IP/掩码 1.1.1.1/24，GW1.1.1.254 PC2作为untrust区域 IP/掩码 2.2.2.2/24，GW2.2.2.254 PC3作为dmz区域 IP/掩码3.3.3.3/24，GW3.3.3.254 2，防火墙 要求一： trust可以访问dmz和untrust，untru
ensp 双机热备 配置_华为防火墙实现双机热备配置详解
weixin_39845347的博客
12-19 2537
一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。博文大纲：一、双机热备工作原理二、VRRP协议(1)VRRP协议概述(2)VRRP的角色(3)VRRP的状态机...
华为eNSP防火墙配置
02-21
通过命令行界面CLI进入安全策略视图下，利用`firewall zone`指令新增自定义的安全区段，如Trust（信任）、Untrust（不信任），并将相应的物理端口分配给这些逻辑分区： ```shell [Huawei] firewall zone trust ...
Call——LNS场景下的L2TP over IPSec实验配置
m0_49864110的博客
05-30 841
防火墙——图解隧道技术数据报文传输解封装过程_多谢思考的博客-CSDN博客https://blog.csdn.net/m0_49864110/article/details/124894840 目录 L2TP配置 IPSec配置 安全策略 L2TP配置 同Call-LNS场景下的L2TP配置（创建用户地址池、VT口、L2TP-Group） 路由配置也相同（只满足PC1访问PC2） IPSec配置 绿色为FW1（LAC）配置 蓝色为FW2（LNS）配置...
【ensp】防火墙------安全策略实验
m0_74355247的博客
07-11 1738
游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有访问公司门户网站和上网权限，门户网站地址10.0.3.10。5、生产区访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用。1、配置IP，创建一个测试以太网，给cloud增加端口，并给防火墙配置（开启所有允许服务、修改登录密码），划分vlan。
eNSP 防火墙配置入门
man50nai的博客
09-07 1万+
由于FTP的工作方式不止一个固定端口，还有一个协商出来的随机端口，则要确保在ASPF中勾选FTP。防火墙默认它的G0/0/0口为管理口，而在模拟器中若要进入防火墙的web界面，需要额外配置。而当策略需要放行相关服务时，列如server2提供了FTP服务，则需要在策略中选中FTP。列如左边内网访问右边公网，配置时安全区域需要自己绑定到对应接口，并且新建源目地址组。在web界面中，找到 策略---->>安全策略----->>新建策略。再进入防火墙管理口，将其ip地址配置在绑定的网卡的ip地址范围。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值