一般企业网络规划（防火墙）出口

目前很多中小企业的网络规划其实很简单 ，出口就一台防火墙，下面挂一核心交换机，其他的就是接入交换了，那要如果更快的部署使用呢，下面以华为USG防火墙为例。

一、网络拓扑如下：

配置思路：

1、配置IP地址，并加入安全域

2、配置路由信息

3、配置NAT策略

4、配置安全策略

二、登录防火墙设备，配置接口地址及接口所在的安全域

配置外网接口地址

interface GigabitEthernet1/0/0

ip address 60.30.0.1 255.255.255.0

配置防火墙内网接口

interface GigabitEthernet1/0/1

ip address 172.16.0.1 255.255.255.0

[FW]interface GigabitEthernet1/0/4

[FW]ip address 192.168.0.1 255.255.255.0

[FW]service-manage ping permit  //接口开通ping 功能

 [FW] service-manage http  permit

[FW]firewall zone trust   //加入trust 安全域【办公区域】

[FW-zone-trust]add interface g1/0/4

[FW-zone-trust]quit

[FW]firewall zone untrust //加入untrust安全区域【外网区域】

[FW-zone-untrust]add interface g1/0/0

[FW-zone-untrust]quit

[FW]firewall zone dmz  //加入dmz安全区域【服务器区域】

[FW-zone-dmz]add interface g1/0/1

[FW-zone-dmz]quit

二、配置路由信息，一般都是配置缺省路由。

[FW]ip route-static 0.0.0.0 0.0.0.0 60.30.0.100

三、配置NAT   策略

[FW]nat-policy    //创建Nat

[FW-policy-nat]rule name Trust_Internet   //NAT策略名字 Trust_Internet

[FW-policy-nat-rule-Trust_Internet]source-zone trust  //转换源trust区域

[FW-policy-nat-rule-Trust_Internet]destination-zone untrust  //转换上网区域unturst 

[FW-policy-nat-rule-Trust_Internet]source-address 192.168.0.0 0.0.0.255 //转换源地址

[FW-policy-nat-rule-Trust_Internet]service http  //开放的服务类型

[FW-policy-nat-rule-Trust_Internet]service dns

[FW-policy-nat-rule-Trust_Internet]action source-nat easy-ip   //激活   放行端口

[FW-policy-nat-rule-Trust_Internet]quit

四、配置安全区域

注备：内部区域为Trust  外网区域为Untrust

[FW]security-policy    //创建安全策略 

[FW-policy-security]rule name Trust_Intelnet    //安全策略名字

[FW-policy-security-rule-Trust_Intelnet]source-zone trust    //放行trust安全区域

[FW-policy-security-rule-Trust_Intelnet]destination-zone untrust //到untrust 安全

[FW-policy-security-rule-Trust_Intelnet]source-address 192.168.0.0 0.0.0.255  //源IP

[FW-policy-security-rule-Trust_Intelnet]service icmp //放行服务类型

[FW-policy-security-rule-Trust_Intelnet]service dns

[FW-policy-security-rule-Trust_Intelnet]service http

[FW-policy-security-rule-Trust_Intelnet]action permit   激活放行动作

[FW-policy-security-rule-Trust_Intelnet]quit

五、配置DMZ区域，一般为服务器区域

[FW]security-policy    //创建安全策略 

[FW-policy-security]rule name Trust_Intelnet    //安全策略名字

[FW-policy-security-rule-Trust_Intelnet]source-zone trust    //放行trust安全区域

[FW-policy-security-rule-Trust_Intelnet]destination-zone untrust //到untrust 安全

[FW-policy-security-rule-Trust_Intelnet]source-address 192.168.0.0 0.0.0.255  //源IP

[FW-policy-security-rule-Trust_Intelnet]service icmp //放行服务类型

[FW-policy-security-rule-Trust_Intelnet]service dns

[FW-policy-security-rule-Trust_Intelnet]service http

[FW-policy-security-rule-Trust_Intelnet]action permit   激活放行动作

[FW-policy-security-rule-Trust_Intelnet]quit

六、验证效果

测试：trust 访问dmz区域是通的，而DMZ区哉是无法访问Trust区域，因为没有放行此动作。

以下是防火墙查看会话表信息

[FW]display firewall session table  //查看会话表信息

[FW]display firewall session table verbose //查看会话表的详细信息

[FW]display firewall session table service http  //查看某个服务类型的会话信息