详解USG5500防火墙基础配置

详解USG5500防火墙基础配置Trust、DMZ、Untrust

 

组网要求：

1、本实验中的防火墙为USG5500系列防火墙；

2、 防火墙三个接口的IP地址按照上图所示进行配置；将这三个接口划入相应的安全域；

3、配置防火墙的域间包过滤策略，使得PC1能够主动访问PC2，但是PC2无法主动访问PC1；PC2能够主动访问WebServer的WEB服务。

一、eNSP实际操作视频：

26:56

二、主要知识点：

防火墙中的DMZ区域，Trust区域，Untrust区域的作用：

1、安全策略都基于区域实施。

2、在同一区域内部发生的数据流动是不存在风险的，不需要实施任何安全策略。
只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相应的安全策略。
3、一个接口只能属于一个区域，而一个区域可以有多个接口。

DMZ区域：1。两个防火墙之间的空间被称为DMZ。与Internet相比，DMZ可以提供更高的安全性，但是其安全性比内部网络低。
4、服务器内外网都可以访问，但还是与内网隔离。就算是黑客把DMZ服务器拿下，也不能使用服务器来控制内网的网络。起到安全的策略。

Trust区域：可信任的接口。是局域网的接口，此接口外网和DMZ无法访问，外部不能访问trust口，DMZ不能访问trust口。
Untrust区域：不信任的接口，是用来接internet的，这个接口的信息内网不接受，可以通过untrust口访问DMZ，但不能访问trust口。

重点：

华为防火墙系统默认的系统默认区域有四个，且优先级不能更改：非受信区(Untrust) 优先级5，非军事化区(DMZ)优先级50，受信区(Trust) 优先级85，本地区域(Local) 优先级100；如不满组网需求，可自行创建安全区域，数量最大为16个(包含默认4个)，但是优先级不能与现有区域优先级相同。

说明：
1、域基本分为：local、trust、dmz、untrust这四个是系统自带不能删除，除了这四个域之外，还可以自定义域。
2、域等级local>trust>dmz>untrust，自定义的域的优先级是可以自己调节的。
3、域与域之间如果不做策略默认是deny的，即任何数据如果不做策略是通不过的，如果是在同一区域的就相当于二层交换机一样直接转发。
4、当域与域之间有inbound和outbound区分，华为定义了优先级低的域向优先级高的域方向就是inbound，反之就是outbound

三、IP设置：

PC1:192.168.1.1/24，trust

PC2:10.1.1.1/24，untrust

Server1:172.16.1.1/24，DMZ

FW1:192.168.1.254/24，172.16.1.254/24，10.1.1.254/24

四、配置步骤：

如果在eNSP中进行这个实验，由于涉及到WEB客户端及服务器，因此可以PC2可以使用“终端”设备中的Client来模拟