华为eNSP配置防火墙命令行放行

防火墙命令行放行

三种区域:
DMZ区域是非军事化区域，外网流量要先访问DMZ区域，DMZ从而进行更好的阻拦
trust区域是内部区域，俗称内网
untrust区域是外部区域，俗称外网
内网需要做安全策略才能访问外网，外网是不能访问内网的

准备工作:
所有设备修改名称
配置IP地址

防火墙默认阻挡所有流量通过

配置IP地址:
LSW1配置:
vlan 10
int vlan 10
undo shutdown
port-group group-member eth0/0/1 eth0/0/2
port link-type access
port default vlan 10
​
AR1配置:
int gi0/0/0
ip add 10.1.1.2 24
undo shutdown
​
int loopback 0
ip add 1.1.1.1 32
​
FW1配置:
vlan 10
int vlan 10
ip add 192.168.10.254 24
undo shutdown
int gi1/0/2
portswitch      #转换成二层接口
port link-type access
port default vlan 10    
undo shutdown
​
int gi1/0/1
ip add 10.2.2.2 24
undo shutdown
​
int gi1/0/0
ip add 10.1.1.1 24
undo shutdown

添加安全区域，放行流量

FW1配置:
firewall zone trust             #进入安全区域
add int vlan 10                 #把安全区域的接口或者vlan划分进去
quit
​
firewall zone untrust           #进入外网区域，这个区域是不能访问内网的
add int gi1/0/0                 #添加这个区域的接口
quit
​
firewall zone dmz               #进入dmz区域，这个区域是非军事区域，也就是相当于防火墙里面的第二道防火墙
add int gi1/0/1                 #添加这个区域的接口
quit

默认防火墙所有接口都是在local区域的，所以我们要放行local区域

FW1配置:
security-policy                 #建立安全策略
rule name local                 #起个名字为local
source-zone local               #默认所有接口的区域在local
action permit                   #放行流量通过

这样还不算完，这些都做了之后，其它设备还是ping不通防火墙，需要开启连接防火墙的三个接口

FW1配置:
int gi1/0/2                     #进入gi1/0/2接口
service-manager ping permit     #在接口上允许ping，如果不开这个ping，就算策略做了也不能与防火墙通信
quit
​
int gi1/0/1
service-manager ping permit
quit
​
int gi1/0/0
service-manager ping permit
quit

内网的PC1去ping通防火墙的192.168.10.254

外网的R1路由器去ping通防火墙

DMZ服务器去ping通防火墙