1.1  防火墙典型配置举例

1. 组网需求<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

该公司通过一台Quidway路由器的接口Serial 0访问Internet，公司内部对外提供WWW、FTP和Telnet服务，公司内部子网为129.38.1.0，其中，内部FTP服务器地址为129.38.1.1，内部Telnet服务器地址为129.38.1.2，内部WWW服务器地址为129.38.1.3，公司对外地址为202.38.160.1。在路由器上配置了地址转换，这样内部PC机可以访问Internet，外部PC可以访问内部服务器。通过配置防火墙，希望实现以下要求：
l              外部网络只有特定用户可以访问内部服务器
l              内部网络只有特定主机可以访问外部网络
在本例中，假定外部特定用户的IP地址为202.39.2.3。
2. 组网图

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />
                                                                                                                                                                               图1-1 防火墙配置的组网图
3. 配置步骤

# 打开防火墙功能。
[Quidway] firewall enable

# 设置防火墙缺省过滤方式为允许包通过。
[Quidway] firewall default permit

# 配置访问规则禁止所有包通过。
[Quidway] acl 101

[Quidway-acl-101] rule deny ip source any destination any

# 配置规则允许特定主机访问外部网，允许内部服务器访问外部网。
[Quidway-acl-101] rule permit ip source 129.38.1.4 0 destination any

[Quidway-acl-101] rule permit ip source 129.38.1.1 0 destination any

[Quidway-acl-101] rule permit ip source 129.38.1.2 0 destination any

[Quidway-acl-101] rule permit ip source 129.38.1.3 0 destination any

# 配置规则允许特定用户从外部网访问内部服务器。
[Quidway] acl 102

[Quidway-acl-102] rule permit tcp source 202.39.2.3 0 destination 202.38.160.1 0

# 配置规则允许特定用户从外部网取得数据（只允许端口大于1024的包）。
[Quidway-acl-102] rule permit tcp source any destination 202.38.160.1 0.0.0.0 destination-port greater-than 1024

# 将规则101作用于从接口Ethernet0进入的包。
[Quidway-Ethernet0] firewall packet-filter 101 inbound

# 将规则102作用于从接口Serial0进入的包。
[Quidway-Serial0] firewall packet-filter 102 inbound