华为防火墙单臂路由配置

今天给大家带来华为USG6600系列防火墙的配置文章。本文主要内容是使用防火墙作为单臂路由实现VLAN的网关功能，进而实现网络互通。

一、实验要求及拓扑

实验拓扑如上所示，现在要求配置FW的路由功能，按照图中要求配置单臂路由，实现PC1和PC2之间互通。

二、实验配置

（一）子接口相关配置

在防火墙上配置单臂路由，只需要指名接口的VLAN，以及子接口的IP地址即可，相关配置如下所示：

interface GigabitEthernet1/0/1.10
 vlan-type dot1q 10
 ip address 192.168.10.254 255.255.255.0
#
interface GigabitEthernet1/0/1.20
 vlan-type dot1q 20
 ip address 192.168.20.254 255.255.255.0

（二）区域和安全策略相关配置

与路由器不同，要配置防火墙的相关功能，就必须将指定接口划分到指定的域后该接口才可以正常使用。在本实例中，不仅与交换机直连的物理接口要划分到域中，虚拟的单臂路由子接口也要划分到域中。此外，还需要配置相应的安全策略。相关配置如下所示：

security-policy
 default action permit
firewall zone trust
 set priority 85
 add interface GigabitEthernet1/0/1
 add interface GigabitEthernet1/0/1.10
 add interface GigabitEthernet1/0/1.20

三、实验效果

配置完成后，PC1和PC2之间可以实现互通，实验效果如下：

四、附录——FW1代码

FW1相关代码附录如下：

interface GigabitEthernet1/0/1
 undo shutdown
#
security-policy
 default action permit
#
interface GigabitEthernet1/0/1.10
 vlan-type dot1q 10
 ip address 192.168.10.254 255.255.255.0
#
interface GigabitEthernet1/0/1.20
 vlan-type dot1q 20
 ip address 192.168.20.254 255.255.255.0
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/1
 add interface GigabitEthernet1/0/1.10
 add interface GigabitEthernet1/0/1.20

原创不易，转载请说明出处：https://blog.csdn.net/weixin_40228200/article/details/119065690