华为防火墙的基本安全策略

280、常见的安全策略的配置

实验topo：

①做安全策略，让trust 区域的PC1 可以ping untrust区域；

命令行配置：

#

security-policy

 default action permit

 rule name trust_untrust

  source-zone trust

  destination-zone untrust

  source-address 192.168.1.0 24

  service icmp

  action permit

#

web界面配置：

测试实验结果：

②做安全策略，让trust区域的PC2 可以访问untrust区域的ftp服务器；

#

security-policy

 rule name trust_untrust_ftp

  source-zone trust

  destination-zone untrust

  source-address 192.168.1.3 32

  destination-address 6.6.6.6 32

  service ftp

  action permit

#

web 界面操作：

测试实验结果：

③做安全策略，让trust区域的PC3 可以访问untrust区域的http服务器；

#

security-policy

 rule name trust_untrust_http

  source-zone trust

  destination-zone untrust

  source-address 192.168.1.4 32

  destination-address 9.9.9.9 32

  service http

  action permit

#

web界面操作：

测试实验结果：

④做安全策略，让trust区域的PC可以访问DMZ区域的服务器；

#

 rule name trust_dmz

  source-zone trust

  destination-zone dmz

  source-address 192.168.1.0 24

  destination-address 172.16.1.2 32

  service http

  service ftp

  service icmp

  action permit

#

web界面配置:

测试实验结果：

ping 测试：

http服务测试：

ftp服务测试：

⑤ 做安全策略，让untrust区域 的PC可以访问dmz区域的http 服务；

#

 rule name untrust_dmz_http

  source-zone untrust

  destination-zone dmz

  destination-address 172.16.1.2 32

  service http

  action permit

#

配置server nat 映射

#

 nat server dmz_untrust 0 global 202.1.1.1 inside 172.16.1.2

#

web 界面配置：

测试结果：