【实战中提升自己】华为华三中小型企业网络架构搭建【防火墙篇之安全策略与NAT部署】

最新推荐文章于 2025-04-20 19:30:33 发布

网络之路Blog

最新推荐文章于 2025-04-20 19:30:33 发布

阅读量781

点赞数 23

分类专栏：网络企业实战文章标签：华为华三数通基础网络之路一天数通基础华为华三网络基础华为华三数通二三层交换机组网

文章原创网络之路Blog（其他平台同名，公众号：网络之路博客），用心分享技术的IT人，主要精通思科、华为、H3C路由交换、防火墙、无线、安全系列，希望分享的技术对大家有帮助，原创不易，大家多多支持！

本文链接：https://blog.csdn.net/weixin_46948473/article/details/145346801

版权

1 拓扑与说明

某公司的网络架构，这样的架构在目前的网络中是在常见的，假设您接收一个这样的网络，应该如何部署，该实战系列，就是一步一步讲解，如何规划、设计、部署这样一个环境，这里会针对不同的情况给出不同的讲解，比如拓扑中有2个ISP，假设客户需求是，想实现主备的效果，又或者是想负载分担。DHCP部署在防火墙上面或者是单独的服务器上面又该如何配置部署。

 「模拟器、工具合集」复制整段内容
链接：https://docs.qq.com/sheet/DV0xxTmFDRFVoY1dQ?tab=7ulgil

2 防火墙篇之安全策略部署

分析防火墙需要部署哪些技术。一个防火墙的作用是能够保护内网安全，进行检测，怎么检测的呢，防火墙分区域的，当Trust区域（高级别）访问Untrust（低级别，也就是ISP网络）的时候，可以全部访问，而防火墙动态创建状态化信息，数据包从外边返回的时候，根据状态化信息来放行，而ISP的网络想主动访问内部则不行，因为低级别访问高级级别inbound的流量都是被拒绝的，除非做策略开放，所以我们第一个要做的就是策略。想要访问internt，而内网都是私网地址，需要访问ISP的话，则必须把私网地址访问成公网地址，所以必须部署NAT技术，另外有对外提供服务【比如WeB，fTP等】需要做NAT Server技术。在有多ISP的情况下，我们希望能够实现负载分担或者是备份功能，那么我们必须部署策略路由、静态路由、浮动路由、NQA或者IP-lInk技术，来动态的检测链路的状态，从而动态的切换。另外分部与出差的员工需要访问公司内网，所以还需要部署VPN技术。总结就是：1、部署Policy 2、部署Nat 3、部署双ISP出口路由与自动切换技术。4、部署VPN

3 Policy部署

说明：不同USG型号的防火墙策略默认出厂不太一样，比如用的USG 5500则默认需要配置策略放行，否则流量都不通过，只有Local到Trust一些流量默认是放行的，而USG 2200系列的话，就默认全是Permit的，不需要放行流量，如果不确定的话，可以通过命令 display firewall packet-filter default all 查看。