一个实验练习irf堆叠、聚合链路、防火墙安全域，安全策略

网络拓扑图，如下图。使用防火墙隔开两个网络，分别是10.1.1.0/24和192.168.1.0/24。实现目标是左侧网络可以访问右侧，右侧不能访问左侧，为实现左侧网络高可靠配置堆叠。

第一步配置防火墙
登陆防火墙配置网关和安全域和安全策略
username:admin
password:admin
#创建vlan 左侧在vlan100 右侧在vlan11
vlan 100 11
#创建三层链路聚合
int route-aggregation 10
qu
#将G1/0/2 G1/0/3添加到聚合链路10中
int range G1/0/2 G1/0/3
port link-aggregation group 10
qu
#查看聚合情况
dis link-aggregation vebose

#创建子接口配置IP
int route-aggregation 10.100
ip add 10.1.1.1 24
#dot1q终结子接口实现vlan通信。
vlan-type dot1q vid 100
#创建G1/0/1子接口并配置IP
int G1/0/1.11
ip add 192.168.1.1 24
vlan-type dot1q vid 11
#查询配置结果
dis int brief
#将相应接口加入到安全域。（所有接口“包括虚拟接口”都要加入到域才能够通信）
security-zone trust
import int route-aggragetion 10
import int route-aggregation 10.100
qu
security-zone untrust
import int G1/0/1
import int G1/0/1.11
qu
#查看配置结果
dis security-zone

#配置安全策略，实现左侧网络能够访问右侧单右侧无法访问左侧。
#H3C防火墙支持ipv6的策略，在配置是需要指定自己配置的策略是针对ipv4还是ipv6
security-policy ip
rule name trust-untrust
source-zone trust
destionction-zone untrust
source-ip 10.1.1.0
destination-ip 192.168.1.0
action pass
qu
#为验证10.1.1.10访问防火墙网关，测试连通性，需添加trust对local的访问。
rule name trust-local
source-zone trust
destination-zone local
source-ip-host 10.1.1.10
destination-ip-host 10.1.1.1
action pass
qu

第二部配置堆叠
堆叠设备的irf链路需要使用FGE1/0/53接口，这是一个带宽40G的口
#第一部登陆irf 1设备,配置优先级 0-32 数值越大优先级越高
irf member 1 priority 32
#登陆irf 2 配置设备号为2,然后重启才能生效。
irf member 1 renumber 2
save
qu
reboot

#登陆1配置irf链路，要加入到irf链路的接口需要先关闭接口
int F1/0/53
shutdown
qu
irf-port 1/2
port group int F1/0/53
qu
int F1/0/53
undo shutdown
save
irf-port-configure active

#登陆2设备配置irf链路
int F2/0/53
shutdown
qu
irf-port 2/1
port group int F2/0/53
qu
int F2/0/53
undo shutdown
qu
save
irf-port-configure active

查看堆叠状态
dis irf configure
dis irf link
#链路都是up状态后配置mad bfd 防止irf链路中断出现双主现象
vlan 21
qu
int range G1/0/20 G2/0/20
port access vlan 21
qu
int vlan 21
mad bfd enable
mad ip add 192.168.10.1 24 member 1
mad ip add 192.168.10.2 24 member 2
qu
#配置二层聚合对接防火墙
int bridge-aggregation 10
qu
int range G1/0/1 G2/0/1
port link-aggregation group 10
qu
int bridge-aggregation 10
port link-type trunk
port trunk permit vlan 100
qu
int G1/0/10
port access vlan 100
qu
#配置pcIP就可以访问防火墙了。

#左侧交换机配置就比较简单了只要实现携带vlan11的标签到达防火墙即可。
至此就是先了我们的需求。