华为防火墙图形化操作

1. 根据实验需求配置防火墙安全策略实现全网互通

1. 华为防火墙配置命令解释

初始用户名为：admin        默认密码为：Admin@123

 

[USG6000V1]undo info-center enable       关闭防火墙日志提示信息

[USG6000V1]interf g1/0/0      进入接口

[USG6000V1-GigabitEthernet1/0/0]ip add 192.168.1.1 24     配置接口IP地址

 [USG6000V1-GigabitEthernet1/0/0]service-manage all permit   配置接口允许通过的协议all表示所有协议都通可通过

[USG6000V1]interf g1/0/1

[USG6000V1-GigabitEthernet1/0/1]ip add 61.139.2.1 24

配置接口所属类型：trust、untrust

[USG6000V1]firewall zone trust                         进入防火墙区域设置

[USG6000V1-zone-trust]add in g1/0/0                   配置该接口为trunst安全区域安全级别为85

[USG6000V1]firewall zone untrust

interface GigabitEthernet1/0/0          安全区域接口所允许的安全策略

 undo shutdown

 ip address 192.168.1.1 255.255.255.0

 service-manage http permit

 service-manage https permit

 service-manage ping permit

 service-manage ssh permit

 service-manage snmp permit

 service-manage telnet permit

通过浏览器进入web视图

密码为初次登录时更改的密码

初次登录后可配置时间

互联网接入方式设置为静态IP、可根据实际情况更改接入互联网方式

快速配置引导

上网接口设置为G1/0/1接口（互联网接口）

内网接口为G1/0/0

局域网DHCP可根基实际情况是否开启、内部用户上网是否需要重防火墙获取IP

查看快速配置条目

华为防火墙主界面

实验需求一、

1、通过配置防火墙安全策略允许内部部分员工可以上网

配置安全策略-配置名称—定义是从trust到untrust区域的用户进行上网、原地址设定允许那些用户网段可上网、动作为允许。

在主机上ping外网服务器地址查看是否可以正常通信

实验二：

2、通过配置防火墙nat策略实现内网转换地址访问外网

将原有nat策略删除

配置进入策略-新建NAT策略-新建策略-转换为类型为nat-仅原地址转换-区域trust到untrust目的类型为出接口、所有内部地址均在出接口做转换，原地址为内部用户网段地址、转换端口为出接口地址。

通过抓包工具可看到地址进行了接口转换

实验三：

1. 配置nat策略实现外部网络访问内部网络的3389接口实现远程桌面到内部PC

注：3389端口是Windows 2000(2003) Server远程桌面的服务端口

进入nat策略新建策略设置名称及备注、转换模式为：原地址和目的地同时转换-公网端口与私网端口一对一转换。源安全区域为untrust-目的地地址为untrust接口地址、服务为3389远程服务端口、可自行添加

目的地地址转换为内网需要访问的主机地址——创建3389端口如下图

在策略中：新建安全策略方行untrsu到trsu的流量通向win10主机

并设置目的地址为内网主机地址IP、服务为3389端口

通过在winserver2019上打开远程登录win+r键输入mstsc打开远程连接

实验四

1. 内网用户上网需进行用户认证

在对象中选择用户新建张三用户、设置账户密码

在认证策略中新建策略-名称填写为认证或其他、区域选择trust到untrust的流量放行启用网页认证portal

在认证选项中配置认证端口、认证通过后转换到web网页

新建安全策略-指定是安全区域到local区域并设置访问8887远程访问端口

在Windows server2019上安装web服务

在win10 上访问61.139.2.2可直接跳转到登录界面

实验五

1. 配置VPN实现出差员工访问公司内部网络

     在网络界面选则L2TP（nat）并启用、新建VPN服务、名称可自定义并设置密码、定义是隧道关联安全区域为trust、加密方式为CHAP（密文加密）

服务器地址指向untrust接口地址、用地址池可自行设置一个地址段、此地址段是给使用VPN用户登录时获取的内部地址实现访问内部网络。可设置DNS地址

策略中新建安全策略

指向untrust区域向防火墙区local区域、目的地址为外网接口地址61.139.2.1、服务选择L2TP动作允许。

在客户端win server2019上安装VPN客户端、此时可使用ping名称查看是否可以访问内网

配置客户端VPN连接方式及服务器地址-并连接

VPN建立后可正常ping通内部用户主机可建立通信

通过抓包工具可以看到VPN用户访问内网时使用的是虚拟网段172.16.1.0的网段进行访问

实验完成。