基于上篇《web登录防火墙》可能会出现的问题进行补充
1 、给接⼝配置 IP 地址(默认是存在的)
[USG6000V1]interface g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip address 192.168.0.1 24
2 、允许接⼝所有服务类型,其中包括 ping , https
[USG6000V1-GigabitEthernet0/0/0]service-manage enable //开启服务管理
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit //允许所有服务
3 、将接⼝加⼊防⽕墙安全区域
[USG6000V1]firewall zone trust //将g0/0/0加⼊trust区域
[USG6000V1-zone-trust]add interface g0/0/0
安全区域
华为防⽕墙的接⼝
华为防⽕墙的安全区域
默认安全区:Trust、DMZ、Untrust
Local区域:代表防⽕墙本⾝
主要安全级别
Untrust (⾮受信任区域):安全级别 5 ,通常⽤于定义互联⽹流量
DMZ (⾮军事化区域):安全级别 50 ,通常⽤于定义服务器区域
Trust (受信任区域):安全级别 85 ,通常⽤于定义内⽹所在区域
Local (本地区域):安全级别 100 ,该区域主要定义设备⾃⾝发起的流量,或者是抵
达设备⾃⾝的流量
受信任程度
Local>Trust>DMZUntrust
修改接⼝属于的区域,IP地址,服务类型
1 、点击接⼝,在弹窗可以修改区域类型, IP 地址等 ...
2、也可以修改允许拒绝的服务类型
3、假设将ping服务取消,并点确定
4、在ping的时候是ping不通的
5、如果在将ping服务给打开,会发现可以正常通信
配置内⽹访问外⽹
1⃣ 配置接⼝
1、配置安全区域和接⼝IP地址
2、开启接⼝的Ping服务【可选】
也可通过命令来配置IP地址、所属区域、服务类型
[USG6000V1]interface g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.254 24
[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit
[USG6000V1]interface g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip address 200.1.1.254 24
[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add interface g1/0/0
[USG6000V1]firewall zone untrust
[USG6000V1-zone-untrust]add interface g1/0/1
2⃣
配置安全策略,允许安全区域的互相访问
1、配置trust可以访问untrst
可以成功ping通
web服务也可以访问
但是服务器ping 客⼾端,不通
因为我们配置的是 trust 可以访问 untrust,⽽untrust不可以访问trust
也可⽤命令配置
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name OUT
[USG6000V1-policy-security-rule-OUT]source-zone trust
[USG6000V1-policy-security-rule-OUT]destination-zone untrust
[USG6000V1-policy-security-rule-OUT]action permit
3⃣ 配置NAT策略
1、配置EasyIP
2、抓包查看,地址发⽣了转换,转换为出接⼝地址
3、也可以配置NAPT,这⾥需要配置地址池
4、将EasyIP的启⽤的对勾去掉,或者之间删除
5、抓包查看,地址转换成了地址池中的地址
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name EasyIP
[USG6000V1-policy-nat-rule-EasyIP]source-zone trust
[USG6000V1-policy-nat-rule-EasyIP]destination-zone untrust
[USG6000V1-policy-nat-rule-EasyIP]action nat easy-ip
//1.3版本的eNSP命令:action source-nat easy-ip
[USG6000V1]nat-policy
[USG6000V1-policy-nat]undo rule name EasyIP
[USG6000V1]nat address-group pool
[USG6000V1-address-group-pool]mode pat
[USG6000V1-address-group-pool]section 200.1.1.10
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name PNAT
[USG6000V1-policy-nat-rule-PNAT]source-zone trust
[USG6000V1-policy-nat-rule-PNAT]destination-zone untrust
[USG6000V1-policy-nat-rule-PNAT]action nat address-group pool
配置服务器发布
1、将G1/0/0修改为DMZ
2、配置安全策略,允许untrust访问dmz
3、新建服务器映射,实现外⽹访问内⽹服务器