华为Eudemon防火墙NAT配置实例

合集下载

Eudemon系列防火墙

强大的抗攻击能力
支持多样的配置和认证方式
Eudemon
电信级可靠性
防火墙
丰富业务特性优良的支持多种业务可 VPN和加密扩充性算法高速 NAT ，支持多种接口和工支持丰富的ALG 作模式
20
基于改进的状态检测安全技术
包过滤防火墙：
早期防火墙就是简单的包过滤防火墙，只支持静态

强大的认证系统，可支持本地和Radius认证服务器认证。
和防火墙配套的日志系统管理也支持严格的用户认证，日志数据库加密存储。

14
Eudemon防火墙基本规格
E100
接口数量自带 2 个 10/100M 以太网口，另有 2 个扩展接口插槽接口类型 10/100M以太网
E200
自带 2 个 10/100M 以太网口。, 2个扩展接口插槽 10/100M 以太网， E1、ATM接口
RTSP、H.323、SIP、HTTP等应用进行状态检测。

支持端口到应用映射，隐藏内部知名端口。支持丰富的NAT应用，利用NAT方式组网可进一步提高安全性。 11

Eudemon防火墙主要特点
高性能：

采用华为3Com专利技术，提供业界领先的ACL高速算法，性能与ACL数目无关。高端防火墙采用了网络处理器，达到3G线速。

产品开发采用IPD和CMM流程，最大程度保证产品质量可靠。
路由备份功能。支持双机状态热备。

高安全：

专门为防火墙设计的硬件结构。
具有自主知识产权的安全操作系统。内置IDS功能，对网上几十种攻击进行检测和防范。具有与IDS联动功能，通过与IDS配合防御不断出现的新的攻击方式。

Eudemon8000E 产品文档 V300R001_10 省干网旁挂NAT组网场景

省干网旁挂NAT组网场景目录5.2.2 省干网旁挂NAT组网场景5.2.2.1 组网需求5.2.2.2 业务规划5.2.2.3 配置流程5.2.2.4 配置步骤5.2.2.5 结果验证5.2.2.6 配置脚本5.2.2 省干网旁挂NAT组网场景∙组网需求∙业务规划∙配置流程∙配置步骤∙结果验证∙配置脚本父主题：典型配置案例5.2.2.1 组网需求背景介绍随着Y运营商各个省公司城域网建设的完成，Y运营商的客户发展策略重点都转移到了宽带业务上。

但是Y运营商的公网IP地址较少，阻碍了宽带业务的发展。

在这种情况下，Y运营商提出了在省骨干网出口的核心路由器上旁挂防火墙设备进行NAT地址转换的方案。

除专线用户和IDC用户外，其他用户都使用私网地址进行NAT转换访问公网，以满足宽带业务的发展需求。

Y运营商的省公司城域网简化示意图如图1所示。

图1 省公司城域网示意图在现有网络中增加防火墙设备后的示意图如图2所示，本案例中，防火墙设备采用Eudemon8000E。

图2 增加防火墙设备后省公司城域网示意图对Eudemon8000E的要求如下：∙每台Eudemon8000E通过4条10GE链路分别与两台省核心路由器相连，确保链路的可靠性。

∙两台Eudemon8000E开启双机热备功能，采用主备备份方式，增强组网的可靠性。

∙两台Eudemon8000E之间使用4条1GE链路互连，将这4条1GE链路捆绑为Eth-Trunk链路，既可以提高双机热备功能的可靠性，又可以增加备份通道的带宽。

∙两台Eudemon8000E与省核心路由器之间运行OSPF协议，OSPF与HRP协议联动，用来控制流量的转发路径。

业务分析下面分别在链路正常和链路发生故障两种情况下，对地市城域网发送至外网、以及外网发送至地市城域网的流量转发路径进行分析。

链路正常时，地市城域网发送至外网的流量（上行流量）转发路径如图3所示。

该情况下流量转发路径说明：∙两台Eudemon8000E形成主备方式的双机热备，Eudemon8000E_A为主用防火墙，Eudemon8000E_B为备用防火墙。

华为Eudemon配置文档

华为Eudemon配置文档Eudemon防火墙的双机热备份需要三个协议的支持：VRRP（Virtual Router Redundancy Protocol）是由RFC2338定义的一种容错协议，通过实现物理设备和逻辑设备的分离，实现在多个出口网关之间进行选路。

VGMP（VRRP Group Management Protocol）是华为公司为防止VRRP状态不一致现象的发生，在VRRP的基础上自主开发出的扩展协议。

该协议负责统一管理加入其中的各备份组VRRP的状态。

HRP（Huawei Redundancy Protocol）协议用来进行防火墙的动态状态数据的实时备份。

此配置文档适用于不支持VGMP的Eudemon系统版本，该系统默认有master 和slave两个管理组，master用于管理主防火墙VRRP备份组，slave用于管理备防火墙VRRP备份组，主要区别体现在它们的优先级上。

一、Eudemon双机配置的二个步骤如下：1、接口划分和VRRP备份组配置[Eudemon]firewall zone trust[Eudemon-zone-untrust] add interface GigabitEthernet0/0/0[Eudemon]firewall zone untrust[Eudemon-zone-untrust] add interface GigabitEthernet5/0/0[Eudemon]firewall zone dmz[Eudemon-zone-dmz] add interface GigabitEthernet0/0/1[Eudemon-zone-dmz] add interface GigabitEthernet6/0/0注：Eudemon防火墙默认有四个区域，local（本机）、untrust（连接外网）、trust （连接内网）、dmz（中立区），安全级别系数分别是100、5、85、50，这四个默认区域不能删除，也不能修改安全级别系数；并且四个区域默认是不允许所有IP 进行互访的。

移动防火墙安全配置规范-华为

防火墙安全配置规范要求内容使能aaa认证或password或local认证，不要使用authentication-mode none 操作指南1、参考配置操作user-interface con 0authentication-mode aaa2、补充操作说明无。

检测方法1、判定条件用配置中没有的用户名去登录，结果是不能登录2、检测操作display current-configuration | begin con 03、补充说明缺省用户名口令是 eudemon eudemon。

要求内容使能aaa认证或password或local认证，不要使用authentication-mode none 操作指南1、参考配置操作user-interface aux 0authentication-mode aaa2、补充操作说明无。

检测方法1、判定条件用配置中没有的用户名去登录，结果是不能登录2、检测操作display current-configuration | begin aux 03、补充说明缺省不验证。

要求内容使能aaa认证或password或local认证，不要使用authentication-mode none 对登录用用户网段做acl限制建议使用SSH方式登录。

防火墙ssh只支持1.5的版本，不支持2.0的版本。

操作指南1、参考配置操作user-interface vty 0 4acl 3000 inboundprotocol inbound sshauthentication-mode aaa2、补充操作说明无。

检测方法1、判定条件用配置中没有的用户名去登录，结果是不能登录，在不允许的网段无法登录，2、检测操作display current-configuration | begin vty3、补充说明无。

要求内容尽可能不要配置域间的缺省规则，特别的不要配置firewall packet-filter default permit all尽可能在域间应用包过滤规则本例就是配置firewall packet-filter default permit all的显示结果。

华为Eudemon1000双机配置

双机热备配置举例目录1双机热备配置举例1.1 配置主备备份方式下的双机热备1.2 配置负载分担方式上下行设备是路由器的双机热备1.3配置负载分担方式下业务接口工作在交换模式的双机热备1.4 配置主备备份方式下VRRP 和OSPF 结合的双机热备1.5 配置主备备份方式下OSPF 与NAT 结合的双机热备1双机热备配置举例通过配置双机热备功能，可以确保主用设备出现故障时能由备份设备平滑地接替工作。

配置主备备份方式下的双机热备Eudemon 作为安全设备部署在业务节点上，上下行设备均是交换机，实现主备备份的双机热备份组网。

配置负载分担方式上下行设备是路由器的双机热备Eudemon 作为安全设备部署在业务节点上，上下行设备均是路由器，实现负载分担的双机热备份组网。

配置负载分担方式下业务接口工作在交换模式的双机热备Eudemon 上下行设备均是路由器，主备设备的业务接口工作在交换模式下，在上下行路由器之间透传OSPF 协议，同时对业务流量提供安全过滤功能。

配置主备备份方式下VRRP和OSPF结合的双机热备主备设备与路由器运行OSPF协议，与交换机运行VRRP , 实现主备备份的双机热备份组网。

配置主备备份方式下OSPF与NAT结合的双机热备主备设备与路由器及下行设备GGSN设备运行OSPF协议，在设备上配置NAT功能，实现主备备份的双机热备份组网。

父主题：典型配置案例1.1配置主备备份方式下的双机热备Eudemon作为安全设备部署在业务节点上，上下行设备均是交换机，实现主备备份的双机热备份组网。

组网需求Eudemon作为安全设备被部署在业务节点上。

其中上下行设备均是交换机，Eudemon_A、Eudemon_B分别充当主用设备和备用设备。

网络规划如下：•内部网络通过路巾器与Eudemon_A、Eudemon_B 的GigabitEthernet 0/0/2接口相连，部署在Trust区域。

•外部网络通过路由器与Eudemon_A、Eudemon_B 的GigabitEthernet 0/0/1接口相连，部署在Untrust区域。

华为Eudemon防火墙NAT配置实例

[原创]华为Eudemon防火墙NAT配置实例Post By：2007-7-11 11:35:00贴一下我公司里防火墙的配置，希望能够起到抛砖引玉的作用。

具体外网IP和内网ARP绑定信息已经用“x”替代，请根据实际情况更换。

“／／”后面的部分是我导出配置后添加的注释。

防火墙型号为华为Eudemon 200，E0/0/0口为外网接口，E0/0/1口为内网。

另外此配置方法也完全适用于华为Secpath系列防火墙，略加改动也可适用于华为AR系列路由器。

------------------------------------------传说中的分隔线------------------------------------------#sysname Eudemon／／设置主机名#super password level 3 simple xxxxxxxx／／Ｓｕｐｅｒ密码为xxxxxxxx #firewall packet-filter default permit interzone local trust direction inboundfirewall packet-filter default permit interzone local trust direction outboundfirewall packet-filter default permit interzone local untrust direction inboundfirewall packet-filter default permit interzone local untrust direction outboundfirewall packet-filter default permit interzone local dmz direction inboundfirewall packet-filter default permit interzone local dmz direction outboundfirewall packet-filter default permit interzone trust untrust direction inboundfirewall packet-filter default permit interzone trust untrust direction outboundfirewall packet-filter default permit interzone trust dmz direction inboundfirewall packet-filter default permit interzone trust dmz direction outboundfirewall packet-filter default permit interzone dmz untrust direction inboundfirewall packet-filter default permit interzone dmz untrust direction outbound／／设置默认允许所有数据包通过#青岛IT社区提醒：本地交易眼见为实，当面验货！不要嫌麻烦！交易地点建议在人多地方，防止抢劫！QQ:支持(0) 中立(0) 反对(0)wanghaoqd 小大 2楼个性首页| QQ| 信息| 搜索| 邮箱| 主页| 手机号码所在地查询|加好友发短信蛋白超人等级：退役版主帖子：206 7积分：185 威望：5精华：1 注册：2004-3-24Post By：2007-7-11 11:35:00nat address-group 1 ／／将ＩＳＰ分配的公网ＩＰ加入地址池１nat server global insidenat server global insidenat server global insidenat server global insidenat server global inside ／／将几个公网ＩＰ地址映射到内部服务器nat alg enable ftpnat alg enable dnsnat alg enable icmpnat alg enable netbiosundo nat alg enable h323undo nat alg enable hwccundo nat alg enable ilsundo nat alg enable pptpundo nat alg enable qqundo nat alg enable msnundo nat alg enable user-defineundo nat alg enable rtspfirewall permit sub-ip#firewall statistic system enable#interface Aux0async mode flowlink-protocol ppp#interface Ethernet0/0/0ip address ／／设置外网端口ＩＰ地址，此处为网通分配的内部私有ＩＰ，#interface Ethernet0/0/1ip address ／／设置内网ＩＰ地址，采用#interface NULL0#acl number 2000rule 0 permit source ／／ACL 2000，目的是只允许rule 1 deny#acl number 3001rule 0 deny udp destination-port eq 445rule 1 deny udp destination-port eq netbios-nsrule 2 deny udp destination-port eq netbios-dgmrule 3 deny udp destination-port eq netbios-ssnrule 4 deny udp destination-port eq 1434rule 5 deny tcp destination-port eq 135rule 6 deny tcp destination-port eq 139rule 7 deny tcp destination-port eq 389rule 8 deny tcp destination-port eq 445rule 9 deny tcp destination-port eq 636rule 10 deny tcp destination-port eq 1025rule 11 deny tcp destination-port eq 1503rule 12 deny tcp destination-port eq 3268rule 13 deny tcp destination-port eq 3269rule 14 deny tcp destination-port eq 4444rule 15 deny tcp destination-port eq 5554rule 16 deny tcp destination-port eq 5800rule 17 deny tcp destination-port eq 5900rule 18 deny tcp destination-port eq 9996rule 19 deny tcp destination-port eq 6667／／ACL 300 1，关闭常见蠕虫病毒使用的端口#firewall zone localset priority 100QQ:支持(0) 中立(0) 反对(0)wanghaoqd 小大 3楼个性首页| QQ| 信息| 搜索| 邮箱| 主页| 手机号码所在地查询|加好友发短信蛋白超人等级：退役版主帖子：206 7积分：185 威望：5精华：1 注册：2004-3-24Post By：2007-7-11 11:36:00#firewall zone trustset priority 85add interface Ethernet0/0/1／／将E0/ 0/1口加入TRUST区#firewall zone untrustset priority 5add interface Ethernet0/0/0 ／／将E0/0/0口加入UN TRUST区#firewall zone dmzset priority 50#firewall interzone local trustpacket-filter 3001 inbound／／在LO CAL到TRUST方向应用ACL 3001号#firewall interzone local untrustpacket-filter 3001 inbound／／在LO CAL到UNTRUST方向应用ACL 3001号#firewall interzone local dmz#firewall interzone trust untrustnat outbound 2000 address-group 1 ／／在TRUST到U NTRUST的方向做NAT，使用2000号ACL#firewall interzone trust dmz#firewall interzone dmz untrust#aaalocal-user admin password cipher A^.5<+_KCH)./a!1$H@GYA!!／／建立用户admin，密码为密文local-user admin level 3 ／／用户权限为3（最高级）authentication-scheme default#authorization-scheme default#accounting-scheme default#domain default##arp static xxxx-xxxx-xxxx／／做ＩＰ和ＭＡＣ地址绑定arp static xxxx-xxxx-xxxxarp static xxxx-xxxx-xxxxarp static xxxx-xxxx-xxxxarp static xxxx-xxxx-xxxxarp static xxxx-xxxx-xxxx…………………………／／省略许多行......arp static 1111-1111-1111arp static 1111-1111-1111arp static 1111-1111-1111arp static 1111-1111-1111arp static 1111-1111-1111／／把不使用的ＩＰ与不存在的#ip route-static ／／设置缺省路由，此处ＩＰ地址为网通内部ＩＰ，#snmp-agentsnmp-agent local-engineid 000007DB7F00000Dsnmp-agent community read xxxxxxsnmp-agent community write xxxxxxsnmp-agent sys-info version all／／设置SNMP参数，以使用网管软件来监控#user-interface con 0user-interface aux 0user-interface vty 0 4authentication-mode aaa／／设置VTY口的认证模式为AAA#returnQQ:支持(0) 中立(0) 反对(0) pladin123小大 4楼个性首页| 信息| 搜索| 邮箱| 主页| 手机号码所在地查询|加好友发短信等级：QDIT游民帖子：23 8积分：1309 威望：0 精华：0 注册：2007-3-30 16:0 4:00Post By：2007-7-23 13:12:00楼上的这种方法带宽方面的如何的呢？内网所有都用一个IP，那不是浪费了吗还有我们和美国视频会议的时候，会不会有影响。

华为防火墙NAT配置命令

私网用户通过NAPT方式访问Internet（备注：在这种环境中，外网只能ping通外网口，公网没有写入到内网的路由，所以前提是内网只能ping通外网口，但走不到外网口以外的网络，做了NAT之后，内网可以通外网任何网络，但是外网只能ping到本地内网的外网口。

）本例通过配置NAPT功能，实现对少量公网IP地址的复用，保证公司员工可以正常访问Internet。

组网需求如图1所示，某公司内部网络通过USG9000与Internet相连，USG9000作为公司内网的出口网关。

由于该公司拥有的公网IP地址较少（202.169.1.21～202.169.1.25），所以需要利用USG9000的NAPT功能复用公网IP地址，保证员工可以正常访问Internet。

图1 配置私网用户通过NAPT方式访问Internet组网图配置思路1.完成设备的基础配置，包括配置接口的IP地址，并将接口加入安全区域。

2.配置安全策略，允许私网指定网段访问Internet。

3.配置NAT地址池和NAT策略，对指定流量进行NAT转换，使私网用户可以使用公网IP地址访问Internet。

4.配置黑洞路由，防止产生路由环路。

操作步骤1.配置USG9000的接口IP地址，并将接口加入安全区域。

# 配置接口GigabitEthernet 1/0/1的IP地址。

<USG9000> system-view[USG9000] interface GigabitEthernet 1/0/1[USG9000-GigabitEthernet1/0/1] ip address 10.1.1.10 24[USG9000-GigabitEthernet1/0/1] quit# 配置接口GigabitEthernet 1/0/2的IP地址。

[USG9000] interface GigabitEthernet 1/0/2[USG9000-GigabitEthernet1/0/2] ip address 202.169.1.1 24[USG9000-GigabitEthernet1/0/2] quit# 将接口GigabitEthernet 1/0/1加入Trust区域。

华为Eudemon一道门防火墙

配置路由模式下负载分担的双机热备份两台Eudemon和4台路由器之间运行OSPF协议Eudemon上下行业务端口加入到同一个link-group管理组，在链路故障时候能加快路由收敛。

Eudemon的双机热备份功能基于VRRP实现，Eudemon的HRP备份链路上配置两个VRRP 组分别加入VGMP管理组的Master管理组和Slave管理组，组成负载分担网络。

PC0所在LAN为受保护区域，Eudemon的GE0/0/1端口连接，部署在Trust区域。

外部网络和Eudemon的GE0/0/3相连，部署在Untrust区域。

两台Eudemon之间互联的HRP备份通道接口GE0/0/2部署在DMZ区域。

其中DMZ区域对应的VRRP组虚拟地址分别为10.100.50.5和10.100.50.6步骤1配置Eudemon A。

<Eudemon> system-view[Eudemon] interface gigabitethernet 0/0/1[Eudemon-GigabitEthernet 0/0/0] ip address 10.100.10.2 24[Eudemon-GigabitEthernet 0/0/0] quit[Eudemon] interface gigabitethernet 0/0/2[Eudemon-GigabitEthernet 0/0/1] ip address 10.100.50.2 24[Eudemon-GigabitEthernet 0/0/1] quit[Eudemon] interface gigabitethernet 0/0/3[Eudemon-GigabitEthernet 0/0/2] ip address 10.100.30.2 24[Eudemon-GigabitEthernet 0/0/2] quit[Eudemon] firewall zone trust[Eudemon-zone-trust] add interface gigabitethernet 0/0/1[Eudemon-zone-trust] quit[Eudemon] firewall zone dmz[Eudemon-zone-dmz] add interface gigabitethernet 0/0/2[Eudemon-zone-dmz] quit[Eudemon] firewall zone untrust[Eudemon-zone-untrust] add interface gigabitethernet 0/0/3[Eudemon-zone-untrust] quit[Eudemon] interface gigabitethernet 0/0/1[Eudemon-GigabitEthernet 0/0/0] link-group 1[Eudemon-GigabitEthernet 0/0/0] quit[Eudemon] interface gigabitethernet 0/0/3[Eudemon-GigabitEthernet 0/0/1] link-group 1[Eudemon-GigabitEthernet 0/0/1] quit# 配置统一安全网关的缺省过滤规则。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

[原创]华为Eudemon防火墙NAT配置实例Post By：2007-7-11 11:35:00
贴一下我公司里防火墙的配置，希望能够起到抛砖引玉的作用。

具体外网IP和内网ARP绑定信息已经用“x”替代，请根据实际情况更换。

“／／”后面的部分是我导出配置后添加的注释。

防火墙型号为华为Eudemon 200，E0/0/0口为外网接口，E0/0/1口为内网。

另外此配置方法也完全适用于华为Secpath系列防火墙，略加改动也可适用于华为AR系列路由器。