华为防火墙2110调试
华为防火墙操作手册-入门
目录第1章防火墙概述 ..................................................................................................................... 1-11.1 网络安全概述 ..................................................................................................................... 1-11.1.1 安全威胁.................................................................................................................. 1-11.1.2 网络安全服务分类 ................................................................................................... 1-11.1.3 安全服务的实现方法................................................................................................ 1-21.2 防火墙概述......................................................................................................................... 1-41.2.1 安全防范体系的第一道防线——防火墙................................................................... 1-41.2.2 防火墙发展历史....................................................................................................... 1-41.3 Eudemon产品简介............................................................................................................. 1-61.3.1 Eudemon产品系列 .................................................................................................. 1-61.3.2 Eudemon500/1000防火墙简介................................................................................ 1-61.3.3 Eudemon500/1000防火墙功能特性列表 ................................................................. 1-8第2章 Eudemon防火墙配置基础 .............................................................................................. 2-12.1 通过Console接口搭建本地配置环境 .................................................................................. 2-12.1.1 通过Console接口搭建 ............................................................................................. 2-12.1.2 实现设备和Eudemon防火墙互相ping通 .................................................................. 2-42.1.3 实现跨越Eudemon防火墙的两个设备互相ping通.................................................... 2-52.2 通过其他方式搭建配置环境................................................................................................ 2-62.2.1 通过AUX接口搭建 ................................................................................................... 2-72.2.2 通过Telnet方式搭建................................................................................................. 2-92.2.3 通过SSH方式搭建 ................................................................................................. 2-112.3 命令行接口....................................................................................................................... 2-122.3.1 命令行级别 ............................................................................................................ 2-122.3.2 命令行视图 ............................................................................................................ 2-132.3.3 命令行在线帮助..................................................................................................... 2-242.3.4 命令行错误信息..................................................................................................... 2-252.3.5 历史命令................................................................................................................ 2-262.3.6 编辑特性................................................................................................................ 2-262.3.7 查看特性................................................................................................................ 2-272.3.8 快捷键.................................................................................................................... 2-272.4 防火墙的基本配置............................................................................................................ 2-302.4.1 进入和退出系统视图.............................................................................................. 2-302.4.2 切换语言模式......................................................................................................... 2-302.4.3 配置防火墙名称..................................................................................................... 2-312.4.4 配置系统时钟......................................................................................................... 2-312.4.5 配置命令级别......................................................................................................... 2-312.4.6 查看系统状态信息 ................................................................................................. 2-322.5 用户管理........................................................................................................................... 2-332.5.1 用户管理概述......................................................................................................... 2-332.5.2 用户管理的配置..................................................................................................... 2-342.5.3 用户登录相关信息的配置....................................................................................... 2-372.5.4 典型配置举例......................................................................................................... 2-382.6 用户界面（User-interface）............................................................................................. 2-392.6.1 用户界面简介......................................................................................................... 2-392.6.2 进入用户界面视图 ................................................................................................. 2-402.6.3 配置异步接口属性 ................................................................................................. 2-412.6.4 配置终端属性......................................................................................................... 2-422.6.5配置Modem属性................................................................................................... 2-442.6.6 配置重定向功能..................................................................................................... 2-452.6.7 配置VTY类型用户界面的呼入呼出限制................................................................. 2-462.6.8 用户界面的显示和调试 .......................................................................................... 2-472.7 终端服务........................................................................................................................... 2-472.7.1 Console接口终端服务 ........................................................................................... 2-472.7.2 AUX接口终端服务 ................................................................................................. 2-482.7.3 Telnet终端服务...................................................................................................... 2-482.7.4 SSH终端服务......................................................................................................... 2-51第3章 Eudemon防火墙工作模式 .............................................................................................. 3-13.1 防火墙工作模式简介 .......................................................................................................... 3-13.1.1 工作模式介绍........................................................................................................... 3-13.1.2 路由模式工作过程 ................................................................................................... 3-33.1.3 透明模式工作过程 ................................................................................................... 3-33.1.4 混合模式工作过程 ................................................................................................... 3-73.2 防火墙路由模式配置 .......................................................................................................... 3-83.2.1 配置防火墙工作在路由模式..................................................................................... 3-83.2.2 配置路由模式其它参数 ............................................................................................ 3-83.3 防火墙透明模式配置 .......................................................................................................... 3-83.3.1 配置防火墙工作在透明模式..................................................................................... 3-93.3.2 配置地址表项........................................................................................................... 3-93.3.3 配置对未知MAC地址的IP报文的处理方式............................................................... 3-93.3.4 配置MAC地址转发表的老化时间........................................................................... 3-103.4 防火墙混合模式配置 ........................................................................................................ 3-103.4.1 配置防火墙工作在混合模式................................................................................... 3-103.4.2 配置混合模式其它参数 .......................................................................................... 3-113.5 防火墙工作模式的切换..................................................................................................... 3-113.6 防火墙工作模式的查看和调试.......................................................................................... 3-113.7 防火墙工作模式典型配置举例.......................................................................................... 3-123.7.1 处理未知MAC地址的IP报文 .................................................................................. 3-123.7.2 透明防火墙连接多个局域网................................................................................... 3-12第1章防火墙概述1.1 网络安全概述随着Internet的迅速发展，越来越多的企业借助网络服务来加速自身的发展，此时，如何在一个开放的网络应用环境中守卫自身的机密数据、资源及声誉已越来越为人们所关注。
FIREPOWER防火墙运行ASA的总结
Firepower 2110防火墙设备配置问题总结1.问题概述1.1.背景描述在Firepower 2110平台上运行ASA版本，在此次安装过程中，发现与普通ASA平台安装存在差异，并遇到不少问题。
1.2.问题概述✧版本升级问题Firepower 2110由FXOS底层系统和ASA系统组成，版本升级在底层平台FXOS上进行。
✧接口无法使用问题默认情况下，只有Management1/1，eth1/1和eth1/2接口是在底层平台FXOS物理启用的，并在ASA配置中以逻辑方式启用。
要使用任何其他接口，必须在底层FXOS中启用，然后在ASA配置中启用它，所以在此次安装过程中发现，虽然在ASA中将eth1/3接口no shutdown，接口始终起不来，只有FXOS中将eth1/3接口enable，ASA中接口才能正常使用。
✧NTP、clock、时区配置问题NTP、clock、时区的配置需要在FXOS底层配置，在ASA系统无法配置。
✧3DES lincese问题此次设备没有购买L-FPR2K-ENC-K9= (Strong Encryption (3DES/AES) license),在配置过程中发现SSH 无法配置v2版本，以及会影响ipsec vpn的加密方式的使用。
底层FXOS无法SSH登录问题底层FXOS默认情况下只能通过带外管理同网段的地址来SSH以及WEB登录，如果其他网段需要登录管理FXOS，则需要配置ip-bock来允许访问。
2.版本升级步骤在笔记本电脑上开启FTP服务，并使用网线连接防火墙mgmt口自动获取IP，mgmt口地址为192.168.45.1/45，FXOS平台设备默认登录帐号密码为：admin/Admin123:进入FXOS,升级步骤如下：firepower-2110# scope firmwarefirepower-2110/firmware#download imagetftp://192.168.45.10/cisco-asa-fp2k.9.8.3.18.SPAfirepower-2110 /firmware # show download-task detailfirepower-2110 /firmware # show packagefirepower-2110 /firmware # scope auto-installfirepower-2110 /firmware/auto-install # install security-pack version 9.8.3.18 Do you want to proceed ? (yes/no):yesDo you want to proceed? (yes/no):yesfirepower-2110 /firmware/auto-install # show detailadminAdmin123connect asa/fxos exi exi up3.底层将接口enblefirepower-2110# scope eth-uplinkfirepower-2110 /eth-uplink # scope fabric afirepower-2110 /eth-uplink/fabric # enter interface Ethernet1/3firepower-2110 /eth-uplink/fabric/interface # enablefirepower-2110 /system/services* # commit-buffer4.NTP、clock、时区配置✧配置时区和clockfirepower-2110# scope systemfirepower-2110 /system # scope servicesfirepower-2110 /system/services # set clock apr 18 2018 9 39 30firepower-2110 /system/services* # set timezonePlease identify a location so that time zone rules can be set correctly.Please select a continent or ocean.firepower-2110 /system/services* # commit-buffer✧NTP配置配置FXOS mgmt接口IPfirepower-2110# scope systemfirepower-2110 /system # scope servicesfirepower-2110 /system/services # disable dhcp-serverfirepower-2110 /system/services* # commit-bufferfirepower-2110# scope fabric-interconnect afirepower-2110 /fabric-interconnect # set out-of-band static ip 1.1.1.100 netmask 255.255.255.0 gw 1.1.1.1注：FXOS带外管理接口地址应与ASA中管理接口地址在同一网段，网关应与ASA管理接口的网关一致。
华为防火墙调试
防火墙说明文档一使用串口转USB加串口转网口组合，网口在防火墙端接入console口，在笔记本电脑中打开CRT选择端口后，链接到防火墙配置输入dis cu 查看防火墙基本配置，按住空格显示更多配置，查看完后输入sys 进入配置[USG2110]抬头下进行网口配置输入 interface ethernet1/0/0/6 表示进入LAN6口的端口具体端口表示多少号需要在查询防火墙配置中找到相关端口名称例如1/0/1或者2/0/0等如果该端口没有网线接口使用需要关闭接口输入 shutdown就可以成功关闭端口然后用一根网线用笔记本接入到LAN1口，LAN1口是进入WEB配置界面的口，通常情况下不要当做通讯接口使用。
在前面查询防火墙配置的时候就能看的WEB界面的IP端口，通常都是（不要以下图IP为例）用户名admin密码 Admin@123进入之后首先修改密码进入左侧的“系统”——“管理员”——“管理员”点击修改将密码统一改为 Fglyc_01 “应用”“返回”进入左侧的“网络”——安全区域——安全区域点trust的修改按钮在描述中填入描述例如此防火墙用于一二区就填“安全一区”并将不用的lan口选中并删除留需要用lan口的和lan7口 lan7口用于调试然后点“应用”、“返回”同样方法修改untrust区域如果多条链路接口不够用也可以增加lan口到untrust区再进入左侧“网络”——“接口”-“接口”中修改wan0口选择“交换”然后修改Access VLAN ID 为2 （lan0和wan0他们为一条通路时，将wan0和lan0都设同样的值就可以，这里设置为2）然后“应用”“返回”同样方法修改lan0 “应用”“返回”如果多条链路就将 Access VLAN ID值依次增加即可保证一条链路两个口的Access VLAN ID值相同即可在防火墙中找到安全策略中转发策略，新建添加两个策略Trust-untrustUntrust-trust两条策略如下图配置安全防护攻击防范1. 流量型（1）SYN Flood：启用。
华为防火墙配置使用手册(自己写)[4]
![华为防火墙配置使用手册(自己写)[4]](https://img.taocdn.com/s3/m/2085ce1fcdbff121dd36a32d7375a417866fc10f.png)
华为防火墙配置使用手册(自己写)华为防火墙配置使用手册一、概述二、防火墙基本概念包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型和端口号等信息进行过滤，不对数据包的内容进行分析。
它的优点是处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。
状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并拒绝通过。
它的优点是安全性较高，可以阻挠一些常见的攻击，但是处理速度较慢，开消较大。
应用代理防火墙：它对数据包的内容进行深度分析，可以识别出不同的应用协议和服务，并根据应用层的规则进行过滤。
它的优点是安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。
访问控制：它可以根据源地址、目的地址、协议类型、端口号、应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问权限的控制和管理。
虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数据加密传输，保证数据的机密性、完整性和可用性。
内容安全：它可以对网络流量中携带的内容进行检查和过滤，如、网页、文件等，并根据预定义的规则进行拦截或者放行。
用户认证：它可以对网络访问者进行身份验证，如用户名、密码、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。
流量管理：它可以对网络流量进行统计和监控，如流量量、流量速率、流量方向等，并根据预定义的规则进行限制或者优化。
日志审计：它可以记录并保存网络流量的相关信息，如源地址、目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询和分析的功能。
三、防火墙配置方法命令行界面：它是一种基于文本的配置方式，用户可以通过控制台或者远程终端访问防火墙，并输入相应的命令进行配置。
它的优点是灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语法和逻辑。
图形用户界面：它是一种基于图形的配置方式，用户可以通过浏览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。
华为防火墙配置使用手册(自己写)
华为防火墙配置使用手册防火墙默认的管理接口为g0/0/0，默认的ip地址为192.168.0.1/24，默认g0/0/0接口开启了dhcp server，默认用户名为admin，默认密码为Admin@123一、配置案例1.1 拓扑图GE 0/0/1：10.10.10.1/24GE 0/0/2：220.10.10.16/24GE 0/0/3：10.10.11.1/24WWW服务器：10.10.11.2/24（DMZ区域）FTP服务器：10.10.11.3/24（DMZ区域）1.2 Telnet配置配置VTY 的优先级为3，基于密码验证。
# 进入系统视图。
<USG5300> system-view# 进入用户界面视图[USG5300] user-interface vty 0 4# 设置用户界面能够访问的命令级别为level 3[USG5300-ui-vty0-4] user privilege level 3配置Password验证# 配置验证方式为Password验证[USG5300-ui-vty0-4] authentication-mode password# 配置验证密码为lantian[USG5300-ui-vty0-4]set authentication password simple lantian ###最新版本的命令是authentication-mode password cipher huawei@123配置空闲断开连接时间# 设置超时为30分钟[USG5300-ui-vty0-4] idle-timeout 30[USG5300] firewall packet-filter default permit interzone untrust local direction inbound //不加这个从公网不能telnet防火墙。
基于用户名和密码验证user-interface vty 0 4authentication-mode aaaaaalocal-user admin password cipher ]MQ;4\]B+4Z,YWX*NZ55OA!!local-user admin service-type telnetlocal-user admin level 3firewall packet-filter default permit interzone untrust local direction inbound如果不开放trust域到local域的缺省包过滤，那么从内网也不能telnet的防火墙，但是默认情况下已经开放了trust域到local域的缺省包过滤。
华为USG2100 防火墙配置文档-配置基础
1.4 配置基础举例............................................................................................................................................1-32 1.4.1 实现设备和 USG2100（WAN 口）的远程互相 ping 通...............................................................1-32 1.4.2 实现设备和 USG2100（交换 LAN 口）的远程互相 ping 通.......................................................1-34 1.4.3 实现跨越 USG2100 的两个设备互相 ping 通................................................................................1-35
华为USG2110-X快速入门
z 当3G接入时，请参见步骤a和步骤c安装SIM卡和3G天线。非3G机型，不涉及步骤a。 z USG的USB2.0接口支持插入U盘、USB 3G数据卡，以下统称为USB卡。当USB卡接入时，请参见步骤b安装USB
卡和防盗塑料件。 z USG2110-A-GW既支持双SIM卡，满足按时切换或者主备切换的需求，又支持单SIM卡，使用前需指定SIM卡槽
d 安装设备到指定位置
USG可以直接放置在干净的水平面上（如工作台），或者安装在垂直平台上（如墙体）。
安装设备到工作台上
1 确认工作台的位置：
z 工作台位于易操作、离电源插座较近的地方。 z 周围没有影响设备安装的障碍物。
2 确认工作台没有出现摇摆现象。 3 确定工作台的坚固性，足以承受USG的重量（约2kg）。
14 SIM2/UIM2防盗安装孔
15 WiFi天线接头
18 SIM1/UIM1防盗安装孔
19 ADSL接口
a：WLAN开关，用于打开和关闭WLAN功能。
当WLAN指示灯处于常亮状态时，WLAN功能已开启；此时按一下WLAN开关，可关闭WLAN功能。
b：系统复位键RESET，用于系统重启动或恢复出厂配置。 z 系统重启动：当设备处于开机状态时，按下系统复位键。 z 一键恢复出厂配置：当设备处于关机状态时，先按住系统复位键不放，之后接上电源，使设备上电。看到设备前面 板的SYS和ALM指示灯一起闪烁时，松开系统复位键。
USG2110-F后面板
USG2110-F-W前面板
1
2
USG2110-F-W后面板
USG2110-A-W前面板
2
USG2110-A-W后面板 USG2110-A-GW（WCDMA 3G）前面板 USG2110-A-GW（WCDMA 3G）后面板
华为防火墙配置使用手册(自己写)[1]
![华为防火墙配置使用手册(自己写)[1]](https://img.taocdn.com/s3/m/1f828b87970590c69ec3d5bbfd0a79563c1ed4b8.png)
华为防火墙配置使用手册(自己写)[USGxxxx] interface GigabitEthernet 0/0/1 [USGxxxx-GigabitEthernet0/0/1] ip address 192.168.1.1 24 [USGxxxx-GigabitEthernet0/0/1] quit[USGxxxx] saveThe current configuration will be written to the device.Are you sure to continue? [Y/N]:YInfo: Please input the filename(*.cfg,*.zip)[vrpcfg.zip]:(To leave the existing filename unchanged, press the enter key):It will take several minutes to save configuration file, please wt......Configuration file had been saved successfullyNote: The configuration file will take effect after being activated网络 > 接口 > 物理接口 > 编辑 > 基本信息 >华为防火墙配置使用手册一、概述二、功能介绍防火墙功能：根据用户定义的安全策略，对进出网络的数据包进行允许或拒绝的动作，实现网络隔离和访问控制。
入侵防御功能：通过内置或外置的入侵防御系统(IPS)，对网络流量进行深度分析，识别并阻断各种已知或未知的攻击行为，如端口扫描、拒绝服务、木马、漏洞利用等。
反病毒功能：通过内置或外置的反病毒引擎，对网络流量中的文件和进行扫描，检测并清除各种病毒、蠕虫、木马等恶意代码。
内容过滤功能：通过内置或外置的内容过滤引擎，对网络流量中的网页、、即时通信等应用层内容进行过滤，阻止不良或违规的信息传输，如色情、暴力、赌博等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防火墙说明文档
一
使用串口转USB加串口转网口组合，网口在防火墙端接入console口，在笔记本电脑中打开CRT选择端口后，链接到防火墙配置
输入dis cu 查看防火墙基本配置，按住空格显示更多配置，查看完后输入sys 进入配置[USG2110]抬头下进行网口配置
输入interface ethernet1/0/0/6 表示进入LAN6口的端口
具体端口表示多少号需要在查询防火墙配置中找到相关端口名称例如1/0/1或者2/0/0等如果该端口没有网线接口使用需要关闭接口
输入shutdown就可以成功关闭端口
然后用一根网线用笔记本接入到LAN1口，LAN1口是进入WEB配置界面的口，通常情况下不要当做通讯接口使用。
在前面查询防火墙配置的时候就能看的WEB界面的IP端口，通常都是192.168.0.1 （不要以下图IP为例）
用户名admin
密码Admin@123
进入之后首先修改密码进入左侧的“系统”——“管理员”——“管理员”点击修改将密码统一改为Fglyc_01 “应用”“返回”
进入左侧的“网络”——安全区域——安全区域点trust的修改按钮
在描述中填入描述例如此防火墙用于一二区就填“安全一区”并将不用的lan 口选中并删除留需要用lan口的和lan7口lan7口用于调试
然后点“应用”、“返回”
同样方法修改untrust区域如果多条链路接口不够用也可以增加lan口到untrust区
再进入左侧“网络”——“接口”-“接口”中修改wan0口
选择“交换”然后修改Access VLAN ID 为2 （lan0和wan0他们为一条通路时，将wan0和lan0都设同样的值就可以，这里设置为2）然后“应用”“返回”
同样方法修改lan0 “应用”“返回”
如果多条链路就将Access VLAN ID值依次增加即可保证一条链路两个口的Access VLAN ID值相同即可
在防火墙中找到安全策略中转发策略，新建添加两个策略
Trust-untrust
Untrust-trust两条策略
如下图配置
2.10 安全防护
2.10.1 攻击防范
1. 流量型
（1）SYN Flood：启用。
配置见下图：
（2）UDP Flood：启用，配置见下图：
（3）ICMP Flood：启用，配置见下图：
（4）ARP Flood：启用，配置见下图：
2. 应用层
（1）SIP Flood：启用，配置见下图：
（2）HTTP Flood：启用，配置见下图：
（3）Connection Flood：启用，配置见下图：
3. 扫描类
配置见下图：
4. 畸形报文类
配置见下图：
5. 特殊报文控制类
配置见下图：
2.10.2 黑名单
配置见下图：
2.10.3 白名单
不配置。
2.10.4 IP-MAC地址绑定
配置见下图：
2.11 日志配置
不使用。
2.12 其它配置
无。
2.13 保存配置
以上所有配置测试通过后，尽管这些配置立即生效，但若未保存将在掉电重启或复位后丢失，因此必须保存。