华为防火墙web配置教程,华为防火墙典型案例[优质ppt]
华为防火墙的使用手册
华为防火墙的使用手册第一章：产品概述1.1 产品介绍本手册是为了帮助用户更好地使用华为防火墙（以下简称“防火墙”）而编写的。
防火墙是一种能够有效防范网络攻击和保护网络安全的设备，具有强大的安全防护功能和丰富的网络管理功能。
1.2 产品特点防火墙具有以下主要特点：- 能够进行安全审计和监控网络流量，实时检测和阻断潜在的威胁；- 具有灵活的策略配置和管理功能，可以根据实际需求进行定制化设置；- 支持多种安全协议和加密算法，确保网络数据的安全传输；- 具备高性能处理能力和可靠的硬件设施，能够满足大规模企业网络的安全需求。
第二章：硬件配置与安装2.1 硬件配置在使用防火墙之前，首先需要了解防火墙的硬件配置参数。
包括防火墙型号、CPU、内存、接口类型和数量等信息。
用户可以根据网络规模和安全需求选择适合的防火墙型号。
2.2 安装用户在安装防火墙时需要注意以下几点：- 将防火墙设备固定在防火墙机架上，并连接电源线；- 将防火墙设备与网络设备相连，包括连接入口路由器、交换机等；- 安全接入外部网络，并配置相关网络参数。
第三章：软件配置与管理3.1 系统初始化用户在首次接入防火墙时，需要进行系统初始化配置，包括设置管理员账号、密码、管理IP等信息。
确保只有授权的人员可以管理和操作防火墙。
3.2 策略配置配置防火墙的安全策略是非常重要的一项工作。
用户可以根据实际情况制定入站、出站、NAT、VPN等各类安全策略，以确保网络安全。
3.3 安全管理防火墙还具有安全管理功能，包括安全审计、日志记录、攻击防护等功能。
用户可以通过安全管理功能监控网络流量、分析安全事件并采取相应措施。
第四章：故障排除与维护4.1 系统状态监控防火墙设备可通过监控系统状态来查看硬件运行状况、网络流量情况等，及时发现故障并进行处理。
4.2 故障排除当防火墙出现故障时，用户可以通过系统日志、告警信息等来分析故障原因，并进行相应的处理和维护。
4.3 定期维护为了保持防火墙设备的稳定运行，用户需要对设备进行定期的维护工作，包括固件升级、系统优化、安全漏洞补丁安装等。
华为防火墙配置使用手册(自己写)[4]
![华为防火墙配置使用手册(自己写)[4]](https://img.taocdn.com/s3/m/2085ce1fcdbff121dd36a32d7375a417866fc10f.png)
华为防火墙配置使用手册(自己写)华为防火墙配置使用手册一、概述二、防火墙基本概念包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型和端口号等信息进行过滤，不对数据包的内容进行分析。
它的优点是处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。
状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并拒绝通过。
它的优点是安全性较高，可以阻挠一些常见的攻击，但是处理速度较慢，开消较大。
应用代理防火墙：它对数据包的内容进行深度分析，可以识别出不同的应用协议和服务，并根据应用层的规则进行过滤。
它的优点是安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。
访问控制：它可以根据源地址、目的地址、协议类型、端口号、应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问权限的控制和管理。
虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数据加密传输，保证数据的机密性、完整性和可用性。
内容安全：它可以对网络流量中携带的内容进行检查和过滤，如、网页、文件等，并根据预定义的规则进行拦截或者放行。
用户认证：它可以对网络访问者进行身份验证，如用户名、密码、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。
流量管理：它可以对网络流量进行统计和监控，如流量量、流量速率、流量方向等，并根据预定义的规则进行限制或者优化。
日志审计：它可以记录并保存网络流量的相关信息，如源地址、目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询和分析的功能。
三、防火墙配置方法命令行界面：它是一种基于文本的配置方式，用户可以通过控制台或者远程终端访问防火墙，并输入相应的命令进行配置。
它的优点是灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语法和逻辑。
图形用户界面：它是一种基于图形的配置方式，用户可以通过浏览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。
华为USG2000防火墙配置
华为USG2000防火墙配置USG2000防火墙基本设置：外观1个调试口（CONSOLE）；2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）；1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。
初始配置GE0/0/0配置为路由接口，IP地址为192.168.0.1防火墙访问IP为192.168.0.1，登录用户名admin，密码Admin@123USG2000防火墙配置过程中注意事项：接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。
这种情况下需要按‘reset’按钮初始化出厂配置。
USG2000防火墙配置步骤一、配置防火墙的网络接口1.连接GE0/0/0端口，访问192.168.0.1登录防火墙。
登录过程中出现证书错误，点击‘继续浏览此网站’继续。
输入用户名admin密码Admin@123登录防火墙。
登录后，弹出修改用户的初始密码的提示及快速向导。
初始密码尽量不要修改。
快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。
以上为USG2000基本配置界面。
现场配置所需要用到的只有网络和防火墙两个主菜单。
2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。
别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。
3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID 设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘192.168.1.100’，子网掩码设置为‘255.255.0.0’，最后点击应用。
如下图所示4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I区端口’。
注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到192.168.0.1。
华为路由器防火墙基本原理及典型配置讲解
or
ip route 0.0.0.0 0.0.0.0 202.112.0.63 ip route 192.168.0.0 255.255.255.0 172.16.16.1
Windows
route ADD 157.0.0.0 MASK 255.0.0.0 157.55.80.1
动态路由协议
路由协议也叫做动态选路协议，就是路由器 获得路由表的过程。 RIP IGRP EIGRP OSPF等等都是路由协议
关于NAT 更多……
RFC 1631: The IP Network Address Translator (NAT) RFC 1918: Address Allocation for Private Internets How nat works Cisco IPJ 2000 Volume 3 number 4
典型的NAT应用(1)
Cisco PIX
nameif ethernet0 outside security0 nameif ethernet1 inside security100 interface ethernet0 auto interface ethernet1 auto ip address outside 219.133.94.142 255.255.255.224 ip address inside 192.168.0.254 255.255.255.0
Dynamic NAT（续）
Dynamic NAT（续）
在上例中client 192.168.0.2和192.168.0.3分 别被转换为206.245.160.5和206.245.160.6 注意源地址发生了变化，而源端口并没有变 化。 需要注意的是在动态NAT的情况下，这种地 址映射的关系是会发生变化的
华为防火墙配置使用手册(自己写)[1]
![华为防火墙配置使用手册(自己写)[1]](https://img.taocdn.com/s3/m/1f828b87970590c69ec3d5bbfd0a79563c1ed4b8.png)
华为防火墙配置使用手册(自己写)[USGxxxx] interface GigabitEthernet 0/0/1 [USGxxxx-GigabitEthernet0/0/1] ip address 192.168.1.1 24 [USGxxxx-GigabitEthernet0/0/1] quit[USGxxxx] saveThe current configuration will be written to the device.Are you sure to continue? [Y/N]:YInfo: Please input the filename(*.cfg,*.zip)[vrpcfg.zip]:(To leave the existing filename unchanged, press the enter key):It will take several minutes to save configuration file, please wt......Configuration file had been saved successfullyNote: The configuration file will take effect after being activated网络 > 接口 > 物理接口 > 编辑 > 基本信息 >华为防火墙配置使用手册一、概述二、功能介绍防火墙功能：根据用户定义的安全策略，对进出网络的数据包进行允许或拒绝的动作，实现网络隔离和访问控制。
入侵防御功能：通过内置或外置的入侵防御系统(IPS)，对网络流量进行深度分析，识别并阻断各种已知或未知的攻击行为，如端口扫描、拒绝服务、木马、漏洞利用等。
反病毒功能：通过内置或外置的反病毒引擎，对网络流量中的文件和进行扫描，检测并清除各种病毒、蠕虫、木马等恶意代码。
内容过滤功能：通过内置或外置的内容过滤引擎，对网络流量中的网页、、即时通信等应用层内容进行过滤，阻止不良或违规的信息传输，如色情、暴力、赌博等。
防火墙WEB配置
防火墙Web界面配置1. 路由模式下的防火墙配置(1) 为使防火墙可以与其它网络设备互通，必须先将相应接口加入到某一安全区域中，且将缺省的过滤行为设置为允许，并为接口（以GigabitEthernet0/0为例）配置IP地址。
[H3C] firewall zone trust[H3C-zone-trust] add interface GigabitEthernet0/0[H3C-zone-trust] quit[H3C] firewall packet-filter default permit[H3C] interface GigabitEthernet0/0[H3C-GigabitEthernet0/0] ip address 192.168.0.1 255.255.255.0(2) 为PC配置IP地址。
假设PC的IP地址为192.168.0.2。
(3) 使用Ping命令验证网络连接性。
<H3C> ping 192.168.0.2PING 192.168.0.2: 56 data bytes, press CTRL_C to breakReply from 192.168.0.2: bytes=56 Sequence=1 ttl=128 time=30 msReply from 192.168.0.2: bytes=56 Sequence=2 ttl=128 time=10 msReply from 192.168.0.2: bytes=56 Sequence=3 ttl=128 time=10 msReply from 192.168.0.2: bytes=56 Sequence=4 ttl=128 time=10 msReply from 192.168.0.2: bytes=56 Sequence=5 ttl=128 time=10 ms--- 192.168.0.2 ping statistics ---5 packet(s) transmitted5 packet(s) received0.00% packet lossround-trip min/avg/max = 10/14/30 ms登录防火墙Ping命令成功！2. 透明模式下的防火墙配置当防火墙工作在透明模式下时，其所有接口都将工作在第二层，即不能为接口配置IP 地址。
华为网络防火墙设置
华为网络防火墙设置1.配置要求：1. 实现防火墙域的管理，其中内网接入TRUST域，外网接入UNTRUST域，服务器接入DMZ域。
2. 内网设备之间采用OSPF协议，FW1防火墙与外网路由器AR1之间采用静态路由。
3. 防火墙使用NAT完成内网的地址转换，实现内网用户对Internet（AR1仿真）的访问。
4. 外网用户可以通过目的NAT技术访问服务器。
5. 办公楼用户PC1只能在工作日访问外网，可以随时访问DMZ。
6. 实训楼用户PC2只能访问DMZ域中的服务器，不能访问外网。
7. 教学楼用户客户端只能访问服务器的FTP服务。
2.配置的拓扑图拓扑图3.IP地址规划：4、主要配置命令：一、S1（交换机1）的配置：sysnameS1#vlanbatch 10 20 30 40#interfaceVlanif1#interfaceVlanif10ip address 172.168.12.255 255.255.252.0 #interfaceVlanif20ip address 172.168.16.255 255.255.254.0 #interfaceVlanif30ip address 172.168.18.254 255.255.255.0 #interfaceVlanif40ip address 172.16.1.2 255.255.255.248 #interfaceMEth0/0/1#interfaceGigabitEthernet0/0/1port link-type accessport default vlan 10#interfaceGigabitEthernet0/0/2port link-type accessport default vlan 20#interfaceGigabitEthernet0/0/3port link-type accessport default vlan 30#interfaceGigabitEthernet0/0/4#interfaceGigabitEthernet0/0/24port link-type accessport default vlan 40#interfaceNULL0#ospf1area 0.0.0.0network 172.16.1.2 0.0.0.0network 172.168.16.255 0.0.0.0network 172.168.12.255 0.0.0.0network 172.168.18.254 0.0.0.0#iproute-static 0.0.0.0 0.0.0.0 172.16.1.1二、S2（交换机2）的配置：sysnames2#vlanbatch 10 20#interfaceVlanif10ip address 172.16.2.2 255.255.255.252#interfaceVlanif20ip address 172.168.200.30 255.255.255.224 #interfaceMEth0/0/1#interfaceGigabitEthernet0/0/1port link-type accessport default vlan 20#interfaceGigabitEthernet0/0/2#interfaceGigabitEthernet0/0/24port link-type accessport default vlan 10#interfaceNULL0#ospf10area 0.0.0.0network 172.168.200.30 0.0.0.0network 172.16.2.2 0.0.0.0#iproute-static 0.0.0.0 0.0.0.0 172.16.2.1三、R1（路由器）配置：interfaceEthernet0/0/0ip address 202.100.17.1 255.255.255.240 #interfaceLoopBack0ip address 1.1.1.17 255.255.255.255#iproute-static 172.168.200.0 255.255.255.0 202.100.17.2四、FW（防火墙）的配置:1.接口配置。
华为防火墙简介与配置
透明墙配置
防火墙连接
透明墙配置
透明墙配置
1、现网状态判定 2、防火墙连接 3、参数确认 4、地址配置 5、服务配置 6、安全策略配置
透明墙配置
参数确认
透明墙配置
参数确认
项目 说明与示例 参数示例： 接口号：GigabitEthernet 1/0/1 接口类型：trunk 允许通过的VLAN：1、100 安全区域：Untrust 安全I区地址：10.0.0.0/24 安全I区服务端口：TCP 8888 参数示例： 接口号：GigabitEthernet 1/0/2 接口类型：trunk 允许通过的VLAN：1、100 安全区域：Trust 安全I区地址：10.0.0.0/24 安全I区服务端口：UDP 6666
透明墙配置
防火墙连接
登录设备Web界面对管理员PC浏览器的要 求如下： Internet Explorer浏览器：6.0～9.0版本 Firefox浏览器（推荐）：10.0及以上版本 Chrome浏览器：17.0及以上版本 1、将管理员PC网口与设备的MGMT接口 （GigabitEthernet 0/0/0）通过网线或者 二层交换机相连。 2、将管理员PC的网络连接的IP地址设置为 在192.168.0.2～192.168.0.254范围内的 IP地址。
防火墙的区域
防火墙的访问规则和策略（如ACL）不是应用在端口上，而是 在区域间之间，通过区域的优先级值来表示inbound或 outbound的方向。 安全级别高的区域向级别低的区域访问是出站方向 {inbound} 安全级别低的区域向级别高的区域访问是入站方向 {outbound} 防火墙的同一安全区域内的端口之间访问不需要安全策略检 查，不同安全区域的端口之间进行访问，需要有安全策略的检 查和控制管理
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3 4
Step3 创建
Example3：内外网用户同时通过公网IP访问FTP服务器
2
3
1
4
5
配置源NAT，实现内网用户 使用公网地址访问Internet
Step4
6 配置源NAT 使用公网地 务器
Example3：内外网用户同时通过公网IP访问FTP服务器
2 1
3
4 配置FTP服务器的私网地址 映射为公网地址1.1.1.2
2 1
3
Step3 配
4
配置允许内网IP地 址访问外网
Example1：通过静态IP接入互联网
3
1
Hale Waihona Puke 2 4Step45 新建源NAT，实现 内网用户正常访问 Internet
Example1：通过静态IP接入互联网
1、检查接口GigabitEthernet 1/0/1（上行链路）的连通性。
Ste
1 查看接口状 为Up。
Example1：通过静态IP接入互联网
Ste
2、在内网PC上执行命令ipconfig /all，PC正确分配到IP地址和DNS地址。
3、 局域网内PC能通过域名访问Internet。
Example2：通过PPPoE接入互联网
局域网内所有PC都部署在10.3.0.0/24网段，均通过DHCP动态获得IP地址。 设备作为Client，通过PPPoE协议向Server（运营商设备）拨号后获得IP地址，实现 接入Internet。
登录Web配置界面
组网图
192.168.0.*GE0/0/0 192.168.0.1/24 网口
1 配置登录PC自动获取IP地址
缺省配置
管理接口
GE0/0/0
IP地址
192.168.0.1/24
用户名/密码 Firewall
admin/Admin@123
2 在浏览器中输入https://接口IP地址:port
Example3：内外网用户同时通过公网IP访问FTP服务器
Ste
2 1
4
6
配置外网接口
配
参数
参
Example3：内外网用户同时通过公网IP访问FTP服务器
2 1
3
4 配置允许内网用户访问 Internet的安全策略
Step2 配
5 配置允许Internet用户 内网FTP服务器的安
Example3：内外网用户同时通过公网IP访问FTP服务器
Step5 配置
Example3：内外网用户同时通过公网IP访问FTP服务器
1 3
2 4
Step6 配置N
Example3：内外网用户同时通过公网IP访问FTP服务器
Ste
1. 内网PC能访问Internet。 2. Internet上的用户可以通过公网地址1.1.1.2和端口2121访问FTP服务器。 3. 内网用户可以通过公网地址1.1.1.2和端口2121访问FTP服务器。
Example2：通过PPPoE接入互联网
Ste
2、在内网PC上执行命令ipconfig /all, PC正确分配到IP地址和DNS地址。
3、 局域网内PC能通过域名访问Internet。
Example3：内外网用户同时通过公网IP访问FTP服务器
企业内网用户和FTP服务器均在同一网段10.3.0.0/24，且均放在Trust安全区域。 企业采用上行接入Internet（固定IP方式），IP地址向ISP申请获得。 内网用户和外网用户均通过公网地址1.1.1.2和端口2121访问FTP服务器，内网用户通 过公网地址1.1.1.1访问Internet。
项目
数据
说明
GigabitEthernet1/0/2
安全区域：Trust
-
GigabitEthernet1/0/1
安全区域：Untrust
-
FTP服务器 DNS服务器
对外公布的公网地址：1.1.1.2 公网端口：2121
1.2.2.2/24
向运营商获取。
网关地址
1.1.1.254/24
向运营商获取。
4
配置允许内网IP地 址访问外网
Example2：通过PPPoE接入互联网
3 1
2 4
Step4
5 新建源NAT，实现 内网用户正常访问 Internet
Example2：通过PPPoE接入互联网
1、检查接口GigabitEthernet 1/0/1（上行链路）的连通性。
Ste
1 查看接口状态是 为Up，连接类型 是否为PPPoE
3 输入用户名/密
Example1：通过静态IP接入互联网
局域网内所有PC都部署在10.3.0.0/24网段，均通过DHCP动态获得IP地址。 企业从运营商处获取的固定IP地址为1.1.1.1/24。企业需利用防火墙接入互联网。
项目
DNS服务器 网关地址
数据
1.2.2.2/24 1.1.1.254/24
目录
登录Web配置界面 Example1：通过静态IP接入互联网 Example2：通过PPPoE接入互联网 Example3：内外网用户同时通过公网IP访问FTP服务器 Example4：点到点IPSec隧道 Example5：点到多点IPSec隧道（策略模板） Example6：客户端L2TP over IPSec接入（VPN Client/Windows/Mac OS/Android/iOS ） Example7：SSL VPN隧道接入（网络扩展） Example8：基于用户的带宽管理
说明
向运营商获取。 向运营商获取。
Example1：通过静态IP接入互联网
2 1
4 配置外网接口 参数
Ste
6 配置内网接口 参数
Example1：通过静态IP接入互联网
1 2
3
Step2 配置
4 配置内网接口GE1/0/2的 DHCP服务，使其为局域网 内的PC分配IP地址
Example1：通过静态IP接入互联网
项目
GigabitEthernet1/0/1
GigabitEthernet1/0/2 DNS服务器
数据
说明
安全区域：Untrust
IP地址：10.3.0.1/24 安全区域：Trust 1.2.2.2/24
通过拨号向PPPoEServer（运营商设备）拨号获 得IP地址、DNS地址。 •拨号用户名：user •拨号密码：Password@ 通过DHCP，给局域网内PC动态分配IP地址。
向运营商获取。
Example2：通过PPPoE接入互联网
Ste
2 1
4 配置外网接口参数
Example2：通过PPPoE接入互联网
1 2
3
Step2 配置
4 配置内网接口GE1/0/2的 DHCP服务，使其为局域 内的PC分配IP地址
Example2：通过PPPoE接入互联网
2 1
3
Step3 配