神奇cpp

这个屌丝很懒，什么也没留下！

热门标签

配置防火墙内外访问外网_华为防火墙限制ip地址访问

作者：神奇cpp | 2024-08-12 19:38:15

踩

华为防火墙限制ip地址访问

1 、给接⼝配置 IP 地址（默认是存在的）
[USG6000V1]interface g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip address 192.168.0.1 24
2 、允许接⼝所有服务类型，其中包括 ping ， https
[USG6000V1-GigabitEthernet0/0/0]service-manage enable //开启服务管理
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit //允许所有服务
3 、将接⼝加⼊防⽕墙安全区域
[USG6000V1]firewall zone trust //将g0/0/0加⼊trust区域
[USG6000V1-zone-trust]add interface g0/0/0

安全区域

华为防⽕墙的接⼝

华为防火墙的安全区域

默认安全区：Trust、DMZ、Untrust

Local区域：代表防⽕墙本⾝

主要安全级别

Untrust （⾮受信任区域）：安全级别 5 ，通常⽤于定义互联⽹流量
DMZ （⾮军事化区域）：安全级别 50 ，通常⽤于定义服务器区域
Trust （受信任区域）：安全级别 85 ，通常⽤于定义内⽹所在区域
Local （本地区域）：安全级别 100 ，该区域主要定义设备⾃⾝发起的流量，或者是抵
达设备⾃⾝的流量

受信任程度

Local>Trust>DMZUntrust

修改接⼝属于的区域，IP地址，服务类型

1 、点击接⼝，在弹窗可以修改区域类型， IP 地址等 ..

2、也可以修改允许拒绝的服务类型

3、假设将ping服务取消，并点确定

4、在ping的时候是ping不通的

5、如果在将ping服务给打开，会发现可以正常通信

配置内⽹访问外⽹

1、配置接口

2、开启接⼝的Ping服务【可选】

也可通过命令来配置IP地址、所属区域、服务类型

1、[USG6000V1]interface g1/0/0
2、[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.254 24
3、[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit
4、[USG6000V1]interface g1/0/1
5、[USG6000V1-GigabitEthernet1/0/1]ip address 200.1.1.254 24
6、[USG6000V1]firewall zone trust
7、[USG6000V1-zone-trust]add interface g1/0/0
8、[USG6000V1]firewall zone untrust
9、[USG6000V1-zone-untrust]add interface g1/0/1

配置安全策略，允许安全区域的互相访问

1、配置trust可以访问untrst

可以成功ping通

web服务也可以访问

但是服务器ping 客⼾端，不通

因为我们配置的是 trust 可以访问 untrust，⽽untrust不可以访问trust

也可⽤命令配置

1、[USG6000V1]security-policy
2、[USG6000V1-policy-security]rule name OUT
3、[USG6000V1-policy-security-rule-OUT]source-zone trust
4、[USG6000V1-policy-security-rule-OUT]destination-zone untrust
5、[USG6000V1-policy-security-rule-OUT]action permit

3⃣ 配置NAT策略

1、配置EasyIP

2、抓包查看，地址发⽣了转换，转换为出接⼝地址

3、也可以配置NAPT，这⾥需要配置地址池

4、将EasyIP的启⽤的对勾去掉，或者之间删除

5、抓包查看，地址转换成了地址池中的地址

1、[USG6000V1]nat-policy
2、[USG6000V1-policy-nat]rule name EasyIP
3、[USG6000V1-policy-nat-rule-EasyIP]source-zone trust
4、[USG6000V1-policy-nat-rule-EasyIP]destination-zone untrust
5、[USG6000V1-policy-nat-rule-EasyIP]action nat easy-ip
6、 //1.3版本的eNSP命令：action source-nat easy-ip

1、[USG6000V1]nat-policy

2、[USG6000V1-policy-nat]undo rule name EasyIP

3、[USG6000V1]nat address-group pool

1、[USG6000V1-address-group-pool]mode pat
2、[USG6000V1-address-group-pool]section 200.1.1.10
3、[USG6000V1]nat-policy
4、[USG6000V1-policy-nat]rule name PNAT
5、[USG6000V1-policy-nat-rule-PNAT]source-zone trust
6、[USG6000V1-policy-nat-rule-PNAT]destination-zone untrust
7、[USG6000V1-policy-nat-rule-PNAT]action nat address-group pool