华为防火墙web配置教程,华为防火墙典型案例 ppt课件

华为防火墙配置使用手册(自己写)华为防火墙配置使用手册一、概述二、防火墙基本概念包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型和端口号等信息进行过滤，不对数据包的内容进行分析。

它的优点是处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。

状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并拒绝通过。

它的优点是安全性较高，可以阻挠一些常见的攻击，但是处理速度较慢，开消较大。

应用代理防火墙：它对数据包的内容进行深度分析，可以识别出不同的应用协议和服务，并根据应用层的规则进行过滤。

它的优点是安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。

访问控制：它可以根据源地址、目的地址、协议类型、端口号、应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问权限的控制和管理。

虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数据加密传输，保证数据的机密性、完整性和可用性。

内容安全：它可以对网络流量中携带的内容进行检查和过滤，如、网页、文件等，并根据预定义的规则进行拦截或者放行。

用户认证：它可以对网络访问者进行身份验证，如用户名、密码、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。

流量管理：它可以对网络流量进行统计和监控，如流量量、流量速率、流量方向等，并根据预定义的规则进行限制或者优化。

日志审计：它可以记录并保存网络流量的相关信息，如源地址、目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询和分析的功能。

三、防火墙配置方法命令行界面：它是一种基于文本的配置方式，用户可以通过控制台或者远程终端访问防火墙，并输入相应的命令进行配置。

它的优点是灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语法和逻辑。

图形用户界面：它是一种基于图形的配置方式，用户可以通过浏览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。

华为防火墙配置使用手册(自己写)[USGxxxx] interface GigabitEthernet 0/0/1 [USGxxxx-GigabitEthernet0/0/1] ip address 192.168.1.1 24 [USGxxxx-GigabitEthernet0/0/1] quit[USGxxxx] saveThe current configuration will be written to the device.Are you sure to continue? [Y/N]:YInfo: Please input the filename(*.cfg,*.zip)[vrpcfg.zip]:(To leave the existing filename unchanged, press the enter key):It will take several minutes to save configuration file, please wt......Configuration file had been saved successfullyNote: The configuration file will take effect after being activated网络 > 接口 > 物理接口 > 编辑 > 基本信息 >华为防火墙配置使用手册一、概述二、功能介绍防火墙功能：根据用户定义的安全策略，对进出网络的数据包进行允许或拒绝的动作，实现网络隔离和访问控制。

入侵防御功能：通过内置或外置的入侵防御系统(IPS)，对网络流量进行深度分析，识别并阻断各种已知或未知的攻击行为，如端口扫描、拒绝服务、木马、漏洞利用等。

反病毒功能：通过内置或外置的反病毒引擎，对网络流量中的文件和进行扫描，检测并清除各种病毒、蠕虫、木马等恶意代码。

内容过滤功能：通过内置或外置的内容过滤引擎，对网络流量中的网页、、即时通信等应用层内容进行过滤，阻止不良或违规的信息传输，如色情、暴力、赌博等。

华为USG2200系列防⽕墙配置案例display cur12:06:25 2012/06/06#sysname xagl_USG2200#firewall packet-filter default permit interzone local trust direction inbound firewall packet-filter default permit interzone local trust direction outbound firewall packet-filter default permit interzone local untrust direction inbound firewall packet-filter default permit interzone local untrust direction outboundfirewall packet-filter default permit interzone local dmz direction inbound firewall packet-filter default permit interzone local dmz direction outbound firewall packet-filter default permit interzone local untrust1 direction inboundfirewall packet-filter default permit interzone local untrust1 direction outbou ndfirewall packet-filter default permit interzone trust untrust direction inbound firewall packet-filter default permit interzone trust untrust direction outboundfirewall packet-filter default permit interzone trust dmz direction inbound firewall packet-filter default permit interzone trust dmz direction outbound firewall packet-filter default permit interzone trust untrust1 direction inboundfirewall packet-filter default permit interzone trust untrust1 direction outboundfirewall packet-filter default permit interzone dmz untrust direction inbound firewall packet-filter default permit interzone dmz untrust direction outbound #nat address-group 0 124.114.156.211 124.114.156.212nat address-group 1 113.200.77.235 113.200.77.236#firewall ipv6 session link-state check#firewall session link-state check#firewall defend ip-sweep enablefirewall defend large-icmp enablefirewall defend syn-flood enablefirewall defend land enablefirewall defend ip-sweep max-rate 1000firewall defend ip-sweep blacklist-timeout 30firewall defend large-icmp max-length 3600firewall defend syn-flood interface Ethernet3/0/0 alert-rate 1000 max-rate 5000 00firewall defend syn-flood interface GigabitEthernet0/0/0 alert-rate 1000 max-ra te 500000#web-manager enable#acl number 2001rule 1 permit source 192.168.2.100 0#interface Cellular0/1/0link-protocol ppp#interface Ethernet3/0/0description tu liantongip address 113.200.77.234 255.255.255.248#interface GigabitEthernet0/0/0description to dianxinip address 124.114.156.210 255.255.255.248#interface GigabitEthernet0/0/1description to wangkang's WANip address 192.168.1.3 255.255.255.0#interface NULL0#firewall zone localset priority 100#firewall zone trustset priority 85add interface GigabitEthernet0/0/1#firewall zone untrustset priority 5add interface GigabitEthernet0/0/0#firewall zone dmzset priority 50#firewall zone name untrust1set priority 6add interface Ethernet3/0/0#aaalocal-user admin password cipher ]MQ;4\]B+4Z,YWX*NZ55OA!!local-user admin service-type web terminallocal-user admin level 3authentication-scheme default#authorization-scheme default#accounting-scheme default#domain defaultdomain dot1x##nqa-jitter tag-version 1#ip route-static 0.0.0.0 0.0.0.0 124.114.156.209ip route-static 0.0.0.0 0.0.0.0 113.200.77.233 preference 70#snmp-agentsnmp-agent local-engineid 000007DB7F00000100006E55snmp-agent community read Usg2200 acl 2001snmp-agent sys-info version all#banner enable#user-interface con 0authentication-mode local user admin password simple mimashi1983#^^# user-interface tty 2authentication-mode nonemodem bothuser-interface vty 0 4user privilege level 3set authentication password cipher I$'4!VBZ8B;^2/\%98C4@A!! #slb#cwmp#right-manager server-group#nat-policy interzone trust untrust outboundpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255address-group 0#nat-policy interzone trust untrust1 outboundpolicy 2action source-natpolicy source 192.168.100.0 0.0.0.255policy source 192.168.200.0 0.0.0.255policy source 192.168.1.0 0.0.0.255policy source 192.168.2.0 0.0.0.255policy source 192.168.3.0 0.0.0.255address-group 1#return。

防火墙配置：<SRG>dis current-configuration #显示当前配置[SRG]stp region-configuration #进入MST视图[SRG]active region-configuration #激活MST配置[SRG]interface GigabitEthernet 0/0/0 #进入GE0/0/0端口[SRG-GigabitEthernet0/0/0]alias GE0/GMT #别名GE0管理[SRG-GigabitEthernet0/0/0]ip add 192.168.100.1 255.255.255.0 #端口配置IP[SRG-GigabitEthernet0/0/0]dhcp select interface #客户端从接口地址池中通过dhcp自动获取IP地址[SRG-GigabitEthernet0/0/0]dhcp server gateway-list 192.168.100.1 #DHCP服务默认网关[SRG-GigabitEthernet0/0/0]dhcp server dns-list 8.8.8.8 #DNCP默认DNS[SRG-GigabitEthernet0/0/1]ip add 192.168.200.1 255.255.255.0 #配置端口IP[SRG-GigabitEthernet0/0/2]ip add 211.1.1.1 255.255.255.0 #配置公网IP[SRG]interface NULL0 #建立伪接口，进行包的分发。

当宝的目的和路由不匹配时候，则通过NULL0丢弃ps:如果通过默认路由进行分发的话就会形成环路[SRG]firewall zone untrust #进入防火墙不信任区域[SRG-zone-trust]add interface GigabitEthernet 0/0/2 #添加不信任区域端口[SRG]firewall zone trust #进入防火墙信任区域[SRG-zone-trust]add interface GigabitEthernet 0/0/0 #添加信任区域端口[SRG]firewall zone dmz #进入防火墙了隔离区域[SRG-zone-trust]add interface GigabitEthernet 0/0/1 #添加隔离区域端口[SRG]firewall zone name usr1 #添加区域[SRG-zone-usr1]set priority 86 #设置优先级[SRG-zone-usr1]add interface GigabitEthernet 0/0/8 #添加端口[SRG-zone-usr1]aaa #aaa认证协议[SRG-aaa]local-user admin password cipher 123456 #设置用户名和加密密码[SRG-aaa]local-user admin service-type web terminal telnet #允许三种登入方式[SRG-aaa]local-user admin level 15 #设置等级为15级[SRG-aaa]authentication-scheme default #验证方式默认及本地设备验证[SRG-aaa]authorization-scheme default #验证方式默认及本地设备验证[SRG-aaa]accounting-scheme default #验证方式默认及本地设备验证[SRG-aaa]domain default #域缺省[SRG]nqa-jitter tag-version 1[SRG]banner enable[SRG]user-interface con 0[SRG-ui-console0]authentication-mode aaa 允许登陆模式为aaa[SRG]user-interface vty 0 4[SRG-ui-vty0-4]uthentication-mode aaa[SRG-ui-vty0-4]protocol inbound all # 允许所有登陆协议[SRG]slb #负载均衡[SRG-slb]rserver 1 rip 192.168.200.201 weight 32 healthchk[SRG-slb]rserver 2 rip 192.168.200.202 weight 32 healthchk[SRG-slb]rserver 3 rip 192.168.200.203 weight 32 healthchk[SRG-slb]group g1[SRG-slb-group-g1]metric roundrobin #加权轮询算法分配连接[SRG-slb-group-g1]addrserver 1[SRG-slb-group-g1]addrserver 2[SRG-slb-group-g1] addrserver 3[SRG-slb] vserver ser1 vip 211.1.1.200 group g1[SRG]firewall packet-filter default permit interzone local trust direction inbound[SRG]firewall packet-filter default permit interzone local trust direction outbound #开启域间包过滤规则使得local和trust能ping通[SRG]firewall packet-filter default permit interzone local untrust direction inbound[SRG]firewall packet-filter default permit interzone local untrust direction outbound[SRG]firewall packet-filter default permit interzone local dmz direction inbound[SRG]firewall packet-filter default permit interzone local dmz direction outbound[SRG]firewall packet-filter default permit interzone dmz untrust direction outbound。

华为防火墙端口配置策略和步骤
华为防火墙的端口配置步骤如下：
1. 登录华为防火墙的命令行界面或Web界面。

2. 创建一个策略。

在命令行界面中，执行以下命令：
firewall policy {policy-name}
其中，{policy-name}是你自定义的策略名称。

3. 配置策略的基本属性。

在命令行界面中，执行以下命令： policy {policy-name}
你将进入策略的编辑模式，可以配置策略的名称、描述、动作等属性。

4. 配置策略的匹配条件。

在策略编辑模式下，执行以下命令： rule {rule-name} source {source-address} destination {destination-address} [service {service-name}]
其中，{rule-name}是你自定义的规则名称，{source-address}是源地址，{destination-address}是目的地址，{service-name}是服务类型。

可以根据需要添加多条匹配规则。

5. 配置策略的动作。

在策略编辑模式下，执行以下命令：
action {action-name}
其中，{action-name}是策略执行的动作，可以是允许通过、禁止通过等。

6. 应用策略。

在策略编辑模式下，执行以下命令：
quit
这将退出策略编辑模式，使修改生效。

以上是一个基本的端口配置策略的步骤，可以根据具体的需求
和设备进行适当调整。

同时，华为防火墙还有更多高级功能和配置选项，可以根据实际情况进行深入学习和配置。

华为防火墙配置使用手册(自己写)华为防火墙配置使用手册防火墙默认的管理接口为g0/0/0，默认的ip地址为/24，默认g0/0/0接口开启了dhcp server，默认用户名为admin，默认密码为Admin@123 一、配置案例拓扑图GE 0/0/1：/24 GE 0/0/2：/24 GE 0/0/3：/24 WWW服务器：/24 FTP服务器：/24 Telnet 配置配置VTY 的优先级为3，基于密码验证。

# 进入系统视图。

system-view # 进入用户界面视图[USG5300] user-interface vty 0 4 # 设置用户界面能够访问的命令级别为level 3 [USG5300-ui-vty0-4] user privilege level 3 配置Password验证# 配置验证方式为Password验证[USG5300-ui-vty0-4]authentication-mode password # 配置验证密码为lantian[USG5300-ui-vty0-4] set authentication password simple lantian ###最新版本的命令是authentication-mode password cipher huawei@123 配置空闲断开连接时间 # 设置超时为30分钟[USG5300-ui-vty0-4] idle-timeout 30 [USG5300] firewall packet-filter default permit interzone untrust local direction inbound //不加这个从公网不能telnet防火墙。

基于用户名和密码验证 user-interface vty 0 4 authentication-mode aaa aaa local-user admin password cipher ]MQ;4\\]B+4Z,YWX*NZ55OA!! local-user admin service-type telnet local-user admin level 3 firewall packet-filter default permit interzone untrust local direction inbound 如果不开放trust域到local域的缺省包过滤，那么从内网也不能telnet的防火墙，但是默认情况下已经开放了trust域到local 域的缺省包过滤。