华为防火墙USG配置

一.USG6350防火墙1.根据设置向导配置完毕即可正常上网。

2.增加策略路由-（影响外网端口）3.增加静态路由（目的是让哪个网段上网）内网地址的下一跳是三层交换机与防火墙连接的端口地址4.对指定服务器进行端口映射5.对指定网段进行限速，保证服务器有可靠的带宽，不至于被其他网段抢占全部带宽。

本项目全部带宽是100M，因为有一个无线网，限定无线网最大占用50M（1）新建一个带宽通道（2）指定网段应用于带宽通道的策略规则二、三层交换机-H3C-S5800-32C现场需求是有办公电脑，服务器、视频服务器，计划分成4个网段，分别为172.26.11.0/172.26.12.0/172.26.13.0/172.26.14.0/ 14段备用。

规划：VLAN100为172.26.10.253 port1-2 与防火墙172.26.10.254 连接VLAN101为172.26.11.254 port 3-8 与服务器连接VLAN102为 172.26.12.254 port 9-12 与客户机连接VLAN103为 172.26.13.254 port 13-18 与视频服务器连接VLAN104为 172.26.14.254 port 19-24 备用1.笔记本连接三层交换机配置口，进入命令行配置模式简述步骤：（1）设备改名创建用户和密码（2）创建VLAN，指定某端口属于这个VLAN （3）指定每个VLAN的网关（4）增加一条路由2.SysSysname H3C-5800telnet server enableLocal-user adminPassword cipher #####（此处#是输入密码）Authorization-attribute level 3Service-type ssh telnetVLAN 100Port G1/0/1 TO G1/0/2QuitVlan 101Port g1/0/3 to g1/0/8QuitVLAN 102Port G1/0/9 TO G1/0/12QuitVlan 103Port g1/0/13 to g1/0/18QuitVlan 104Port g1/0/19 to g1/0/24QuitInterface Vlan-interface 100Ip address 172.26.10.253 255.255.255.0QuitInterface Vlan-interface 101Ip address 172.26.11.254 255.255.255.0QuitInterface Vlan-interface 102Ip address 172.26.12.254 255.255.255.0QuitInterface Vlan-interface 103Ip address 172.26.13.254 255.255.255.0QuitInterface Vlan-interface 104Ip address 172.26.14.254 255.255.255.0QuitIp route-static 0.0.0.0 0.0.0.0 172.26.10.254 Dhcp enable(开通dhcp)Dhcp server ip-pool 9Network 172.26.12.0 mask 255.255.255.0Gateway-list 172.26.12.254Dns-list 8.8.8.8(根据实际修改)Quit红色字体为9口开通DHCP，可根据实际需求User-interface aux 0User-interface vty 0 4 Authentication-mode scheme User-interface vty 5 15.。

文档版本 01 (2009-12-25)
华为专有和保密信息
i
Secoway USG2100 配置指通过 Console 口搭建本地配置环境......................................................................................................1-4 图 1-2 新建连接 ................................................................................................................................................1-5 图 1-3 选择实际连接使用的微机串口.............................................................................................................1-5 图 1-4 端口通信参数配置.................................................................................................................................1-6 图 1-5 选择终端仿真类型.................................................................................................................................1-7 图 1-6 通过局域网搭建本地配置环境.............................................................................................................1-8 图 1-7 运行 Telnet 程序.....................................................................................................................................1-8 图 1-8 通过广域网搭建远程配置环境.............................................................................................................1-9 图 1-9 运行 Telnet 程序...................................................................................................................................1-10 图 1-10 系统维护相关视图关系.....................................................................................................................1-13 图 1-11 网络互连相关视图关系.....................................................................................................................1-15 图 1-12 AAA 认证相关视图关系 ....................................................................................................................1-17 图 1-13 安全相关视图关系.............................................................................................................................1-20 图 1-14 VPN/QoS 相关视图关系 ....................................................................................................................1-23 图 1-15 实现 ping 通 USG2100（WAN 口）的组网.....................................................................................1-32 图 1-16 实现 ping 通 USG2100（LAN 口）的组网......................................................................................1-35 图 1-17 实现跨越 USG2100 的两个设备互相 ping 通的组网......................................................................1-36

华为USG防火墙IPsec怎么配置华为的产品主要涉及通信网络中的交换网络、传输网络、无线及有线固定接入网络和数据通信网络及无线终端产品,那么你知道华为USG防火墙IPsec 怎么配置吗?下面是店铺整理的一些关于华为USG 防火墙 IPsec 怎么配置的相关资料，供你参考。

华为USG防火墙 IPsec 配置的案例实验拓扑使用华为ensp 1.2.00.370模拟器来完成。

连接方式是client1 - USG-1 - AR1 - USG-2 - clent2 链式组网结构。

实验需求USG-1和USG-2模拟企业边缘设备，分别在2台设备上配置NAT 和IPsec 实现2边私网可以通过互相通信。

实验配置R1的IP地址配置省略USG-1配置[USG-1]firewall zone trust //配置trust区域[USG-1-zone-trust]add interface g0/0/0 //将接口加入trust区域[USG-1-zone-trust]quit[USG-1]firewall zone untrust //配置untrust区域[USG-1-zone-untrust]add int g0/0/1 //将接口加入untrust区域[USG-1-zone-untrust]quit[USG-1]int g0/0/0[USG-1-GigabitEthernet0/0/0]ip add 192.168.10.1 24[USG-1-GigabitEthernet0/0/0]int g0/0/1[USG-1-GigabitEthernet0/0/1]ip add 11.0.0.2 24[USG-1-GigabitEthernet0/0/1]quit[USG-1]ip route-static 0.0.0.0 0.0.0.0 11.0.0.1 //配置默认路由上公网[USG-1]nat-policy interzone trust untrust outbound//进入trust到untrust区域out方向的策略视图[USG-1-nat-policy-interzone-trust-untrust-outbound]policy 1 //创建一个策略[USG-1-nat-policy-interzone-trust-untrust-outbound-1]policy source 192.168.10.0 0.0.0.255[USG-1-nat-policy-interzone-trust-untrust-outbound-1]policy destination 192.168.20.0 0.0.0.255[USG-1-nat-policy-interzone-trust-untrust-outbound-1]action no-nat//以上三条命令意思是不允许将源为192.168.10.0/24网段目标为192.168.20.0/24网段的数据包进行NAT[USG-1-nat-policy-interzone-trust-untrust-outbound-1]quit [USG-1-nat-policy-interzone-trust-untrust-outbound]policy 2 //创建策略2[USG-1-nat-policy-interzone-trust-untrust-outbound-2]action source-nat//允许对源IP进行NAT[USG-1-nat-policy-interzone-trust-untrust-outbound-2]easy-ip g0/0/1//对接口G0/0/1地址复用[USG-1-nat-policy-interzone-trust-untrust-outbound-2]quit [USG-1-nat-policy-interzone-trust-untrust-outbound]quit-------阶段一---------[USG-1]ike proposal 1 //配置一个安全提议[USG-1-ike-proposal-1]authentication-method pre-share //配置IKE认证方式为预共享密钥[USG-1-ike-proposal-1]authentication-algorithm sha1 //配置IKE认证算法为sha1[USG-1-ike-proposal-1]integrity-algorithm aes-xcbc-96 //配置IKE完整性算法[USG-1-ike-proposal-1]dh group2 //配置IKE密钥协商DH组[USG-1-ike-proposal-1]quit[USG-1]ike peer USG-2 //创建一个IKE对等体名字为USG-2[USG-1-ike-peer-usg-2]pre-shared-key abc123 //配置预共享密钥[USG-1-ike-peer-usg-2]remote-address 12.0.0.2 //配置对等体IP地址[USG-1-ike-peer-usg-2]ike-proposal 1 //调用ike安全提议[USG-1-ike-peer-usg-2]quit----------阶段二----------[USG-1]ipsec proposal test //配置一个ipsec安全提议[USG-1-ipsec-proposal-test]encapsulation-mode tunnel //封装方式采用隧道[USG-1-ipsec-proposal-test]transform esp //配置IPSEC安全协议为ESP[USG-1-ipsec-proposal-test]esp encryption-algorithm aes //配置ESP协议加密算法为aes[USG-1-ipsec-proposal-test]esp authentication-algorithm sha1 //配置ESP协议认证算法[USG-1-ipsec-proposal-test]quit[USG-1]acl 3000 //创建一个ACL定义感兴趣流[USG-1-acl-adv-3000]rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255[USG-1]ipsec policy map 1 isakmp //创建一个安全策略，名称为map[USG-1-ipsec-policy-isakmp-map-1]ike-peer USG-2 //调用ike对等体[USG-1-ipsec-policy-isakmp-map-1]proposal test //调用IPsec安全提议[USG-1-ipsec-policy-isakmp-map-1]security acl 3000 //配置感兴趣流[USG-1-ipsec-policy-isakmp-map-1]quit[USG-1]int g0/0/1[USG-1-GigabitEthernet0/0/1]ipsec policy map //在外网口上调用安全策略区域间策略配置[USG-1]policy interzone trust untrust outbound .//进入trust到untrust区域out方向策略视图[USG-1-policy-interzone-trust-untrust-outbound]policy 1 //创建策略[USG-1-policy-interzone-trust-untrust-outbound-1]action permit//允许trust区域所有主机访问untrust区域[USG-1-policy-interzone-trust-untrust-outbound-1]quit[USG-1-policy-interzone-trust-untrust-outbound]quit[USG-1]policy interzone trust untrust inbound//进入trust区域到untrust区域的in方向策略视图[USG-1-policy-interzone-trust-untrust-inbound]policy 1[USG-1-policy-interzone-trust-untrust-inbound-1]policy source 192.168.20.0 0.0.0.255[USG-1-policy-interzone-trust-untrust-inbound-1]policy destination 192.168.10.0 0.0.0.255[USG-1-policy-interzone-trust-untrust-inbound-1]action permit//以上命令为允许数据包源地址为192.168.20.0/24网段和目标地址为192.168.10.0/24网段的流量过[USG-1-policy-interzone-trust-untrust-inbound-1]quit[USG-1-policy-interzone-trust-untrust-inbound]quit[USG-1]policy interzone local untrust inbound//进入local区域到untrust区域的in方向策略视图[USG-1-policy-interzone-local-untrust-inbound]policy 1[USG-1-policy-interzone-local-untrust-inbound-1]policy service service-set esp[USG-1-policy-interzone-local-untrust-inbound-1]policy source 12.0.0.2 0[USG-1-policy-interzone-local-untrust-inbound-1]policy destination 11.0.0.2 0[USG-1-policy-interzone-local-untrust-inbound-1]action permit//允许源地址是12.0.0.2目标地址是11.0.0.2的数据包访问esp 协议USG-2配置[USG-2]firewall zone trust[USG-2-zone-trust]add int g0/0/0[USG-2-zone-trust]quit[USG-2]firewall zone untrust[USG-2-zone-untrust]add int g0/0/1[USG-2-zone-untrust]quit[USG-2]int g0/0/0[USG-2-GigabitEthernet0/0/0]ip add 192.168.20.1 24[USG-2-GigabitEthernet0/0/0]int g0/0/1[USG-2-GigabitEthernet0/0/1]ip add 12.0.0.2 24[USG-2-GigabitEthernet0/0/1]quit[USG-2]ip route-static 0.0.0.0 0.0.0.0 12.0.0.1[USG-2]nat-policy interzone trust untrust outbound[USG-2-nat-policy-interzone-trust-untrust-outbound]policy 1[USG-2-nat-policy-interzone-trust-untrust-outbound-1]policy source 192.168.20.0 0.0.0.255[USG-2-nat-policy-interzone-trust-untrust-outbound-1]policy destination 192.168.10.0 0.0.0.255[USG-2-nat-policy-interzone-trust-untrust-outbound-1]action no-nat[USG-2-nat-policy-interzone-trust-untrust-outbound-1]quit [USG-2-nat-policy-interzone-trust-untrust-outbound]policy 2[USG-2-nat-policy-interzone-trust-untrust-outbound-2]action source-nat[USG-2-nat-policy-interzone-trust-untrust-outbound-2]easy-ip GigabitEthernet0/0/1[USG-2-nat-policy-interzone-trust-untrust-outbound-2]quit [USG-2-nat-policy-interzone-trust-untrust-outbound]quit[USG-2]ike proposal 1[USG-2-ike-proposal-1]authentication-method pre-share[USG-2-ike-proposal-1]authentication-algorithm sha1[USG-2-ike-proposal-1]integrity-algorithm aes-xcbc-96[USG-2-ike-proposal-1]dh group2[USG-2-ike-proposal-1]quit[USG-2]ike peer USG-A[USG-2-ike-peer-usg-a]pre-shared-key abc123[USG-2-ike-peer-usg-a]ike-proposal 1[USG-2-ike-peer-usg-a]remote-address 11.0.0.2[USG-2-ike-peer-usg-a]quit[USG-2]ipsec proposal test[USG-2-ipsec-proposal-test]encapsulation-mode tunnel[USG-2-ipsec-proposal-test]transform esp[USG-2-ipsec-proposal-test]esp encryption-algorithm aes[USG-2-ipsec-proposal-test]esp authentication-algorithmsha1[USG-2-ipsec-proposal-test]quit[USG-2]acl 3000[USG-2-acl-adv-3000]rule permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255[USG-2-acl-adv-3000]quit[USG-2]ipsec policy map 1 isakmp[USG-2-ipsec-policy-isakmp-map-1]ike-peer USG-A[USG-2-ipsec-policy-isakmp-map-1]proposal test[USG-2-ipsec-policy-isakmp-map-1]security acl 3000[USG-2-ipsec-policy-isakmp-map-1]quit[USG-2]int g0/0/1[USG-2-GigabitEthernet0/0/1]ipsec policy map[USG-2-GigabitEthernet0/0/1]quit[USG-2]policy interzone trust untrust outbound[USG-2-policy-interzone-trust-untrust-outbound]policy 1[USG-2-policy-interzone-trust-untrust-outbound-1]action permit[USG-2-policy-interzone-trust-untrust-outbound-1]quit[USG-2-policy-interzone-trust-untrust-outbound]quit[USG-2]policy interzone trust untrust inbound[USG-2-policy-interzone-trust-untrust-inbound]policy 1[USG-2-policy-interzone-trust-untrust-inbound-1]policy source 192.168.10.0 0.0.0.255[USG-2-policy-interzone-trust-untrust-inbound-1]policy destination 192.168.20.0 0.0.0.255[USG-2-policy-interzone-trust-untrust-inbound-1]action permit[USG-2-policy-interzone-trust-untrust-inbound-1]quit[USG-2-policy-interzone-trust-untrust-inbound]quit[USG-2]policy interzone local untrust inbound[USG-2-policy-interzone-local-untrust-inbound]policy 1 [USG-2-policy-interzone-local-untrust-inbound-1]policy source 11.0.0.2 0[USG-2-policy-interzone-local-untrust-inbound-1]policy destination 12.0.0.2 0[USG-2-policy-interzone-local-untrust-inbound-1]policy service service-set esp[USG-2-policy-interzone-local-untrust-inbound-1]action permit使用C1(192.168.10.10)去ping C2(192.168.20.10)使用dispaly ike sa和display ipsec sa来查看邻居建立情况。

华为USG6000防火墙WEB基本开局配置
方法/步骤
第一步：浏览器登录https://192.168.0.1 （缺省状态下WEB登录地址），进入防火墙WEB配置界面。

第二步：输入用户名和密码登录，用户名：admin 密码：Admin@123（缺省状态下）。

第三步：进入快速向导，根据指引进行配置，然后点击【下一步】。

第四步：配置基本信息。

（建议修改密码），然后点击【下一步】。

第五步：配置系统时间。

（建议从本地系统同步时间，如果有NTP服务器选择NTP服务器同步时间），然后点击【下一步】。

第六步：选择接入互联网的方式。

（以PPPoE拨号为例），然后点击【下一步】。

第七步：配置拨号信息。

（上网接口是连接运营商的接口，用户名密码由运营商提供，选自动获取IP），然后点击【下一步】。

第八步：配置局域网接口。

（给连接下面设备或终端的接口配置IP），然后点击【下一步】。

第九步：配置局域网DHCP服务，（起始IP要排除上一步配置的接口IP）然后点击【下一步】。

第十步：确认配置信息，点击【应用】完成配置。

END
注意事项
①、用户名密码登录错误次数过多会锁定10分钟不能登录。

②、最后点击应用的时候提示接口地址池不能超过某个数，需要计算在范围内的IP和掩码，计算方式请找度娘【IP在线计算】。