下载文档原格式
华为Secpath典型配置案例时间:2007-01-03 21:27:48 来源: 作者:whsong 点击:376次出处:技术无忧关键字：华为1 时间段访问控制列表（ACL）：功能需求及组网说明:『组网需求』：要求内部用户，在8：00－12：00和13：30－18：00可以出公网，其它的时间都不可以出公网『配置实例』：1．在系统视图下配置时间段：[Secpath] time-range huawei1 08:00 to 18:00 daily[Secpath] time-range huawei2 12:00 to 13:30 daily2．配置高级访问控制列表：[Secpath] acl number 3001[Secpath-acl-adv-3001] rule deny ip time-range huawei2[Secpath-acl-adv-3001] rule permit ip time-range huawei1[Secpath-acl-adv-3001] rule deny ip3．进入内网接口视图，下发时间段ACL规则：[Secpath-GigabitEthernet0/1] firewall packet-filter 3001 inbound4．对于其它的规则配置请查看操作手册。
『注意事项』：1、在同一个名字下可以配置多个时间段，这些时间段是“或”关系。
2、在SECPATH系列产品中，只有SECPATH10F是不可以保存系统时间的，重启设备后，时间就会丢失。
3、要将基于MAC地址的访问控制列表应用到接口上，防火墙必须工作在透明模式下，否则系统会提示“Please firstly active the Transparent mode !”。
2 地址转换（NAT）：『配置实例』：1．配置域名与外部地址、端口号、协议类型之间的映射。
[Secpath] nat dns-map 10.153.49.197 80 tcp[Secpath] nat dns-map 10.153.49.197 21 tcp2．相关NAT地址转换及映射配置，请参考手册。
中兴路由器1800配置模板在配置中兴路由器之前，我们首先需要了解相关的硬件设备和软件信息。
中兴路由器一般包括一个主路由器和若干个子路由器。
主路由器负责连接互联网，并提供无线或有线网络连接给用户；子路由器则是通过无线方式进行扩展网络覆盖范围。
配置中兴路由器的过程可以分为以下几个步骤：1.连接路由器：首先将中兴路由器的电源适配器插入电源插座，然后将网线插入主路由器的WAN口，并将另一端连接到光猫的LAN口。
如果需要连接子路由器，可以将子路由器的网线插入主路由器的LAN口，并将另一端连接到子路由器的WAN口。
2. 登录路由器管理界面：打开电脑浏览器，输入默认的路由器管理地址（一般为192.168.1.1或192.168.0.1），按下回车键进行访问。
根据提示输入默认的用户名和密码（一般为admin/admin），完成登录。
3.配置网络连接类型：在路由器管理界面中，找到“网络设置”或类似的选项，选择“WAN口设置”或“上网设置”。
根据您的网络提供商提供的信息，选择相应的联网方式，如ADSL拨号、宽带拨号、静态IP或动态IP等。
填写相应的参数，如宽带账号密码、IP地址、子网掩码等。
4.配置无线网络：在路由器管理界面中，找到“无线设置”或类似的选项，选择“基本设置”。
根据您的需求，设置无线网络的名称（SSID）、加密方式（如WEP、WPA、WPA2）、密码等。
可以根据需要启用访客网络、MAC过滤等功能。
5.设置子路由器：如果需要扩展网络覆盖范围，可以配置子路由器。
将子路由器连通后，登录路由器管理界面，在“无线设置”或类似的选项中，选择“无线中继”。
选择“开启中继功能”，并输入主路由器的无线网络密码。
点击保存并应用设置，等待子路由器重启。
6.配置其他高级功能：中兴路由器还提供了诸多高级功能，如端口映射、动态DNS、虚拟服务器、VPN等。
根据您的需求，可以进一步配置这些功能。
7.测试网络连接：在完成以上配置后，可以通过连接无线网络或插入网线的方式，测试网络连接是否正常。
贵州师范大学校园网Intenet出口安全技术建议书华为3Com有限公司目录第1章贵州师范大学校园网INTERNET出口安全需求分析 (3)1.1 概述 (3)1.2 贵州师范大学校园网Internet出口安全分析 (3)第2章贵州师范大学校园网INTERNET出口防火墙部署方案 (5)2.1 贵州师范大学校园网Internet出口防火墙部署方案设计 (5)2.2 贵师大校园网安全控制策略 (7)2.3 贵州师范大学防火墙部署方案特点 (8)第3章贵师大校园网安全防范相关技术介绍 (11)3.1 ASPF (11)3.2 攻击防范 (12)3.3 实时流量分析 (13)3.4 内网地址安全 (15)3.5 HTTP访问控制 (16)3.6 SMTP邮件安全 (17)3.7 邮件告警 (18)3.8 二进制日志 (19)3.9 管理功能 (20)第4章相关设备介绍 (22)4.1 Quidway® SecPath 1800F 防火墙 (22)贵州师范大学校园网Intenet 出口安全技术建议书2005-11-23 内部资料，请勿扩散 第3页, 共25页 第1章 贵州师范大学校园网Internet 出口安全需求分析1.1 概述网络技术的普及，使网络攻击行为出现得越来越频繁，通过各种攻击软件，只要具有一般计算机常识的初学者也能完成对网络的攻击。
各种网络病毒的泛滥，也加剧了网络被攻击的危险。
目前，Internet 网络上常见的安全威胁分为以下几类：非法使用：资源被未授权的用户（也可以称为非法用户）或以未授权方式（非法权限）使用。
例如，攻击者通过猜测帐号和密码的组合，从而进入计算机系统以非法使用资源。
拒绝服务：服务器拒绝合法用户正常访问信息或资源的请求。
例如，攻击者短时间内使用大量数据包或畸形报文向服务器不断发起连接或请求回应，致使服务器负荷过重而不能处理合法任务。
信息盗窃：攻击者并不直接入侵目标系统，而是通过窃听网络来获取重要数据或信息。
1800 系列路由器开局文档1800 系列路由器开局文档1、路由器简介- 型号.1800 系列路由器- 功能：提供网络连接和流量控制等功能- 特点：高性能、可靠性强、易于管理等2、硬件说明- 硬件配置：CPU、内存、存储空间等- 机箱接口：电源接口、网络接口、USB 接口等- LED 指示灯说明：不同颜色和闪烁方式的含义3、路由器安装步骤1、开箱验货：检查产品是否完整2、硬件连接：连接电源、网络线等3、路由器启动：按下电源按钮启动路由器4、设置管理口：连接到路由器的管理口，通过浏览器进行管理4、初始配置1、进入管理界面：打开浏览器，在地质栏输入默认的管理地质（如192.168.1.1）2、登录路由器：输入默认的用户名和密码登录路由器管理界面3、修改登录信息：修改默认的用户名和密码，确保安全性4、基本网络设置：配置路由器的基本网络信息，如 IP 地质、子网掩码等5、网络连接设置1、WAN 连接配置：设置路由器与外部网络的连接方式，如DHCP、静态 IP 等2、LAN 连接配置：配置路由器与内部网络的连接方式，如IP 地质、子网掩码等3、VLAN 配置：根据需要配置 VLAN，实现不同网络的隔离和管理4、VPN 配置：设置虚拟私有网络，实现远程访问和安全通信6、路由器功能配置1、DHCP 服务：配置 DHCP 服务器，实现自动分配 IP 地质2、NAT 配置：设置网络地质转换，允许内部网络访问外部网络3、防火墙设置：配置防火墙规则，保护网络安全4、QoS 配置：实现流量控制和负载均衡，优化网络性能7、管理与维护1、路由器更新：检查并最新的路由器固件2、配置备份与恢复：备份当前配置文件，并在需要时恢复3、日志管理：查看和分析系统日志，了解网络状态和问题4、故障排除：常见问题的解决方法和故障排查流程附件：- 路由器说明书- 路由器快速入门指南- 路由器固件更新文件法律名词及注释：1、IP 地质：Internet Protocol Address 的缩写，用于标识网络设备的地质。
DCFW1800E/S防火墙（v4.1）源地址路由配置指南DCFW1800E/S防火墙的源地址路由功能区别于一般常用的目的路由在于：源地址路由在判断数据包的转发时除了查看目的地址外，还要匹配数据包的源地址。
下面是源地址路由在上网分流时使用的案例。
1、网络拓扑2、案例需求这个案例中防火墙有两条上网线路，为了实现上网数据分流在防火墙上设定：当内网网段192.168.10.0/24上网时经由网通线路（即转发至网关172.16.11.1）。
当内网网段192.168.100.0/24上网时经由电线线路（即转发至网关10.1.1.2/24）。
3、配置步骤添加防火墙接口地址。
网络->接口添加去往内网网段192.168.10.0/24网段的路由。
网络->路由->路由->新增添加去往内网网段192.168.100.0/24网段的路由。
网络->路由->路由->新增添加内网192.168.10.0/24网段访问Internet的源地址路由，经由网通线路。
网络->路由->源地址路由->新增添加内网192.168.100.0/24网段访问Internet的源地址路由，经由电信线路。
网络->路由->源地址路由->新增添加192.168.10.0/24网段访问Internet的动态NAT，因为该网段通过网通线路访问Inernet，所以要使用if0接口地址做NAT。
NAT->动态NAT->新增添加192.168.100.0/24网段访问Internet的动态NAT，因为该网段通过电信线路访问Inernet，所以要使用if2接口地址做NAT。
NAT->动态NAT->新增为网段192.168.10.0/24定义网络对象，在后续的策略中要引用（注意选择正确接口）。
网络->网络对象->新增为网段192.168.100.0/24定义网络对象，在后续的策略中要引用（注意选择正确接口）。
H3C SecPath F1800-A 防火墙操作手册杭州华为三康技术有限公司资料版本：T1-081658-20061015-C-1.01产品版本：VRP3.30声明Copyright © 2006 杭州华为三康技术有限公司及其许可者版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。
H3C、Aolynk、、IRF、H3Care、、Neocean、、TOP G、SecEngine、SecPath、COMWARE、VVG、V2G、V n G、PSPT、NetPilot、XGbus均为杭州华为三康技术有限公司的商标。
对于本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
除非另有约定，本手册仅作为使用指导，本手册中的所有陈述、信息和建议不构成任何明示或暗示的担保。
如需要获取最新手册，请登录。
技术支持用户支持邮箱：customer_service@技术支持热线电话：800-810-0504网址：前言相关手册手册名称用途《H3C SecPath F1800-A 防火墙安装手册》介绍了SecPath F1800-A 防火墙的安装过程、设备的启动、硬件维护与监控等内容。
《H3C SecPath F1800-A 防火墙操作手册》对用户使用SecPath F1800-A 防火墙进行操作指导。
包括入门、系统管理、接口、链路层协议、网络与路由协议、安全防范、VPN、可靠性等网络互连的操作指导。
《H3C SecPath F1800-A 防火墙命令手册》详细解释SecPath F1800-A 防火墙中的操作命令。
包括入门、系统管理、接口、链路层协议、网络与路由协议、安全防范、VPN、可靠性等网络互连的所有命令。
本书简介本手册各章节内容如下：z第1部分入门。
从防火墙发展和安全概念入手，顺次介绍SecPath F1800-A 防火墙提供的安全特性、防火墙配置环境搭建、防火墙管理，最后介绍SecPath防火墙的工作模式。
Secpath1800F策略路由功能的配置
一、组网需求：
当防火墙有双公网出口时，根据用户的源地址或者需要访问目的地址来选择防火墙
的转发出口，从而实现路由选择。
二、组网图：
三、配置步骤：
适用版本：Secpath1800F 所有VRP版本
acl number 2001 rule 0 permit source 10.1.0.0 0.0.255.255 # acl number 3001// 定义与策略路由相关的 acl
rule 0 deny ip source 10.1.1.0 0.0.0.255// 10.1.1.0 网段不作策略路由
rule 5 permit ip source 10.1.2.0 0.0.0.255// 源地址为10.1.2.0 的网段做策略路由
ru le 10 permit ip destination 202.96.199.0 0.0.0.255
// 目的地址为202.96.199.0 的网段做策略路由
# sysname Eudemon # firewall packet-filter default permit interzone local trust direction inbound firewall packet-filter default permit interzone local trust direction outbound firewall packet-filter default permit interzone local untrust direction inbound firewall packet-filter default permit interzone local untrust direction outboun
d
firewall packet-filter default permit interzone local dmz direction inbound firewall packet-filter default permit interzone local dmz direction outbound firewall packet-filter default permit interzone local test direction inbound firewall packet-filter default permit interzone local test direction outbound firewall packet-filter default permit interzone trust untrust direction inbound firewall packet-filter default permit interzone trust untrust direction outboun
d
firewall packet-filter default permit interzone trust dmz direction inbound firewall packet-filter default permit interzone trust dmz direction outbound firewall packet-filter default permit interzone trust test direction inbound firewall packet-filter default permit interzone trust test direction outbound firewall packet-filter default permit interzone dmz untrust direction inbound firewall packet-filter default permit interzone dmz untrust direction outbound firewall packet-filter default permit interzone test untrust direction inbound firewall packet-filter default permit interzone test untrust direction outbound firewall packet-filter default permit interzone test dmz direction inbound firewall packet-filter default permit interzone test dmz direction outbound # nat address-group 2 2.2.2.10 2.2.2.10 nat address-group 4 4.4.4.10 4.4.4.10 # firewall mode route # firewall statistic system enable # traffic classifier test// 定义traffic 名字及感兴趣数据流
if-match acl 3001
# traffic behavior test_do // 定义策略路由的转发出口及地址
remark ip-nexthop 4.4.4.2 output-interface Ethernet1/0/4
// 地址 4.4.4.2 为相应的网关地址
# qos policy po_ro// 定义相应的策略路由组
classifier test behavior test_do
# interface Aux0 async mode flow link-protocol ppp # interface Ethernet0/0/0 # interface Ethernet0/0/1 # interface Ethernet1/0/0 # interface Ethernet1/0/1 ip address 192.168.1.254 255.255.255.0 # interface Ethernet1/0/2 ip address 2.2.2.1 255.255.255.0 #
interface Ethernet1/0/3 # interface Ethernet1/0/4 ip address 4.4.4.1 255.255.255.0 # interface Ethernet1/0/5 # interface Ethernet1/0/6 # interface Ethernet1/0/7 # interface NULL0 # firewall zone local set priority 100 # firewall zone trust
set priority 85 qos apply policy po_ro outbound// 在相应的域上绑定策略路由
add interface Ethernet1/0/1 # firewall zone untrust set priority 5 add interface Ethernet1/0/2 # firewall zone dmz set priority 50 # firewall zone name test set priority 75 add interface Ethernet1/0/4 # firewall interzone local trust # firewall interzone local untrust # firewall interzone local dmz # firewall interzone local test # firewall interzone trust untrust nat outbound 2001 address-group 2 # firewall interzone trust dmz
# firewall interzone trust test nat outbound 2001 address-group 4 # firewall interzone dmz untrust # firewall interzone test untrust # firewall interzone test dmz # aaa authentication-scheme default # authorization-scheme default # accounting-scheme default # domain default # # ip route-static 0.0.0.0 0.0.0.0 2.2.2.2 // 定义默认路由
ip route-static 10.1.0.0 255.255.0.0 192.168.1.133 # user-interface con 0 user-interface aux 0 user-interface vty 0 4
四、配置关键点：
配置策略路由时，主要要打开做相应的策略路由的域之间的规则。
特别要注意的是，对于Version 3.30 Release 0336 以前的版本，存在策略路由根据默认路由域之间的规则来决定是否允许转发的问题。
