防火墙详解(三)华为防火墙基础安全策略配置(命令行配置)

实验要求

根据实验要求配置防火墙:

  1. 合理部署防火墙安全策略以及安全区域
  2. 实现内网用户可以访问外网用户,反之不能访问
  3. 内网用户和外网用户均可以访问公司服务器

在这里插入图片描述

实验配置

步骤一:配置各个终端、防火墙端口IP地址

终端以服务器为例:

在这里插入图片描述

防火墙进入配置界面,登录密码等问题请阅读文章:通过网页登录配置华为eNSP中USG6000V1防火墙

防火墙端口配置地址:

[USG6000V1]sy FW1      //修改名称
[FW1]un in en          //关闭提示信息
Info: Information center is disabled.
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip ad 10.0.0.254 24
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip ad 202.196.10.254 24
[FW1-GigabitEthernet1/0/1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip ad 192.168.10.254 24

可以使用display ip interface brief查看接口IP等信息。

步骤二:根据终端类型,给防火墙的接口合理规划安全区域

区域规划如下图:

区域规划

 将防火墙端口添加到区域中:

[FW1]
[FW1]firewall zone trust                  //进入trust区域
[FW1-zone-trust]add interface g1/0/0      //将接口G1/0/0添加到trust区域中
[FW1-zone-trust]firewall zone untrust     //进入untrust区域
[FW1-zone-untrust]ad interface g1/0/1
[FW1-zone-untrust]q
[FW1]
[FW1]firewall zone dmz                   //进入DMZ区域
[FW1-zone-dmz]ad interface g1/0/2

 配置完成之后可以通过dis zone 查看区域详细信息:

[FW1]dis zone 
localpriority is 100               //信任值 100interface of the zone is (0):
#
trustpriority is 85interface of the zone is (2):GigabitEthernet0/0/0GigabitEthernet1/0/0
#
untrustpriority is 5interface of the zone is (1):GigabitEthernet1/0/1
#
dmzpriority is 50interface of the zone is (1):GigabitEthernet1/0/2
#

防火墙安全区域概念见文章:防火墙详解(一) 网络防火墙简介

步骤三:根据实验要求配置安全策略

实验要求:

内网用户可以访问外网用户,但是外网用户不能访问内网用户
外网用户和内网用户都可以访问公司服务器
也就是说

Trust区域可以主动访问Untrust区域,但是反之不行。
untrust区域和trust区域都可以访问DMZ区域。
注意防火墙默认不允许所有流量通过所以未配置安全策略时都不能通信。
配置安全策略,使得内网用户可以访问外网用户,但是外网用户不能访问内网用户;内网用户可以访问服务器:

[FW1]
[FW1]security-policy          //进入安全策略视图
[FW1-policy-security]rule name t2ud    //创建名为t2ud的安全规则
[FW1-policy-security-rule-t2ud]source-zone trust     //设置安全规则的源安全地址为trust
[FW1-policy-security-rule-t2ud]destination-zone untrust dmz   //设置安全规则的目的安全地址为untrust和DMZ
[FW1-policy-security-rule-t2ud]source-address 10.0.0.0 24 	 //设置安全规则源网段(上面设置了源、目的区域。其实网段可以不设置,但是保险起见还是设置一下)
[FW1-policy-security-rule-t2ud]destination-address 202.196.10.0 24    //设置规则目的网段
[FW1-policy-security-rule-t2ud]destination-address 192.168.10.0 24  
[FW1-policy-security-rule-t2ud]action permit         //设置安全规则的动作为允许

查看:

[FW1-policy-security-rule-t2ud]dis th
#rule name t2udsource-zone trustdestination-zone untrustdestination-zone dmzsource-address 10.0.0.0 24destination-address 192.168.10.0 24destination-address 202.196.10.0 24action permit
#
return

验证:
PC1 ping PC2 与 服务器 查看是否能通,发现可以,证明配置成功。

在这里插入图片描述

PC2不能ping通PC1(外网用户不能访问内网用户):

在这里插入图片描述 配置安全策略,外网用户可以访问公司服务器:

[FW1]security-policy 
[FW1-policy-security]rule name u2d
[FW1-policy-security-rule-u2d]source-zone untrust 
[FW1-policy-security-rule-u2d]destination-zone dmz 
[FW1-policy-security-rule-u2d]action permit 

查看:
我们可以通过dis security-policy all 查看全部安全策略:

[FW1]dis security-policy all 
Total:3 
RULE ID RULE NAME                      STATE      ACTION       HITTED          
-------------------------------------------------------------------------------
0       default                        enable     deny         0                
1       t2ud                           enable     permit       25               
2       u2d                            enable     permit       5               
-------------------------------------------------------------------------------

也可以使用dis security-policy rule u2d查看单个规则详细信息:

[FW1]dis security-policy ru	
[FW1]dis security-policy rule u2d(5 times matched)rule name u2dsource-zone untrustdestination-zone dmzaction permit

验证:
PC2可以 ping 通服务器。

在这里插入图片描述

实验成功!

防火墙配置命令(总)

#
sy FW1      
#
un in en         
#
int g1/0/0
ip ad 10.0.0.254 24
int g1/0/1
ip ad 202.196.10.254 24
int g1/0/2
ip ad 192.168.10.254 24
#
firewall zone trust                 
add interface g1/0/0      
firewall zone untrust     
ad interface g1/0/1
firewall zone dmz                   
ad interface g1/0/2
#
security-policy          
rule name t2ud    
source-zone trust     
destination-zone untrust dmz  
source-address 10.0.0.0 24 
destination-address 202.196.10.0 24    
destination-address 192.168.10.0 24  
action permit        
#
security-policy 
rule name u2d
source-zone untrust 
destination-zone dmz 
action permit 
#


原文链接:https://blog.csdn.net/qq_46254436/article/details/105397534

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/pingmian/54486.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

离散制造 vs 流程制造:锚定精准制造未来,从装配线到化学反应,实时数据集成在制造业案例中的多维应用

使用 TapData,化繁为简,摆脱手动搭建、维护数据管道的诸多烦扰,轻量替代 OGG, Kettle 等同步工具,以及基于 Kafka 的 ETL 解决方案,「CDC 流处理 数据集成」组合拳,加速仓内数据流转,帮助企业…

安装MySQL驱动程序笔记一

安装MySQL驱动程序到计算机上,主要依赖于你使用的编程语言和开发环境。以下是一个通用的安装步骤,特别是针对Java环境,因为MySQL Connector/J是最常用的MySQL JDBC驱动程序。 1. 下载MySQL驱动程序 首先,你需要从MySQL官网&…

Android IME输入法启动显示隐藏流程梳理

阅读Android AOSP 12版本代码,对输入法IME整体框架模块进行学习梳理,内容包含输入法框架三部分IMM、IMMS、IMS的启动流程、点击弹出流程、显示/隐藏流程,以及常见问题和调试技巧。 1. IME整体框架​​​​​​​ IME整体分为三个部分&#xf…

股指期货的持仓量指标如何分析?有哪些作用?

股指期货市的持仓量是一个极其重要的指标,它就像市场的“晴雨表”,能反映出投资者的信心、市场的热度以及潜在的趋势。下面,我们就用大白话的方式来详细解读一下股指期货持仓量指标的分析方法及其作用。 一、什么是股指期货持仓量&#xff1…

WPF 自定义路由事件

WPF 自定义路由事件 一、自定义路由事件步骤 ① 注册路由事件    ② 为路由事件添加 CLR 事件包装器    ③ 创建可激发路由事件的方法 二、注册路由事件 EventManager.RegisterRoutedEvent(String, RoutingStrategy, Type, Type)     作用:将新的路由事件…

用CPU训练机器学习模型

人工智能最近的成功通常归功于 GPU 的出现和发展。GPU 的架构通常包括数千个多处理器、高速内存、专用张量核心等,特别适合满足人工智能/机器学习工作负载的密集需求。 不幸的是,人工智能开发的快速增长导致对 GPU 的需求激增,使得 GPU 难以…

Writeset

优质博文:IT-BLOG-CN MySQL的WriteSet功能主要用于增强复制的并发性和一致性,特别是在主从复制环境中。WriteSet是MySQL 5.7引入的一个特性,主要用于解决复制过程中可能出现的写冲突问题。 MySQL并行复制目前经历过三个比较关键的时间结点“…

技术周刊 | TS 5.6、Chrome DevTools 性能面板上新、Vite 6 Beta、Fastify v5、HTTP 新方法 Query

增长能力,就是持续做出正确决定的能力。 大家好,我是童欧巴,欢迎来到第 128 期技术周刊。 资讯 TypeScript 5.6 TypeScript 5.6 如期发布。 Chrome DevTools 发布全新性能功能 Chrome DevTools 的性能面板上新测试,包括 Core…

ESP32/ESP8266开发板单向一对多ESP-NOW无线通信

目录 简介读取ESP32/ESP8266接收方Receiver的MAC地址ESP32发送方Sender程序ESP32/ESP8266接收方Receiver程序ESP-NOW通信验证总结 简介 本实验通过ESP-NOW无线通信协议实现ESP32开发板向多个ESP32/ESP 8266开发板发送数据。 读取ESP32/ESP8266接收方Receiver的MAC地址 读取…

Nginx反向代理出现502 Bad Gateway问题的解决方案

🎉 前言 前一阵子写了一篇“关于解决调用百度翻译API问题”的博客,近日在调用其他API时又遇到一些棘手的问题,于是写下这篇博客作为记录。 🎉 问题描述 在代理的遇到过很多错误码,其中出现频率最高的就是502&#x…

LabVIEW提高开发效率技巧----代码规范与文档记录

良好的代码规范与文档记录在LabVIEW开发中至关重要。它不仅能够大幅提升开发效率,还为后续的维护和项目交接提供便利。下面将从命名规则、注释标准、功能说明等多个角度,介绍如何通过规范化开发提高项目的可维护性与协作性。 1. 保持一致的命名规则 在L…

set的相关函数(3)

3.删除 //删除 /* int main() {set<int> s;s.insert({ 2,4,5,2,6,8,10,15 });for (auto e : s){cout << e << " ";}cout << endl;//删除最小的元素就删除排序后的首元素s.erase(s.begin());for (auto e : s){cout << e << "…

Flutter局域网广播(UDP通信)与TCP通信

前言 现在有一个需求&#xff0c;手机和ESP32通过WIFI进行通信。流程如下&#xff1a; 手机创建TCP服务器手机向192.168.0.255的1002端口广播自己的ip地址以及TCP服务器的端口号ESP32监听到1002的广播内容后&#xff0c;连接手机的TCP服务器。最后就是ESP32硬件和TCP服务器进…

双击热备 Electron网页客户端

安装流程&#xff1a; 1.下载node.js安装包进行安装 2.点击Next; 3.勾选&#xff0c;点击Next; 4.选择安装目录 5.选择Online 模式 6.下一步执行安装 。 7.运行cmd,执行命令 path 和 node --version&#xff0c;查看配置路径和版本 8.Goland安装插件node.js 9.配置运行…

深入理解Go语言中的并发封闭与for-select循环模式

解锁Python编程的无限可能:《奇妙的Python》带你漫游代码世界 在现代编程中,并发已经成为提高程序性能和响应能力的关键手段。然而,在并发环境下,如何安全地访问和操作共享数据却是一大挑战。本文将深入探讨Go语言中的**封闭(confinement)**技术,以及常见的for-select循…

操作系统:进程间通信方式详解(下:消息队列、信号量、共享内存、套接字)

每日一问&#xff1a;操作系统&#xff1a;进程间通信方式详解&#xff08;下&#xff1a;消息队列、信号量、共享内存、套接字&#xff09; 进程间通信&#xff08;Inter-Process Communication&#xff0c;IPC&#xff09;是操作系统中实现不同进程之间数据交换和协作的关键机…

【有啥问啥】深度剖析:大模型AI时代下的推理路径创新应用方法论

深度剖析&#xff1a;大模型AI时代下的推理路径创新应用方法论 随着大规模预训练模型&#xff08;Large Pretrained Models, LPMs&#xff09;和生成式人工智能的迅速发展&#xff0c;AI 在多领域的推理能力大幅提升&#xff0c;尤其是在自然语言处理、计算机视觉和自动决策领…

程序员如何保持与提升核心竞争力

一、引言  随着AIGC&#xff08;人工智能生成内容&#xff09;的快速发展&#xff0c;如chatgpt、midjourney、claude等大语言模型的涌现&#xff0c;AI辅助编程工具正逐渐成为程序员日常工作的得力助手。这一变革不仅对程序员的工作方式产生了深刻影响&#xff0c;也引发了关…

Kafka 下载安装及使用总结

1. 下载安装 官网下载地址&#xff1a;Apache Kafka 下载对应的文件 上传到服务器上&#xff0c;解压 tar -xzf kafka_2.13-3.7.0.tgz目录结果如下 ├── bin │ └── windows ├── config │ └── kraft ├── libs ├── licenses └── site-docs官方文档…

动态数据源多种实现方式及对比详细介绍

文章目录 动态数据源实现方式1. 概述2. 动态数据源实现方式2.1 基于 AbstractRoutingDataSource 实现动态数据源2.2 基于 Spring AOP 实现动态数据源2.3 基于 TransactionManager 实现动态数据源2.4 通过数据库中间件实现动态数据源&#xff08;ShardingSphere、MyCAT&#xff…