华为防火墙的安全策略配置实例

今天给大家介绍华为防火墙的安全策略配置实例。本文采用华为eNSP模拟器，设计了一个USG6000系列防火墙的配置实例，并安全要求完成了相应配置。

一、实验拓扑及要求

实验拓扑如上所示，现在要求配置如图所示的实验拓扑图，并配置防火墙安全策略实现：
1、Trust区域可以访问Untrust区域。
2、Trust区域可以访问DMZ区域的lo0，但不能访问其他IP地址。

二、实验配置命令

（一）华为防火墙默认安全策略

在华为系列防火墙中，默认的安全策略根据出入区域的不同而不同，具体如下所示：
1、域内流量。 域内流量是指从一个区域流向同一个区域的流量，防火墙默认策略是允许。
2、域间流量。域间流量是指从一个区域流向另一个区域的流量，防火墙默认策略是拒绝。
3、自身流量。自身流量是指防火墙自身发出的流量或者是目的是防火墙的流量，默认是拒绝。自身流量除了可以在安全策略上配置外，还可以在接口上直接配置，并且在接口上配置的优先级要高于在安全策略中配置的优先级。

（二）安全区域划分相关配置命令

安全区域划分只需要把固定的接口放置到指定的区域中，相关命令如下所示：

 

firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/2
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/1

 

（三）安全策略配置命令

安全策略配置时要按照要求配置相应策略，在这里要特别注意策略的配置顺序，相关配置命令如下所示：

 

security-policy
 rule name p1
  source-zone trust
  destination-zone trust
  destination-zone untrust
  service icmp
  action permit
 rule name p2
  source-zone trust
  destination-zone dmz
  destination-address 2.2.2.2 mask 255.255.255.255
  action permit
 rule name p3
  source-zone trust
  destination-zone dmz
  action deny

 

三、实验现象

（一）Trust区域可以访问Untrust区域正常

（二）Untrust区域访问Trust区域被禁止

（三）Trust区域可以访问2.2.2.2正常

（四）Trust区域访问其他DMZ区域被禁止

四、附录——防火墙相关配置命令

防火墙相关配置命令如下所示：

 

#
interface GigabitEthernet0/0/0
 undo shutdown
 ip binding vpn-instance default
 ip address 192.168.0.1 255.255.255.0
 alias GE0/METH
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 150.1.1.10 255.255.255.0
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 192.168.1.10 255.255.255.0
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 192.168.2.10 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/2
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/1
#
ip route-static 2.2.2.2 255.255.255.255 192.168.1.2
#
security-policy
 rule name p1
  source-zone trust
  destination-zone trust
  destination-zone untrust
  service icmp
  action permit
 rule name p2
  source-zone trust
  destination-zone dmz
  destination-address 2.2.2.2 mask 255.255.255.255
  action permit
 rule name p3
  source-zone trust
  destination-zone dmz
  action deny

 

　　审核编辑：汤梓红