华为防火墙配置实验

Sakura Alice

已于 2025-04-08 16:13:41 修改

阅读量1.1k

点赞数 17

CC 4.0 BY-SA版权

文章标签：华为网络网络安全计算机网络云计算

于 2025-04-08 15:58:59 首次发布

本文链接：https://blog.csdn.net/Alice_Synthesi/article/details/147070355

一、实验名称

华为防火墙配置实验

二、实验目的

1.简单掌握跨防火墙之间的通信(DMZ与DCN两个区域的通信);

2.掌握华为防火墙的一些基础操作;

3.掌握交换机与防火墙之间的通信配置；

4.其他额外需要掌握的技能。

三、实验环境

操作系统：Windows11

环境：VMware(需要其虚拟工具)，eSPN(模拟软件)

其他：USG6000V包(eSPN需要，需自行下载)

四、实验过程

1.环境搭建

(1)eSPN安装

这个就不作过多赘述，网上有很多教程，安装教程参考：https://blog.csdn.net/weixin_43113691/article/details/124847964

(2)VMware安装

因为需要在网页端实现防火墙的配置，需要使用虚拟的网卡，windows自带的虚拟网卡可能会导致模拟器防火墙的使用率过高导致没有办法正常使用，所以保险起见自行安装VMware来使用。安装的教程参考：https://blog.csdn.net/weixin_74195551/article/details/127288338

(3)USG6000V包导入

教程参考华为eNSP防火墙USG6000V 导入包_usg6000v.zip包下载-CSDN博客

2.防火墙基础配置

启动eSPN，放置一台USG6000V，对其进行基础的配置，基础的配置包括:

(1)启动防火墙，修改密码，然后放置一个云朵，与防火墙进行连接，效果如图4-2-1所示；

图4-2-1

(2)对云朵进行配置，配置如图4-2-2所示，GE2选择VMware的虚拟网卡；

图4-2-2

(3)VMware虚拟网卡的配置；

打开虚拟网卡的适配器，对虚拟网卡的ipv4地址进行修改，这里我对其修改为192.168.0.222，如图4-2-3，云朵绑定的就是这个虚拟网卡

图4-2-3

(4)防火墙的基础配置

system-view

interface G1/0/1

ip address 192.168.200.194 24

service-manage ping permit

interface G1/0/2

ip address 10.30.1.193 24

service-manage ping permit

system-view

interface G0/0/0

ip address 192.168.0.223 24

service-manage all permit

#//因为只用作实验所以全部放通，一般只放ping、http、https；

display this

查看当前的配置，看看是否配置成功，配置结果如图4-2-4所示；

图4-2-4

quit

save

保存，下次启动eSPN不会丢配置。

(5)打开web浏览器，输入https://192.168.0.223:8443，可以进入防火墙管理界面，如图4-2-5所示，输入自己修改的密码可进入；

图4-2-5

3.交换机基础配置

(1) 放置两台交换机，分别改名为DMZ-SW与DCN-SW,如图4-3-1所示(因为刚开始配置有误，所以DMZ-SW下面都由DMZ-SW-copy代替)；

图4-3-1

(2) 交换机与防火墙相连接之后开始对交换机进行配置

①对DMZ-SW-copy进行配置

system-view

vlan batch 101 200

interface Vlanif 101

ip address 10.30.19.1 24

interface Vlanif 200

ip address 10.30.1.194 24

interface Ethernet 0/0/1

port link-type access

port default vlan 200

interface Ethernet 0/0/0

port link-type access

port default vlan 101

②对DCN-SW进行配置

system-view

vlan batch 101 200

interface Vlanif 101

ip address 192.168.19.1 24

interface Vlanif 200

ip address 192.168.1.193 24

interface Ethernet 0/0/1

port link-type access

port default vlan 200

interface Ethernet 0/0/0

port link-type access

port default vlan 101

以上就是两台交换机的基础配置

quit

save

保存，下次启动eSPN不会丢配置。

(3) 再配置两台PC，分别与两台交换机相连，配置情况如图4-3-2所示

图4-3-2

最终连接拓扑图如图4-3-3所示；

图4-3-3

4.配置

(1) 防火墙的进一步配置

在防火墙创建DMZ区和DCN区，分别绑定GE1/0/2与GE1/0/1，以DMZ为例，操作如下列图所示：

图4-4-1

全部配置之后如图4-4-2所示：

图4-4-2

(2) 在防火墙上配置两条静态路由，如图4-4-3和4-4-4所示，以4-4-3为例，作用是防火墙中目标是10.30.0.0的流量走GE1/0/2到10.30.1.194也就是交换机DMZ-SW-copy的Ethernet0/0/1接口，图4-4-4同理。

图4-4-3

图4-4-4

(3) 配置策略

在防火墙上配置策略，以便两个区域能够相互连通，关键的策略为DCN to DMZ和DMZ to DCN，配置过程以DCN to DMZ为例，如图4-4-6所示；

图4-4-5

图4-4-6

图4-4-6第5步操作，很好理解

图4-4-7

图4-4-8

如果没有就点击新建->新建地址->填入对应的名称和地址，然后确定即可。

(4) 防火墙配置NAT

配置NAT的目的是，10.30.19.0与192.168.19.0这两个段是没办法直接通信的，需要进行地址转换，如图4-4-9所示：

图4-4-9

4、5步解释，因为只需满足实验所需，所以就这样用了，实际情况一般都是一对一的转换比较好。

(5) 两台交换机配置静态路由

DMZ-SW-copy

system-view

ip route-static 10.30.19.0 255.255.255.0 10.30.1.193

ip route-static 192.168.0.0 255.255.0.0 10.30.1.193

DCN-SW

system-view

ip route-static 10.30.0.0 255.255.0.0 192.168.200.194

ip route-static 192.168.0.0 255.255.0.0 192.168.200.194

五、实验结果

实验拓扑图如图5-1所示

图5-1

实验的目的是PC4与PC7能够相互ping通，测试过程要求第一步DMZ-SW-copy能够ping通防火墙，如图5-2；

图5-2

PC4能够ping通DMZ-SW-copy的vlan200(ip 10.30.1.194)，证明DMZ网络通畅，给PC配置ip 10.30.19.254用于测试，如图5-3；

图5-3

DCN区域的测试与DMZ区同理，接下来测试PC4 ping PC7，给PC7配置ip 192.168.19.254用于测试，测试结果如图5-4所示，PC7 ping PC4如图5-5所示；

图5-4

图5-5

六、总结

本次主要的目的是实现两个不同安全域之间的通信，原因是之前配置一台Juniper防火墙的时候有各种各样的问题出现，比如无法ping通网关，无法实现通信之类的，所以需要搞清楚防火墙到底是怎么样进行工作，以及搞清楚各种配置的作用。

首先，明白防火墙的工作，虽然华为的防火墙与Juniper还是有很大的差别，但是基本的原理是共同的，所以搞懂这个防火墙对实际工作还是有很大的帮助的。

然后，知道交换机的具体工作原理以及vlan的作用等，这一点之前很是疑惑。

接着，搞懂的点：

第一，防火墙内不同的端口想要ping通或者实现通信，要么需要在相同的网段，要么需要配置NAT来使地址池进行相互的转换，如果接口有绑定安全域，还要让安全域之间也相互放通，放通安全域是通过策略来实现；

第二，通过上述的工作还搞清楚了掩码的作用，同时也搞清楚静态路由的作用，例如防火墙内配置“ip route-static xxx.xxx.xxx.xxx (掩码) aaa.aaa.aaa.aaa”的意思是一切“xxx.xxx.xxx.xxx/掩码”的流量都找“aaa.aaa.aaa.aaa”出去，aaa.aaa.aaa.aaa是与防防火墙相连的交换机端口a的IP，与相应的端口b连接，端口b为防火墙的端口，ip为aaa.aaa.aaa.bbb。

第三，vlan的作用，华为的三层交换机的第二层口也就是Ethernet口是无法直接配置ip的，需要用vlan绑定来使之逻辑上称为口，但实际上这个口不仅仅可以放一个vlan，这就要具体情况具体分析了。

最终就是故障分析的思路，①如果一台PC(终端)无法ping通网关，要看自己的ip是否与接入交换机的配置相同，如果该终端ip的配置正确，要看交换机里的vlan是否正确；②如果该终端无法ping通接入交换机的出口，要查看出口接口vlan的配置是否正确；③如果终端无法ping通防火墙的接口，要看是否配置了静态路由；④如果终端无法ping通另一个区域的防火墙出口，要看出口是否绑定安全域、安全域之间是否放通、是否配置策略、是否配置了NAT等。