华为防火墙配置培训

《华为防火墙配置培训》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、SecPath防火墙技术介绍学习目标防火墙的域和模式攻击防范、包过滤、ASPF、NAT、黑名单的使用方法学习完本课程，您应该能够了解：2防火墙的模式路由模式为防火墙的以太网接口（以GigabitEthernet0/0为例）配置IP地址。[SecPath]interfaceGigabitEthernet0/0[SecPath-GigabitEthernet0/0]ipaddress192.168.0.1255.255.255.0透明模式当防火墙工作在透明模式下时，其所有接口都将工作在第二层，即不能为接口配置IP地址。这样，用户若要对

2、防火墙进行Web管理，需在透明模式下为防火墙配置一个系统IP地址（SystemIP）。用户可以通过此地址对防火墙进行Web管理。缺省情况下，防火墙工作在路由模式。(1)配置防火墙工作在透明模式。[SecPath]firewallmode?routeRoutemodetransparentTransparentmode[SecPath]firewallmodetransparentSetsystemipaddresssuccessfully.TheGigabitEthernet0/0hasbeeninpromiscuousopera

3、tionmode!TheGigabitEthernet0/1hasbeeninpromiscuousoperationmode!AlltheInterfaces'sipshavebeendeleted.Themodeissetsuccessfully.从以上显示的系统提示信息可以看出，防火墙已经工作在透明模式下，且所有接口上的IP地址已经被删除。(2)为防火墙配置系统IP地址。[SecPath]firewallsystem-ip192.168.0.1255.255.255.0Setsystemipaddresssuccessful

4、ly.说明：当防火墙切换到透明模式时，系统为防火墙分配了一个缺省系统IP地址169.0.0.1/8，可以使用上述命令更改系统IP地址。3防火墙的模式可以把路由模式理解为象路由器那样工作。防火墙每个接口连接一个网络，防火墙的接口就是所连接子网的网关。报文在防火墙内首先通过入接口信息找到进入域信息，然后通过查找转发表，根据出接口找到出口域，再根据这两个域确定域间关系，然后使用配置在这个域间关系上的安全策略进行各种操作。透明模式的防火墙则可以被看作一台以太网交换机。防火墙的接口不能配IP地址，整个设备出于现有的子网内部，对于网络中的其他

5、设备，防火墙是透明的。报文转发的出接口，是通过查找桥接的转发表得到的。在确定域间之后，安全模块的内部仍然使用报文的IP地址进行各种安全策略的匹配。相比较而言，路由模式的功能更强大一些；而在用户的网络无法变更的情况下，可以考虑采用透明模式。4防火墙的属性配置命令打开或者关闭防火墙firewall{enable

6、disable}设置防火墙的缺省过滤模式firewalldefault{permit

7、deny}显示防火墙的状态信息displayfirewall5在接口上应用访问控制列表将访问控制列表应用到接口上指明在接口上是OUT还是IN

8、方向Ethernet0访问控制列表101作用在Ethernet0接口在out方向有效Serial0访问控制列表3作用在Serial0接口上在in方向上有效6基于时间段的包过滤“特殊时间段内应用特殊的规则”Internet上班时间（上午8：00－下午5：00）只能访问特定的站点；其余时间可以访问其他站点7时间段的配置命令timerange命令timerange{enable

9、disable}[undo]settr命令settrbegin-timeend-time[begin-timeend-time......]undosettr显

10、示isintr命令displayisintr显示timerange命令displaytimerange8访问控制列表的组合一条访问列表可以由多条规则组成,对于这些规则，有两种匹配顺序：auto和config。规则冲突时，若匹配顺序为auto（深度优先），描述的地址范围越小的规则，将会优先考虑。深度的判断要依靠通配比较位和IP地址结合比较access-list4deny202.38.0.00.0.255.255access-list4permit202.38.160.10.0.0.255两条规则结合则表示禁止一个大网段（202.38

11、.0.0）上的主机但允许其中的一小部分主机（202.38.160.0）的访问。规则冲突时，若匹配顺序为config，先配置的规则会被优先考虑。9防火墙在测试环境中，划分了最常用的三个安全区域：Untrust区域——用于连接外部网络；DMZ区域——放