H3C防火墙命令行配置.pdf

《H3C防火墙命令行配置.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、,.配置防火墙网页登录1.配置防火墙缺省允许报文通过system-view[telecom]firewallpacket-filterenable[telecom]firewallpacket-filterdefaultpermit为防火墙的以太网接口（GigabitEthernet0/0为例）配置IP地址，并将接口加入到安全域。[telecom]interfaceGigabitEthernet0/0[telecom-GigabitEthernet0/0]ipaddress192.168.0.1255.255.255.0[

2、telecom-GigabitEthernet0/0]quit[telecom]firewallzonetrust[telecom-zone-trust]addGigabitEthernet0/02.添加登录用户（建立一个账户名和密码都为admin的账户类型为telnet）[telecom]local-useradmin[telecom-luser-admin]passwordsimpleadmin[telecom-luser-admin]service-typetelnet3.在GigabitEthernet0/1接口上配置FTP及www

3、内部服务器[telecom]interfaceGigabitEthernet0/1[telecom-GigabitEthernet0/1]ipaddress1.1.1.1255.0.0.0[telecom-GigabitEthernet0/1]natoutbound2000[telecom-GigabitEthernet0/1]natserverprotocoltcpglobal1.1.1.1www;..,.inside10.0.0.2[telecom-GigabitEthernet0/1]natserverprotocoltcpgloba

4、l1.1.1.1ftpinside10.0.0.2[telecom-GigabitEthernet0/1]quit4.配置访问控制列表，允许10.0.0.0/8网段访问internet[telecom]aclnumber2000[telecom-acl-basic-2000]rule0permitsource10.0.0.00.0.0.255[telecom-acl-basic-2000]rule1deny5.IPSecVPN配置配置分公司IP：192.168.1.0/24到总公司IP：10.1.1.0/24的IPSecVPN总公司端VPN

5、配置步骤如下：第一步：配置ACL3000，禁止总公司IP：10.1.1.0/24访问分公司IP：192.168.1.0/24时进行NAT转换，允许总公司IP：10.1.1.0/24访问公网时进行NAT转换。[telecom]aclnumber3000[telecom-acl-adv-3000]rule0denyipsource10.1.1.00.0.0.255destination192.168.1.00.0.0.255[telecom-acl-adv-3000]rulepermitip[telecom-acl-adv-3000]quit第

6、二步：配置ACL3200，允许总公司IP：10.1.1.0/24访问分公司IP：192.168.1.0/24[telecom]aclnumber3200;..,.[telecom-acl-adv-3200]rule0permitipsource10.1.1.00.0.0.255destination192.168.1.00.0.0.255[telecom-acl-adv-3200]quit第三步：配置本端设备名称为routera[telecom]ikelocal-nameroutera第四步：配置对等体peer[telecom]ikepee

7、rpeer[telecom-ike-peer-peer]exchange-modeaggressive[telecom-ike-peer-peer]pre-shared-key123456[telecom-ike-peer-peer]id-typename[telecom-ike-peer-peer]remote-nametelecom[telecom-ike-peer-peer]nattraversal第五步：配置IPSec安全提议test[telecom]ipsecproposaltest[telecom-ipsec-proposal-

8、test]encapsulation-modetunnel[telecom-ipsec-proposal-test]transformesp[telecom-ipsec-prop