今天給大家介紹華為防火墻的安全策略配置實(shí)例。本文采用華為eNSP模擬器，設(shè)計(jì)了一個(gè)USG6000系列防火墻的配置實(shí)例，并安全要求完成了相應(yīng)配置。

一、實(shí)驗(yàn)拓?fù)浼耙?/p>

實(shí)驗(yàn)拓?fù)淙缟纤荆F(xiàn)在要求配置如圖所示的實(shí)驗(yàn)拓?fù)鋱D，并配置防火墻安全策略實(shí)現(xiàn)：
1、Trust區(qū)域可以訪問Untrust區(qū)域。
2、Trust區(qū)域可以訪問DMZ區(qū)域的lo0，但不能訪問其他IP地址。

二、實(shí)驗(yàn)配置命令

（一）華為防火墻默認(rèn)安全策略

在華為系列防火墻中，默認(rèn)的安全策略根據(jù)出入?yún)^(qū)域的不同而不同，具體如下所示：
1、域內(nèi)流量。 域內(nèi)流量是指從一個(gè)區(qū)域流向同一個(gè)區(qū)域的流量，防火墻默認(rèn)策略是允許。
2、域間流量。域間流量是指從一個(gè)區(qū)域流向另一個(gè)區(qū)域的流量，防火墻默認(rèn)策略是拒絕。
3、自身流量。自身流量是指防火墻自身發(fā)出的流量或者是目的是防火墻的流量，默認(rèn)是拒絕。自身流量除了可以在安全策略上配置外，還可以在接口上直接配置，并且在接口上配置的優(yōu)先級(jí)要高于在安全策略中配置的優(yōu)先級(jí)。

（二）安全區(qū)域劃分相關(guān)配置命令

安全區(qū)域劃分只需要把固定的接口放置到指定的區(qū)域中，相關(guān)命令如下所示：

firewallzonetrust
setpriority85
addinterfaceGigabitEthernet0/0/0
addinterfaceGigabitEthernet1/0/2
#
firewallzoneuntrust
setpriority5
addinterfaceGigabitEthernet1/0/0
#
firewallzonedmz
setpriority50
addinterfaceGigabitEthernet1/0/1

（三）安全策略配置命令

安全策略配置時(shí)要按照要求配置相應(yīng)策略，在這里要特別注意策略的配置順序，相關(guān)配置命令如下所示：

security-policy
rulenamep1
source-zonetrust
destination-zonetrust
destination-zoneuntrust
serviceicmp
actionpermit
rulenamep2
source-zonetrust
destination-zonedmz
destination-address2.2.2.2mask255.255.255.255
actionpermit
rulenamep3
source-zonetrust
destination-zonedmz
actiondeny

三、實(shí)驗(yàn)現(xiàn)象

（一）Trust區(qū)域可以訪問Untrust區(qū)域正常

（二）Untrust區(qū)域訪問Trust區(qū)域被禁止

（三）Trust區(qū)域可以訪問2.2.2.2正常

（四）Trust區(qū)域訪問其他DMZ區(qū)域被禁止

四、附錄——防火墻相關(guān)配置命令

防火墻相關(guān)配置命令如下所示：

#
interfaceGigabitEthernet0/0/0
undoshutdown
ipbindingvpn-instancedefault
ipaddress192.168.0.1255.255.255.0
aliasGE0/METH
#
interfaceGigabitEthernet1/0/0
undoshutdown
ipaddress150.1.1.10255.255.255.0
#
interfaceGigabitEthernet1/0/1
undoshutdown
ipaddress192.168.1.10255.255.255.0
#
interfaceGigabitEthernet1/0/2
undoshutdown
ipaddress192.168.2.10255.255.255.0
#
firewallzonetrust
setpriority85
addinterfaceGigabitEthernet0/0/0
addinterfaceGigabitEthernet1/0/2
#
firewallzoneuntrust
setpriority5
addinterfaceGigabitEthernet1/0/0
#
firewallzonedmz
setpriority50
addinterfaceGigabitEthernet1/0/1
#
iproute-static2.2.2.2255.255.255.255192.168.1.2
#
security-policy
rulenamep1
source-zonetrust
destination-zonetrust
destination-zoneuntrust
serviceicmp
actionpermit
rulenamep2
source-zonetrust
destination-zonedmz
destination-address2.2.2.2mask255.255.255.255
actionpermit
rulenamep3
source-zonetrust
destination-zonedmz
actiondeny

審核編輯：湯梓紅