华为USG5300防火墙简要命令行配置手册_usg5500配置 - CSDN文库

华为防火墙

命令行配置

需积分: 49 131 浏览量更新于2023-05-26 评论 2 收藏 920KB DOC 举报

身份认证购VIP最低享 7 折!

领优惠券(最高得80元）

资源详情

资源评论

资源推荐

华为防火墙配置使用手册

防火墙默认的管理接口为 g0/0/0，默认的 ip 地址为 192.168.0.1/24，默认 g0/0/0 接口开启了

dhcp server，默认用户名为 admin，默认密码为 Admin@123

一、配置案例

1.1 拓扑图

GE 0/0/1：10.10.10.1/24

GE 0/0/2：220.10.10.16/24

GE 0/0/3：10.10.11.1/24

WWW 服务器：10.10.11.2/24（DMZ 区域）

FTP 服务器：10.10.11.3/24（DMZ 区域）

1.2 Telnet 配置

配置 VTY 的优先级为 3，基于密码验证。

# 进入系统视图。

<USG5300> system-view

# 进入用户界面视图

[USG5300] user-interface vty 0 4

# 设置用户界面能够访问的命令级别为 level 3

执行命令 display this 查看当前已有的安全策略，策略显示的顺序就是策略的匹配顺序，越前边

的优先级越高

执行命令 policy move policy-id1 { before | after } policy-id2，调整策略优先级。

UTM 策略

安全策略中除了基本的包过滤功能，还可以引用 IPS、AV、应用控制等 UTM 策略进行进

一步的应用层检测。但前提是匹配到控制动作为 permit 的流量才能进行 UTM 处理，如果

匹配到 deny 直接丢弃报文。

安全策略的应用方向

域间的 Inbound 和 Outbound 方向上都可以应用安全策略，需要根据会话的方向合理应用。因为

USG 是基于会话的安全策略，只对同一会话的首包检测，后续包直接按照首包的动作进行处理。

所以对同一条会话来说只需要在首包的发起方向上，也就是访问发起的方向上应用安全策略。

如上图所示，Trust 域的 PC 访问 Untrust 域的 Server，只需要在 Trust 到 Untrust 的 Outbound 方向

上应用安全策略允许 PC 访问 Server 即可，对于 Server 回应 PC 的应答报文会命中首包建立的会

话而允许通过。

1.4.1 Trust 和 Untrust 域间：允许内网用户访问公网

策略一般都是优先级高的在前，优先级低的在后。

policy 1：允许源地址为 10.10.10.0/24 的网段的报文通过

配置 Trust 和 Untrust 域间出方向的防火墙策略。 //如果不加 policy source 就是指 any，如果

不加 policy destination 目的地址就是指 any。

[USG5300] policy interzone trust untrust outbound

[USG5300-policy-interzone-trust-untrust-outbound] policy 1

[USG5300-policy-interzone-trust-untrust-outbound-1] policy source 10.10.10.0

0.0.0.255

[USG5300-policy-interzone-trust-untrust-outbound-1] action permit

[USG5300-policy-interzone-trust-untrust-outbound-1] quit

如果是允许所有的内网地址上公网可以用以下命令：

[USG2100]firewall packet-filter default permit interzone trust untrust direction outbound //必须

添加这条命令，或者 firewall packet-filter default permit all，但是这样不安全。否则内网不

能访问公网。

剩余31页未读，继续阅读

评论0

时境迁

粉丝: 4
资源: 21

会员权益专享

图片转文字

全年可省5，000元立即开通

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈