配置防火墙|安全策略实验

各位老铁，网络安全这块，防火墙绝对是咱们的第一道防线！配置得好，那是固若金汤，配置不好，那就是筛子。都2025年了，还在用老一套？OUT啦！今天就跟大家聊聊防火墙那些你可能不知道的骚操作，保证让你的防护体系升个level！防火墙这玩意儿，最基本的就是划分安全区域，就像给流量分个“三六九等”。Trust（内网）、Untrust（外网）、DMZ（对外服务区），每个区域的安全级别都不一样，进出都要经过严格审查。安全策略就是防火墙的“规矩”，想让流量过去，得先看看它符不符合条件。

1、VLAN 2属于办公区；VLAN 3属于生产区2、办公区pc在工作日时间(周一至周五，早8到晚6)可以正常访问OA Server,其他时间不允许3、办公区pc可以在任意时刻访问Web Server4、生产区pc 可以在任意时刻访问OA Server,但是不能访问Web Server5、特例：生产区pc3可以在每周一早10到早11访问Web Server,用来更新企业最新产品信息。

1、VLAN 2属于办公区;VLAN 3属于生产区2、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访OA Server，其他时间不允许3、办公区PC可以在任意时刻访问Web server4、生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server5、特例:生产区PC3可以在每周一早10到早11访问WebServer，用来更新企业最新产品信息。

该实验要求如下： 配置GRE 实现总部和分部客户端PC之间私有IPv4地址和IPv6相互通信 隧道IPv4地址：10.1.12.0/24 隧道IPv6地址：2001:12::/64 NAT 实现所有的PC通过NAT转换访问client1，使用Easy-ip技术实现 NAT Server FTP公网IP地址为110.1.1.100，client1通过此公网IP访问FTP服务 路由 全网使用静态路由来实现通信 该实验拓扑图如下 1、配置底层IP地址信息 FW1的配置 interface GigabitEth

本次实验在第一次基础策略实验的基础上进行nat与双机热备的实验。掌握了对其防火墙的NAT和双机热备的实验步骤。

目录一、实验题目要求二、拓扑搭建，IP地址规划三、二层配置1.配置IP地址2.VLAN配置四、三层的配置（防火墙配置）1.IP地址配置2.云配置3.在浏览器上使用https协议登陆防火墙（1）配置对应dmz区的G1/0/0接口（2）创建新的区域（3）子接口创建（4）查看路由表（5）ping网关，测试网络连通性4.服务器配置5.配置安全策略五、完成实验要求1.实验要求一（1）具体步骤解析（2）结果验证2.实验要求二3.实验要求三（1）先创建一个安全策略，使10.0.2.10不允许DMZ区的相关服务（2）再创建

此时，即使配置了接口所在安全域允许访问local区域的安全策略，也不能通过该接口访问本地防火墙。所以服务器回包时候，会直接查询会话表，实现通信，所以防火墙只需要放行一边就行，流量能出去能建立会话，流量就可以按照会话回来。firewall zone name命令用来创建安全区域，并进入安全区域视图。id表示安全区域ID，取值4～99，默认递增。安全区域在使用时需要与防火墙的特定接口相关联，即需要将接口加入到安全区域。和交换机、路由器相同，interface命令用来创建接口或进入指定的接口视图。

在开启防火墙时，如果你是第一次打开它需要你输入原始账号【admin】与密码【Admin@123】、进入后要求你重新设置密码。使用浏览器登录防火墙，使用防火墙的g0/0/0端口的ip地址访问。新建一个区域为服务器区DMZ，优先级设置为55，并且选取一个接口放入。检测是否成功，在安全策略中允许动作，如此它就成为了路由器一样了。应用vlan1 是默认的，为此我们不能用vlan1。目前的配置，我们要补全R2与sw2的配置。，其他接口进行配置都是无法控制防火墙的。配置返回的路由信息，即回程路由。

华为防火墙：nat配置、用户认证配置、vpn配置

这两天跟着老师学习了网络安全防御之防火墙的配置，过程中不乏遇到了许多问题，例如访问https://ip:8443地址却没有提示继续进入的接口，或者是无法ping通防火墙测试端口等问题，希望接下来的分享能够帮助到大家！ 为了节省大家的时间，我把实验和具体问题分开罗列，大家根据个人需求查看即可！(这里建议初学的伙伴们还是跟着实验走一遍比较好！)

本人收集的usg系列防火墙的相关cli指令

1. interface GigabitEthernet1/0/1 undo shutdown ip address 200.1.1.1 255.255.255.0 interface GigabitEthernet1/0/4 undo shutdown ip address 169.254.43.1 255.255.255.0 service-manage en...