ENSP-----华为USG6000防火墙

ENSP-----华为USG6000防火墙_第1张图片

  • 本篇来讲一下USG6000的各种配置命令,此外还有配置web登录和ssh登录

一.防火墙简介

防火墙的工作模式

  • 路由模式:当防火墙处于内部网络和外部网络中间时,需要将防火墙的内部网络、外部网络、DMZ三个区域不同地址段的时候,这个时候防火墙首先是一台路由器,其后在提供其他的防火墙功能
  • 透明模式:华为防火墙和外层相连的时候,则防火墙处于透明模式下
  • 混合模式:既处于路由接口模式又处于透明模式下,则防火墙是混合模式,目前只用于透明模式下的双机热备的特殊应用中,别的环境不用。

华为防火墙的安全区域

  • Local:通常定义防火墙本身,优先级100,防火墙除了转发的流量外,自己也有收发流量,如控制流量、动态路由协议等,这些报文通常是从Local区域发送的
  • trust:主要用户连接公司内部网络,优先级是85,安全等级较高
  • DMZ:非军事化区域,优先级为50,是介于军事管事区和公共区域之间的一个区域,安全等级中
  • untrust:外部网络,优先级为5,安全等级低
  • 自定义区域:用户自定义区域。默认最多16个区域,默认没有优先级,用户自定义优先级

防火墙的inbound和outbound

  • inbound:数据由等级低的流向等级高的,如untrust(5)区域流向trust(85)
  • outbound:数据由等级高的流向等级低的,如DMZ(50)区域流向untrust(5)

ENSP-----华为USG6000防火墙_第2张图片

安全策略

  • 传统的防火墙都是基于5元组:源ip、目标IP、协议号、源端口号、目标端口号
  • 新一代的防火墙除了传统的5元组之外,还加入了应用、内容、时间、用户、威胁、位置进行深层次探测
  • 任何2个安全区域的优先级不能相同
  • 本域内不同接口间的报文不过滤直接转发
  • 接口没有加入域之前不能转发包
  • 在USG6600系列防火墙上默认是没有安全策略的,也就是说,不管是什么区域之间项目访问,都必须要配置安全策略,除非是同一区域内的报文传递

二.USG6000具体配置

网络拓扑图

ENSP-----华为USG6000防火墙_第3张图片

Cloud1的配置

ENSP-----华为USG6000防火墙_第4张图片

USG6000防火墙配置使用Telnet协议,登录远程软件

  • 在ensp上的usg终端上的配置
Username:admin
Password:
The password needs to be changed. Change now? [Y/N]: y
Please enter old password: 
Please enter new password: 
Please confirm new password: 

 Info: Your password has been changed. Save the change to survive a reboot. 
*************************************************************************
*         Copyright (C) 2014-2018 Huawei Technologies Co., Ltd.         *
*                           All rights reserved.                        *
*               Without the owner's prior written consent,              *
*        no decompiling or reverse-engineering shall be allowed.        *
*************************************************************************


sys
Enter system view, return user view with Ctrl+Z.
[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]sysname FW
[FW]int g0/0/0
[FW-GigabitEthernet0/0/0]ip add 192.168.70.10 24    //进入g口,配置IP地址
[FW-GigabitEthernet0/0/0]service-manage enable    //配置接口管理模式
[FW-GigabitEthernet0/0/0]service-manage telnet permit    //允许telnet服务
[FW-GigabitEthernet0/0/0]un sh    //激活接口
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[FW-GigabitEthernet0/0/0]q
[FW]telnet server enable    //开启telnet服务
Warning: Telnet is not a secure protocol, and it is recommended to use Stelnet.
[FW]firewall zone trust    //进入防火墙的trust区域
[FW-zone-trust]dis this    //确定g口,添加进入trust区域
2020-02-11 03:11:23.790 
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
return
[FW-zone-trust]q	
[FW]security-policy    //安全策略配置    
[FW-policy-security]rule name allow_telnet    //取名规则,命名为allow_telnet
[FW-policy-security-rule-allow_telnet]source-zone trust    //来自trust区域
[FW-policy-security-rule-allow_telnet]destination-zone local    //去local区域
[FW-policy-security-rule-allow_telnet]action permit    //动作是允许放通
[FW-policy-security-rule-allow_telnet]q
[FW-policy-security]q
[FW]user-interface vty 0 4    //进入配置认证模式
[FW-ui-vty0-4]authentication-mode aaa    //认证模式为aaa
Warning: The level of the user-interface(s) will be the default level of AAA use
rs, please check whether it is correct.
[FW-ui-vty0-4]protocol inbound telnet    //允许telnet连接虚拟终端
[FW-ui-vty0-4]q
[FW]aaa    //进入AAA模式
[FW-aaa]manager-user demo    //配置管理用户名为demo
[FW-aaa-manager-user-demo]password cipher bdqn@123    //设置密码
Info: You are advised to config on man-machine mode.	
[FW-aaa-manager-user-demo]service-type telnet    //服务类型是telnet
Warning: The user access modes include Telnet or FTP, so security risks exist.
[FW-aaa-manager-user-demo]level 3    //用户权限级别是3
[FW-aaa-manager-user-demo]q
[FW-aaa]
  • 点击SecureCRT软件远程登录防火墙

ENSP-----华为USG6000防火墙_第5张图片

ENSP-----华为USG6000防火墙_第6张图片

USG6000防火墙配置WEB界面登录

sys
Enter system view, return user view with Ctrl+Z.
[FW]int g0/0/0
[FW-GigabitEthernet0/0/0]service-manage http permit    //允许http服务
[FW-GigabitEthernet0/0/0]service-manage https permit    //允许https服务
[FW-GigabitEthernet0/0/0]q
[FW]aaa    //进入AAA模式
[FW-aaa]manager-user demo
[FW-aaa-manager-user-demo]service-type web    //服务类型web
  • 在本机浏览器输入http://192.168.70.10:8443/,具体web界面配置方法参考百度

ENSP-----华为USG6000防火墙_第7张图片

ENSP-----华为USG6000防火墙_第8张图片

USG6000防火墙配置使用SSH协议,登录远程软件

[FW]int g0/0/0
[FW-GigabitEthernet0/0/0]service-manage ssh permit       //ssh流量放通
[FW-GigabitEthernet0/0/0]q
[FW]rsa local-key-pair create    //生成ssh密钥
The key name will be: FW_Host
The range of public key size is (2048 ~ 2048). 
NOTES: If the key modulus is greater than 512, 
       it will take a few minutes.
Input the bits in the modulus[default = 2048]:
Generating keys...
...+++++
........................++
....++++
...........++

[FW]aaa
[FW-aaa]manager-user demo
[FW-aaa-manager-user-demo]service-type ssh    //服务类型是ssh
[FW-aaa-manager-user-demo]q
[FW-aaa]q
[FW]stelnet server enable
Info: Succeeded in starting the Stelnet server.
[FW]user-interface vty 0 4    //进入配置认证模式
[FW-ui-vty0-4]protocol inbound ssh    //允许ssh连接虚拟终端
[FW-ui-vty0-4]q
[FW]

ENSP-----华为USG6000防火墙_第9张图片

 

ENSP-----华为USG6000防火墙_第10张图片

ENSP-----华为USG6000防火墙_第11张图片

ENSP-----华为USG6000防火墙_第12张图片

 

 

你可能感兴趣的:(ensp(华为设备))