HecPthF系列防火墻配置教程

1、H3C SecPath F100 系列防火墻配置教程初始化配置 H3C system-view開(kāi)啟防火墻功能H3Cfirewall packet-filter enableH3Cfirewall packet-filter default permit 分配端口區(qū)域H3C firewall zone untrustH3C-zone-trust add interface GigabitEthernet0/0H3C firewall zone trustH3C-zone-trust add interface GigabitEthernet0/1 工作模式firewall mode transp

2、arent透明傳輸firewall mode route路由模式http 服務(wù)器使能 HTTP 服務(wù)器 undo ip http shutdown關(guān)閉 HTTP 服務(wù)器 ip http shutdown添加WEB用戶H3C local-user adminH3C-luser-admin password simple adminH3C-luser-admin service-type telnetH3C-luser-admin level 3開(kāi)啟防范功能firewall defend all 打開(kāi)所有防范 切換為中文模式 language-mode chinese 設(shè)置防火墻的名稱 sysna

3、me sysname 配置防火墻系統(tǒng) IP 地址 firewall system-ip system-ip-address address-mask 設(shè)置標(biāo)準(zhǔn)時(shí)間 clock datetime time date設(shè)置所在的時(shí)區(qū) clock timezone time-zone-name add | minus time 取消時(shí)區(qū)設(shè)置 undo clock timezone配置切換用戶級(jí)別的口令 super password level user-level simple | cipher password取消配置的口令 undo super password level user-level

4、缺缺省情況下，若不指定級(jí)別，則設(shè)置的為切換到 3 級(jí)的密碼。 切換用戶級(jí)別 super level 直接重新啟動(dòng)防火墻 reboot 開(kāi)啟信息中心 info-center enable 關(guān)閉信息中心 undo info-center enableftp server enable顯示下次啟動(dòng)時(shí)加載的配置文件display saved-configuration by-linenum 顯示系統(tǒng)本次啟動(dòng)及下次啟動(dòng)使用的配置文件 display startup顯示當(dāng)前視圖的配置 display this 顯示防火墻的當(dāng)前的運(yùn)行配置 display current-configuration inte

5、rface interface-type interface-number |configuration isp | zone | interzone | radius-template | system |user-interface by-linenum | begin | include |exclude string 保存當(dāng)前配置 save file-name | safely 刪除 Flash 中保存的下次啟動(dòng)時(shí)加載的配置文件 reset saved-configuration 配置防火墻工作在透明模式 firewall mode transparentH3C SecPath 系列安

6、全產(chǎn)品 操作手冊(cè)（安全） 第 8 章 透明防火墻操作命令 配置防火墻工作在路由模式 firewall mode route 恢復(fù)防火墻的工作模式為缺省模式undo firewall mode缺省情況下，防火墻工作在路由模式（ route ）下。啟動(dòng) ARP 表項(xiàng)自動(dòng)學(xué)習(xí)功能 firewall arp-learning enable禁止 ARP 表項(xiàng)自動(dòng)學(xué)習(xí)功能 undo firewall arp-learning enable 缺省情況下，當(dāng)防火墻工作在透明模式下時(shí)，防火墻啟動(dòng)ARP 表項(xiàng)自動(dòng)學(xué)習(xí)功能配置 VLAN ID 透?jìng)鞑僮髅钍鼓芙涌诘?VLAN ID 透?jìng)鞴δ?bridge vlan

7、id-transparent-transmit enable禁止接口的 VLAN ID 透?jìng)鞴δ?undo bridge vlanid-transparent-transmit enable 缺省情況下，禁止接口的 VLAN ID 透?jìng)鞴δ堋Ｊ鼓?ARP Flood 攻擊防范功能 firewall defend arp-flood max-rate rate-number 關(guān)閉 ARP Flood 攻擊防范功能 undo firewall defend arp-flood max-rate 缺省為關(guān)閉 ARP Flood攻擊防范功能。ARP報(bào)文的最大連接速率范圍為11,000,000 ，缺省為

8、 100。SecPath 系列安全產(chǎn)品支持以 HTTP 方式登錄到系統(tǒng)中，并通過(guò) Web 管理界面對(duì)系 統(tǒng)進(jìn)行配置和管理。在使用 Web 界面登錄到系統(tǒng)前，必須先使能 HTTP 服務(wù)器功能。 請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。H3C SecPath 系列安全產(chǎn)品 操作手冊(cè)(基礎(chǔ)配置) 第 4 章 系統(tǒng)維護(hù)管理開(kāi)啟 / 關(guān)閉 HTTP 服務(wù)器開(kāi)啟 HTTP 服務(wù)器 undo ip http shutdown關(guān)閉 HTTP 服務(wù)器 ip http shutdown 缺省情況下，系統(tǒng)開(kāi)啟 HTTP 服務(wù)器。僅當(dāng)?shù)卿浻脩艟哂?Telnet 的服務(wù)類型時(shí)( service-type telnet )，才允許登

9、錄 HTTP 服務(wù)器，且不同等級(jí)的用戶在Web 界面中的可配置項(xiàng)也會(huì)不同。配置 HTTP 服務(wù)器的訪問(wèn)限制 可以配置 HTTP 服務(wù)器，使僅具有特定 IP 地址的用戶才可以登錄 HTTP 服務(wù)器，對(duì) 設(shè)備進(jìn)行配置和管理請(qǐng)?jiān)谙到y(tǒng)視圖下進(jìn)行下列配置。表 4-18 配置 HTTP 服務(wù)器的訪問(wèn)限制操作 命令配置 HTTP 服務(wù)器的訪問(wèn)限制 ip http acl acl-number取消對(duì) HTTP 服務(wù)器的訪問(wèn)限制 undo ip http acl 缺省情況下，未配置 HTTP 服務(wù)器的訪問(wèn)限制。僅 ACL 中允許的 IP 地址才可以訪問(wèn) HTTP 服務(wù)器。表 3-10 顯示系統(tǒng)狀態(tài)信息操作 命令

10、顯示系統(tǒng)版本信息 display version顯示詳細(xì)的軟件版本信息 vrbd顯示系統(tǒng)時(shí)鐘 display clock顯示終端用戶 display users all 顯示起始配置信息 display saved-configuration顯示當(dāng)前配置信息 display current-configuration 顯示調(diào)試開(kāi)關(guān)狀態(tài) display debugging interface interface-type interface-number module-name 顯示當(dāng)前視圖的運(yùn)行配置 display this顯示技術(shù)支持信息 display diagnostic-informa

11、tion顯示剪貼板的內(nèi)容 display clipboardH3C SecPath 系列安全產(chǎn)品操作手冊(cè)（基礎(chǔ)配置）第 3 章 Comware 的基本配置操作 命令顯示當(dāng)前系統(tǒng)內(nèi)存使用情況display memory limit 顯示 CPU 占用率的統(tǒng)計(jì)信息display cpu-usage configuration | number offset verbose from-device 設(shè)置 CPU 占用率統(tǒng)計(jì)的周期cpu-usage cycle 5sec | 1min | 5min | 72min 以圖形方式顯示 CPU 占用率統(tǒng)計(jì)歷史信息 display cpu-usage hist

12、ory task task-id 對(duì)插槽中的插卡進(jìn)行拔出預(yù)處理 remove slot slot-id 取消拔出預(yù)處理操作 undo remove slot slot-iddisplay device slot-id 顯示設(shè)備和插卡的信息（任意視圖）配置防火墻網(wǎng)頁(yè)登陸1. 配置防火墻缺省允許報(bào)文通過(guò)。 system-viewH3C firewall packet-filter default permit2. 為防火墻的以太網(wǎng)接口（以 GigabitEthernet0/0 為例）配置 IP 地址，并將接口加入到安全區(qū) 域。H3C interface GigabitEthernet0/0H3CH

13、3C-GigabitEthernet0/0 quitH3C firewall zone trustH3C-zone-trust add interface GigabitEthernet0/03. 為PC配置IP地址4. 使用 Ping 命令驗(yàn)證網(wǎng)絡(luò)連接性。H3CPing 命令成功！5. 添加登錄用戶為使用戶可以通過(guò) Web登錄，并且有權(quán)限對(duì)防火墻進(jìn)行管理，必須為用戶添加登錄帳戶并且賦予其權(quán)限。例如：建立一個(gè)帳戶名和密碼都為 admin ，帳戶類型為 telnet ，權(quán)限等級(jí)為 3 的管理員用戶 H3C local-user adminH3C-luser-admin password simp

14、le adminH3C-luser-admin service-type telnetH3C-luser-admin level 3可登錄。用戶可以通過(guò)“ Language”下拉框選擇界面語(yǔ)言內(nèi)部主機(jī)通過(guò)域名區(qū)分并訪問(wèn)對(duì)應(yīng)的內(nèi)部服務(wù)器組網(wǎng)應(yīng)用1) 配置 easy ip (不用配地址池，直接通過(guò)接口地址做轉(zhuǎn)換)nat outbound acl-number2) DNS MAPnat dns-map domain-name global-addrglobal-port tcp | udp 實(shí)例：#在EthernetO/O/O 接口上配置 FTP及 WW內(nèi)部服務(wù)器。H3C interface eth

15、ernet0/0/0H3C-EthernetO/O/O ip address 1.1.1H3C-EthernetO/O/O nat outbound 2OOOH3CwwwH3CftpH3C-EthernetO/O/O quitInternet# 配置訪問(wèn)控制列表，允許 1O.O.O.O/8 網(wǎng)段訪問(wèn)H3C acl number 2OOOH3CH3C-acl-basic-2OOO rule 1 deny# 配置 ethernet1/O/O 。H3C interface ethernet1/O/OH3C的內(nèi)部服務(wù)器。# 配置域名與外部地址、端口號(hào)、協(xié)議類型之間的映射。H3CH3CH3C SecPa

16、th “F”系列防火墻基本配置SECPATH F”系列基本岀外網(wǎng)典型配置：內(nèi)網(wǎng) (e0/0)-Secpath100F-(e1/0)internetsysSystem View: return to User View with Ctrl+Z.Quidwayint e0/0Quidway-Ethernet0/0int e1/0Quidwayfire zone untrustQuidway-zone-untrustadd int e1/0Quidway-zone-untrustfire zone trustQuidway-zone-trustadd int e0/0Quidway-zone-tru

17、stquitQuidwayacl num 200055Quidway-acl-basic-2000rule denyQuidwayint e1/0Quidway-Ethernet1/0nat outbound 2000內(nèi)網(wǎng)(g0/0)-Secpath1000F-(g0/1)internetsysSystem View: return to User View with Ctrl+Z.Quidwayint g0/0Quidway-GigabitEthernet0/0int g0/1Quidwayfire zone untrust Quidway-zone-untrustadd in

18、t g0/1 Quidway-zone-untrustfire zone trust Quidway-zone-trustadd int g0/0 Quidway-zone-trustquit Quidwayacl num 2000Quidway-acl-basic-2000rule denyQuidwayint g0/1Quidway-GigabitEthernet0/1nat outbound 2000internet內(nèi)網(wǎng) (e0/0)-Secpath100F-(e0/1)ADSLMODEM sysSystem View: return to User View with Ctrl+Z.Quidwayint e0/0Quidway-Ethernet0/0quit Quidwayfire zone untrustQ