华为USG6390防火墙基本配置.docx

华为USG6390防火墙基本配置网络拓扑图：1.2 Telnet 配置配置VTY的优先级为3,基于密码验证 进入系统视图system-view# 进入用户界面视图[USG6390] user-interface vty 0 4#设置用户界面能够访问的命令级别为Ievel 3[USG6390-ui-vty0-4] user privilege level 3配置 Password 验证# 配置验证方式为 Password 验证[USG6390ui-vty0-4] authentication-mode password# 配置验证密码为 lantian[USG5300-ui-vty0-4] set authentication password simple lantian ###最新版本的命令是 authentication-mode password cipher huawei@123配置空闲断开连接时间# 设置超时为30 分钟[USG6390-ui-vty0-4] idle-timeout 30[USG6390] firewall packet-filter default permit interzoneuntrust local direction inbound //不加 这个从公网不能 telnet 防火墙。

基于用户名和密码验证user-interfacevty 0 4 authentication-modeaaa aaalocal-user admin password cipher ]MQ;4\]B+4Z,YWX*NZ55OA!!local-user admin service-type telnetlocal-user admin level 3firewall packet-filter default permit interzoneuntrust local direction inbound如果不开放trust域到local域的缺省包过滤，那么从内网也不能telnet的防火墙，但是默认 情况下已经开放了 trust域到local域的缺省包过滤1.3 地址配置内网：进入 GigabitEthernet 0/0/3 视图[USG6390] interface GigabitEthernet 0/0/3配置 GigabitEthernet 0/0/3 的 IP 地址[USG6390-GigabitEthernet0/0/3]ip address 192.168.7.1 255.255.255.0 配置 GigabitEthernet 0/0/3 加入 Trust 区域[USG6390]firewall zone trust[USG6390-zone-untrust] add interface GigabitEthernet 0/0/3[USG6390-zone-untrust]quit外网：进入 GigabitEthernet 0/0/0 视图[USG6390] interface GigabitEthernet 0/0/0配置 GigabitEthernet 0/0/0 的 IP 地址[USG6390-GigabitEthernet0/0/0]ip address 125.69.149.77 255.255.255.0配置 GigabitEthernet 0/0/0 加入 Untrust 区域[USG6390]firewall zone untrust[USG6390-zone-untrust] add interface GigabitEthernet 0/0/0[USG6390-zone-untrust] quit1.4Trust 和 Untrust 域间：允许内网用户访问公网策略一般都是优先级高的在前，优先级低的在后。

policy 1：允许源地址为192.168.7.0/24 的网段的报文通过配置Trust和Untrust域间出方向的防火墙策略 〃如果不加policy source就是指any,如果不加policy destination目的地址就是指any[USG6390] policy interzone trust untrust outbound[USG6390-policy-interzone-trust-untrust-outbound] policy 1 [USG6390-policy-interzone-trust-untrust-outbound-1]policy source 192.168.0.0 0.0.0.255[USG6390-policy-interzone-trust-untrust-outbound-1]action permit [USG6390-policy-interzone-trust-untrust-outbound-1]quit如果是允许所有的内网地址上公网可以用以下命令：[USG6390]firewall packet-filter default permit interzone trust untrust direction outbound //必 须添加这条命令，或者firewall packet-filter default permit all,但是这样不安全。

否则内网不 能访问公网注意：由优先级高访问优先级低的区域用out bound，比如policy interzone trust untrust outboundo 这时候 policy source ip地址，就是指的优先级高的地址，即trust地址， des tina tion地址就是指的unt rust地址只要是out bound，即使配置成policy interzoneuntrusttrustoutbound 也会变成 policyinterzonetrustuntrustoutbound由优先级低的区域访问优先级高的区域用inbound，比如是policy interzoneuntrust trust inbound,为了保持优先级高的区域在前，优先级低的区域在后，命令会自动变成policy interzone trust untrust inbound，这时候 policy source ip 地址，就是指的优先级低 的地址，即untrust地址，destination地址就是指的优先级高的地址，即trust地址。