华为USG6390防火墙基本配置

华为USG6390防火墙基本配置

网络拓扑图：

1.2 Telnet配置

配置VTY 的优先级为3，基于密码验证。

# 进入系统视图。

<USG6390>system-view

# 进入用户界面视图

[USG6390] user-interface vty 0 4

# 设置用户界面能够访问的命令级别为level 3

[USG6390-ui-vty0-4] user privilege level 3

配置Password验证

# 配置验证方式为Password验证

[USG6390ui-vty0-4] authentication-mode password

# 配置验证密码为lantian

[USG5300-ui-vty0-4]set authentication password simple lantian ###最新版本的命令是authentication-mode password cipher huawei@123

配置空闲断开连接时间

# 设置超时为30分钟

[USG6390-ui-vty0-4] idle-timeout 30

[USG6390] firewall packet-filter default permit interzoneuntrust local direction inbound //不加这个从公网不能telnet防火墙。

基于用户名和密码验证

user-interfacevty 0 4

authentication-modeaaa

aaa

local-user admin password cipher ]MQ;4\]B+4Z,YWX*NZ55OA!!

local-user admin service-type telnet

local-user admin level 3

firewall packet-filter default permit interzoneuntrust local direction inbound

如果不开放trust域到local域的缺省包过滤，那么从内网也不能telnet的防火墙，但是默认情况下已经开放了trust域到local域的缺省包过滤。

1.3 地址配置

内网：

进入GigabitEthernet 0/0/3视图

[USG6390] interface GigabitEthernet 0/0/3

配置GigabitEthernet 0/0/3的IP地址

[USG6390-GigabitEthernet0/0/3] ip address 192.168.7.1 255.255.255.0

配置GigabitEthernet 0/0/3加入Trust区域

[USG6390] firewall zone trust

[USG6390-zone-untrust] add interface GigabitEthernet 0/0/3

[USG6390-zone-untrust] quit

外网：

进入GigabitEthernet 0/0/0 视图

[USG6390] interface GigabitEthernet 0/0/0

配置GigabitEthernet 0/0/0的IP地址

[USG6390-GigabitEthernet0/0/0] ip address 125.69.149.77 255.255.255.0

配置GigabitEthernet 0/0/0加入Untrust区域

[USG6390] firewall zone untrust

[USG6390-zone-untrust] add interface GigabitEthernet 0/0/0

[USG6390-zone-untrust] quit

1.4Trust和Untrust域间：允许内网用户访问公网

策略一般都是优先级高的在前，优先级低的在后。

policy 1：允许源地址为192.168.7.0/24的网段的报文通过

配置Trust和Untrust域间出方向的防火墙策略。//如果不加policy source就是指any，如果不加policy destination目的地址就是指any。

[USG6390] policy interzone trust untrust outbound

[USG6390-policy-interzone-trust-untrust-outbound] policy 1

[USG6390-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255 [USG6390-policy-interzone-trust-untrust-outbound-1] action permit

[USG6390-policy-interzone-trust-untrust-outbound-1] quit

如果是允许所有的内网地址上公网可以用以下命令：

[USG6390]firewall packet-filter default permit interzone trust untrust direction outbound //必须添加这条命令，或者firewall packet-filter default permit all，但是这样不安全。否则内网不能访问公网。

注意：由优先级高访问优先级低的区域用outbound，比如policy interzone trust untrust outbound。这时候policy source ip地址，就是指的优先级高的地址，即trust地址，destination地址就是指的untrust地址。只要是outbound，即使配置成policy interzoneuntrust trust outbound也会变成policy interzone trust untrust outbound。

由优先级低的区域访问优先级高的区域用inbound，比如是policy interzoneuntrust trust inbound，为了保持优先级高的区域在前，优先级低的区域在后，命令会自动变成policy interzone trust untrust inbound，这时候policy source ip地址，就是指的优先级低的地址，即untrust地址，destination地址就是指的优先级高的地址，即trust地址。