④ nat配置

⑤ 將默認的安全策略改為放行

5、防火墻轉(zhuǎn)發(fā)原理

路由器：開啟telnet

基于會話(狀態(tài))session 的轉(zhuǎn)發(fā)。

首包 ：建立會話的過程? 去包

回包：基于會話回包

dis? firewall session? table 查看防火墻會話表

放行由trust到dmz的流量

更加精細化控制：

6、常見安全策略

7、源NAT 轉(zhuǎn)換

8、端口映射(nat server)

將內(nèi)網(wǎng)地址 172.16.1.2 的23端口 映射成公網(wǎng)地址202.1.1.1 的23端口。

注意：如果想檢測由防火墻到服務器的連通性，需放行l(wèi)ocal到dmz的流量。

命令行：

9、SSH 遠程管理防火墻

[FW]rsa local-key-pair create? 產(chǎn)生用于加密的密鑰對

防火墻需開啟 ssh? 服務并指定用戶名和密碼

客戶端路由器： stelnet 192.168.1.1

首次登錄必須重新更改密碼，且要符合復雜度要求例如CCNPa1234 ，且不能使用歷史密碼。更改密碼后會被踢出 然后重新登錄。

注意 1 ： ssh ?只能使用用戶名和密碼的方式登錄。

注意 2 ：配置用戶名和密碼時千萬不要加空格再回車。

10、允許防火墻對tracert 路徑探測回顯

tracert? ?x.x.x.x? 用于探測去往某目標經(jīng)過的三層設備的個數(shù)。

tracert 原理：發(fā)送探測報文 ttl=1 (第一跳)ttl=2(第二跳)。。。依次類推 ，當中間的三

層設備收到ttl值等于1的報文時認為發(fā)生環(huán)路，報文無法繼續(xù)轉(zhuǎn)發(fā)。并回饋一個icmp 的報文通知源端。

探測報文

路由器回顯報文：

注意：防火墻為了安全起見(不暴露自己的ip地址)，默認情況下不處理ttl=1的探測報文，收到該報文后直接丟棄，且不會回應。因此tracert? 時，會有 *? ?*? ?*? 出現(xiàn)是多數(shù)是防火墻。

配置防火墻允許tracert 回顯： icmp ttl-exceeded? send

11、將防火墻配置成透明交換機

FW:

路由器 telnet 不認證登陸：

12、在防火墻上面配置vlan

將接口劃分到不同的安全區(qū)域以實現(xiàn)精細化的管控：

例如 ：只允許trust1trust2 ?telnet 流量

13、將防火墻配置成三層核心交換機

然后可以基于svi1 和svi2 兩個區(qū)域配置精細化的安全管控。

注意：如果想實現(xiàn)不同vlan的互訪管控，可以將不同的三層svi接口加入到不同的安全區(qū)域，便于配置安全策略。

14、雙機熱備?

基礎配置：

配置完接口 ip

防火墻接口已規(guī)劃區(qū)域

放行 local_to_any

防火墻接口都允許 ping

防火墻 vrrp ?和路由器的不同：

防火墻 vrrp ?需要解決的兩個問題：

① 多個 vrrp 組同時切換 ( VGMP ，不需特殊配置自動加入 vgmp 組，多個 vrrp組 要切一起切)

② 安全策略配置和會話狀態(tài)同步 (會話同步 HRP)

VRRP 配置：

FW1:

FW2:

HRP 配置：

FW1:

FW2:

注意：處于 standby ?狀態(tài)的設備不允許配置安全策略(可以其他的)，只允許在主設備配置安全策略，且安全策略會自動同步到備設備上面。主設備 配置由 trust_to_untrust? 放行策略+B ?表示配置已經(jīng)同步到備設備上面。

FW1 ：

測試 1 ： R1 ping R2 通信！！ 可以做冗余性測試！！

測試 2 ：去掉 HRP ?看看配置安全策略是否還同步 (HRP 切換需要 1 分鐘時間 有 standby-->master )

測試 3 ： R1 telnet R2 查看兩個 FW 的會話狀態(tài)是否都有

注意：處于 standby ?狀態(tài)的設備不允許配置安全策略(可以其他的)，只允許在主設備配置安全策略，且安全策略會自動同步到備設備上面。主設備 配置由 trust_to_untrust? 放行策略+B ?表示配置已經(jīng)同步到備設備上面。

FW1 ：

測試 1 ： R1 ping R2 通信！！ 可以做冗余性測試！！

測試 2 ：去掉 HRP ?看看配置安全策略是否還同步 (HRP 切換需要 1 分鐘時間 有 standby-->master )

測試 3 ： R1 telnet R2 查看兩個 FW 的會話狀態(tài)是否都有

15、雙機熱備web配置

努力學習，勤奮工作，讓青春更加光彩

再長的路，一步步也能走完，再短的路，不邁開雙腳也無法到達

總結(jié)

以上是生活随笔為你收集整理的查看防火墙状态_干货 | 华为防火墙配置，这篇文章强烈推荐收藏学习的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。