网络安全专题 | 第十章 | 防火墙基础配置 | 安全策略

拓扑图

如上图所示，防火墙部署在企业边界。

（1）防火墙三个端口分别归属不同安全区域等。（g1/0/0 为 trust，G1/0/1 为 untrust，G0/0/0 为 DMZ）

[FW1]firewall zone trust 
[FW1-zone-trust]add interface g1/0/0

[FW1]firewall zone untrust 

[FW1]firewall zone dmz

（2）通过配置 easy NAT 实现内部主机访问 AR1。

[FW1]security-policy
[FW1-policy-security]rule name tr_un
[FW1-policy-security-rule-tr_un]source-zone trust
[FW1-policy-security-rule-tr_un]destination-zone untrust
[FW1-policy-security-rule-tr_un]source-address 192.168.1.0 mask 255.255.255.0
[FW1-policy-security-rule-tr_un]source-address 192.168.2.0 mask 255.255.255.0
[FW1-policy-security-rule-tr_un]action permit

 // nat-polict策略：
[FW1]nat-policy 
[FW1-policy-nat]rule name tr_to_un
[FW1-policy-nat-rule-tr_to_un]source-zone trust
[FW1-policy-nat-rule-tr_to_un]egress-interface GigabitEthernet1/0/1
[FW1-policy-nat-rule-tr_to_un]source-address 192.168.1.0 mask 255.255.255.0
[FW1-policy-nat-rule-tr_to_un]source-address 192.168.2.0 mask 255.255.255.0
[FW1-policy-nat-rule-tr_to_un]action source-nat easy-ip

（3）防火墙配置安全策略，使 PC1 和 PC2 可以访问处于 DMZ 区域的 PC3。

#
rule name to_dmz
source-zone trust
destination-zone dmz
source-address 192.168.1.0 mask 255.255.255.0
source-address 192.168.2.0 mask 255.255.255.0
destination-address 192.168.3.0 mask 255.255.255.0
action permit
#
// 这里注意G0/0/0口默认绑定的有vpn实例，不存在路由
#
interface GigabitEthernet0/0/0
undo shutdown
ip binding vpn-instance default
ip address 192.168.3.1 255.255.255.0
alias GE0/METH
#

• 小提示：华为设备不论从高等级到低等级都是默认拒绝的，而思科的设备，从高到低可以通过，从低到高是拒绝的。

（4）防火墙配置安全策略与端口映射，使 PC4 可以通过 60.1.1.1 的 8080 端口访问 PC3 的 80 端口。

#
rule name 2
source-zone untrust
destination-zone dmz
destination-address 192.168.3.0 mask 255.255.255.0
action permit
#

// 端口映射
[FW1]nat server protocol tcp global 60.1.1.1 8080 inside 192.168.3.100 80 

（5）配置端口映射后，管理员通过 ping 命令测试，发现不能通信，原因是什么？如果解决？

[FW1]nat server protocol icmp global 60.1.1.1 inside 192.168.3.100

• 配置一条ICMP映射，注意：如果只在接口上配置允许ping是不行的。