华为防火墙虚拟化配置

Root Firewall配置如下

system-view
sysname root-firewall #防火墙命名
vlan batch 41 71 73 100 to 200 1000 to 2000 3001 to 3100 #创建vlan
interface eth-trunk 0 #创建聚合组0 （为HRP所使用）
trunkport GigabitEthernet1/0/0 #添加聚合组成员
trunkport GigabitEthernet1/0/1 #添加聚合组成员
ip address 1.1.1.1 255.255.255.0 #配置聚合组地址
quit #退出聚合组模式

interface eth-trunk 1 #创建聚合组1（出口链路聚合）
portswitch #切换至二层聚合模式
trunkport 10GE 1/0/8 #添加聚合组成员
trunkport 10GE 1/0/9 #添加聚合组成员
port link-type trunk #端口类型trunk
undo port trunk allow-pass vlan 1 #拒绝vlan1通过
port trunk allow-pass vlan 41 71 73 100 to 200 1000 3000 to 3100 #允许vlan 41 71 73 100 to 200 1000 3000到3100
alias eth-trunk1 #聚合组命名eth-trunk1
quit

将聚合组加入不同区域
firewall zone dmz
add interface Eth-Trunk0 #HRP聚合组加入到DMZ区域

firewall zone trust
add interface Eth-Trunk1 #出口链路聚合加入到Trust区域
add interface Virtual-if0
备注：建议Eth-Trunk1和 Virtual-if接口属于不同区域（因为华为防火墙只存在区域间策略）——默认同一个zone的流量是可以通信的，可以基于源目的地址做安全策略

vsys enable #开启虚拟系统resource-class r1 # 配置资源类
resource-item-limit session reserved-number 10000 maximum 50000
resource-item-limit policy reserved-number 300
resource-item-limit user reserved-number 300
resource-item-limit user-group reserved-number 10
resource-item-limit bandwidth-ingress maximum 100000vsys name vsysA #创建虚拟子墙A
vsys name vsysB #创建虚拟子墙B
quit #退出
quit #退出

为外联、业务创建虚拟子接口
interface Eth-Trunk1.109 #创建电信子接口
description link-to-gateway-DianXin#该接口描述
ip address 123.126.109.166 255.255.255.128 #设置接口公网地址
arp-proxy enable #开启ARP代理功能
vlan-type dot1q 109 #本接口属于vlan109
alias Eth-Trunk1.109 #别名为Eth-Trunk1.109
service-manage ping permit #允许ping

interface Eth-Trunk1.73 创建专网子接口
description link-to-gateway-ZhuanXian #该接口描述
ip address 172.16.1.1 255.255.255.0 #设置接口公网地址
vlan-type dot1q 73#本接口属于vlan73
alias Eth-Trunk1.73#别名为Eth-Trunk73
service-manage ping permit #允许ping

interface Eth-Trunk1.128 创建业务子接口
description link-to-ZhuHu1 #该接口描述
ip address 192.168.1.254 255.255.255.0 #设置接口公网地址
vlan-type dot1q 128#本接口属于vlan128
alias Eth-Trunk1.128#别名为Eth-Trunk128
service-manage ping permit #允许ping

interface Eth-Trunk1.129 创建业务子接口
description link-to-ZhuHu2 #该接口描述
ip address 192.168.2.254 255.255.255.0 #设置接口公网地址
vlan-type dot1q 129#本接口属于vlan129
alias Eth-Trunk1.129#别名为Eth-Trunk129
service-manage ping permit #允许ping

将虚拟子接口加入到不同接口
firewall zone trust
add interface Eth-Trunk1.73 ##添加子接口
add interface Virtual-if0 #虚拟逻辑根接口用于和虚拟墙通信

firewall zone name DianXin #创建 DianXin区域
set priority 4
add interface Eth-Trunk1.109 #添加子接口

firewall zone trust
add interface Virtualif 0

security-policy #安全策略
default action permit #默认动作允许

ip route-static 0.0.0.0 0.0.0.0 123.126.109.129 #缺省路由到电信运营商
ip route-static 123.126.109.182 255.255.255.255 ***-instance vsysA #将vsysA内员工访问Internet的回程流量引入VSYSAip route-static 123.126.109.164 255.255.255.255 ***-instance vsysB #公网地址下放到子墙B
ip route-static 192.168.1.0 255.255.255.0 ***-instance vsysA #专线地址下放到子墙A
ip route-static 192.168.2.0 255.255.255.0 ***-instance vsysB #专线地址下放到子墙B
ip route-static 172.21.125.0 255.255.255.0 172.20.1.1 description Mangement

虚拟FirewallA配置说明如下：
switch vsys vsysA #切换至虚拟子墙A
assign interface Eth-Trunk1.128 #分配虚拟子接口（业务网关）
assign resource-class r1 #分配资源类r1
assign global-ip 172.16.1.2 172.16.1.2 exclusive #分配全局地址172.16.1.2为独占型
assign global-ip 123.126.109.182 123.126.109.182 exclusive #分配全局地址123.126.109.182为独占型
assign interface GigabitEthernet 1/0/3 分配接口
firewall zone untrust
add interface Virtual-if1 #添加虚拟子接口（Virtualif的编号会根据系统中ID占用情况自动分配）
firewall zone trust
add interface Eth-Trunk1.128
aaa #为虚拟系统创建管理员manager-user admin@@vsysa
password
Enter Password:
Confirm Password:
service-type web telnet ssh
level 15

ip route-static 0.0.0.0 0.0.0.0 public #将vsysA内员工访问Internet的流量引入根系统（public根墙）

security-policy #配置安全策略
default action permit #允许所有通过

na免费云主机域名t address-group Zhuanxian #为专线创建NAT地址组
mode pat 模式
section 0 172.16.1.2 172.16.1.2 #地址组为172.16.1.2

nat address-group DianXin #为电信创建NAT地址组
mode pat
section 0 123.126.109.182 123.126.109.182

nat-policy #配置NAT策略rule name no-nat #规则命名no-nat
source-zone trust #源区域trust
destination-zone untrust #目的区域untrust
source-address 192.168.1.0 mask 255.255.255.0 #定义源192.168.1.0网段
destination-address 172.16.1.0 mask 255.255.255.0 #定义目的172.16.1.0网段
destination-address 192.168.2.0 mask 255.255.255.0 #定义目的192.168.2.0网段
action no-nat #动作不转换
rule name DianXin #规则名DianXian
source-zone trust #源区域trust
destination-zone untrust #目的区域untrust
source-address 192.168.1.0 mask 255.255.255.0 #源地址段为192.168.1.0/24
action nat address-group DianXin

配置服务器端口映射
nat server 1 protocol tcp global 123.126.109.182 3389 inside 192.168.1.1 3389 #将内部私网地址192.168.1.1端口3389映射成公网地址123.126.109.182的3389

虚拟FirewallB配置说明如下：
vsys name vsysB
assign interface Eth-Trunk1.129#分配虚拟子接口（业务网关）
assign resource-class r1 #分配资源类r1
assign global-ip 172.16.1.3 172.16.1.3 exclusive #分配全局地址172.16.1.3为独占型
assign global-ip 123.126.109.164 123.126.109.164 exclusive #分配全局地址123.126.109.164为独占型

firewall zone untrust
add interface Virtual-if2
firewall zone trust
add interface Eth-Trunk1.129

ip route-static 0.0.0.0 0.0.0.0 public #缺省路由扔向public（public根墙）

security-policy
default action permit #允许所有通过

nat address-group Zhuanxian #为专线创建NAT地址组
mode pat 模式
section 0 172.16.1.2 172.16.1.2 #地址组为172.16.1.3

nat address-group DianXin #为电信创建NAT地址组
mode pat
section 0 123.126.109.164 123.126.109.164

nat-policy #进入nat策略视图（做域间策略）
rule name no-nat #规则命名no-nat
source-zone trust #源区域trust
destination-zone untrust #目的区域untrust
source-address 192.168.2.0 mask 255.255.255.0 #定义源192.168.2.0网段
destination-address 172.16.1.0 mask 255.255.255.0 #定义目的172.16.1.0网段
destination-address 192.168.1.0 mask 255.255.255.0 #定义目的192.168.1.0网段
action no-nat #动作不转换
rule name DianXin #规则名DianXian
source-zone trust #源区域trust
destination-zone untrust #目的区域untrust
source-address 192.168.2.0 mask 255.255.255.0 #源地址段为192.168.2.0/24
action nat address-group DianXin

配置服务器端口映射
nat server 1 protocol tcp global 123.126.109.164 3389 inside 192.168.1.1 3389 #将内部私网地址192.168.1.1端口3389映射成公网地址123.126.109.164的3389

相关推荐: Linux网络管理你懂多少

一、基本网络配置1、配置网络2、实现网络组3、测试网络4、网络工具二、网络配置1）静态指定ifcfg:ifconfig，route,netstat ip:object {link,addr,route},ss,setup centos7新增实用工具:nmcli…