物理接口

1) 防火墙支持的接口可以是二层接口或者三层接口

2) 二层接口：portswitch

3) 三层接口：undo portswitch

逻辑接口

1) VT(virtual template)接口、dialer接口

2) tunnel接口、null接口

3) vlanif接口

4) 三层以太网子接口

5) Eth-Trunk接口、loobacp接口

防火墙的Eth-trunk

优点：

1) 本质是要提高链路的带宽

2) 可靠性(LACP协议)

3) 负载分担

Eth-trunk模式分类：

1) 手工负载分担模式(默认)注意：所有链路都要参与转发

2) 静态LACP模式(没有动态LACP)注意: 可以所有，也可以配置备份M:N形式

 Eth-trunk接口类型

1) 三层Eth-trunk

2) 二层Eth-trunk

交换机上面为二层Eth-trunk

第一步：新建Eth-trunk及模式

interface Eth-Trunk1

mode lacp-static ---------默认手工负载分担

第二步：定义Eth-trunk类型

interface Eth-Trunk1

port link-type trunk

port trunk allow-pass vlan 2 to 4094

第三步：把接口加入Eth-trunk组

方法一

int  XXXX

eth-trunk 1

方法二

int eth-trunk  XX   (防火墙不能)

trunkport  g0/0/1  to 0/0/2

防火墙上面为三层Eth-trunk

第一步：创建ETH-TRUNK及模式

interface Eth-Trunk1

mode lacp-static

第二步：接口成员加入ETH-TRUNK

int XXX

eth-trunk  1

检查Eth-Trunk的配置

display  eth-trunk  1

15:10:49  2019/06/02

Eth-Trunk1's state information is:

Local:

LAG ID:1                               WorkingMode: STATIC

Preempt Delay: Disable                 Hash Arichmetic: According to IP

System Priority: 32768                 System ID: 2444-27ca-fbff

Least active-linknumber: 1             Max active-linknumber: 8

Operate Status: up                     Number of Up Port in Trunk: 2----------------------------------------------------ActorPortName          Status   PortType PortPri PortNo PortKey PortState Weigth

GigabitEthernet0/0/1   Selected 100M     32768   2      64      10111100  1

GigabitEthernet0/0/2   Selected 100M     32768   3      64      10111100  1

Partner:----------------------------------------------------ActorPortName          SysPri    SystemID  PortPri PortNo  PortKey   PortState

GigabitEthernet0/0/1   32768  384c-4f60-9d20  32768  1     289       10111100   GigabitEthernet0/0/2   32768  384c-4f60-9d20  32768  2     289       10111100

防火墙的子接口

物理接口的子接口

防火墙配置子接口

interface GigabitEthernet1/0/1.10 -------先取子接口

vlan-type dot1q 10 ----------------------封装VLAN ID

ip address 10.1.1.10 255.255.255.0 #interface GigabitEthernet1/0/1.16

vlan-type dot1q 16

ip address 192.168.1.10 255.255.255.0#

第二步：把子接口加ZONE

firewall zone trust

add interface GigabitEthernet1/0/1.10#firewall zone dmz

add interface GigabitEthernet1/0/1.16

检查：

[FW1]display  zone

20:26:16  2019/03/07local

priority is 100#trust

priority is 85

interface of the zone is (2):

GigabitEthernet0/0/0

GigabitEthernet1/0/1.10#dmz

priority is 50

interface of the zone is (1):

GigabitEthernet1/0/1.16

第三步：测试防火墙直连通信

默认一个都通不了，因为华为防火墙默认ZONE与ZONE之间都没有放行安全策略

默认的策略是deny

[FW1]display security-policy all

21:35:50  2019/09/05

Total:1

RULE ID RULE NAME                      STATE      ACTION             HITTED

-------------------------------------------------------------------------------0       default                        enable     deny               275

-------------------------------------------------------------------------------[FW1]

security-policy

default action permit  ----------默认全开安全策略

测试各个直接通信

测试完毕一定要记得关闭

security-policy default action deny

注意：

关于PING的问题

 如果在防火墙上PING各个ZONE，只要上面放行所有安全策略，就可以访问

 如果从各个安全区域访问防火墙的接口，全放安全策略无用，必须开启接口的访问管理PING，这样才能PING通防火墙接口

第五步：检查测试

逻辑接口的子接口

三层eth-trunk可以配置IP

二层Eth-trunk链路类型

默认为hybrid

interface Eth-Trunk1

port link-type trunk

port trunk allow-pass vlan 10 16 40 50

配置：

interface Eth-Trunk1.10

vlan-type dot1q 10 ip address 10.1.1.10 255.255.255.0#interface Eth-Trunk1.16

vlan-type dot1q 16 ip address 192.168.1.10 255.255.255.0#

注意：

注意:所有防火墙的接口，无论是物理还是逻辑都需要加ZONE

防火墙所有的接口都定义ZONE

firewall zone trust set priority 85

add interface Eth-Trunk1.10#

firewall zone untrust set priority 5#

firewall zone dmz set priority 50

add interface Eth-Trunk1.16

放行安全策略

security-policy

rule name trust_dmz  source-zone trust

destination-zone dmz

action permit

防火墙的vlanif接口

 实验演示防火墙上面的vlanif接口技术

配置思路：

第一步: 创建VLAN

vlan batch  20 30

第二步：把接口配置成为二层

interface GigabitEthernet1/0/3

portswitch

port link-type access------------默认为ACCESS，可以修改

port access vlan 20#interface GigabitEthernet1/0/4

portswitch

port link-type access

port access vlan 30

第三步：创建VLANIF接口

interface Vlanif20

ip address 10.1.2.10 255.255.255.0

service-manage ping permit#interface Vlanif30

ip address 10.1.3.10 255.255.255.0

service-manage ping permit

第四步：接口划入ZONE

注意：不需要把接口再划入ZONE，只需要逻辑加ZONE

firewall zone trust add interface Vlanif20

add interface Vlanif30

第五步：测试检查

注意:

同一个ZONE不需要配置安全策略，可以互相通信 ------结论对吗？

现在USG6320 V100版本 ，就必须要配置同一个ZONE安全策略

security-policy

rule name trust_trust  source-zone trust

destination-zone trust

action permit