华为usg6000配置手册_带你了解防火墙安全区域的作用及简单的配置,小白不要错过了...
上一篇文章《防火墙入门基础之登录Web配置界面》已经简单的介绍了关于华为防火墙的如何配置Web登录,也开始接触了关于防火墙安全区域的基本概念。其实防火墙安全区域是一个非常重要的概念,简称为区域(Zone)。安全区域是一个或多个接口的集合,是防火墙区别于路由器的主要特征。
防火墙默认情况下为我们提供了三个安全区域,分别是Trust、DMZ和Untrust。
- Trust区域,该区域内网络的受信任程度高,通常用来定义内部用户所在的网络。
- DMZ区域,该区域内网络的受信任程度中等,通常用来定义内部服务器所在的网络。
- Untrust区域,该区域代表的是不受信任的网络,通常用来定义Internet等不安全的网络
除了以上三个安全区域外,我们可以根据自身的业务来规划不能安全区域,可以通过以下命令添加。
[USG6000V1]firewall zone name yewu
添加完需要对安全区域设置优先级,可以执行如下命令,优先级的范围为0-100。
[USG6000V1-zone-yewu]set priority 30
我们还可以通过web页面添加安全区域,以华为USG6000为例,如下图
安全区域的优先级的作用
每个安全区域都有自己的优先级,用1-100的数字表示,数字越大,则代表该区域内的网络越可信。报文在两个安全区域之间流动时,我们规定:报文从低级别的安全区域向高级别的安全区域流动时为入方向(Inbound),报文从由高级别的安全区域向低级别的安全区域流动时为出方向(Outbound)。报文在两个方向上流动时,将会触发不同的安全检查。
下面通过一个案例,来看看安全区的数据的流动。
关键配置
把GE1/0/0接口添加到trust安全区域,并配置接口IP地址为192.168.1.1
[USG6000V1]firewall zone trust [USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.1 24
把GE1/0/1接口添加到untrust安全区域,并配置接口IP地址为192.168.2.1
[USG6000V1]firewall zone untrust [USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/1[USG6000V1-GigabitEthernet1/0/1]ip address 192.168.2.1 24
同一个安全区域的内,是否会触发数据包的检查?
PC1和PC2属于同一安全区域的,而PC1、PC2和PC3属于不同的区域的。在没有配置任何安全策略的情况下,我们先看看同一个安全区域的是否能ping通。
PC1主机PingPC2主机
通过以上测试结果,我们发现PC1能正常Ping通PC2。这样就说明了,在同一个安全区内,不会触发安全检查。
那么不同安全区域呢,又如何呢?
接着我们通过测试PC1和PC3的相互访问,验证不同安全区域的情况。
PC1主机Ping不通PC3主机
通过以上结果,证明了报文在不同的安全区域之间流动时,才会触发安全检查。
如果让PC1能正常访问PC3,我们可以通过配置安全策略来实现。
我们先配置允许trust区域流量去往untrust。
添加完这一条安全策略,PC1能访问PC3吗?我们先来看看效果
从上图可以看到,PC1能正常PingPC3,说明这个策略是起作用了。我们还可以通过查看策略的命中率。
如果想让PC3也能正常Ping通PC1,也需要添加一条untrust区域流量去往trust的安全策略。
关于安全策略可以做到很精细的匹配,我这里为了演示方便,就把策略放的很宽,在生产环境中,安全策略是严格把控的,所有在学习防火墙重点是在安全策略上。
华为usg6000配置手册_带你了解防火墙安全区域的作用及简单的配置,小白不要错过了...相关推荐
- 华为ar2200series配置手册_思科ASA系列防火墙配置手册
思科ASA系列防火墙配置手册 思科ASA系列防火墙配置手册 使用console连接线登录方法 1.使用cisco的console连接线,连接设备的console口和计算机com口(笔记本用USB转CO ...
- 华为硬件工程师手册_浅析华为的元器件选型
注意:本文为转载文章. 先分享两份资料,这两份资料涉及的不仅仅是元器件选型,其他的硬件设计相关也一样可以找到,分享给需要的人,不需要的可以跳过. 电子硬件设计工程师手册-技能习得-51ELECwww ...
- 华为硬件工程师手册_一名电子工程师该如何打开正确的摆摊姿势?
欢迎加入技术交流QQ群(2000人):电力电子技术与新能源 1105621549 高可靠新能源行业顶尖自媒体 在这里有电力电子.新能源干货.行业发展趋势分析.最新产品介绍.众多技术达人与您分享经验,欢 ...
- 华为硬件工程师手册_漫画解读—华为最强科普:什么是DSP?
欢迎加入技术交流QQ群(2000人):电力电子技术与新能源 1105621549 高可靠新能源行业顶尖自媒体 在这里有电力电子.新能源干货.行业发展趋势分析.最新产品介绍.众多技术达人与您分享经验,欢 ...
- 华为ac控制器web配置手册_家庭WIFI网络规划设计与配置实战,一文教会你
从家庭网络谈起 家庭网络应该是最简单的网络,但很多中小型企业/园区网网络架构与家庭网络非常类似,麻雀虽小五脏俱全.下面就为大家分享一下,我家网络的部署. 大多家庭网络可能只有一台无线路由器,集路由器. ...
- 华为ac控制器web配置手册_欧姆龙AC伺服系统1S系列产品型号说明及功能介绍
欧姆龙AC伺服系统 1S系列 提高安装调试的效率.提高设备的性能.符合国际安全标准 欧姆龙AC伺服系统 1S系列 特点 高度进化的伺服系统 缩短设备的安装调试时间.提高设备性能 从设备的设计到安装调试 ...
- 华为atn950b指导手册_华为ATN950B BFD for 静态PW的配置问题
华为ATN950B BFD for 静态PW的配置问题 离问题结束还有0天0小时 | 提问者:heiguoba | 提问时间:2016-1-14 20:06 在一台华为ATN950B上配置如下(默认 ...
- 绿盟防火墙配置手册_双链路环境下不同品牌防火墙更换案例分享
关注"IT实战基地",与行业大咖交流学习! 引言 不同品牌防火墙在整体更换时,实施迁移时除了将防火墙的接口IP地址,路由,安全策略进行迁移时,在实际更换时还可能遇到一切奇怪的问题, ...
- delve 调试带参数_带你学够浪:Go语言基础系列-环境配置和 Hello world
前面几周陆陆续续写了一些后端技术的文章,包括数据库.微服务.内存管理等等,我比较倾向于成体系的学习,所以数据库和微服务还有后续系列文章补充. 最近工作上比较多的 Golang 编程,现在很多互联网公司 ...
最新文章
- string数组怎么定义
- 汇编:OF溢出标志位
- 《Java程序设计》实验报告——Java的基本程序设计结构
- 深入理解ASP.NET Core依赖注入
- 约瑟夫问题C语言加注释,用链表实现约瑟夫环【有注释,有很多注释】
- 如何在MySQL中设置外键约束以及外键的作用
- 导航抽屉(Google+与YouTube)
- 征信考量社交化和大数据化
- python基于大数据的食物推荐系统
- ojdbc14.jar 和mysql_Oracle数据库的驱动包ojdbc*.jar之间的差别
- 迅雷精简版 for Mac!附精简教程!
- 供应链管理的三个层次
- SnakeGame(贪吃蛇游戏)
- 【REACT-受控组件和非受控组件】
- 九招使用 Telegram必学,使用Telegram 必看实用功能
- kubernetes 使用kubectl port-forward 访问应用
- MO call与MT call
- Java Web学习(2):静态网页与动态网页
- PostgreSQL提示:‘psql: FATAL: ”Peer authentication failed for user ”postgres“’错误#将文件Database administ
- 赤兔四足机器人的作用_中国唯一能跑跳的“赤兔”机器人,拿下全球学生设计评选桂冠!...
热门文章
- python pip gpl_python pip怎么更新包
- 安装vs2019导致vs2017打开项目失败
- springboot 引入jdbc驱动_SpringBoot+MyBatis+Druid整合demo
- java ssl 无证书_java – 如何修复SSL – 没有可用的证书
- python设计个人简历_python软件工程师 个人简历模板
- python实现共空间模式CSP
- 吴恩达《机器学习》学习笔记十——神经网络相关(2)
- Android之Activity框架
- python函数做n_简单Python函数的O(N)时间复杂性
- [go]---从java到go(02)---一个简单的handler模式的实现