H3C SecPath F100系列防火墻配置教程

1、.h3c secpath f100系列防火墻配置教程初始化配置h3csystem-view開啟防火墻功能h3cfirewall packet-filter enableh3cfirewall packet-filter default permit分配端口區(qū)域h3c firewall zone untrusth3c-zone-trust add interface gigabitethernet0/0h3c firewall zone trusth3c-zone-trust add interface gigabitethernet0/1工作模式firewall mode transparen

2、t 透明傳輸firewall mode route 路由模式http 服務(wù)器使能http 服務(wù)器 undo ip http shutdown關(guān)閉http 服務(wù)器 ip http shutdown添加web用戶h3c local-user adminh3c-luser-admin password simple adminh3c-luser-admin service-type telneth3c-luser-admin level 3開啟防范功能firewall defend all 打開所有防范切換為中文模式 language-mode chinese設(shè)置防火墻的名稱 sysname sys

3、name配置防火墻系統(tǒng)ip 地址 firewall system-ip system-ip-address address-mask 設(shè)置標準時間 clock datetime time date設(shè)置所在的時區(qū) clock timezone time-zone-name add | minus time取消時區(qū)設(shè)置 undo clock timezone配置切換用戶級別的口令 super password level user-level simple | cipher password取消配置的口令 undo super password level user-level 缺缺省情況下，若不

4、指定級別，則設(shè)置的為切換到3 級的密碼。切換用戶級別 super level 直接重新啟動防火墻 reboot開啟信息中心 info-center enable關(guān)閉信息中心 undo info-center enableftp server enable顯示下次啟動時加載的配置文件 display saved-configuration by-linenum 顯示系統(tǒng)本次啟動及下次啟動使用的配置文件 display startup顯示當前視圖的配置 display this顯示防火墻的當前的運行配置display current-configuration interface interfac

5、e-type interface-number | configuration isp | zone | interzone | radius-template | system |user-interface by-linenum | begin | include |exclude string 保存當前配置 save file-name | safely 刪除flash 中保存的下次啟動時加載的配置文件 reset saved-configuration配置防火墻工作在透明模式 firewall mode transparenth3c secpath 系列安全產(chǎn)品 操作手冊（安全） 第8

6、 章 透明防火墻操作命令配置防火墻工作在路由模式 firewall mode route恢復(fù)防火墻的工作模式為缺省模式 undo firewall mode缺省情況下，防火墻工作在路由模式（route）下。啟動arp 表項自動學(xué)習(xí)功能 firewall arp-learning enable禁止arp 表項自動學(xué)習(xí)功能 undo firewall arp-learning enable缺省情況下，當防火墻工作在透明模式下時，防火墻啟動arp 表項自動學(xué)習(xí)功能。配置vlan id 透傳操作命令使能接口的vlan id 透傳功能 bridge vlanid-transparent-transmit

7、 enable禁止接口的vlan id 透傳功能 undo bridge vlanid-transparent-transmit enable缺省情況下，禁止接口的vlan id 透傳功能。精品.使能arp flood 攻擊防范功能 firewall defend arp-flood max-raterate-number 關(guān)閉arp flood 攻擊防范功能 undo firewall defend arp-flood max-rate 缺省為關(guān)閉arp flood 攻擊防范功能。arp 報文的最大連接速率范圍為11,000,000，缺省為100。secpath 系列安全產(chǎn)品支持以http

8、方式登錄到系統(tǒng)中，并通過web 管理界面對系統(tǒng)進行配置和管理。在使用web 界面登錄到系統(tǒng)前，必須先使能http 服務(wù)器功能。請在系統(tǒng)視圖下進行下列配置。h3c secpath 系列安全產(chǎn)品 操作手冊（基礎(chǔ)配置） 第4 章 系統(tǒng)維護管理開啟/關(guān)閉http 服務(wù)器開啟http 服務(wù)器 undo ip http shutdown關(guān)閉http 服務(wù)器 ip http shutdown缺省情況下，系統(tǒng)開啟http 服務(wù)器。僅當?shù)卿浻脩艟哂衪elnet 的服務(wù)類型時（service-type telnet），才允許登錄http服務(wù)器，且不同等級的用戶在web 界面中的可配置項也會不同。配置http 服務(wù)

9、器的訪問限制可以配置http 服務(wù)器，使僅具有特定ip 地址的用戶才可以登錄http 服務(wù)器，對設(shè)備進行配置和管理。請在系統(tǒng)視圖下進行下列配置。表4-18 配置http 服務(wù)器的訪問限制操作 命令配置http 服務(wù)器的訪問限制 ip http acl acl-number取消對http 服務(wù)器的訪問限制 undo ip http acl缺省情況下，未配置http 服務(wù)器的訪問限制。僅acl 中允許的ip 地址才可以訪問http 服務(wù)器。表3-10 顯示系統(tǒng)狀態(tài)信息操作 命令顯示系統(tǒng)版本信息 display version顯示詳細的軟件版本信息 vrbd顯示系統(tǒng)時鐘 display clock顯

10、示終端用戶 display users all 顯示起始配置信息 display saved-configuration顯示當前配置信息 display current-configuration顯示調(diào)試開關(guān)狀態(tài) display debugging interface interface-typeinterface-number module-name 顯示當前視圖的運行配置 display this顯示技術(shù)支持信息 display diagnostic-information顯示剪貼板的內(nèi)容 display clipboardh3c secpath 系列安全產(chǎn)品 操作手冊（基礎(chǔ)配置） 第3

11、章 comware 的基本配置操作 命令顯示當前系統(tǒng)內(nèi)存使用情況 display memory limit 顯示cpu 占用率的統(tǒng)計信息 display cpu-usage configuration | number offset verbose from-device 設(shè)置cpu 占用率統(tǒng)計的周期 cpu-usage cycle 5sec | 1min | 5min | 72min 以圖形方式顯示cpu 占用率統(tǒng)計歷史信息 display cpu-usage history task task-id 精品.對插槽中的插卡進行拔出預(yù)處理 remove slot slot-id取消拔出預(yù)處理操

12、作 undo remove slot slot-id顯示設(shè)備和插卡的信息（任意視圖） display device slot-id 配置防火墻網(wǎng)頁登陸1. 配置防火墻缺省允許報文通過。 system-viewh3c firewall packet-filter default permit 2. 為防火墻的以太網(wǎng)接口（以gigabitethernet0/0為例）配置ip地址，并將接口加入到安全區(qū)域。h3c interface gigabitethernet0/0h3c-gigabitethernet0/0 ip address h3c-giga

13、bitethernet0/0 quith3c firewall zone trusth3c-zone-trust add interface gigabitethernet0/03. 為pc配置ip地址。假設(shè)pc的ip地址為。4. 使用ping命令驗證網(wǎng)絡(luò)連接性。 ping ping命令成功！5.添加登錄用戶為使用戶可以通過web登錄，并且有權(quán)限對防火墻進行管理，必須為用戶添加登錄帳戶并且賦予其權(quán)限。例如：建立一個帳戶名和密碼都為admin，帳戶類型為telnet，權(quán)限等級為3的管理員用戶。h3c local-user adminh3c-luser-

14、admin password simple adminh3c-luser-admin service-type telneth3c-luser-admin level 3在 pc上啟動瀏覽器（建議使用ie5.0及以上版本），在地址欄中輸入ip地址“”后回車，即可進入防火墻web登錄頁面，使用之前創(chuàng)建的 admin帳戶登錄防火墻，單擊按鈕即可登錄。用戶可以通過“l(fā)anguage”下拉框選擇界面語言內(nèi)部主機通過域名區(qū)分并訪問對應(yīng)的內(nèi)部服務(wù)器組網(wǎng)應(yīng)用1)配置easy ip（不用配地址池，直接通過接口地址做轉(zhuǎn)換）nat outbound acl-number2)dns mapna

15、t dns-map domain-name global-addrglobal-port tcp | udp 實例：# 在ethernet0/0/0 接口上配置ftp 及www內(nèi)部服務(wù)器。h3c interface ethernet0/0/0h精品.3c-ethernet0/0/0 ip address h3c-ethernet0/0/0 nat outbound 2000h3c-ethernet0/0/0 nat server protocol tcp global www inside wwwh3c-ethernet0/0/

16、0 nat server protocol tcp global ftp inside ftph3c-ethernet0/0/0 quit# 配置訪問控制列表，允許/8 網(wǎng)段訪問internet。h3c acl number 2000h3c-acl-basic-2000 rule 0 permit source 55h3c-acl-basic-2000 rule 1 deny# 配置ethernet1/0/0。h3c interface ethernet1/0/0h3c-ethernet1/0/0 ip addre

17、ss 加上如下配置后，內(nèi)部主機也可以通過域名/url 和 訪問其對應(yīng)的內(nèi)部服務(wù)器。# 配置域名與外部地址、端口號、協(xié)議類型之間的映射。h3c nat dns-map /url 80 tcph3c nat dns-map 21 tcp此時外部主機可以通過域名/url 和 訪問其對應(yīng)的內(nèi)部服務(wù)器h3c secpath“f”系列防火墻基本配置secpath“f”系列基本出外網(wǎng)典型配置： 內(nèi)網(wǎng)-(

18、e0/0)-secpath100f-(e1/0)-internet /24 94/24 sys system view: return to user view with ctrl+z. quidwayint e0/0 quidway-ethernet0/0ip add quidway-ethernet0/0int e1/0 quidway-ethernet1/0ip add 94 quidwayfire zone untrust quidway-zon

19、e-untrustadd int e1/0 quidway-zone-untrustfire zone trust quidway-zone-trustadd int e0/0 quidway-zone-trustquit quidwayacl num 2000 quidway-acl-basic-2000rule per source 精品.55 quidway-acl-basic-2000rule deny quidwayint e1/0 quidway-ethernet1/0nat outbound 2000 quidwayip route-stat

20、ic 93 preference 60 內(nèi)網(wǎng)-(g0/0)-secpath1000f-(g0/1)-internet /24 94/24 sys system view: return to user view with ctrl+z. quidwayint g0/0 quidway-gigabitethernet0/0ip add quidway-gigabitethernet0/0int g0/1 quidway-gigabitethernet0

21、/1ip add 94 quidwayfire zone untrust quidway-zone-untrustadd int g0/1 quidway-zone-untrustfire zone trust quidway-zone-trustadd int g0/0 quidway-zone-trustquit quidwayacl num 2000 quidway-acl-basic-2000rule per source 55 quidway-acl-basic-2000rule deny quid

22、wayint g0/1 quidway-gigabitethernet0/1nat outbound 2000 quidwayip route-static 93 preference 60 內(nèi)網(wǎng)-(e0/0)-secpath精品.100f-(e0/1)-adslmodem-internet /24 sys system view: return to user view with ctrl+z. quidwayint e0/0 quidway-ethernet0/0ip add quidway-ethernet0/0quit quidwayfire zone untrust quidway-zone-untrustadd