华为-usg2000.2100.2200.5100Web配置文档

内网：配置GigabitEthernet 0/0/1 加入Trust 区域[USG5300]firewall zone trust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/1 外网：配置GigabitEthernet 0/0/2 加入Untrust 区域[USG5300]firewall zone untrust [USG5300-zone-untrust] add interface GigabitEthernet 0/0/2 DMZ：[USG5300] firewall zone dmz[USG5300-zone-untrust] add interface GigabitEthernet 0/0/3 [USG5300-zone-untrust] quit1.4.1 Trust 和Untrust 域间：允许内网用户访问公网policy 1 ：允许源地址为10.10.10.0/24 的网段的报文通过[USG5300] policy interzone trust untrust outbound[USG5300-policy-interzone-trust-untrust-outbound] policy 1[USG5300-policy-interzone-trust-untrust-outbound-1] [USG5300-policy-interzone-trust-untrust-outbound-1] [USG5300-policy-interzone-trust-untrust-outbound-1] 如果是允许所有的内网地址上公网可以用以下命令：policy source 10.10.10.0 0.0.0.255 action permitquit[USG2100]firewall packet-filter default permit interzone trust untrust directionoutbound 须// 必1.4.2 DMZ和Untrust域间：从公网访问内部服务器policy 2 ：允许目的地址为10.10.11.2 ，目的端口为21 的报文通过policy 3 ：允许目的地址为10.10.11.3 ，目的端口为8080 的报文通过[USG5300] policy interzone untrust dmz inbound [USG5300-policy-interzone-dmz-untrust-inbound] policy 2[USG5300-policy-interzone-dmz-untrust-inbound-2] [USG5300-policy-interzone-dmz-untrust-inbound-2] [USG5300-policy-interzone-dmz-untrust-inbound-2] [USG5300-policy-interzone-dmz-untrust-inbound-2] policy destination 10.10.11.3 0 policy service service-set ftp action permitquit[USG5300-policy-interzone-dmz-untrust-inbound] policy 3[USG5300-policy-interzone-dmz-untrust-inbound-3] [USG5300-policy-interzone-dmz-untrust-inbound-3] policy destination 10.10.11.2 0 policy service service-set http[USG5300-policy-interzone-dmz-untrust-inbound-3] action permit[USG5300-policy-interzone-dmz-untrust-inbound-3] quit[USG5300-policy-interzone-dmz-untrust-inbound] quit配置内部服务器：<USG5300>system-view[USG5300] natserver protocol tcp global 220.10.10.16 8080 inside 10.10.11.2 www [USG5300] natserver protocol tcp global 220.10.10.17 ftp inside 10.10.11.3 ftpNAT 2、通过公网接口的方式创建 Trust 区域和 Untrust 区域之间的 NAT 策略，确定进行 NAT 转换的源地址范围 192.168.1.0/24 网段，并且将其与外网接口 GigabitEthernet 0/0/4 进行绑定。

通过Web方式登录设备通过配置使终端通过Web方式登录设备，实现对设备的配置和管理。

操作步骤1.启动Web管理功能：a.执行命令system-view，进入系统视图。

b.执行命令web-manager { security enable port port-number | enable [ portport-number ] }，启动Web管理功能。

Web管理功能启动后，其后续配置才有效。

Web浏览器和Web服务器之间的交互报文为HTTP报文，默认端口号是80，如果选择port port-number，则Web服务器的监听端口修改为port-number。

2.配置Web用户：a.执行命令system-view，进入系统视图。

b.执行命令aaa，进入AAA视图。

c.执行命令local-user user-name password { simple | cipher } password，创建AAA本地用户。

d.执行命令local-user user-name service-type web，配置用户的类型为web。

e.执行命令local-user user-name level level，配置用户的级别。

任务示例∙配置USG的IP地址。

∙<USG> system-view∙[USG] interface GigabitEthernet 0/0/0∙[USG-GigabitEthernet0/0/0] ip address 10.1.1.1 24∙[USG-GigabitEthernet0/0/0] quit∙配置PC的IP地址（略）。

∙启动Web管理功能。

[USG] web-manager enable∙配置Web用户。

∙[USG] aaa∙[USG-aaa] local-user webuser password simple Admin@123∙[USG-aaa] local-user webuser service-type web[USG-aaa] local-user webuser level 3∙检查配置结果。

通过DHCP接入设备作为Client，通过DHCP协议向Server（运营商设备）申请IP地址，实现接入Internet。

组网需求如图1所示，USG作为出口网关，为局域网内PC提供接入Internet出口。

公司网络规划如下：∙局域网内所有PC都部署在10.1.1.0/24网段，均通过DHCP动态获得IP地址。

∙下行链路：使用LAN以太网接口，通过交换机连接公司内的所有PC。

∙上行链路：使用WAN以太网接口接入Internet。

同时，向运营商申请Internet接入服务。

运营商提供的Internet接入服务使用DHCP协议。

根据以上情况，需要将USG作为DHCP Client，向DHCP Server（运营商设备）获得IP地址、DNS 地址后，实现接入Internet。

图1 DHCP Client接入Internet组网图配置思路1.配置下行链路。

在Vlanif 1上开启DHCP Server服务，为PC动态分配IP地址，指定PC获得的网关和DNS服务器地址均为Vlanif 1接口。

PC上网通常需要解析域名，这就需要为其指定DNS服务器地址。

本例中采用USG作为DNS中继设备。

2.配置上行链路。

在GigabitEthernet 0/0/2上开启DHCP Client。

3.将接口加入到安全区域，并在域间配置NAT和包过滤。

将连接公司局域网的接口加入到高安全等级的区域（Trust），将连接Internet的上行接口加入到低安全等级的区域（Untrust）。

局域网内通常使用私网地址，访问Internet时，必须配置NAT。

本例中，因为上行接口通过拨号获得IP地址，每次拨号获得的IP地址可能不一样，所以采用Easy IP。

4.配置DNS代理。

指定DNS服务器地址为GigabitEthernet 0/0/2接口，从运营商处获得。

说明：设备从DHCP Server处获得IP地址后，通常DHCP Server也会发给DHCP Client缺省路由。

以太网链路接入如果您购买了宽带上网服务，从运营商处获得了一个固定IP，并希望利用USG通过网线接入Internet，请阅读此节。

组网需求某企业（或家庭）从运营商处购买了宽带上网服务，获得的固定IP地址为202.98.215.1/30，网关的IP地址为202.98.215.2/30，DNS服务器的IP地址为202.106.0.20/24。

企业（或家庭）的用户希望利用USG通过以太网链路接入Internet。

图1 以太网链路接入配置思路1.如图1所示，用网线连接USG上的三层以太网接口和运营商的入户宽带接口。

用网线连接USG上的二层以太网接口和交换机（交换机连接企业或家庭的所有电脑）。

2.接入Internet首先要获取IP地址，因此需要在GigabitEthernet 6/0/2接口上配置从运营商获取的固定IP地址。

3.为了能够组建企业内部局域网，局域网内的电脑需要从USG获取IP地址和DNS服务器的IP地址，因此需要将USG的二层以太网接口加入VLAN，并在Vlanif上配置IP地址和DHCP功能。

4.为了局域网用户和Internet间的流量通过，需要将Vlanif和GigabitEthernet 6/0/2接口加入相应的安全区域，并配置域间包过滤规则。

5.为了确保局域网用户访问Internet时路由可达，需要配置下一跳为202.98.215.2的缺省路由。

6.为了实现多个局域网用户能够同时访问Internet，需要配置基于接口的NAT。

操作步骤1.配置三层以太网接口的IP地址，使设备能够接入Internet。

IP地址由企业（或家庭）从运营商处获取。

2.<USG> system-view3.[USG] interface GigabitEthernet 6/0/2[USG-GigabitEthernet6/0/2] ip address 202.98.215.1 255.255.255.2524.配置Vlanif（下行接口），通过DHCP给局域网的电脑分配IP地址和DNS地址。

华为防火墙USG2000实验文档要求:通过配置华为防火墙实现本地telnet 服务器能够通过NAT上网.并且,访问电信网络链路时走电信,访问网通链路时走网通.具体配置如下:华为 USG 2000Username:admin[USG2205BSR]sysname[huawei]interface GigabitEthernet[huawei-GigabitEthernet0/0/0]ipaddress 202.100.1.1[huawei-GigabitEthernet0/0/0]undo[huawei]interface GigabitEthernet 0/0/1[huawei-GigabitEthernet0/0/1]description ###conn to yidong link###[huawei-GigabitEthernet0/0/1]ip address 202.200.1.1 255.255.255.0[huawei-GigabitEthernet0/0/1]undo shutdown[huawei-GigabitEthernet0/0/1]quit[huawei]interface Vlanif 1[huawei-Vlanif1]description ###conn to local###[huawei-Vlanif1]ip address 192.168.1.1 255.255.255.0[huawei-Vlanif1]undo shutdown[huawei-Vlanif1]quit[huawei-zone-trust]undo add interface GigabitEthernet 0/0/1[huawei-zone-trust]add interface Vlanif[huawei]firewall zone name[huawei-zone-dianxin]set priority 4[huawei-zone-dianxin]add interface GigabitEthernet 0/0/0[huawei-zone-dianxin]quit[huawei-zone-yidong]set priority 3[huawei-zone-yidong]add interface GigabitEthernet 0/0/1[huawei-zone-yidong]quit[huawei]acl number[huawei-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255[huawei-acl-basic-2000]quit[huawei]firewall interzone trust[huawei-interzone-trust-dianxin]packet-filter 2000 outbound[huawei-interzone-trust-dianxin]nat outbound 2000 interface GigabitEthernet 0/0/0[huawei-interzone-trust-dianxin]quit[huawei-interzone-trust-yidong]nat outbound 2000 interface GigabitEthernet 0/0/1[huawei-interzone-trust-yidong]quit[huawei]user-interface vty 0 4[huawei-ui-vty0-4]authentication-mode password[huawei-ui-vty0-4]quit[huawei]ip route-static 0.0.0.0 0.0.0.0 202.100.1.2[huawei]ip route-static …… …… 202.200.1.2[huawei]ip route-static 222.160.0.0 255.252.0.0 202.200.1.2[huawei] firewall packet-filter default permit interzone local dianxin direction outbound[huawei] firewall packet-filter default permit interzone trust dianxin direction inbound[huawei] firewall packet-filter default permit interzone trust dianxin direction outbound[huawei] firewall packet-filter default permit interzone local yidong direction inbound[huawei] firewall packet-filter default permit interzone local yidong direction outbound[huawei] firewall packet-filter default permit interzone trust yidong direction inbound如图：电信网络、网通网络和telnet服务器配置 略！验证：内网192.168.1.2 分别PING 电信与网通.inside#ping 202.100.1.2Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 202.100.1.2, timeout is 2 seconds:Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/4 msinside#ping 202.200.1.2Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 202.200.1.2, timeout is 2 seconds:Current total sessions: 3icmp VPN: public -> public192.168.1.2:3[202.100.1.1:23088]-->202.100.1.2:3tcp VPN: public -> public 192.168.1.1:1024-->192.168.1.2:23icmp VPN: public -> public192.168.1.2:4[202.200.1.1:43288]-->202.200.1.2:4验证成功！！！[huawei]display current-configuration 11:54:30 2010/11/06 #acl number 2000rule 10 permit source 192.168.1.0 0.0.0.255 #sysname huawei #super password level 3 cipher ^]S*H+DFHFSQ=^Q`MAF4<1!! #web-manager enable #info-center timestamp debugging date #firewall packet-filter default permit interzone local trust direction inbound firewall packet-filter default permit interzone local trust direction outbound firewall packet-filter default permit interzone local untrust direction inboundfirewall packet-filter default permit interzone local untrust direction outbound firewall packet-filter default permit interzone local dmz direction inbound firewall packet-filter default permit interzone local dmz direction outbound firewall packet-filter default permit interzone local vzone direction inbound firewall packet-filter default permit interzone local vzone direction outbound firewall packet-filter default permit interzone local dianxin direction inbound firewall packet-filter default permit interzone local dianxin direction outbound firewall packet-filter default permit interzone local yidong direction inbound firewall packet-filter default permit interzone local yidong direction outbound firewall packet-filter default permit interzone trust untrust direction inbound firewall packet-filter default permit interzone trust untrust direction outbound firewall packet-filter default permit interzone trust dmz direction inbound firewall packet-filter default permit interzone trust dmz direction outbound firewall packet-filter default permit interzone trust vzone direction inbound firewall packet-filter default permit interzone trust vzone direction outbound firewall packet-filter default permit interzone trust dianxin direction inbound firewall packet-filter default permit interzone trust dianxin direction outbound firewall packet-filter default permit interzone trust yidong direction inbound firewall packet-filter default permit interzone trust yidong direction outbound firewall packet-filter default permit interzone dmz untrust direction inbound firewall packet-filter default permit interzone dmz untrust direction outbound firewall packet-filter default permit interzone untrust vzone direction inbound firewall packet-filter default permit interzone untrust vzone direction outbound firewall packet-filter default permit interzone dmz vzone direction inbound firewall packet-filter default permit interzone dmz vzone direction outbound #dhcp enable#firewall statistic system enable#vlan 1#interface Cellular0/1/0link-protocol ppp#interface Vlanif1description ###conn to local###ip address 192.168.1.1 255.255.255.0 #interface Ethernet1/0/0port link-type access#interface Ethernet1/0/1port link-type access#interface Ethernet1/0/2port link-type access#interface Ethernet1/0/3port link-type access#interface Ethernet1/0/4port link-type access#interface GigabitEthernet0/0/0 description ###conn to dianxin link### ip address 202.100.1.1 255.255.255.0 #interface GigabitEthernet0/0/1 description ###conn to yidong link### ip address 202.200.1.1 255.255.255.0 #interface NULL0#firewall zone localset priority 100#firewall zone trustset priority 85add interface Vlanif1#firewall zone untrustset priority 5#firewall zone dmzset priority 50#firewall zone vzoneset priority 0#firewall zone name dianxinset priority 4add interface GigabitEthernet0/0/0#firewall zone name yidongset priority 3add interface GigabitEthernet0/0/1#firewall interzone trust dianxinpacket-filter 2000 outboundnat outbound 2000 interface GigabitEthernet0/0/0 #firewall interzone trust yidongpacket-filter 2000 outboundnat outbound 2000 interface GigabitEthernet0/0/1#aaalocal-user admin password cipher ]MQ;4\]B+4Z,YWX*NZ55OA!!local-user admin service-type web telnetlocal-user admin level 3authentication-scheme default#authorization-scheme default#accounting-scheme default#domain default##right-manager server-group#slb#ip route-static 0.0.0.0 0.0.0.0 202.100.1.2ip route-static 27.8.0.0 255.248.0.0 202.200.1.2ip route-static …… …… 202.200.1.2ip route-static 222.160.0.0 255.252.0.0 202.200.1.2#user-interface con 0user-interface tty 9authentication-mode nonemodem bothuser-interface vty 0 4user privilege level 3N专注高端，技术为王#return[huawei]N。

华为USG防火墙基本配置-电脑资料学习目的掌握登陆USG防火墙的方法掌握修改防火墙设备名的方法掌握对防火墙的时间、时区进行修改的方法掌握修改防火墙登陆标语信息的方法掌握修改防火墙登陆密码的方法掌握查看、保存和删除防火墙配置的方法掌握在防火墙上配置vlan、地址接口、测试基本连通性的方法拓扑图学习任务步骤一.登陆缺省配置的防火墙并修改防火墙的名称防火墙和路由器一样，有一个Console接口，。

使用console线缆将console接口和计算机的com口连接在一块。

使用windows操作系统自带的超级终端软件，即可连接到防火墙。

防火墙的缺省配置中，包括了用户名和密码。

其中用户名为admin、密码Admin@123，所以登录时需要输入用户名和密码信息，输入时注意区分大小写。

修改防火墙的名称的方法与修改路由器名称的方法一致。

另外需要注意的是，由于防火墙和路由器同样使用了VRP平台操作系统，所以在命令级别、命令帮助等，与路由器上相应操作相同。

sys13:47:28 2014/07/04Enter system view, return user view withCtrl+Z.[SRG]sysname FW13:47:32 2014/07/04步骤二.修改防火墙的时间和时区信息默认情况下防火墙没有定义时区，系统保存的时间和实际时间可能不符。

使用时应该根据实际的情况定义时间和时区信息。

实验中我们将时区定义到东八区，并定义标准时间。

clock timezone 1 add 08:00:0013:50:57 2014/07/04dis clock21:51:15 2014/07/032014-07-03 21:51:15ThursdayTime Zone : 1 add 08:00:00clock datetime 13:53:442014/07/0421:53:29 2014/07/03dis clock13:54:04 2014/07/042014-07-04 13:54:04FridayTime Zone : 1 add 08:00:00步骤三。

华为USG2000防火墙配置USG2000防火墙基本设置：外观1个调试口（CONSOLE）；2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）；1个reset按钮（操纵不当拜访不到防火墙时初始化出厂配置）。

初始配置GE0/0/0配置为路由接口，IP地址为192.168.0.1防火墙拜访IP为192.168.0.1，登录用户名admin，密码Admin@123USG2000防火墙配置过程中注意事项：接口配置时，不要操纵以后连接的端口，不然可能招致防火墙无法连接的情况。

这种情况下需要按‘reset’按钮初始化出厂配置。

USG2000防火墙配置步调一、配置防火墙的网络接口1.连接GE0/0/0端口，拜访192.168.0.1登录防火墙。

登录过程中呈现证书毛病，点击‘继续浏览此网站’继续。

输入用户名admin密码Admin@123登录防火墙。

登录后，弹出修改用户的初始密码的提示及快速向导。

初始密码尽量不要修改。

快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。

以上为USG2000基本配置界面。

现场配置所需要用到的只有网络和防火墙两个主菜单。

2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。

别号设置‘平安II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。

3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘192.168.1.100’，子网掩码设置为‘255.255.0.0’，最后点击应用。

如下图所示4.依照配置GE0/0/1的办法，配置GE0/0/0，将别号设为‘平安I区端口’。

注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变动，将无法拜访到192.168.0.1。