《huawei+eudemon1000e+防火墙+典型配置案例(v200r001-01)》由会员分享，可在线阅读，更多相关《huawei+eudemon1000e+防火墙+典型配置案例(v200r001-01)（285页珍藏版）》请在金锄头文库上搜索。
1、HUAWEI Eudemon1000E 防火墙防火墙 V200R001 典型配置案例典型配置案例 文档版本文档版本 01 发布日期发布日期 2011-08-09 华为技术有限公司华为技术有限公司 版权所有版权所有 华为技术有限公司华为技术有限公司 2011。 保留一切权利保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。 商标声明商标声明 和其他华为商标均为华为技术有限公司的商标。 本文档提及的其他所有商标或注册商标，由各自的所有人拥有。 注意注意 您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部
2、分产品、服务或 特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声 明或保证。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文 档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 华为技术有限公司华为技术有限公司 地址：深圳市龙岗区坂田华为总部办公楼 邮编：518129 网址：http:/ 客户服务邮箱： 客户服务电话： 4008302118 文档版本 01 (2011-08-09)华为专有和保密信息 版权所有 华为技术有限公司 i 前前 言言 产品版本产品版本 与本文档相对应的产品版本如下所
3、示。 产品名称产品名称产品版本产品版本 Huawei Eudemon 1000E-U/XV200R001 读者对象读者对象 本文档针对 Huawei Eudemon 1000E-U/X（以下简称为 Eudemon）的各类典型应用场 景，介绍了各种功能的配置方法。 本文档主要适用于以下工程师： l数据配置工程师 符号约定符号约定 在本文中可能出现下列标志，它们所代表的含义如下。 符号符号说明说明 表示有高度潜在危险，如果不能避免，会导致人员死亡 或严重伤害。 表示有中度或低度潜在危险，如果不能避免，可能导致 人员轻微或中等伤害。 表示有潜在风险，如果忽视这些文本，可能导致设备损 坏、数据丢失、设
4、备性能降低或不可预知的结果。 表示能帮助您解决某个问题或节省您的时间。 表示是正文的附加信息，是对正文的强调和补充。 HUAWEI Eudemon1000E 典型配置案例前 言 文档版本 01 (2011-08-09)华为专有和保密信息 版权所有 华为技术有限公司 iii 命令行格式约定命令行格式约定 格式格式意义意义 粗体粗体命令行关键字（命令中保持不变、必须照输的部分）采用 加粗加粗字体表示。 斜体命令行参数（命令中必须由实际值进行替代的部分）采用 斜体表示。 表示用“ ”括起来的部分在命令配置时是可选的。 x | y | . 表示从两个或多个选项中选取一个。 x | y | . 表示从两
5、个或多个选项中选取一个或者不选。 x | y | . * 表示从两个或多个选项中选取多个，最少选取一个，最多 选取所有选项。 x | y | . * 表示从两个或多个选项中选取多个或者不选。 4B+4Z,YWX*NZ55OA! local-user admin service-type web terminal local-user admin level 3 authentication-scheme default # authorization-scheme default # HUAWEI Eudemon1000E 典型配置案例2 NAT 配置举例 文档版本 01 (2011-08-0
6、9)华为专有和保密信息 版权所有 华为技术有限公司 2-7 accounting-scheme default # domain default # # right-manager server-group # user-interface con 0 user-interface vty 0 4 # return 2.2 配置配置 NAT Server 双出口双出口 当内网服务器需要对不同安全区域公网发布不同的公网地址时，需要配置基于安全区域 的 NAT Server。 组网需求组网需求 如图图 2-2 所示，企业内网的 DMZ 安全区域部署一些服务器供公网用户访问，以 FTP 服 务器为例
7、。Untrust1 和 Untrust2 安全区域属于公网。两个安全区域之间路由可达。 图图 2-2 配置 NAT Server 双出口组网图 DMZUntrust1 Untrust2 FTP server 192.168.1.2/24 (1)(3) (2) Eudemon 具体需求如下：DMZ 安全区域的 FTP 服务器对 Untrust1 和 Untrust2 两个安全区域发布 两个不同的公网地址。 数据规划数据规划 配置 NAT Server 双出口数据规划如表表 2-2 所示。 表表 2-2 配置 NAT Server 双出口数据规划 项目项目数据数据备注备注 （1）接口编号：Giga
8、bitEthernet 0/0/1 接口 IP 地址： 192.168.1.1/24 安全区域：DMZ 无 2 NAT 配置举例 HUAWEI Eudemon1000E 典型配置案例 2-8华为专有和保密信息 版权所有 华为技术有限公司 文档版本 01 (2011-08-09) 项目项目数据数据备注备注 （2）接口编号：GigabitEthernet 0/0/2 接口 IP 地址： 202.169.2.1/24 安全区域：Untrust2 无 （3）接口编号：GigabitEthernet 0/0/3 接口 IP 地址： 202.169.1.1/24 安全区域：Untrust1 无 安全区域U
9、ntrust1 安全级别：20 Untrust2 安全级别：30 安全区域 Untrust1 和 Untrust2 为用户自定义安全 区域。 内网用户10.1.1.10/24 10.1.1.20/24可以访问公网的内网用户 IP 地址段。 FTP 服务器私网地址：192.168.1.2/24 公网地址 1： 202.168.10.10/24 公网地址 2： 202.168.10.20/24 Untrust1 安全区域用户通过 地址 202.168.10.10/24 访问 FTP 服务器，Untrust2 安全 区域的用户通过地址 202.168.10.20/24 访问 FTP 服务器。 配置思
10、路配置思路 1.配置 Eudemon 的接口 IP 地址并将接口加入相应安全区域。 2.配置域间防火墙策略。 3.配置基于安全区域的 NAT Server，实现需求。 操作步骤操作步骤 步骤步骤 1 配置 Eudemon 的接口 IP 地址并将接口加入对应安全区域。 # 配置 Eudemon 接口 IP 地址。 system-viewsystem-view Eudemon interface GigabitEthernet 0/0/1interface GigabitEthernet 0/0/1 Eudemon-GigabitEthernet0/0/1 ip address 192.168.1
11、.1 24ip address 192.168.1.1 24 Eudemon-GigabitEthernet0/0/1 quitquit Eudemon interface GigabitEthernet 0/0/3interface GigabitEthernet 0/0/3 Eudemon-GigabitEthernet0/0/3 ip address 202.169.1.1 24ip address 202.169.1.1 24 Eudemon-GigabitEthernet0/0/3 quitquit Eudemon interface GigabitEthernet 0/0/2int
12、erface GigabitEthernet 0/0/2 Eudemon-GigabitEthernet0/0/2 ip address 202.169.2.1 24ip address 202.169.2.1 24 Eudemon-GigabitEthernet0/0/2 quitquit # 创建安全区域 Untrust1 和 Untrust2。 Eudemon firewall zone name untrust1firewall zone name untrust1 Eudemon-zone-untrust1 set priority 20set priority 20 HUAWEI
13、Eudemon1000E 典型配置案例2 NAT 配置举例 文档版本 01 (2011-08-09)华为专有和保密信息 版权所有 华为技术有限公司 2-9 Eudemon-zone-untrust1 quitquit Eudemon firewall zone name untrust2firewall zone name untrust2 Eudemon-zone-untrust2 set priority 30set priority 30 Eudemon-zone-untrust2 quitquit # 配置接口加入相应安全区域。 Eudemon firewall zone dmzfir
14、ewall zone dmz Eudemon-zone-dmz add interface GigabitEthernet 0/0/1add interface GigabitEthernet 0/0/1 Eudemon-zone-dmz quitquit Eudemon firewall zone untrust1firewall zone untrust1 Eudemon-zone-untrust1 add interface GigabitEthernet 0/0/3add interface GigabitEthernet 0/0/3 Eudemon-zone-untrust1 quitquit Eudemon firewall zone untrust2firewall zone untrust2 Eudemon-zone-untrust2 add interface GigabitEthernet 0/0/2add interface GigabitEthernet 0/0/2 Eudemon-zo
