《华为Eudemon防火墙详细配置》由会员分享，可在线阅读，更多相关《华为Eudemon防火墙详细配置（4页珍藏版）》请在金锄头文库上搜索。
1、配置各接口IP地址、网络参数、缺省路由。Eudemon防火墙连接Trust、DMZ和Untrust三个安全区域，因此需要配置相关连接接口的IP地址、链路层、网络层、路由的参数，从而实现Eudemon网络层与其他设备互通。# 配置Eudemon防火墙Ethernet0/0/0接口的IP地址。Eudemoninterfaceethernet0/0/0Eudemon-Ethernet0/0/0ipaddress10.110.1.11255.255.255.0Eudemon-Ethernet0/0/0quit# 配置Eudemon防火墙Etherent1/0/0接口的IP地址。外网Eudemonint
2、erfaceethernet1/0/0Eudemon-Ethernet1/0/0ipaddress202.38.160.1255.255.0.0Eudemon-Ethernet1/0/0quit# 配置Eudemon防火墙Etherent2/0/0接口的IP地址。Eudemoninterfaceethernet2/0/0Eudemon-Ethernet2/0/0ipaddress10.110.5.11255.255.255.0Eudemon-Ethernet2/0/0quit# 配置Eudemon防火墙到达Internet的缺省路由。Eudemoniproute-static0.0.0.00.
3、0.0.0202.38.160.15到外网网关Eudemoniproute-static10.110.1.0255.255.255.010.110.1.2到三层第三步：创建或配置安全区域，为安全区域增加隶属接口。Eudemon防火墙三个Ethernet接口分别连接Trust、DMZ和Untrust三个系统保留的安全区域，因此仅需要为安全区域增加隶属的接口即可。# 配置Trust区域包含Ethernet0/0/0接口。EudemonfirewallzonetrustEudemon-zone-trustaddinterfaceethernet0/0/0Eudemon-zone-trustquit#
4、 配置DMZ区域包含Ethernet2/0/0接口。EudemonfirewallzonedmzEudemon-zone-dmzaddinterfaceethernet2/0/0Eudemon-zone-dmzquit# 配置Untrust区域包含Ethernet1/0/0接口。EudemonfirewallzoneuntrustEudemon-zone-untrustaddinterfaceethernet1/0/0Eudemon-zone-untrustquit1.简介NAT地址转换机制是将内部主机IP地址替换为外部地址，提供私有地址与公有地址之间的转换。NAT实现了内部私有网络访问外部I
5、nternet网络的功能，有助于减缓可用IP地址空间枯竭的速度，同时屏蔽了内部网络，提高了信息传输的安全性。Eudemon防火墙通过定义地址池，并用地址池中的地址作为转换后的外部地址来实现多对多地址转换，利用ACL规则来对地址转换进行控制。2.配置前提必须已经完成“上面的配置。3.操作步骤第一步：配置NAT地址池1，地址范围是202.110.1.241-202.110.1.254。Eudemonnataddress-group1202.110.1.241202.110.1.254（固定IP的地址段）第二步：配置ACL规则2010，仅允许Trust区域10.110.1.0/24网段中的任意主机访
6、问其他网络，禁止其它网段主机的对外访问。Eudemonaclnumber2010Eudemon-acl-basic-2010rule0permitsource10.110.1.00.0.0.255Eudemon-acl-basic-2010rule1denyany第三步：在安全区域之间使用配置好的NAT地址池。#进入Trust和Untrust区域间视图，在从Trust区域到Untrust区域的方向上，对符合ACL规则10的数据流进行NAT转换，采用NAT地址池1中的地址。EudemonfirewallinterzonetrustuntrustEudemon-interzone-trust-un
7、trustnatoutbound2010address-group14.检验结果按照上述步骤进行配置后，正常情况下，应达到以下测试结果：lTrust区域内任意主机10.110.1.1能通过Eudemon防火墙访问外部网络，即能ping通Internet用户202.12.7.7。l反方向Internet用户202.12.7.7不能主动访问Trust区域内主机，即不能ping通Trust区域内的主机10.110.1.1。配置包过滤1.简介包过滤机制主要实现对IP数据包的过滤。对Eudemon需要转发的数据包，先获取数据包的包头信息（上层协议号、源地址、目的地址、源端口、目的端口等），然后和已定义的
8、ACL规则进行比较，根据比较的结果来决定转发还是丢弃该数据包。2.配置前提必须已经完成“第3章Eudemon的简单配置”中的配置，并确保Eudemon和其他设备互通并且配置安全区域间的包过滤规则。3.操作步骤第一步：根据安全过滤需要，配置各种ACL规则。#创建访问控制列表3101，允许Trust区域内的所有10.110.1.0网段的主机访问外部网和DMZ区域中的服务器，拒绝其他主机访问资源。Eudemonaclnumber3101Eudemon-acl-adv-3101rulepermitipsource10.110.1.00.0.0.255destinationanyEudemon-acl-
9、adv-3101ruledenyip#创建访问控制列表3102,允许Internet中的特定用户(202.12.7.7)从外部访问DMZ区域中的内部服务器(FTP和WWW)。Eudemonaclnumber3102Eudemon-acl-adv-3102rulepermitipsource202.12.7.70destination10.110.5.1000Eudemon-acl-adv-3102rulepermitipsource202.12.7.70destination10.110.5.1010Eudemon-acl-adv-3102ruledenyip第二步：在安全区域之间应用配置好的
10、ACL规则。#进入Trust和Untrust区域间，并在从Trust区域到Untrust区域的方向上应用ACL规则3101，即出方向。EudemonfirewallinterzonetrustuntrustEudemon-Interzone-trust-untrustpacket-filter3101outbound#进入Trust和DMZ区域间，并在从Trust区域到DMZ区域的方向上应用ACL规则3101，即出方向。EudemonfirewallinterzonetrustdmzEudemon-Interzone-trust-dmzpacket-filter3101outbound#进入U
11、ntrust和DMZ区域间，并在从Untrust区域到DMZ区域的方向上应用ACL规则3102，即入方向。EudemonfirewallinterzoneuntrustdmzEudemon-Interzone-dmz-untrustpacket-filter3102inbound4.检验结果按照上述步骤进行配置后，正常情况下，应达到以下测试结果：lTrust区域内主机能正常通过FTP或WWW方式访问DMZ区域中的服务器，并能访问Untrust区域内的任意主机。lDMZ区域内的服务器不能随意访问Trust和Untrust区域中的主机。lUntrust区域中的特定主机能访问DMZ区域中的指定服务器外，但是无法访问该区域内的其他服务器。lUntrust区域内的其他主机都不能访问DMZ区域和Trust区域。
