兩個設備通過防火牆怎麼通訊

Ⅰ 關於兩個網段互通和防火牆設置

1、打開Packet Tracer工具，通過下邊的設備窗口添加一台二層交換機switch0，一台台式機PC0和一台筆記本PC1，如圖所示。

Ⅱ 區域網內，兩台不同網段的電腦如何通信

區域網內，兩台不同網段的電腦通信的步驟如下：

我們需要准備的材料分別是：電腦A（IP：192.168.1.10/24）、電腦B（IP：192.168.3.10/24）

1、電腦A進入「網路和共享中心」，點擊「本地連接」。

Ⅲ 華為路由器與華為防火牆怎麼讓各自下面的設備互通

（一）實驗簡介

如圖所示，某公司出口連接兩個路由器，以雙鏈路接入Internet，為了保證在鏈路故障時可以動態調整，FW和兩台路由器之間配置靜態路由綁定IP-Link，將Router 1 為主鏈路，在出現故障時Router 2切換為主鏈路，從而不影響內網用戶正常訪問 Internet

網路拓樸結構

（二）實驗目的

• 掌握配置靜態路由的方法；

• 掌握 IP-Link 的配置方法；

• 掌握靜態路由與IP-Link聯動的場景配置方法。

（三）實驗條件

• 一台CPU支持VT技術，內存4GB以上的計算機；

• 安裝eNSP模擬器B510版，導入USG6000V鏡像；

• 終端工具：SecuretyCRT，Putty，Psftp，XShell等。

（四）網路拓樸圖

打開ENSP軟體，按如下拓樸圖創建實驗環境，設置地址:

• LAN地址：192.168.10.0/24；

• ISP1地址：10.1.1.0/24；

• ISP2地址：10.2.2.0/24；

• Internet地址：10.66.66.0/24；

• 實驗6拓樸

（五）配置思路

• 配置LAN客戶機地址，交換機；

• 配置ISP1,IPS2路由器；

• 配置Internet客戶機的地址，交換機；

• 配置防火牆的介面，安全域，安全策略；

• 配置IP-LINK；

• 配置靜態路由與IP-LINK聯動。

（六）配置步驟

(1)配置LAN的網路

以下為LAN所在網路的客戶機PC1的配置

• PC1的網路地址

交換機LSW1的配置

• The device is running! <Huawei>system-view //進入系統配置視圖 Enter system view, return user view with Ctrl+Z. [Huawei]sysname LSW1 //修改交換機名為LSW1 [LSW1] [LSW1]undo info-center enable //關閉信息提示 Info: Information center is disabled. [LSW1]interface Vlanif 1 //進入vlan介面配置視圖 [LSW1-Vlanif1]ip address 192.168.10.254 24 //配置vlan的IP地址 [LSW1-Vlanif1]quit //退出vlan介面配置，返回系統配置視圖 [LSW1] [LSW1]ip route-static 0.0.0.0 0.0.0.0 192.168.10.1 //配置交換機的默認路由 [LSW1]quit //退出系統配置視圖，返回用戶視圖 <LSW1>save //保存配置 The current configuration will be written to the device. Are you sure to continue?[Y/N]y Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]: Now saving the current configuration to the slot 0. Save the configuration successfully. <LSW1>



(2) 配置ISP1網路

路由器AR1的配置

• The device is running! <Huawei>system-view //進入系統配置視圖 Enter system view, return user view with Ctrl+Z. [Huawei]undo info-center enable //關閉信息提示 Info: Information center is disabled. [Huawei]sysname AR1 //修改路由器名為AR1 [AR1] [AR1]interface GigabitEthernet 0/0/0 //進入介面GE0/0/0配置視圖 [AR1-GigabitEthernet0/0/0]ip address 10.1.1.2 24 //配置介面GE0/0/0的IP地址 [AR1-GigabitEthernet0/0/0]quit //退出介面配置，返回系統配置視圖 [AR1]interface GigabitEthernet 0/0/1 //進入介面GE0/0/1配置視圖 [AR1-GigabitEthernet0/0/1]ip address 10.66.66.3 24 //配置介面GE0/0/1的IP地址 [AR1-GigabitEthernet0/0/1]quit //退出介面配置，返回系統配置視圖 [AR1] [AR1]ip route-static 10.66.66.0 24 10.66.66.254 //配置通往Internet的靜態路由 [AR1]ip route-static 10.2.2.0 24 10.66.66.4 //配置通往ISP2的靜態路由 [AR1] [AR1]quit //退出系統配置視圖，返回用戶視圖 <AR1>save //保存配置 The current configuration will be written to the device. Are you sure to continue? (y/n)[n]:y It will take several minutes to save configuration file, please wait....... Configuration file had been saved successfully Note: The configuration file will take effect after being activated <AR1>



(3) 配置ISP2網路

路由器AR2的配置

• The device is running! <Huawei>system-view //進入系統配置視圖 Enter system view, return user view with Ctrl+Z. [Huawei]undo info-center enable //關閉信息提示 Info: Information center is disabled. [Huawei]sysname AR2 //修改路由器名為AR2 [AR2] [AR2]interface GigabitEthernet 0/0/0 //進入介面GE0/0/0配置視圖 [AR2-GigabitEthernet0/0/0]ip address 10.2.2.2 24 //配置介面GE0/0/0的IP地址 [AR2-GigabitEthernet0/0/0]quit //退出介面配置，返回系統配置視圖 [AR2]interface GigabitEthernet 0/0/1 //進入介面GE0/0/1配置視圖 [AR2-GigabitEthernet0/0/1]ip address 10.66.66.4 24 //配置介面GE0/0/1的IP地址 [AR2-GigabitEthernet0/0/1]quit //退出介面配置，返回系統配置視圖 [AR2] [AR2]ip route-static 10.66.66.0 24 10.66.66.254 //配置通往Internet的靜態路由 [AR2]ip route-static 10.1.1.0 24 10.66.66.3 //配置通往ISP1的靜態路由 [AR2] [AR2]quit //退出系統配置視圖，返回用戶視圖 <AR2>save //保存配置 The current configuration will be written to the device. Are you sure to continue? (y/n)[n]:y It will take several minutes to save configuration file, please wait....... Configuration file had been saved successfully Note: The configuration file will take effect after being activated <AR2>



(4) 配置Internet網路

以下為Internet網路的伺服器Server1的配置

• Server1的網路地址

交換機LSW2的配置

• The device is running! <Huawei>system-view //進入系統配置視圖 Enter system view, return user view with Ctrl+Z. [Huawei]sysname LSW3 //修改交換機名為LSW2 [LSW2] [LSW2]undo info-center enable //關閉信息提示 Info: Information center is disabled. [LSW2]interface Vlanif 1 //進入vlan介面配置視圖 [LSW2-Vlanif1]ip address 10.66.66.254 24 //配置vlan的IP地址 [LSW2-Vlanif1]quit //退出vlan介面配置，返回系統配置視圖 [LSW2] [LSW2]ip route-static 10.1.1.0 255.255.255.0 10.66.66.3 //配置通往ISP1的靜態路由 [LSW2]ip route-static 10.2.2.0 255.255.255.0 10.66.66.4 //配置通往ISP2的靜態路由 [LSW2] [LSW2]quit //退出系統配置視圖，返回用戶視圖 <LSW2>save //保存配置 The current configuration will be written to the device. Are you sure to continue?[Y/N]y Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]: Now saving the current configuration to the slot 0. Save the configuration successfully. <LSW2>



(5) 配置防火牆的介面

分別為防火牆的各個介面配置IP地址，網關，允許ping

• <USG6000V1>system-view //進入系統視圖 Enter system view, return user view with Ctrl+Z. [USG6000V1]info-center disable //關閉信息提示 Info: Information center is disabled. [USG6000V1]sysname FW1 //修改設備名稱 [FW1] [FW1]interface GigabitEthernet 1/0/1 //進入GE1/0/1介面 [FW1-GigabitEthernet1/0/1]ip address 192.168.10.1 24 //配置介面的IP地址 [FW1-GigabitEthernet1/0/1]gateway 192.168.10.254 //配置介面網關 [FW1-GigabitEthernet1/0/1]service-manage ping permit //允許PING [FW1-GigabitEthernet1/0/1]quit //退出介面配置視圖，返回系統視圖 [FW1] [FW1]interface GigabitEthernet 1/0/2 //進入GE1/0/2介面 [FW1-GigabitEthernet1/0/2]ip address 10.1.1.1 24 //配置介面的IP地址 [FW1-GigabitEthernet1/0/2]gateway 10.1.1.254 //配置介面網關 [FW1-GigabitEthernet1/0/2]service-manage ping permit //允許PING [FW1-GigabitEthernet1/0/2]quit //退出介面配置視圖，返回系統視圖 [FW1] [FW1]interface GigabitEthernet 1/0/3 //進入GE1/0/2介面 [FW1-GigabitEthernet1/0/3]ip address 10.2.2.1 24 //配置介面的IP地址 [FW1-GigabitEthernet1/0/3]gateway 10.2.2.254 //配置介面網關 [FW1-GigabitEthernet1/0/3]service-manage ping permit //允許PING [FW1-GigabitEthernet1/0/3]quit //退出介面配置視圖，返回系統視圖 [FW1]



防火牆的介面加入到相應的安全域中

• [FW1] [FW1]firewall zone trust //進入安全域trust配置 [FW1-zone-trust]add interface GigabitEthernet 1/0/1 //把GE1/0/1加入安全域 [FW1-zone-trust]quit //退出安全域配置視圖，返回系統視圖 [FW1] [FW1] [FW1]firewall zone name untrust //進入安全域untrust [FW1-zone-untrust]add interface GigabitEthernet 1/0/2 //把GE1/0/2加入安全域 [FW1-zone-untrust]add interface GigabitEthernet 1/0/3 //把GE1/0/3加入安全域 [FW1-zone-untrust]quit //退出安全域配置視圖，返回系統視圖 [FW1]



(6) 配置IP-Link

IP-Link，即鏈路可達性檢查，通過FW定時地向指定的目的IP進行ICMP回顯請求或ARP請求，並等待應答。

• [FW1] [FW1]ip-link check enable //啟用IP-Link鏈路檢查 [FW1]ip-link name link_isp1 //創建名為link_isp1的檢查 [FW1-iplink-link_isp1]destination 10.1.1.2 interface GigabitEthernet 1/0/2 mode icmp [FW1-iplink-link_isp1] //檢查目的地為10.1.1.2，通過GE1/0/2，使用ICMP報文 [FW1-iplink-link_isp1]quit //退出配置視圖，返回系統視圖 [FW1] [FW1]ip-link name link_isp2 //創建名為link_isp2的檢查 [FW1-iplink-link_isp2]destination 10.2.2.2 interface GigabitEthernet 1/0/3 mode icmp [FW1-iplink-link_isp2] //檢查目的地為10.2.2.2，通過GE1/0/3，使用ICMP報文 [FW1-iplink-link_isp2]quit [FW1] [FW1]ip route-static 10.66.66.0 24 10.1.1.2 track ip-link link_isp1 //綁定靜態路由 [FW1]ip route-static 10.66.66.0 24 10.2.2.2 track ip-link link_isp2 //綁定靜態路由 [FW1]ip route-static 192.168.10.0 24 192.168.10.254 //通往內網的靜態路由 [FW1]



(7) 配置防火牆的安全策略

為防火牆的安全域之間的訪問設置安全策略

• [FW1] [FW1]security-policy //進入安全策略配置視圖 [FW1-policy-security]rule name lan_wan //創建安全規則 [FW1-policy-security-rule-lan_wan]source-zone trust //設置源安全域 [FW1-policy-security-rule-lan_wan]destination-zone untrust //設置目的安全域 [FW1-policy-security-rule-lan_wan]action permit //允許匹配規則的流量通過 [FW1-policy-security-rule-lan_wan]quit //退出規則視圖，返回安全策略視圖 [FW1-policy-security] [FW1-policy-security]rule name iplink_check //創建安全規則 [FW1-policy-security-rule-iplink_check]source-zone local //設置源安全域 [FW1-policy-security-rule-iplink_check]destination-zone untrust //設置目的安全域 [FW1-policy-security-rule-iplink_check]action permit //允許匹配規則的流量通過 [FW1-policy-security-rule-iplink_check]quit //退出規則視圖，返回安全策略視圖 [FW1-policy-security]quit //退出安全策略配置視圖，返回系統視圖 [FW1] [FW1]



(8) 測試

使用命令 display ip-link

（七）參考資料

華為模擬器eNSP軟體，
華為模擬器eNSP社區，
HCNA-Security 華為認證網路安全工程師，
HCNP-Security 華為認證網路安全資深工程師，
HUAWEI USG6000V V500R001C10SPC100 典型配置案例，
HUAWEI USG6000V V500R001C10SPC100 管理員指南，
HUAWEI USG6000V V500R001C10SPC100 命令參考 ，