华为防火墙基础配置

一、配置安全策略

配置网络（保证网络连通性）

第一步、系统视图下配置

<USG6500>dis ver
 2018-05-26 12:34:56.580
 Huawei Versatile Routing Platform Software
 VRP (R) Software, Version 5.170 (USG6500 V500R001C60SPC300)
 Copyright (C) 2014-2017 Huawei Technologies Co., Ltd.
 USG6530 uptime is 0 week, 0 day, 0 hour, 10 minutes

license active 激活指定的license文件
display license 查看license的信息

system-view

info-center enable #开启日志中心
info-center loghost 192.168.1.10 #配置日志服务器IP地址和发送日志信息的源接口
info-center loghost source GE0/0/1

第二步、配置接口地址

interface g0/0/1 #进入G0/0/1接口
ip add 192.168.10.1 24 #配置接口地址

service-manage enable #开启管理功能
service-manage https permit #允许https管理功能（控制管理协议的策略优先）

undo shutdown #激活该接口

portswitch #切换至二层以太网接口模式

quit #退出接口视图
web-manager security enable port 2000 #启动web管理功能（有security支持https，没有支持http）
aaa
manager-user admin #配置web用户

password cipher admin@123
service-type web
level 3

manager-user ftptest
service-type ftp
password cipher ftp@1234
level 3
ftp-directory hda1:/

用户(192.168.40.1:(none)): ftptest
331 Password required for ftptest.
密码:ftp@1234
230 User logged in.
ftp> get vrpcfg.zip
200 Port command okay.
150 Opening ASCII mode data connection for directory list.
226 Transfer complete.
ftp: 收到 5966 字节，用时 0.05秒 112.57千字节/秒。
ftp> lcd
目前的本地目录 C:\Users\Administrator。

第三步、将接口加入区域
firewall zone office #创建安全区域

set priority 80 #设置安全级别

add interface g0/0/1 #将接口添加至安全区域

display zone 查看区域

display firewall packet-filter default all 查看默认区域之间的转发策略

第四步、修改默认策略

ip route-static 0.0.0.0 0.0.0.0 123.121.1.1

第五步、使用策略，精确控制

firewall packet-filter default permit interzone trust dmz direction outbound 放行trust到DMZ区域的所有流量
位置越靠前的安全策略规则，优先级越高

firewall interzone trust dmz
detect ftp 针对多通道的服务要开启应用层检测，将该服务的流量放行

policy interzone trust dmz outbound 制定从trust触发到dmz的精确流量策略，默认是拒绝所有

security-policy #进入安全视图

rule name 1  #创建安全规则名称

source-zone  office #配置源安全区域

destination-zone local #目的安全区域
source-address 192.168.1.0 mask 255.255.255.0 #配置安全策略规则的源地址
action permit 动作

0.255.0.255 反掩码 #表示A和C段进行掩码匹配，B和D段忽略

rule move 3 before rule 1 #调整策略
quit
time-range week
absolute-range 8:00:00 2018/05/07 to 8:00:00 2019/05/07 设置绝对时间段
period-range 8:00:00 to 17:30:00 daily  设置周期时间段
hh:mm:ss #from某时间to某时间
YYYY/MM/DD #from某日期to某日期
Daily #一星期中的每天
off-day #休息日（周六、日）
working-day #工作日（星期一至星期五）

display policy interzone trust dmz outbound

firewall defend syn-flood enable 开启syn-flood***防范功能

firewall defend tcp-illegal-session enable

firewall defend port-scan-flood enable

firewall defend udp-flood enable

firewall defend icmp-flood enable

firewall defend arp-flood enable

firewall defend syn-flood enable

snmp-agent sys-info version v2c #设置SNMP版本号V2C
snmp-agent community read cipher public #设置SNMP只读团体字public
snmp-agent community write cipher admin #设置SNMP读写团体字admin
snmp-agent trap enable #开启SNMP trap功能
snmp-agent target-host trap address udp-domain 192.168.1.1 params securityname cipher hello@123 v2c #设置SNMP trap服务器
配置管理设备主动向网管服务器发送告警，如果不配置SNMP trap，SNMP网管服务将只是周期性向被管理设备发送各种查询报文，设备返回查询数据

user-interface console 0
ide-outtime  0 10 超时

user-interface vty 0 4
 set authentication  password cipher admin@123 #密码验证,仅仅使用密码验证
 authentication-mode aaa #AAA验证，使用用户名密码验证
 protocol inbound all #允许所有协议连接

默认策略任何流量全部阻止（包括抵达local和local发起的），但是接口下的控制管理协议的策略优先

Console口登录是最安全的方法，也是当设备无法启动（无法连接网络时唯一——一种登录设备进行故障修复的方法）

一键升级系统软件
1、查看系统设备的存储空间是否满足
2、系统软件必须以“.bin”为后缀，不支持中文
3、设置为下次启动系统软件，并重启系统

display firewall esn #唯一标识设备的数字序列号，申请license文件时需要提供设备esn信息
display firewall session table 查看会话表信息
display firewall session table verbose 查看会话表详细信息

display firewall statistic system discard
reset firewall session table #清除系统当前会话表项

配置文件类型
current-configuration：配置当前生效，存储在内存中，重启丢失
saved-configuration：下次上电启动时所用的配置文件，存储在Flash或者CF卡，重启不丢失

清除配置文件
1、命令模式：reset saved-configuration #重启
2、Web模式：系统——>配置文件管理——>恢复出厂配置——>点击
3、硬件reset按钮：先按住reset按钮——>设备上电打开电源开关——>指示灯以2次/秒的频率闪烁——>松开reset
4、设备已经正常启动：按住reset超过10s，松开