华为防火墙的安全策略配置实例

今天给大家介绍华为防火墙的安全策略配置实例。本文采用华为ensp模拟器，设计了一个usg6000系列防火墙的配置实例，并安全要求完成了相应配置。
一、实验拓扑及要求
实验拓扑如上所示，现在要求配置如图所示的实验拓扑图，并配置防火墙安全策略实现：
1、trust区域可以访问untrust区域。
2、trust区域可以访问dmz区域的lo0，但不能访问其他ip地址。
二、实验配置命令
（一）华为防火墙默认安全策略
在华为系列防火墙中，默认的安全策略根据出入区域的不同而不同，具体如下所示：
1、域内流量。域内流量是指从一个区域流向同一个区域的流量，防火墙默认策略是允许。
2、域间流量。域间流量是指从一个区域流向另一个区域的流量，防火墙默认策略是拒绝。
3、自身流量。自身流量是指防火墙自身发出的流量或者是目的是防火墙的流量，默认是拒绝。自身流量除了可以在安全策略上配置外，还可以在接口上直接配置，并且在接口上配置的优先级要高于在安全策略中配置的优先级。
（二）安全区域划分相关配置命令
安全区域划分只需要把固定的接口放置到指定的区域中，相关命令如下所示：
firewall zone trust set priority 85 add interface gigabitethernet0/0/0 add interface gigabitethernet1/0/2#firewall zone untrust set priority 5 add interface gigabitethernet1/0/0#firewall zone dmz set priority 50 add interface gigabitethernet1/0/1
（三）安全策略配置命令
安全策略配置时要按照要求配置相应策略，在这里要特别注意策略的配置顺序，相关配置命令如下所示：
security-policy rule name p1 source-zone trust destination-zone trust destination-zone untrust service icmp action permit rule name p2 source-zone trust destination-zone dmz destination-address 2.2.2.2 mask 255.255.255.255 action permit rule name p3 source-zone trust destination-zone dmz action deny
三、实验现象
（一）trust区域可以访问untrust区域正常
（二）untrust区域访问trust区域被禁止
（三）trust区域可以访问2.2.2.2正常
（四）trust区域访问其他dmz区域被禁止
四、附录——防火墙相关配置命令
防火墙相关配置命令如下所示：
#interface gigabitethernet0/0/0 undo shutdown ip binding vpn-instance default ip address 192.168.0.1 255.255.255.0 alias ge0/meth#interface gigabitethernet1/0/0 undo shutdown ip address 150.1.1.10 255.255.255.0#interface gigabitethernet1/0/1 undo shutdown ip address 192.168.1.10 255.255.255.0#interface gigabitethernet1/0/2 undo shutdown ip address 192.168.2.10 255.255.255.0#firewall zone trust set priority 85 add interface gigabitethernet0/0/0 add interface gigabitethernet1/0/2#firewall zone untrust set priority 5 add interface gigabitethernet1/0/0#firewall zone dmz set priority 50 add interface gigabitethernet1/0/1#ip route-static 2.2.2.2 255.255.255.255 192.168.1.2#security-policy rule name p1 source-zone trust destination-zone trust destination-zone untrust service icmp action permit rule name p2 source-zone trust destination-zone dmz destination-address 2.2.2.2 mask 255.255.255.255 action permit rule name p3 source-zone trust destination-zone dmz action deny