华为防火墙配置案例

FW1基本配置

1.1接口配置IP地址

Eth-Trunk1                             10.10.50.246/24      up         up        
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              172.31.101.204/24    up         up          
GigabitEthernet1/0/2              100.100.100.1/24     up         up        
GigabitEthernet1/0/3              90.90.200.249/24     up         up 

1.2链路聚合

GigabitEthernet1/0/4          Up          1      
GigabitEthernet1/0/5          Up          1      

1.3加入安全区域

trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0
    GigabitEthernet1/0/0
#
untrust
 priority is 5
 interface of the zone is (1):
    Eth-Trunk1
#
dmz
 priority is 50
 interface of the zone is (2):
    GigabitEthernet1/0/2
    GigabitEthernet1/0/3

1.4 配置vrrp

  GigabitEthernet1/0/0 | Virtual Router 1
    State : Master
    Virtual IP : 172.31.101.200
    Master IP : 172.31.101.204
    PriorityRun : 120
    PriorityConfig : 100
    MasterPriority : 120
    Preempt : YES   Delay Time : 0 s
    TimerRun : 60 s
    TimerConfig : 60 s
    Auth type : NONE
    Virtual MAC : 0000-5e00-0101
    Check TTL : YES
    Config type : vgmp-vrrp
    Backup-forward : disabled
    Create time : 2020-12-04 02:51:46
    Last change time : 2020-12-04 03:02:04

  Eth-Trunk1 | Virtual Router 2
    State : Master
    Virtual IP : 10.10.50.251
    Master IP : 10.10.50.246
    PriorityRun : 120
    PriorityConfig : 100
    MasterPriority : 120                  
    Preempt : YES   Delay Time : 0 s
    TimerRun : 60 s
    TimerConfig : 60 s
    Auth type : NONE
    Virtual MAC : 0000-5e00-0102
    Check TTL : YES
    Config type : vgmp-vrrp
    Backup-forward : disabled
    Create time : 2020-12-04 02:51:38
    Last change time : 2020-12-04 03:02:04

  GigabitEthernet1/0/3 | Virtual Router 3
    State : Master
    Virtual IP : 90.90.200.250
    Master IP : 90.90.200.249
    PriorityRun : 120
    PriorityConfig : 100
    MasterPriority : 120
    Preempt : YES   Delay Time : 0 s
    TimerRun : 60 s
    TimerConfig : 60 s
    Auth type : NONE
    Virtual MAC : 0000-5e00-0103
    Check TTL : YES                       
    Config type : vgmp-vrrp
    Backup-forward : disabled
    Create time : 2020-12-04 02:51:461.5

1.5配置hrp 双机热备

hrp interface g1/0/0 remode 100.100.100.1

hrp enable

1.6防火墙安全缺略

#
security-policy
 rule name trust-to-untrust
  source-zone trust
  destination-zone untrust
  action permit
 rule name untsust_to_dmz
  source-zone untrust
  destination-zone dmz
  action permit
 rule name untrust-to-DB
  source-zone untrust
  source-address 10.10.40.0 mask 255.255.255.0
  source-address 90.90.80.0 mask 255.255.255.0
  destination-address 172.31.101.0 mask 255.255.255.0
  action deny
 rule name trust-to-adddb
  source-zone trust
  destination-zone dmz
  source-address 10.192.84.0 mask 255.255.255.0
  destination-address 90.90.200.0 mask 255.255.255.0
  action permit
 rule name app-to-db
  source-address 90.90.200.0 mask 255.255.255.0
  destination-address 172.31.101.0 mask 255.255.255.0
  action permit