• 0.需求
  • trust區域設備可以訪問dmz區域設備
  • dmz區域設備不能訪問trust區域設備
• 1.拓撲圖
  • FW：USG5500版本
    
• 2.地址規劃
  • PC1
    • IP：10.1.1.1
    • MASK：255.255.255.0
    • Gateway：10.1.1.254，即FW2 g0/0/1的地址
  • PC2
    • IP：10.1.2.1
    • MASK：255.255.255.0
    • Gateway：10.1.2.254，即FW2 g0/0/2的地址
  • PC3與Server1
    • IP：10.1.3.1（PC3） 10.1.3.10（Server1）
    • MASK：255.255.255.0
    • Gateway：10.1.3.254，即FW2 g0/0/3的地址
  • R1
    • g0/0/0 202.1.1.1/24
    • g0/0/1 202.1.2.1/24
  • Client1
    • IP：202.1.2.2
    • MASK：255.255.255.0
    • Gateway：202.1.2.1
• 3.給所有設備配置好IP地址等上網信息
• 4.將端口加入對應的區域

firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/1
 add interface GigabitEthernet0/0/2
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/0
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet0/0/3

• 5.測試

  • FW2 ping R1/PC1/PC2/PC3/Server都能通訊
    
    

  • 默認情況下，低安全級別都不能訪問高安全級別。華為防火墻的端口都屬于local區域，local區域安全級別默認100，trust默認85.所以從終端ping FW2不通，但同區域不同設備可以互通

  • 查看FW的區間過程，從優先級高到低是默認允許的。outbound表示從高安全級別到低安全級別，inbound恰好相反
  • 修改區間過程

  [SRG]firewall packet-filter default permit interzone trust dmz direction outbound