程序员经验分享-hwhale

HUAWEI+Eudemon1000E+防火墙+典型配置案例

2023-11-14

当使用consol口登入Eudemon1000E 防火墙时，如果登入失败退出可能会被锁定，提示：User interface con0 is locked! 锁定的时间默认是10分钟，可以通过对con0 配置修改锁定值。

设置串口console0上所有用户登录鉴权次数为5。锁定时间为1分钟。

system-view
[Eudemon] user-interface console 0
[Eudemon-ui-console0] lock authentication-count 5
[Eudemon-ui-console0] locklock-timeout 1

配置各接口IP地址、网络参数、缺省路由。

Eudemon防火墙连接Trust、DMZ和Untrust三个安全区域，因此需要配置相关连接接口的IP地址、链路层、网络层、路由的参数，从而实现Eudemon网络层与其他设备互通。

配置Eudemon防火墙Ethernet0/0/0接口的IP地址。

[Eudemon] interface ethernet 0/0/0

[Eudemon-Ethernet0/0/0] ip address 10.110.1.11 255.255.255.0

[Eudemon-Ethernet0/0/0] quit

配置Eudemon防火墙Etherent1/0/0接口的IP地址。外网

[Eudemon] interface ethernet 1/0/0

[Eudemon-Ethernet1/0/0] ip address 202.38.160.1 255.255.0.0

[Eudemon-Ethernet1/0/0] quit

配置Eudemon防火墙Etherent2/0/0接口的IP地址。

[Eudemon] interface ethernet 2/0/0

[Eudemon-Ethernet2/0/0] ip address 10.110.5.11 255.255.255.0

[Eudemon-Ethernet2/0/0] quit

配置Eudemon防火墙到达Internet的缺省路由。

[Eudemon] ip route-static 0.0.0.0 0.0.0.0 202.38.160.15 到外网网关

[Eudemon] ip route-static 10.110.1.0 255.255.255.0 10.110.1.2 到三层

第三步：创建或配置安全区域，为安全区域增加隶属接口。

Eudemon防火墙三个Ethernet接口分别连接Trust、DMZ和Untrust三个系统保留的安全区域，因此仅需要为安全区域增加隶属的接口即可。

配置Trust区域包含Ethernet0/0/0接口。

[Eudemon] firewall zone trust

[Eudemon-zone-trust] add interface ethernet 0/0/0

[Eudemon-zone-trust] quit

配置DMZ区域包含Ethernet2/0/0接口。

[Eudemon] firewall zone dmz

[Eudemon-zone-dmz] add interface ethernet 2/0/0

[Eudemon-zone-dmz] quit

配置Untrust区域包含Ethernet1/0/0接口。

[Eudemon] firewall zone untrust

[Eudemon-zone-untrust] add interface ethernet 1/0/0

[Eudemon-zone-untrust] quit

  1. 简介

NAT地址转换机制是将内部主机IP地址替换为外部地址，提供私有地址与公有地址之间的转换。NAT实现了内部私有网络访问外部Internet网络的功能，有助于减缓可用IP地址空间枯竭的速度，同时屏蔽了内部网络，提高了信息传输的安全性。

Eudemon防火墙通过定义地址池，并用地址池中的地址作为转换后的外部地址来实现多对多地址转换，利用ACL规则来对地址转换进行控制。

  1. 配置前提

必须已经完成“上面的配置。

  1. 操作步骤

第一步：配置NAT地址池1，地址范围是202.110.1.241-202.110.1.254。

[Eudemon] nataddress-group 1 202.110.1.241 202.110.1.254 （固定IP的地址段）

第二步：配置ACL规则2010，仅允许Trust区域10.110.1.0/24网段中的任意主机访问其他网络，禁止其它网段主机的对外访问。

[Eudemon] acl number 2010

[Eudemon-acl-basic-2010] rule 0 permit source 10.110.1.0 0.0.0.255

[Eudemon-acl-basic-2010] rule 1 deny any

第三步：在安全区域之间使用配置好的NAT地址池。

进入Trust和Untrust区域间视图，在从Trust区域到Untrust区域的方向上，对符合ACL规则10的数据流进行NAT转换，采用NAT地址池1中的地址。

[Eudemon] firewall interzone trust untrust

[Eudemon-interzone-trust-untrust] nat outbound 2010 address-group 1

  1. 检验结果

按照上述步骤进行配置后，正常情况下，应达到以下测试结果：

l Trust区域内任意主机10.110.1.1能通过Eudemon防火墙访问外部网络，即能ping通Internet用户202.12.7.7。

l 反方向，Internet用户202.12.7.7不能主动访问Trust区域内主机，即不能ping通Trust区域内的主机10.110.1.1。

配置包过滤

  1. 简介

包过滤机制主要实现对IP数据包的过滤。对Eudemon需要转发的数据包，先获取数据包的包头信息（上层协议号、源地址、目的地址、源端口、目的端口等），

然后和已定义的ACL规则进行比较，根据比较的结果来决定转发还是丢弃该数据包。

  1. 配置前提

必须已经完成“第3章 Eudemon的简单配置”中的配置，并确保Eudemon和其他设备互通，并且配置安全区域间的包过滤规则。

  1. 操作步骤

第一步：根据安全过滤需要，配置各种ACL规则。

创建访问控制列表3101，允许Trust区域内的所有10.110.1.0网段的主机访问外部网和DMZ区域中的服务器，拒绝其他主机访问资源。

[Eudemon] acl number 3101

[Eudemon-acl-adv-3101] rule permit ip source 10.110.1.0 0.0.0.255destination any

[Eudemon-acl-adv-3101] rule deny ip

创建访问控制列表3102，允许Internet中的特定用户（202.12.7.7）从外部访问DMZ区域中的内部服务器（FTP和WWW）。

[Eudemon] acl number 3102

[Eudemon-acl-adv-3102] rule permit ip source 202.12.7.7 0 destination10.110.5.100 0

[Eudemon-acl-adv-3102] rule permit ip source 202.12.7.7 0 destination10.110.5.101 0

[Eudemon-acl-adv-3102] rule deny ip

第二步：在安全区域之间应用配置好的ACL规则。

进入Trust和Untrust区域间，并在从Trust区域到Untrust区域的方向上应用ACL规则3101，即出方向。

[Eudemon] firewall interzone trust untrust

[Eudemon-Interzone-trust-untrust] packet-filter 3101 outbound

进入Trust和DMZ区域间，并在从Trust区域到DMZ区域的方向上应用ACL规则3101，即出方向。

[Eudemon] firewall interzone trust dmz

[Eudemon-Interzone-trust-dmz] packet-filter 3101 outbound

进入Untrust和DMZ区域间，并在从Untrust区域到DMZ区域的方向上应用ACL规则3102，即入方向。

[Eudemon] firewall interzone untrust dmz

[Eudemon-Interzone-dmz-untrust] packet-filter 3102 inbound

  1. 检验结果

按照上述步骤进行配置后，正常情况下，应达到以下测试结果：

l Trust区域内主机能正常通过FTP或WWW方式访问DMZ区域中的服务器，并能访问Untrust区域内的任意主机。

l DMZ区域内的服务器不能随意访问Trust和Untrust区域中的主机。

l Untrust区域中的特定主机能访问DMZ区域中的指定服务器外，但是无法访问该区域内的其他服务器。

l Untrust区域内的其他主机都不能访问DMZ区域和Trust区域。

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

防火墙

HUAWEI+Eudemon1000E+防火墙+典型配置案例 的相关文章

  • ping不通的几种可能原因

    平时使用中经常会碰到ping不通的情况 ping不通的原因有很多 比如路由设置问题 比如网络问题 以下列出几点原因 1 太心急 即网线刚插到交换机上就想Ping通网关 忽略了生成树的收敛时间 当然 较新的交换机都支持快速生成树 或者有的管理

  • Ubuntu中ufw命令的使用

    目录 简介 一 ufw服务 1 1 检查ufw服务状态 1 2 开启ufw服务 1 3 关闭ufw服务 1 4 禁用ufw服务 1 5 启用ufw服务 二 ufw相关命令 2 1 检查ufw状态 2 2 开启ufw 2 3 关闭ufw 2

  • 手机如何连接VMware虚拟机中的服务器

    手机如何连接VMware虚拟机中的服务器 由于没有服务器 于是在自己的虚拟机中CentOS 7中安装hadoop中 用手机看是否能否登陆hadoop管理界面 环境 android手机 Windows 10 x64笔记本 VMware Wor

  • Tor 介绍

    Tor The Onion Router 是第二代洋葱路由 onion routing 的一种实现 用户通过Tor可以在因特网上进行 匿名交流 最初该项目由 美国海军研究实验室 US Naval Research Laboratory 赞助

  • 华为防火墙配置了限制一台主机只能访问固定域名和IP的安全策略后打开网站加载速度很慢半天打不开

    环景 华为USG6311E VRP Software Version 5 170 USG6300E V600R007C00SPC200 V200R007C00SPC091 PC联想win10专业版 谷歌浏览器版本 88 0 4324 182

  • PUTTY或WinSCP无法远程连接服务器故障解决

    1 用PUTTY远程连接服务器时 提示错误 server unexpectedly closed network connection 解决方法 1 查看服务器防火墙 可将其关闭 2 查看sshd config配置信息 将字段UseDNS的

  • 配置防火墙，开启80端口、3306端口 & iptables 使用详解

    1 配置防火墙 开启80端口 3306端口 vi etc sysconfig iptables A INPUT m state state NEW m tcp p tcp dport 80 j ACCEPT 允许80端口通过防火墙 A IN

  • win7防火墙规则设置

    在微软的防火墙帮助中有这么一段 在其自己唯一的 exe 文件中运行且不受服务容器主持的系统服务被视为程序 同样 作用同系统服务且无论用户是否登录到计算机都运行的程序 只要该程序在其自己唯一的 exe 文件中运行 也被视为程序 请不要在未指定

  • 远程连接mysql失败异常，未配置权限，skip-name-resolve以及防火墙

    刚安装好 mysql之后 用 navicat 连接MySQL 是连不上的 mysql 默认是只能本地连接 如果需要远程连接 需要配置连接权限 我的mysql 版本是 MySQL 5 6 40 本地连接之后 需要重置密码 set passwo

  • Memcache是什么

    Memcache是什么Memcache是danga com的一个项目 最早是为 LiveJournal 服务的 目前全世界不少人使用这个缓存项目来构建自己大负载的网站 来分担数据库的压力 它可以应对任意多个连接 使用非阻塞的网络IO 由于它

  • WAF防火墙

    添加依赖 一下看情况而添加 不确定需不需要 apt get install gcc libpcre3 libpcre3 dev zlib1g dev tengine依赖 sudo apt get install openssl libssl

  • SOCKS 5协议详解 　

    SOCKS 5协议详解 笔者在实际学习中 由于在有些软件用到了socks5 如oicq icq等 对其原理不 甚了解 相信很多朋友对其也不是很了解 于是仔细研读了一下rfc1928 觉得有必要 译出来供大家参考 1 介绍 防火墙的使用 有效

  • ACE编程遇到的问题

    1 配置 在项目的属性页里 添加附加包含目录 附加目录库和附加依赖项 不然容易报缺失头文件的错误 1 2 3 2 项目 error PRJ0002 错误的结果 31 从 C Program Files MicrosoftSDKs Windo

  • linux关闭防火墙和打开防火墙

    永久打开或则关闭 chkconfig iptables on chkconfig iptables off 即时生效 重启后还原 service iptables start service iptables stop

  • linux中使用nfs共享文件

    NFS需要使用远程过程调用 RPC 也就是说 我们并不是只要启动NFS 还需要启动RPC这个服务 服务器端 CentOS 7 4 ip 172 16 0 1 共享 tmp目录 共享 data目录给172 16 0 2 安装nfs yum i

  • Centos7 防火墙详细操作

    centos7 通过firewall cmd命令添加防火墙白名单 1 查看防护墙状态 firewall cmd state 或 systemctl status firewalld active running gt 表示防火墙已经开启 i

  • iptables 防火墙配置

    文章目录 iptables 防火墙配置 规则链的分类 五链 处理的动作 iptables 常用参数和作用 iptables 防火墙配置 查看规则链 清空规则链 设置默认规则将流入的流量丢弃 允许ICMP协议流量通过 删除默认策略 允许所以流

  • HECI-Securtiy 防火墙路由技术

    目录 一 防火墙路由基本原理 1 路由分类 2 路由优先级 3 路由查询先后顺序 4 静态路由基本原理 1 指定出接口场景 2 指定下一跳地址场景 5 静态路由与多出口 1 主备备份 2 均衡式负载分担 3 溢出式负载分担 二 逐流与逐包报

  • LINUX 防火墙iptables常用指令

    封单个IP的命令 iptables I INPUT s 124 115 0 199 j DROP 封IP段的命令 iptables I INPUT s 124 115 0 0 16 j DROP 封整个段的命令 iptables I INP

  • ping

    为什么ping不通 1 ping不通也有好几种返回信息的 Ping不成功的返回信息有 Request Timed Out Destination Net Unreachable 和 Ba d IP address 还有 Source que

随机推荐

  • Mt2015 lfsr

    Taken from 2015 midterm question 5 See also the first part of this question mt2015 muxdff Write the Verilog code for thi

  • python：使用unquote对url解码

    参考 python之urlencode quote 及unquote wf592523813的博客 CSDN博客 python unquote

  • 企业架构成功之道读书笔记

    企业架构成功之道读书笔记 原文 https www leanix net en enterprise architecture 企业架构成功之道 理解下一代企业架构的价值 降低成本 应用合理化 速赢 10 软件授权优化 项目合理化 应用下线

  • 图形视图(17)：【类】QGraphicsWidget[官翻]

    文章目录 详述 公共类型 enum anonymous 属性 autoFillBackground bool focusPolicy Qt FocusPolicy font QFont geometry QRectF layout QGra

  • final定义类、方法、属性以及多态性

    1 在Java中final称为终结期 在java里面可以使用 不能有子类 2 使用final定义的方法不能被子类覆写 3 使用final定义的变量就成了常量 常量必须在定义的时候设置 多态性基本概念以及相关的使用限制 多态性的依赖 转载于

  • Sentinel客户端调用并发控制

    前言 当链路中某个应用出现不稳定 导致整个链路调用变慢 如果不加控制可能导致雪崩 这种情况如何处理呢 一 慢调用现象分析 在分布式链路中调用中 调用关系如下 methodA1与methodA2在同一个应用中 链路标号 调用链 链路1 met

  • luajit官方性能优化指南和注解

    luajit官方性能优化指南和注解 luajit是目前最快的脚本语言之一 不过深入使用就很快会发现 要把这个语言用到像宣称那样高性能 并不是那么容易 实际使用的时候往往会发现 刚开始写的一些小test case性能非常好 经常毫秒级就算完

  • 怎么解决Greenplum中用pg

    基本思路是为ns1 table1设置分布策略 root登陆master host切换到Greenplum的管理员用户 比如gpadmin su gpadmin使用psql连接数据库 psql databasename设置随机分布策略alte

  • 超好玩地铁跑酷游戏，内涵源代码

    直接上代码 include

  • java的多重循环和程序调试

    java的多重循环和程序调试 一 掌握Java二重循环 多重 嵌套 注意 1 外层循环控制行 内层循环控制列 每行打印的内容 2 外层循环执行一次 内层循环执行一遍 3 一般多重循环值的就是二重循环 二 使用跳转语句控制程序的流程 retu

  • 在线Plist文件格式转Json文件格式

    Plist文件是一种用于存储应用程序配置信息的文件格式 其中包含应用程序的各种设置和数据 在过去 Plist文件通常是以 plist 格式存储的 然而 随着时间的推移 人们开始使用 JSON 格式来存储更复杂的数据结构和数据 如果您需要将

  • 国人自研开源项目，一款简单易用的 GitLab 替代品

    公众号关注 GitHubDaily 设为 星标 每天带你逛 GitHub 今天跟大家介绍一个国人自研项目 可用做 GitLab 替代品 PS 本文来自作者本人投稿 OneDev 是一个开源的一体化的 DevOps 平台 目前项目在 GitH

  • 机器学习之网格搜索技术，如何在Auto-sklearn中应用网格搜索技术

    文章目录 一 机器学习中的网格搜索技术是怎么回事 二 通俗解释 三 在一般情况下使用网格搜索技术 四 GridSearchCV网格搜索技术的原理 五 如何在Auto sklearn中使用网格搜索技术 1 Auto sklearn实际用应用中

  • python3 爬取今日头条文章（巧妙避开as,cp,_signature）

    使用环境 python3 scrapy win10 爬取思路 一 关于as cp的生成与 signature的想法 对于今日头条的爬虫 网上搜索出来的文章大多是基于崔庆才 通过搜索爬取美女街拍的方案 怎么说呢 类似这样的虽说是个巧办法 但是

  • RPC研究

    深入浅出RPC 深入篇 mindwind 2014 09 22 出处 http mindwind me blog 2014 09 22 深入浅出RPC 深入篇 html 解析 RPC 的本质 深入篇 我们主要围绕 RPC 的功能目标和实现考

  • golang内存分析工具

    pprof https blog csdn net weixin 40486544 article details 108402577 utm medium distribute pc relevant none task blog 2de

  • Unity粒子系统详解

    接下来的图片就是Unity2017 1 0f3 编辑器中的粒子系统模块 了解粒子系统 必须先了解每一个属性都代表了什么 之后才能根据这些原理来调整出自己满意的效果 主面板ParticleSystem Duration 粒子发射周期 如图的意

  • 互联网公司数据产品经理和数据分析师，主要有什么区别？

    数据产品经理和数据分析师 是目前互联网公司的热门职位 它跟数据分析师的职责有重叠的部分 不同的地方是这个职位关注的点是数据分析的产品化 这是普通互联网公司数据产品经理的日常 那数据产品经理跟互联网公司里的产品经理有什么区别呢 在大的互联网公

  • mysql+'@'%_mysql忘记登录的人：命令拒绝用户”@’％’

    跑步秀表示我以具有数据库所有权限的用户身份登录 跑步表状态 导致错误 并且错误不显示我已登录的用户名 就好像对于这个命令 mysql忘记了我是谁 其他select语句工作正常 有人可以解释一下吗怎么修 谢谢 Welcome to the M

  • HUAWEI+Eudemon1000E+防火墙+典型配置案例

    当使用consol口登入Eudemon1000E 防火墙时 如果登入失败退出可能会被锁定 提示 User interface con0 is locked 锁定的时间默认是10分钟 可以通过对con0 配置修改锁定值 设置串口console

热门标签