- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-防火墙典型配置举例
本章节下载 (403.40 KB)
本文档介绍路由器防火墙功能的典型配置举例。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解防火墙特性。
本配置举例是在ER3200G3路由器Release 0140版本上进行配置和验证的。
如图1所示，某企业通过Router连接了服务器与内网中各部门的PC，需要根据各部门的业务对访问服务器的权限进行控制。具体要求如下：
· 研发部的PC仅允许在工作时间内（周一至周五9:00~18:00）访问服务器。
· 不允许财务部的PC在任何时间访问服务器。
需要在Router上进行如下配置：
(1) 划分VLAN2和VLAN3，并配置接口IP地址。
(2) 将LAN2接口划分到VLAN2，LAN3接口划分到VLAN3。
(3) 将研发部所在的子网（192.168.2.1/24）设置为名称为“研发部”的地址组，将财务部所在子网（192.168.3.1/24）设置为名称为“财务部”的地址组，将服务器IP地址（192.168.1.2）设置为名称为“服务器”的地址组。
(4) 将工作时间段（周一至周五9:00~18:00）设置为名称为“工作时间”的时间组。
(5) 开启防火墙功能并配置以下防火墙规则：
¡ 不允许研发部的PC在任何时间访问服务器；
¡ 允许研发部的PC在工作时间访问服务器；
¡ 不允许财务部的PC在任何时间访问服务器。
· 当启用设备防火墙功能后，可通过配置“缺省过滤规则”来对未匹配任何安全规则的报文进行处理：
¡ 若设置为允许，用户不需要配置任何安全规则，接入当前设备的所有终端都可以相互访问，且可以访问外网。
- 如果用户需要限制指定终端访问特定外网的权限，可根据需求配置指定的VLAN接口与WAN接口之间的安全规则。
- 如果用户需要限制指定终端访问其它VLAN下终端的权限，可根据需求配置指定的VLAN接口到VLAN接口的安全规则。
¡ 若设置为禁止，如果用户未配置任何安全规则，所有终端不能访问外网，不同VLAN下的终端不能相互访问。
- 如果用户需要允许指定终端可以访问特定外网，则需要根据需求配置指定VLAN接口与WAN接口之间的安全规则，且必须配置双向规则，即出站方向和入站方向各一条。
- 如果用户需要让指定终端能够访问其它VLAN下的终端，则需要配置指定本端VLAN接口与对端VLAN接口之间的安全规则，且必须配置双向规则。
本例防火墙的缺省规则设置为允许。
· 当一个接口上配置了多条防火墙的安全规则时，报文会按照规则的优先级（数值越小优先级越高）从高到低与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程，并对此报文执行规则中的动作。
# 在路由器上划分VLAN2，并配置接口IP地址为192.168.2.1/24，配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，单击“VLAN配置”页签，进入VLAN配置页面。
(2) 单击<添加>按钮，进入添加VLAN页面。
(3) 在“VLAN ID”配置项处，输入2。
(4) 在“接口IP地址”配置项处，输入192.168.2.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 勾选“开启DHCP服务”复选框，开启设备的DHCP服务。
(7) 其它配置项保持默认配置，单击<确定>按钮，完成配置。
图2 划分VLAN2
# 在路由器上划分VLAN3，并配置接口IP地址为192.168.3.1/24，配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，单击“VLAN配置”页签，进入VLAN配置页面。
(2) 单击<添加>按钮，进入添加VLAN页面。
(3) 在“VLAN ID”配置项处，输入3。
(4) 在“接口IP地址”配置项处，输入192.168.3.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 勾选“开启DHCP服务”复选框，开启设备的DHCP服务。
(7) 其它配置项保持默认配置，单击<确定>按钮，完成配置。
图3 划分VLAN3
(1) 在设备Web管理界面导航栏中选择“网络设置>LAN配置”，进入VLAN划分页面。
(2) 单击LAN2对应的操作列编辑图标，进入详细端口配置页面。
(3) 在“PVID”配置项处，选择2。
(4) 单击<确定>按钮，完成配置。
图4 将LAN2接口划分到VLAN2
(1) 在设备Web管理界面导航栏中选择“网络设置>LAN配置”，进入VLAN划分页面。
(2) 单击LAN2对应的操作列编辑图标，进入详细端口配置页面。
(3) 在“PVID”配置项处，选择3。
(4) 单击<确定>按钮，完成配置。
图5 将LAN3接口划分到VLAN3
# 将研发部所在子网（192.168.2.1/24）设置为名称为“研发部”的地址组，配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 地址组”，进入地址组配置页面。
(2) 单击<添加>按钮，进入添加地址组配置页面。
(3) 在“地址组”名称配置项处，输入研发部。
(4) 在“IP地址段”配置项处，起始框中输入192.168.2.2，结束框中输入192.168.2.254。
(5) 单击< > >按钮，提交配置的地址组内容。
(6) 单击<确定>按钮，完成地址组创建。
图6 配置名称为研发部的地址组
# 参见“研发部”地址组的配置步骤，将财务部所在的子网（192.168.3.1/24）设置为名称为“财务部”的地址组。
# 参见“研发部”地址组的配置步骤，将服务器的IP地址（192.168.1.2）设置为名称为“服务器”的地址组。
# 将工作时间段周一至周五9:00~18:00设置为名称为“工作时间”的时间组，配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 时间组”，进入时间组配置页面。
(2) 单击<添加>按钮，进入新建时间组配置页面。
(3) 在“时间组名称”配置项处，输入工作时间。
(4) 在“生效时间”配置项处，选择周期性生效。
(5) 时间段设置为周一到周五9:00~18:00。
(6) 单击<+>按钮，提交设置的生效时间段。
(7) 单击<确定>按钮完成配置。
图7 配置时间组
# 开启防火墙功能后，为完成组网要求需创建如下3条规则：
· 不允许研发部的PC在任何时间访问服务器；
· 允许研发部的PC在工作时间访问服务器；
· 不允许财务部的PC在任何时间访问服务器。
配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络安全 > 防火墙”，进入防火墙配置页面。
(2) 勾选“开启防火墙”选项，开启防火墙功能。
(3) 在“缺省过滤规则”配置项处，保持缺省配置为允许。
(4) 创建“不允许研发部的PC在任何时间访问服务器”规则：
a. 单击<添加>按钮，弹出创建安全规则对话框。
b. 在“接口”配置项处，选择研发部所在的VLAN2。
c. 在“协议”配置项处，选择所有协议。
d. 在“源地址分组”配置项处，选择“研发部”地址组。
e. 在“目的地址分组”配置项处，选择“服务器”地址组。
f. 在“规则生效时间”配置项处，保持缺省配置（表示所有时间段）。
g. 在“动作”配置项处，选择拒绝。
h. 在“优先级”配置项处，选择自定义，优先级配置为10。
i. 单击<确定>按钮，完成配置。
图8 配置规则“不允许研发部在任何时间访问服务器”
(5) 创建“允许研发部的PC在工作时间访问服务器”规则：
a. 在防火墙配置页面，单击<添加>按钮，弹出创建安全规则对话框。
b. 在“接口”配置项处，选择研发部所在的VLAN2。
c. 在“协议”配置项处，选择所有协议。
d. 在“源地址分组”配置项处，选择“研发部”地址组。
e. 在“目的地址分组”配置项处，选择“服务器”地址组。
f. 在“规则生效时间”配置项处，选择“工作时间”时间组。
g. 在“动作”配置项处，选择允许。
h. 在“优先级”配置项处，选择自定义，优先级配置为5。（注意：需要比规则“不允许研发部PC在任何时间访问服务器”的优先级数值小）。
i. 单击<确定>按钮，完成配置。
图9 配置规则“允许研发部在工作时间访问服务器”
(6) 创建“不允许财务部的PC在任何时间访问服务器”规则：
a. 在防火墙配置页面，单击<添加>按钮，弹出创建安全规则对话框。
b. 在“接口”配置项处，选择财务部所在的VLAN3。
c. 在“协议”配置项处，选择所有协议。
d. 在“源地址分组”配置项处，选择“财务部”地址组。
e. 在“目的地址分组”配置项处，选择“服务器”地址组。
f. 在“规则生效时间”配置项处，保持缺省配置（表示所有时间段）。
g. 在“动作”配置项处，选择拒绝。
h. 在“优先级”配置项处，选择自动。
i. 单击<确定>按钮，完成配置。
图10 配置规则“不允许财务部的PC在任何时间访问服务器”
(7) 确认防火墙规则创建完成。
# 如图11所示，完成上述配置后，防火墙配置页面生成相应表项。
(1) 在工作时间段内，用研发部PC去ping服务器IP地址，能够ping通。
C:\Users\abc>ping 192.168.1.2
Ping 192.168.1.2 (192.168.1.2): 56 data bytes, press CTRL_C to break
56 bytes from 192.168.1.2: icmp_seq=0 ttl=254 time=0.320 ms
56 bytes from 192.168.1.2: icmp_seq=1 ttl=254 time=0.213 ms
56 bytes from 192.168.1.2: icmp_seq=2 ttl=254 time=0.194 ms
56 bytes from 192.168.1.2: icmp_seq=3 ttl=254 time=0.160 ms
56 bytes from 192.168.1.2: icmp_seq=4 ttl=254 time=0.187 ms
--- Ping statistics for 192.168.1.2 ---
5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss
round-trip min/avg/max/std-dev = 0.160/0.215/0.320/0.055 ms
(2) 在任何时间段内，用财务部PC去ping服务器IP地址，ping不通。
C:\Users\abc>ping 192.168.1.2
Ping 192.168.1.2 (192.168.1.2): 56 data bytes, press CTRL_C to break
Request time out
Request time out
Request time out
Request time out
Request time out
通过上述验证说明防火墙配置成功。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
