华为防火墙配置6「配置静态路由与IP-Link联动」

(一)实验简介

如图所示,某公司出口连接两个路由器,以双链路接入Internet,为了保证在链路故障时可以动态调整,FW和两台路由器之间配置静态路由绑定IP-Link,将Router 1 为主链路,在出现故障时Router 2切换为主链路,从而不影响内网用户正常访问 Internet

网络拓朴结构

(二)实验目的

  1. 掌握配置静态路由的方法;
  2. 掌握 IP-Link 的配置方法;
  3. 掌握静态路由与IP-Link联动的场景配置方法。

(三)实验条件

  1. 一台CPU支持VT技术,内存4GB以上的计算机;
  2. 安装eNSP模拟器B510版,导入USG6000V镜像;
  3. 终端工具:SecuretyCRT,Putty,Psftp,XShell等。

(四)网络拓朴图

打开ENSP软件,按如下拓朴图创建实验环境,设置地址:

  1. LAN地址:192.168.10.0/24;
  2. ISP1地址:10.1.1.0/24;
  3. ISP2地址:10.2.2.0/24;
  4. Internet地址:10.66.66.0/24;
实验6拓朴

(五)配置思路

  1. 配置LAN客户机地址,交换机;
  2. 配置ISP1,IPS2路由器;
  3. 配置Internet客户机的地址,交换机;
  4. 配置防火墙的接口,安全域,安全策略;
  5. 配置IP-LINK;
  6. 配置静态路由与IP-LINK联动。

(六)配置步骤

(1)配置LAN的网络

以下为LAN所在网络的客户机PC1的配置

PC1的网络地址

交换机LSW1的配置

The device is running!

<Huawei>system-view     //进入系统配置视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW1    //修改交换机名为LSW1
[LSW1]
[LSW1]undo info-center enable   //关闭信息提示
Info: Information center is disabled.
[LSW1]interface Vlanif 1    //进入vlan接口配置视图
[LSW1-Vlanif1]ip address 192.168.10.254 24      //配置vlan的IP地址
[LSW1-Vlanif1]quit      //退出vlan接口配置,返回系统配置视图
[LSW1]
[LSW1]ip route-static 0.0.0.0 0.0.0.0 192.168.10.1  //配置交换机的默认路由
[LSW1]quit      //退出系统配置视图,返回用户视图
<LSW1>save      //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW1>

(2) 配置ISP1网络

路由器AR1的配置

The device is running!

<Huawei>system-view             //进入系统配置视图
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info-center enable             //关闭信息提示
Info: Information center is disabled.
[Huawei]sysname AR1         //修改路由器名为AR1
[AR1]
[AR1]interface  GigabitEthernet  0/0/0      //进入接口GE0/0/0配置视图
[AR1-GigabitEthernet0/0/0]ip address 10.1.1.2 24        //配置接口GE0/0/0的IP地址
[AR1-GigabitEthernet0/0/0]quit      //退出接口配置,返回系统配置视图
[AR1]interface GigabitEthernet 0/0/1            //进入接口GE0/0/1配置视图
[AR1-GigabitEthernet0/0/1]ip address 10.66.66.3 24      //配置接口GE0/0/1的IP地址
[AR1-GigabitEthernet0/0/1]quit      //退出接口配置,返回系统配置视图
[AR1]
[AR1]ip route-static 10.66.66.0 24 10.66.66.254     //配置通往Internet的静态路由
[AR1]ip route-static 10.2.2.0 24 10.66.66.4     //配置通往ISP2的静态路由
[AR1]
[AR1]quit       //退出系统配置视图,返回用户视图
<AR1>save       //保存配置
  The current configuration will be written to the device. 
  Are you sure to continue? (y/n)[n]:y
  It will take several minutes to save configuration file, please wait.......
  Configuration file had been saved successfully
  Note: The configuration file will take effect after being activated
<AR1>

(3) 配置ISP2网络

路由器AR2的配置

The device is running!

<Huawei>system-view             //进入系统配置视图
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info-center enable             //关闭信息提示
Info: Information center is disabled.
[Huawei]sysname AR2         //修改路由器名为AR2
[AR2]
[AR2]interface  GigabitEthernet  0/0/0      //进入接口GE0/0/0配置视图
[AR2-GigabitEthernet0/0/0]ip address 10.2.2.2 24        //配置接口GE0/0/0的IP地址
[AR2-GigabitEthernet0/0/0]quit      //退出接口配置,返回系统配置视图
[AR2]interface GigabitEthernet 0/0/1            //进入接口GE0/0/1配置视图
[AR2-GigabitEthernet0/0/1]ip address 10.66.66.4 24      //配置接口GE0/0/1的IP地址
[AR2-GigabitEthernet0/0/1]quit      //退出接口配置,返回系统配置视图
[AR2]
[AR2]ip route-static 10.66.66.0 24 10.66.66.254     //配置通往Internet的静态路由
[AR2]ip route-static 10.1.1.0 24 10.66.66.3     //配置通往ISP1的静态路由
[AR2]
[AR2]quit       //退出系统配置视图,返回用户视图
<AR2>save       //保存配置
  The current configuration will be written to the device. 
  Are you sure to continue? (y/n)[n]:y
  It will take several minutes to save configuration file, please wait.......
  Configuration file had been saved successfully
  Note: The configuration file will take effect after being activated
<AR2>

(4) 配置Internet网络

以下为Internet网络的服务器Server1的配置

Server1的网络地址

交换机LSW2的配置

The device is running!

<Huawei>system-view     //进入系统配置视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW3    //修改交换机名为LSW2
[LSW2]
[LSW2]undo info-center enable   //关闭信息提示
Info: Information center is disabled.
[LSW2]interface Vlanif 1    //进入vlan接口配置视图
[LSW2-Vlanif1]ip address 10.66.66.254 24        //配置vlan的IP地址
[LSW2-Vlanif1]quit      //退出vlan接口配置,返回系统配置视图
[LSW2]
[LSW2]ip route-static 10.1.1.0 255.255.255.0 10.66.66.3 //配置通往ISP1的静态路由
[LSW2]ip route-static 10.2.2.0 255.255.255.0 10.66.66.4 //配置通往ISP2的静态路由
[LSW2]
[LSW2]quit      //退出系统配置视图,返回用户视图
<LSW2>save      //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW2>

(5) 配置防火墙的接口

分别为防火墙的各个接口配置IP地址,网关,允许ping

<USG6000V1>system-view  //进入系统视图
Enter system view, return user view with Ctrl+Z.
[USG6000V1]info-center disable  //关闭信息提示
Info: Information center is disabled.
[USG6000V1]sysname FW1  //修改设备名称
[FW1]
[FW1]interface GigabitEthernet 1/0/1    //进入GE1/0/1接口
[FW1-GigabitEthernet1/0/1]ip address 192.168.10.1 24    //配置接口的IP地址
[FW1-GigabitEthernet1/0/1]gateway 192.168.10.254        //配置接口网关
[FW1-GigabitEthernet1/0/1]service-manage ping permit    //允许PING
[FW1-GigabitEthernet1/0/1]quit      //退出接口配置视图,返回系统视图
[FW1]   
[FW1]interface GigabitEthernet 1/0/2    //进入GE1/0/2接口
[FW1-GigabitEthernet1/0/2]ip address 10.1.1.1 24    //配置接口的IP地址
[FW1-GigabitEthernet1/0/2]gateway 10.1.1.254        //配置接口网关
[FW1-GigabitEthernet1/0/2]service-manage ping permit    //允许PING
[FW1-GigabitEthernet1/0/2]quit      //退出接口配置视图,返回系统视图
[FW1]
[FW1]interface GigabitEthernet 1/0/3    //进入GE1/0/2接口
[FW1-GigabitEthernet1/0/3]ip address 10.2.2.1 24    //配置接口的IP地址
[FW1-GigabitEthernet1/0/3]gateway 10.2.2.254        //配置接口网关
[FW1-GigabitEthernet1/0/3]service-manage ping permit    //允许PING
[FW1-GigabitEthernet1/0/3]quit      //退出接口配置视图,返回系统视图
[FW1]

防火墙的接口加入到相应的安全域中

[FW1]
[FW1]firewall zone trust    //进入安全域trust配置
[FW1-zone-trust]add interface GigabitEthernet 1/0/1     //把GE1/0/1加入安全域
[FW1-zone-trust]quit    //退出安全域配置视图,返回系统视图
[FW1]
[FW1]
[FW1]firewall zone name untrust //进入安全域untrust
[FW1-zone-untrust]add interface GigabitEthernet 1/0/2       //把GE1/0/2加入安全域
[FW1-zone-untrust]add interface GigabitEthernet 1/0/3       //把GE1/0/3加入安全域
[FW1-zone-untrust]quit  //退出安全域配置视图,返回系统视图
[FW1]

(6) 配置IP-Link

IP-Link,即链路可达性检查,通过FW定时地向指定的目的IP进行ICMP回显请求或ARP请求,并等待应答。

[FW1]
[FW1]ip-link check enable   //启用IP-Link链路检查
[FW1]ip-link name link_isp1 //创建名为link_isp1的检查
[FW1-iplink-link_isp1]destination 10.1.1.2 interface GigabitEthernet 1/0/2 mode icmp 
[FW1-iplink-link_isp1]      //检查目的地为10.1.1.2,通过GE1/0/2,使用ICMP报文
[FW1-iplink-link_isp1]quit  //退出配置视图,返回系统视图
[FW1]
[FW1]ip-link name link_isp2 //创建名为link_isp2的检查
[FW1-iplink-link_isp2]destination 10.2.2.2 interface GigabitEthernet 1/0/3 mode icmp 
[FW1-iplink-link_isp2]      //检查目的地为10.2.2.2,通过GE1/0/3,使用ICMP报文
[FW1-iplink-link_isp2]quit
[FW1]
[FW1]ip route-static 10.66.66.0 24 10.1.1.2 track ip-link link_isp1     //绑定静态路由
[FW1]ip route-static 10.66.66.0 24 10.2.2.2 track ip-link link_isp2     //绑定静态路由
[FW1]ip route-static 192.168.10.0 24 192.168.10.254         //通往内网的静态路由
[FW1]

(7) 配置防火墙的安全策略

为防火墙的安全域之间的访问设置安全策略

[FW1]
[FW1]security-policy    //进入安全策略配置视图
[FW1-policy-security]rule name lan_wan      //创建安全规则
[FW1-policy-security-rule-lan_wan]source-zone trust     //设置源安全域
[FW1-policy-security-rule-lan_wan]destination-zone untrust      //设置目的安全域
[FW1-policy-security-rule-lan_wan]action permit     //允许匹配规则的流量通过
[FW1-policy-security-rule-lan_wan]quit      //退出规则视图,返回安全策略视图
[FW1-policy-security]
[FW1-policy-security]rule name iplink_check     //创建安全规则
[FW1-policy-security-rule-iplink_check]source-zone local    //设置源安全域
[FW1-policy-security-rule-iplink_check]destination-zone untrust     //设置目的安全域
[FW1-policy-security-rule-iplink_check]action permit    //允许匹配规则的流量通过
[FW1-policy-security-rule-iplink_check]quit     //退出规则视图,返回安全策略视图
[FW1-policy-security]quit       //退出安全策略配置视图,返回系统视图
[FW1]
[FW1]

(8) 测试

使用命令 display ip-link

(七)参考资料

华为模拟器eNSP软件
华为模拟器eNSP社区
HCNA-Security 华为认证网络安全工程师
HCNP-Security 华为认证网络安全资深工程师
HUAWEI USG6000V V500R001C10SPC100 典型配置案例
HUAWEI USG6000V V500R001C10SPC100 管理员指南
HUAWEI USG6000V V500R001C10SPC100 命令参考
华为ICT相关的英文简称


PS: 文档由炖冬瓜用Markdown语言编写,输出PDF或HTML。
炖冬瓜 一枚混迹挨踢江湖十载有余的吃货,好吃懒做,成功的从丝瓜进阶为冬瓜。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 215,245评论 6 497
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,749评论 3 391
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 160,960评论 0 350
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,575评论 1 288
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,668评论 6 388
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,670评论 1 294
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,664评论 3 415
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,422评论 0 270
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,864评论 1 307
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 37,178评论 2 331
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,340评论 1 344
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 35,015评论 5 340
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,646评论 3 323
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,265评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,494评论 1 268
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 47,261评论 2 368
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 44,206评论 2 352

推荐阅读更多精彩内容

  • IPv4分组 IPv4,即现在普遍使用的IP协议(版本为4)。IP协议定义数据传送的基本单元——IP分组及其确切的...
    CodeKing2017阅读 1,871评论 0 0
  • 小雨文图 时光在季节中流转,转眼又是盛夏。 荷香正浓,人自安静。 莲心如佛,穿过众多绮丽的风景,小小的一朵莲,翩然...
    小雨飘飘阅读 496评论 0 1
  • 文/居里叶 家里的长辈们又在议论着妹妹迟迟不谈恋爱,不结婚的话题,讨论之后的结论就是:“她不该那么早地买车买房,因...
    居里叶阅读 618评论 0 2
  • 一天的白班,又连上的夜班,真的体力乏力的狠呀,唉,8.20终于下班了,回到家以8.50,洗洗漱漱,吃饭睡觉喽 ,呼...
    学习的历程阅读 233评论 0 1
  • 接纳,臣服,感恩,宽恕。 那天我忽然有一个想法,去开一个付费夜听栏目,之所以要付费,那是自己的时间,去聆听别人的故...
    瑀墨阅读 147评论 0 0