正文 

当前位置： 首页 > java > java教程

华为路由器与华为防火墙怎么让各自下面的设备互通？

author author     2023-03-14     734

关键词：

我的问题是：华为路由器与华为防火墙怎么让各自下面的设备互通：我有一台华为路由器企业级，单独的公网IP，下联设备，一台华为防火墙，单独的公网IP，下联设备，如何让这两个不在同一个外网下的设备能够互访？

如果是在同一个机房的2张不同网络，你可以拉1条线连接2台华为路由器/防火墙，写路由互通。如果是两个不同位置的网络，那么需要建IPSEC VPN互通。 参考技术A

（一）实验简介

如图所示，某公司出口连接两个路由器，以双链路接入Internet，为了保证在链路故障时可以动态调整，FW和两台路由器之间配置静态路由绑定IP-Link，将Router 1 为主链路，在出现故障时Router 2切换为主链路，从而不影响内网用户正常访问 Internet

 网络拓朴结构

（二）实验目的

    掌握配置静态路由的方法；

    掌握 IP-Link 的配置方法；

    掌握静态路由与IP-Link联动的场景配置方法。

    （三）实验条件

    一台CPU支持VT技术，内存4GB以上的计算机；

    安装eNSP模拟器B510版，导入USG6000V镜像；

    终端工具：SecuretyCRT，Putty，Psftp，XShell等。

    （四）网络拓朴图

    打开ENSP软件，按如下拓朴图创建实验环境，设置地址:

    LAN地址：192.168.10.0/24；

    ISP1地址：10.1.1.0/24；

    ISP2地址：10.2.2.0/24；

    Internet地址：10.66.66.0/24；

     实验6拓朴

    （五）配置思路

    配置LAN客户机地址，交换机；

    配置ISP1,IPS2路由器；

    配置Internet客户机的地址，交换机；

    配置防火墙的接口，安全域，安全策略；

    配置IP-LINK；

    配置静态路由与IP-LINK联动。

    （六）配置步骤

    (1)配置LAN的网络

    以下为LAN所在网络的客户机PC1的配置

     PC1的网络地址

    交换机LSW1的配置

    The device is running! <Huawei>system-view     //进入系统配置视图 Enter system view, return user view with Ctrl+Z. [Huawei]sysname LSW1    //修改交换机名为LSW1 [LSW1] [LSW1]undo info-center enable   //关闭信息提示 Info: Information center is disabled. [LSW1]interface Vlanif 1    //进入vlan接口配置视图 [LSW1-Vlanif1]ip address 192.168.10.254 24      //配置vlan的IP地址 [LSW1-Vlanif1]quit      //退出vlan接口配置，返回系统配置视图 [LSW1] [LSW1]ip route-static 0.0.0.0 0.0.0.0 192.168.10.1  //配置交换机的默认路由 [LSW1]quit      //退出系统配置视图，返回用户视图 <LSW1>save      //保存配置 The current configuration will be written to the device. Are you sure to continue?[Y/N]y Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]: Now saving the current configuration to the slot 0. Save the configuration successfully. <LSW1>

    (2) 配置ISP1网络

    路由器AR1的配置

    The device is running! <Huawei>system-view             //进入系统配置视图 Enter system view, return user view with Ctrl+Z. [Huawei]undo info-center enable             //关闭信息提示 Info: Information center is disabled. [Huawei]sysname AR1         //修改路由器名为AR1 [AR1] [AR1]interface  GigabitEthernet  0/0/0      //进入接口GE0/0/0配置视图 [AR1-GigabitEthernet0/0/0]ip address 10.1.1.2 24        //配置接口GE0/0/0的IP地址 [AR1-GigabitEthernet0/0/0]quit      //退出接口配置，返回系统配置视图 [AR1]interface GigabitEthernet 0/0/1            //进入接口GE0/0/1配置视图 [AR1-GigabitEthernet0/0/1]ip address 10.66.66.3 24      //配置接口GE0/0/1的IP地址 [AR1-GigabitEthernet0/0/1]quit      //退出接口配置，返回系统配置视图 [AR1] [AR1]ip route-static 10.66.66.0 24 10.66.66.254     //配置通往Internet的静态路由 [AR1]ip route-static 10.2.2.0 24 10.66.66.4     //配置通往ISP2的静态路由 [AR1] [AR1]quit       //退出系统配置视图，返回用户视图 <AR1>save       //保存配置   The current configuration will be written to the device.    Are you sure to continue? (y/n)[n]:y   It will take several minutes to save configuration file, please wait.......   Configuration file had been saved successfully   Note: The configuration file will take effect after being activated <AR1>

    (3) 配置ISP2网络

    路由器AR2的配置

    The device is running! <Huawei>system-view             //进入系统配置视图 Enter system view, return user view with Ctrl+Z. [Huawei]undo info-center enable             //关闭信息提示 Info: Information center is disabled. [Huawei]sysname AR2         //修改路由器名为AR2 [AR2] [AR2]interface  GigabitEthernet  0/0/0      //进入接口GE0/0/0配置视图 [AR2-GigabitEthernet0/0/0]ip address 10.2.2.2 24        //配置接口GE0/0/0的IP地址 [AR2-GigabitEthernet0/0/0]quit      //退出接口配置，返回系统配置视图 [AR2]interface GigabitEthernet 0/0/1            //进入接口GE0/0/1配置视图 [AR2-GigabitEthernet0/0/1]ip address 10.66.66.4 24      //配置接口GE0/0/1的IP地址 [AR2-GigabitEthernet0/0/1]quit      //退出接口配置，返回系统配置视图 [AR2] [AR2]ip route-static 10.66.66.0 24 10.66.66.254     //配置通往Internet的静态路由 [AR2]ip route-static 10.1.1.0 24 10.66.66.3     //配置通往ISP1的静态路由 [AR2] [AR2]quit       //退出系统配置视图，返回用户视图 <AR2>save       //保存配置   The current configuration will be written to the device.    Are you sure to continue? (y/n)[n]:y   It will take several minutes to save configuration file, please wait.......   Configuration file had been saved successfully   Note: The configuration file will take effect after being activated <AR2>

    (4) 配置Internet网络

    以下为Internet网络的服务器Server1的配置

     Server1的网络地址

    交换机LSW2的配置

    The device is running! <Huawei>system-view     //进入系统配置视图 Enter system view, return user view with Ctrl+Z. [Huawei]sysname LSW3    //修改交换机名为LSW2 [LSW2] [LSW2]undo info-center enable   //关闭信息提示 Info: Information center is disabled. [LSW2]interface Vlanif 1    //进入vlan接口配置视图 [LSW2-Vlanif1]ip address 10.66.66.254 24        //配置vlan的IP地址 [LSW2-Vlanif1]quit      //退出vlan接口配置，返回系统配置视图 [LSW2] [LSW2]ip route-static 10.1.1.0 255.255.255.0 10.66.66.3 //配置通往ISP1的静态路由 [LSW2]ip route-static 10.2.2.0 255.255.255.0 10.66.66.4 //配置通往ISP2的静态路由 [LSW2] [LSW2]quit      //退出系统配置视图，返回用户视图 <LSW2>save      //保存配置 The current configuration will be written to the device. Are you sure to continue?[Y/N]y Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]: Now saving the current configuration to the slot 0. Save the configuration successfully. <LSW2>

    (5) 配置防火墙的接口

    分别为防火墙的各个接口配置IP地址，网关，允许ping

    <USG6000V1>system-view  //进入系统视图 Enter system view, return user view with Ctrl+Z. [USG6000V1]info-center disable  //关闭信息提示 Info: Information center is disabled. [USG6000V1]sysname FW1  //修改设备名称 [FW1] [FW1]interface GigabitEthernet 1/0/1    //进入GE1/0/1接口 [FW1-GigabitEthernet1/0/1]ip address 192.168.10.1 24    //配置接口的IP地址 [FW1-GigabitEthernet1/0/1]gateway 192.168.10.254        //配置接口网关 [FW1-GigabitEthernet1/0/1]service-manage ping permit    //允许PING [FW1-GigabitEthernet1/0/1]quit      //退出接口配置视图，返回系统视图 [FW1]    [FW1]interface GigabitEthernet 1/0/2    //进入GE1/0/2接口 [FW1-GigabitEthernet1/0/2]ip address 10.1.1.1 24    //配置接口的IP地址 [FW1-GigabitEthernet1/0/2]gateway 10.1.1.254        //配置接口网关 [FW1-GigabitEthernet1/0/2]service-manage ping permit    //允许PING [FW1-GigabitEthernet1/0/2]quit      //退出接口配置视图，返回系统视图 [FW1] [FW1]interface GigabitEthernet 1/0/3    //进入GE1/0/2接口 [FW1-GigabitEthernet1/0/3]ip address 10.2.2.1 24    //配置接口的IP地址 [FW1-GigabitEthernet1/0/3]gateway 10.2.2.254        //配置接口网关 [FW1-GigabitEthernet1/0/3]service-manage ping permit    //允许PING [FW1-GigabitEthernet1/0/3]quit      //退出接口配置视图，返回系统视图 [FW1]

    防火墙的接口加入到相应的安全域中

    [FW1] [FW1]firewall zone trust    //进入安全域trust配置 [FW1-zone-trust]add interface GigabitEthernet 1/0/1     //把GE1/0/1加入安全域 [FW1-zone-trust]quit    //退出安全域配置视图，返回系统视图 [FW1] [FW1] [FW1]firewall zone name untrust //进入安全域untrust [FW1-zone-untrust]add interface GigabitEthernet 1/0/2       //把GE1/0/2加入安全域 [FW1-zone-untrust]add interface GigabitEthernet 1/0/3       //把GE1/0/3加入安全域 [FW1-zone-untrust]quit  //退出安全域配置视图，返回系统视图 [FW1]

    (6) 配置IP-Link

    IP-Link，即链路可达性检查，通过FW定时地向指定的目的IP进行ICMP回显请求或ARP请求，并等待应答。

    [FW1] [FW1]ip-link check enable   //启用IP-Link链路检查 [FW1]ip-link name link_isp1 //创建名为link_isp1的检查 [FW1-iplink-link_isp1]destination 10.1.1.2 interface GigabitEthernet 1/0/2 mode icmp  [FW1-iplink-link_isp1]      //检查目的地为10.1.1.2，通过GE1/0/2，使用ICMP报文 [FW1-iplink-link_isp1]quit  //退出配置视图，返回系统视图 [FW1] [FW1]ip-link name link_isp2 //创建名为link_isp2的检查 [FW1-iplink-link_isp2]destination 10.2.2.2 interface GigabitEthernet 1/0/3 mode icmp  [FW1-iplink-link_isp2]      //检查目的地为10.2.2.2，通过GE1/0/3，使用ICMP报文 [FW1-iplink-link_isp2]quit [FW1] [FW1]ip route-static 10.66.66.0 24 10.1.1.2 track ip-link link_isp1     //绑定静态路由 [FW1]ip route-static 10.66.66.0 24 10.2.2.2 track ip-link link_isp2     //绑定静态路由 [FW1]ip route-static 192.168.10.0 24 192.168.10.254         //通往内网的静态路由 [FW1]

    (7) 配置防火墙的安全策略

    为防火墙的安全域之间的访问设置安全策略

    [FW1] [FW1]security-policy    //进入安全策略配置视图 [FW1-policy-security]rule name lan_wan      //创建安全规则 [FW1-policy-security-rule-lan_wan]source-zone trust     //设置源安全域 [FW1-policy-security-rule-lan_wan]destination-zone untrust      //设置目的安全域 [FW1-policy-security-rule-lan_wan]action permit     //允许匹配规则的流量通过 [FW1-policy-security-rule-lan_wan]quit      //退出规则视图，返回安全策略视图 [FW1-policy-security] [FW1-policy-security]rule name iplink_check     //创建安全规则 [FW1-policy-security-rule-iplink_check]source-zone local    //设置源安全域 [FW1-policy-security-rule-iplink_check]destination-zone untrust     //设置目的安全域 [FW1-policy-security-rule-iplink_check]action permit    //允许匹配规则的流量通过 [FW1-policy-security-rule-iplink_check]quit     //退出规则视图，返回安全策略视图 [FW1-policy-security]quit       //退出安全策略配置视图，返回系统视图 [FW1] [FW1]

    (8) 测试

    使用命令 display ip-link

    （七）参考资料

    华为模拟器eNSP软件，
    华为模拟器eNSP社区，
    HCNA-Security 华为认证网络安全工程师，
    HCNP-Security 华为认证网络安全资深工程师，
    HUAWEI USG6000V V500R001C10SPC100 典型配置案例，
    HUAWEI USG6000V V500R001C10SPC100 管理员指南，
    HUAWEI USG6000V V500R001C10SPC100 命令参考 ，



 参考技术B 摘 要 当今时代，信息技术飞速发展，信息安全的重要性日益凸显，信息传输及存储安全更显得尤为重要。本文通过利用访问控制列表、网络地址转换等安全技术，对路由器上的防火墙功能实现进行探究，并提出了实现方法。
关键词 路由器;访问控制;地址转换;流量监管
华为路由器除了支持丰富的路由协议外，为了提高网络安全性，提供了一个全面的网络安全解决方案，包括用户验证、授权、数据保护等，可以在一定程度上代替防火墙，建立第一道安全防护屏障。下面以华为路由器为例，通过利用访问控制列表、网络地址转换等安全措施，让路由器实现相应的防火墙功能。
1 数据包过滤功能
通过配置访问控制列表（Access Control List）可以实现数据包过滤功能。该技术的原理是在路由器端口上读取网络层及传输层数据包中的“五元组”：源IP地址、目的IP地址、协议号、源端口、目的端口，根据预先定义好的规则对数据包进行检查，从而达到过滤掉相关数据的目的。
华为路由器的访问控制列表分为两种：
基本ACL：编号2000-2999，只能匹配源IP地址，定义允许或禁止某一个网段或某一个主机访问。
高级ACL：编号3000-3999，可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段。
1.1 屏蔽常见病毒的攻击端口
135、139、445、593、1434等端口是Windows系统默认开放的端口，而这些端口也是蠕虫病毒经常攻击的端口。
配置过程有两步，以在路由器上禁止135、139、445端口为例：

网络互通的实践—华为拓扑

...与Server服务器Ping通。2.实现三层交换机的路由功能。实现路由器的路由功能。三、实验所需的设备以及相关配置1.四台PC机、四台二层交换机、一台三层交换机、一台路由器、一台Server服务器2.四台PC机的设置主机IP地址网关子网... 查看详情

华为路由器修改mtu值失败怎么办

参考技术A　　华为路由器修改MTU值失败怎么办　　一、组网环境　　路由器通过POS1/0/0接口与对端设备连接。当使用mtu命令将POS接口的MTU值修改为1500字节后，发现MTU值没有生效。　　二、故障分析　　1、在POS接口视图下，执行s... 查看详情

华为交换机路由器防火墙日常巡检项目

巡检项目1、检查设备指示灯状态是否正常2、检查各单板状态是否正常3、检查设备的健康状态5、故障信息的收集和反馈巡检常用命令： 查看详情

[实验]ospf多区域互通---华为

...普通区域。在NSSA区域与骨干区域中间有两台“区域边界路由器（ABR）名词讲解：骨干区域：每个OSPF网络中，至少有1个骨干区域。它是OSPF网络中的“核心部分”。用于连接非骨干区域。（特殊情况除外：虚链路等）普通区域：... 查看详情

华为设备-配置默认路由

...通。方案使用eNSP搭建实验环境，如图所示。分别为PC机和路由器1-2-3的各接口配置好IP地址，方便做实验。PC1：ip地址：192.168.1.1255.255.255.0PC2：ip地址：192.168.4.1255.255.255.0R1：GE0/0/0192.168.1.254255.255.255.0R1：GE0/0 查看详情

华为设备bgp路由技术

华为设备BGP路由技术说明：1：R1为运营商的路由器，R2、R3、R4为公司网络，所有路由器运行BGP路由协议2：R1和R2之间、R1和R3之间都建立EBGP连接3：R2、R3、R4之间建立IBGP全连接4：运营商网络为AS100，公司网络为AS2005：在AS200内，使... 查看详情

华为ensp设备管理

...置账号密码供远程登陆。设备管理的对象可以是交换机、路由器或者防火墙，都是通用的通过cloud桥接到虚拟设备：对cloud右键：安装好vm之后会有两个虚拟网卡：一开始默认UDP，我们直接增加：然后我们增加另一个：然后我们增... 查看详情

华为防火墙路由模式部署

...述：使用华为防火墙USG6000作为出口设备，替代之前旧的路由器；防火墙作为客户端和服务器的网关，并映射服务器80端口为8081供外部访问。网络拓扑：防火墙关键配置1.创建地址池ippoolbangonggateway-list172.16.101.254 network172.16.101.... 查看详情

华为三层交换机实现不同vlan，不同网段的互通

...换机功能；如下华为拓扑图：配置思路：1.将LSW8看成一个路由器，LSW8下面连接（LSW7和LSW6）的设备都看一个pc，这样就成两个路由互联，下面各接一个pc这样只需让左边的PC7和右边的PC8互通即可搞定：如下图：2.LSW8是三层交换机... 查看详情

华为配置rip实现全网互通

...置RIP实现全网互通实验拓扑：实验需求：两台PC机，四台路由器实验步骤：配置pc机配置路由器接口IPR1：<Huawei>sysEntersystemview,returnuserviewwithCtrl+Z.[Huawei]sysnameR1[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthe 查看详情

默认路由配置实现全网互通。（华为）

...互通。实验步骤：1.先给PC配置不同网段的IP地址；2.配置路由器实现全网互通；配置命令：路由器AR1：<Huawei>system-view进入特权[Huawei]interfaceGigabitEthernet0/0/0进入端口[Huawei-GigabitEthernet0/0/0]ipaddress192.168.1 查看详情

华为路由器关闭所有端口命令

华为路由器命令大全删除设备配置resetsaved-configuration重启reboot看当前配置文件displaycurrent-configuration改设备名sysname保存配置save进入特权模式sysview华为只有2层模式不像ciscoenale之后还要conft定义aclaclnubmereXXXX（3000以上）进入以后rule... 查看详情

华为模拟器ensp的路由器启动一直是#符号，怎么解决？

...勾选上，最后确定；然后重启华为模拟器（eNSP），打开路由器测试。2、上面方法无效的话，在把windowsdefender直接关闭，公网和专网都关闭，再重启华为模拟器（eNSP）测试，（这个办法亲测有效）。参考技术A1、删除C:\用户目... 查看详情

网络设备（思科，华为交换机路由器）自动备份配置脚本(代码片段)

1、网络设备（含华为路由器、交换机、思科交换机）每天对配置进行一次备份。备份完配置后，发送邮件2、假如你的设备华为设备管理地址为:10.1.1.1-40，思科设备为10.2.1.1-40，需要分别对其进行备份。可以建一个Huawei.list、Cisco.... 查看详情

华为拓扑--小型公司案例实施和思路

...的两台PC机为access与交换机2相连的四台PC机为hybrid在两台路由器配置单臂路由和默认路由配置：手动设置五台PC机的IP,网关和子网掩码。LSW1:[Huawei]sysnameSW1#修改设备名字为SW1[SW1]vlanbatch1020#创建vlan10和vlan20[SW1]inte 查看详情

华为vlan间路由与链路捆绑

VLAN间路由-华为实现方案??1、传统的路由器做为网关(多臂路由/每个VLAN一个端口) 2、传统路由器做为网关（单臂路由） ???#配置终端设备-IP地址的配置 ?#配置网络设备 ????-交换机 ??#创建VLAN #配置链路类型 #将端口加入到... 查看详情

华为防火墙

...：路由模式，透明模式，混合模式1.路由模式：就相当于路由器，具有路由器功能2.透明模式：相当于交换机，具有交换机功能（2）华为防火墙的安全区域划分几种常见的区域如下：Trust区域：主要用于连接公司内部网络，优先... 查看详情

华为防火墙（ngfw）的双机热备

...高可靠性的一种技术VRRP技术虚拟路由冗余协议可以避免路由器传统组网所引起的单点故障多台路由器在同一个广播域组成一台虚拟路由器，虚拟路由器提供一个虚拟IP地址，作为内网的网关，实际情况下，只有一... 查看详情