防火牆一般幾個接口（防火牆接口類型全介紹）

2023-10-04 05:05:44 2

物理接口1) 防火牆支持的接口可以是二層接口或者三層接口2) 二層接口：portswitch3) 三層接口：undo portswitch

邏輯接口1) VT（virtual template）接口、dialer接口2) tunnel接口、null接口3) vlanif接口4) 三層乙太網子接口5) Eth-Trunk接口、loobacp接口

防火牆的Eth-trunk

優點：

1) 本質是要提高鏈路的帶寬 2) 可靠性（LACP協議） 3) 負載分擔

Eth-trunk模式分類：

1) 手工負載分擔模式（默認）注意：所有鏈路都要參與轉發2) 靜態LACP模式（沒有動態LACP）注意: 可以所有，也可以配置備份M:N形式 Eth-trunk接口類型1) 三層Eth-trunk2) 二層Eth-trunk

交換機上面為二層Eth-trunk

第一步：新建Eth-trunk及模式

interfaceEth-Trunk1modelacp-static---------默認手工負載分擔

第二步：定義Eth-trunk類型

interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan2to4094

第三步：把接口加入Eth-trunk組方法一

intXXXXeth-trunk1

方法二

inteth-trunkXX(防火牆不能）trunkportg0/0/1to0/0/2

防火牆上面為三層Eth-trunk 第一步：創建ETH-TRUNK及模式

interfaceEth-Trunk1modelacp-static

第二步：接口成員加入ETH-TRUNK

intXXXeth-trunk1

檢查Eth-Trunk的配置

displayeth-trunk115:10:492019/06/02Eth-Trunk1'sstateinformationis:Local:LAGID:1WorkingMode:STATICPreemptDelay:DisableHashArichmetic:AccordingtoIPSystemPriority:32768SystemID:2444-27ca-fbffLeastactive-linknumber:1Maxactive-linknumber:8OperateStatus:upNumberofUpPortinTrunk:2----------------------------------------------------ActorPortNameStatusPortTypePortPriPortNoPortKeyPortStateWeigthGigabitEthernet0/0/1Selected100M32768264101111001GigabitEthernet0/0/2Selected100M32768364101111001Partner:----------------------------------------------------ActorPortNameSysPriSystemIDPortPriPortNoPortKeyPortStateGigabitEthernet0/0/132768384c-4f60-9d2032768128910111100GigabitEthernet0/0/232768384c-4f60-9d2032768228910111100

防火牆的子接口

物理接口的子接口

防火牆配置子接口

interfaceGigabitEthernet1/0/1.10-------先取子接口vlan-typedot1q10----------------------封裝VLANIDipaddress10.1.1.10255.255.255.0#interfaceGigabitEthernet1/0/1.16vlan-typedot1q16ipaddress192.168.1.10255.255.255.0#

第二步：把子接口加ZONE

firewallzonetrustaddinterfaceGigabitEthernet1/0/1.10#firewallzonedmzaddinterfaceGigabitEthernet1/0/1.16

檢查：

[FW1]displayzone20:26:162019/03/07localpriorityis100#trustpriorityis85interfaceofthezoneis(2):GigabitEthernet0/0/0GigabitEthernet1/0/1.10#dmzpriorityis50interfaceofthezoneis(1):GigabitEthernet1/0/1.16

第三步：測試防火牆直連通信默認一個都通不了，因為華為防火牆默認ZONE與ZONE之間都沒有放行安全策略默認的策略是deny

[FW1]displaysecurity-policyall21:35:502019/09/05Total:1RULEIDRULENAMESTATEACTIONHITTED-------------------------------------------------------------------------------0defaultenabledeny275-------------------------------------------------------------------------------[FW1]security-policydefaultactionpermit----------默認全開安全策略

測試各個直接通信測試完畢一定要記得關閉

security-policydefaultactiondeny

注意： 關於ping的問題 如果在防火牆上PING各個ZONE，只要上面放行所有安全策略，就可以訪問 如果從各個安全區域訪問防火牆的接口，全放安全策略無用，必須開啟接口的訪問管理PING，這樣才能PING通防火牆接口第五步：檢查測試

邏輯接口的子接口

三層eth-trunk可以配置IP 二層Eth-trunk鏈路類型默認為hybrid

interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan10164050

配置：

interfaceEth-Trunk1.10vlan-typedot1q10ipaddress10.1.1.10255.255.255.0#interfaceEth-Trunk1.16vlan-typedot1q16ipaddress192.168.1.10255.255.255.0#

注意：注意:所有防火牆的接口，無論是物理還是邏輯都需要加ZONE防火牆所有的接口都定義ZONE

firewallzonetrustsetpriority85addinterfaceEth-Trunk1.10#firewallzoneuntrustsetpriority5#firewallzonedmzsetpriority50addinterfaceEth-Trunk1.16

放行安全策略

security-policyrulenametrust_dmzsource-zonetrustdestination-zonedmzactionpermit

防火牆的vlanif接口

 實驗演示防火牆上面的vlanif接口技術

配置思路：第一步: 創建VLAN

vlanbatch2030

第二步：把接口配置成為二層

interfaceGigabitEthernet1/0/3portswitchportlink-typeaccess------------默認為ACCESS，可以修改portaccessvlan20#interfaceGigabitEthernet1/0/4portswitchportlink-typeaccessportaccessvlan30

第三步：創建VLANIF接口

interfaceVlanif20ipaddress10.1.2.10255.255.255.0service-managepingpermit#interfaceVlanif30ipaddress10.1.3.10255.255.255.0service-managepingpermit

第四步：接口劃入ZONE注意：不需要把接口再劃入ZONE，只需要邏輯加ZONE

firewallzonetrustaddinterfaceVlanif20addinterfaceVlanif30

第五步：測試檢查注意: 同一個ZONE不需要配置安全策略，可以互相通信 ------結論對嗎？現在USG6320 V100版本，就必須要配置同一個ZONE安全策略

security-policyrulenametrust_trustsource-zonetrustdestination-zonetrustactionpermit