华为USG防火墙案例配置-实现边界安全访问

USG2110防火墙设备介绍

USG2110部署方案

拓扑图

要求：企业网内部设备可以主动访问互联网，互联网设备不可以主动访问企业网内部设备。

配置步骤

第一步：地址规划，如下图

第二步：USG防火墙配置

[USG2110]interface g0/0/1

[USG2110-GigabitEthernet0/0/1]ip address 192.168.1.254 24

[USG2110-GigabitEthernet0/0/1]quit

[USG2110]interface g0/0/2

[USG2110-GigabitEthernet0/0/2]ip address 202.1.1.254 24

[USG2110-GigabitEthernet0/0/2]quit

###############################################

[USG2110]firewall zone trust

[USG2110-zone-trust]add interface g0/0/1

[USG2110-zone-trust]quit

[USG2110]firewall zone untrust

[USG2110-zone-untrust]add interface g0/0/2

[USG2110-zone-untrust]quit

###############################################

[USG2110]policy interzone trust untrust outbound

[USG2110-policy-interzone-trust-untrust-outbound]policy 1

[USG2110-policy-interzone-trust-untrust-outbound-1]action permit

[USG2110-policy-interzone-trust-untrust-outbound-1]quit

第三步：测试及查询Session

总结

USG2110防火墙属于基于状态检测防火墙，企业网内部设备可以基于策略主动访问互联网设备，同时防火墙会产生session；互联网设备响应的流量在经过防火墙时会基于Session正常进入企业网内部。但是如果互联网设备主动访问企业网内部，由于没有Session和策略允许，所以不能主动访问企业网内部。