华为USG防火墙ip-link与静态路由、PBR(策略路由)联动 lsc

合集下载

USG防火墙IPSecVPN配置

U S G防火墙I P S e c V P N配置集团公司文件内部编码：（TTT-UUTT-MMYB-URTTY-ITTLTY-场景公司的网络分为总部区域、分部网络和分支办公室三个部分。

要求分部Trust区域的用户和分支办公室能够访问总部Trust区域。

传输的数据需要加密。

步骤一：基本配置<Huawei>system-view[Huawei]sysnameR1[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]ip[R1-GigabitEthernet0/0/1]interfaceSerial1/0/0[R1-Serial1/0/0]ip[R1-Serial1/0/0]interfaceloopback0[R1-LoopBack0]ip[Huawei]sysnameR2[R2]interfaceGigabitEthernet0/0/2[R2-GigabitEthernet0/0/2]ipaddress10.0.20.124[R2-GigabitEthernet0/0/2]interfaceSerial1/0/0[R2-Serial1/0/0]ip224[R2-Serial1/0/0]interfaceloopback0[R2-LoopBack0]ipaddress10.0.2.224[Huawei]sysnameR3[R3]interfaceSerial2/0/0[R3-Serial2/0/0]ipaddress10.0.23.324[R3-Serial2/0/0]interfaceloopback0[R3-LoopBack0]ipaddress10.0.3.324配置FW1和FW2防火墙<USG2100>system-view[USG2100]sysnameFW1[FW1]interfaceEthernet0/0/0[FW1-Ethernet0/0/0]ip[FW1-Ethernet0/0/0]interfaceEthernet2/0/0[FW1-Ethernet2/0/0]ip[FW1-Ethernet2/0/0]interfacevlanif1[FW1-Vlanf1]undoipaddress<USG2100>system-view[USG2100]sysnameFW2[FW2]interfaceEthernet0/0/0[FW2-Ethernet0/0/0]ipaddress10.0.200.124[FW2-Ethernet0/0/0]interfaceEthernet2/0/0[FW2-Ethernet2/0/0]ipaddress10.0.20.124[FW2-Ethernet2/0/0]interfacevlanif1[FW2-Vlanf1]undoipaddress[FW1]firewallzoneuntrust[FW1-zone-untrust]addinterfaceEthernet2/0/0 [FW1-zone-untrust]undoaddinterfaceEthernet0/0/0 [FW1-zone-untrust]quit[FW1]firewallzonetrust[FW1-zone-trust]addinterfaceEthernet0/0/0[FW2]firewallzoneuntrust[FW2-zone-untrust]addinterfaceEthernet2/0/0[FW2-zone-untrust]undoaddinterfaceEthernet0/0/0[FW2-zone-untrust]quit[FW2]firewallzonetrust[FW2-zone-trust]addinterfaceEthernet0/0/0步骤二：配置区域的安全过滤[FW1]firewallpacket-filterdefaultpermitinterzonetrustuntrust//允许trust访untrust区域[FW1]firewallpacket-filterdefaultpermitinterzonelocaluntrust[FW2]firewallpacket-filterdefaultpermitinterzonetrustuntrust[FW2firewallpacket-filterdefaultpermitinterzonelocaluntrust步骤三：配置路由[R1]ospf1[R1-ospf-1]area[R1-ospf-1-area-0]network0]network10.0.12.[R2]ospf1[R2-ospf-1]area[R20]network[R20]network0]network10.0.20[R3]ospf1[R3-ospf-1]area[R30]network[FW1]ospf1[FW1-ospf-1]area[FW10]network10.0.10[FW2]ospf1[FW2-ospf-1]area[FW0]network步骤四：配置IPSecVPV[FW1]acl3000[FW1-cal-adv-3000]rulepermitip[FW2]acl3000[FW2-cal-adv-3000]rulepermitipsource10.0.2[FW1]ip //配置静态路由[FW2]iprouter-static10.0.100.02410.0.20.2[FW1]ipsecproposaltran1[FW1-ipsec-proposal-tran1]encapsulation-modetunnel[FW1-ipsec-proposal-tran1]transformsep[FW1-ipsec-proposal-tran1]espauthentication-algorithmsha1 //验证算法使用SHA1[FW1-ipsec-proposal-tran1]espencryption-algorithmdes //加密算法为DES[FW2]ipsecproposaltranl[FW2-ipsec-proposal-tran1]encapsulation-modetunnel[FW2-ipsec-proposal-tran1]transformsep[FW2-ipsec-proposal-tran1]espauthentication-algorithmsha1[FW2-ipsec-proposal-tran1]espencryption-algorithmdes[FW1]ikeproposal10[FW1-ike-proposal-10]authentication-algorithmsha1[FW1-ike-proposal-10]encryption-algorithmdes[FW2]ikeproposal10[FW2-ike-proposal-10]authentication-algorithmsha1[FW2-ike-proposal-10]encryption-algorithmdes[FW1]ikepeerfw12[FW1-ike-peer-fw12]ise-proposal10[FW1-ike-peer-fw12] //配置IKE安全提议，定义对端IP地址和与共享密码[FW1-ike-peer-fw12]pre-shared-keyabcde[FW2]ikepeerfw21[FW2-ike-peer-fw21]ise-proposal10[FW2-ike-peer-fw21]remote[FW2-ike-peer-fw21]pre-shared-keyabcde将ACL、IPSec安全提议及IKE对等体绑定[FW1]ipsecpolicymap110isakmp[FW1-ipsec-policy-map1-10]securityacl3000[FW1-ipsec-policy-map1-10]proposal[FW1-ipsec-policy-map1-10]ike-peerfw12[FW2]ipsecpolicymap110isakmp[FW2-ipsec-policy-map1-10]securityacl3000[FW2-ipsec-policy-map1-10]proposal[FW2-ipsec-policy-map1-10]ike-peerfw21[FW1]interfaceEthernet2/0/0[FW1-Ethernet2/0/0]ipsecpolicymap1 //应用安全策略[FW2]interfaceEthernet2/0/0[FW2-Ethernet2/0/0]ipsecpolicymap1步骤五：配置GREoverIPSecVPN[FW2]interfacetunnel2[FW2-Tunnel2]tunnel-protocolger[FW2-Tunnel2]ip[FW2-Tunnel2]source[FW2-Tunnel2]destination[FW2-Tunnel2]firewallzoneuntrust[FW2—zone-untrust]addinterfaceTunnel2[FW2]rip //配置RIP[FW2-rip-1]version2[FW2-rip-1]network[R3]rip[R3-rip-1]version2[R3-rip-1]network[R3-rip-1]network配置安全策略，绑定新的ACL、IPSec安全提议[R3]acl3001[R3-acl-adv-3001]rulepermitgre[R3-acl-adv-3001]quit[R3]ipsecpolicymap120ikakmp[R3-ipsec-policy-ikakmp-map1-20]securityacl3001[R3-ipsec-policy-ikakmp-map1-20]proposaltran1[R3-ipsec-policy-ikakmp-map1-20]ike-peerr32[FW2]acl3003[FW2-acl-adv-3003]rulepermitgresource10.0.20.20destination10.0.23.30 [FW2-acl-adv-3003]quit[FW2]ipsecpolicymap120ikakmp[FW2-ipsec-policy-ikakmp-map1-20]securityacl3003[FW2-ipsec-policy-ikakmp-map1-20]proposaltran1[FW2-ipsec-policy-ikakmp-map1-20]ike-peerfw23。

网络安全之华为USG防火墙配置实例

网络安全之华为USG防火墙配置实例USG5500系列产品是华为技术有限公司面向大中型企业和下一代数据中心推出的新一代电信级统一安全网关设备。

USG5500系列产品部署于网络出口处，有效阻止Internet 上的黑客入侵、DDoS攻击，阻止内网用户访问非法网站，限制带宽，为内部网络提供一个安全可靠的网络环境。

这里华迪教育以此为例，给同学们讲解防火墙配置实例。

华为USG防火墙配置内容：（1）内部网络通过防火墙访问外部网络(NAT)（2）外部网络能够访问内部服务器的映射网站主要配置命令如下：Step 1: 设置内、外网接口IPinterface GigabitEthernet0/0/1ip address 192.168.10.1 255.255.255.0interface GigabitEthernet0/0/8ip address 211.95.1.200 255.255.255.0Step 2: 指定内网信任区和外网非信任区firewall zone trustdetect ftp (启用FTP应用层转换)add interface GigabitEthernet0/0/1firewall zone untrustadd interface GigabitEthernet0/0/8step 3 : 开启内网FTP服务映射到外网，开通区域间的通信许可firewall interzone trust untrustdetect ftp （开启内网到外网的FTP服务映射）firewall packet-filter default permit allstep 4:定义NAT地址池、配置NAT Server发布内网站点服务nat address-group 1 211.95.1.200 211.95.1.200nat server zone untrust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone untrust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpnat server zone trust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone trust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpStep 5 :配置nat转换，使得内网可以访问外网nat-policy interzone trust untrust outboundpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255address-group 1Step 6: 配置源地址转换，强制要求内网用户须通过映射地址访问内部服务器nat-policy zone trustpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255policy destination 211.95.1.254 0 address-group 1。

华为USG防火墙配置完整版

华为U S G防火墙配置 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】华为USG2000防火墙配置USG2000防火墙基本设置：外观1个调试口（CONSOLE）；2个以太网口（GE0/0/0和GE0/0/1，电口或者SFP光口任取一）；1个reset按钮（操作不当访问不到防火墙时初始化出厂配置）。

初始配置GE0/0/0配置为路由接口，IP地址为防火墙访问IP为，登录用户名admin，密码Admin@123USG2000防火墙配置过程中注意事项：接口配置时，不要操作当前连接的端口，否则可能导致防火墙无法连接的情况。

这种情况下需要按‘reset’按钮初始化出厂配置。

USG2000防火墙配置步骤一、配置防火墙的网络接口1.连接GE0/0/0端口，访问登录防火墙。

登录过程中出现证书错误，点击‘继续浏览此网站’继续。

输入用户名admin密码Admin@123登录防火墙。

登录后，弹出修改用户的初始密码的提示及快速向导。

初始密码尽量不要修改。

快速向导适于配置路由器模式，不适合I区和II区之间，直接点取消。

以上为USG2000基本配置界面。

现场配置所需要用到的只有网络和防火墙两个主菜单。

2.配置GE0/0/1端口选择菜单网络/接口，在GE0/0/1行最后点配置。

别名设置‘安全II区端口’，选择模式‘交换’，连接类型选择为‘access’，点击应用。

3.添加Vlan接口在接口页面中，点击新加，接口名称设置为‘配置接口’，类型设置为‘VLAN’，VALN ID设置为‘1’，接口成员选择‘GE0/0/1’，连接类型设置为‘静态IP’，IP地址设置为‘’，子网掩码设置为‘’，最后点击应用。

如下图所示4.按照配置GE0/0/1的方法，配置GE0/0/0，将别名设为‘安全I区端口’。

注意：配置完成后，点击应用后，由于GE0/0/0的IP地址已变更，将无法访问到。

华为USG防火墙基本配置

华为USG防火墙基本配置USG防火墙基本配置学习目的掌握登陆USG防火墙的方法掌握修改防火墙设备名的方法掌握对防火墙的时间、时区进行修改的方法掌握修改防火墙登陆标语信息的方法掌握修改防火墙登陆密码的方法掌握查看、保存和删除防火墙配置的方法掌握在防火墙上配置vlan、地址接口、测试基本连通性的方法拓扑图学习任务步骤一.登陆缺省配置的防火墙并修改防火墙的名称防火墙和路由器一样，有一个Console接口。

使用console线缆将console接口和计算机的com口连接在一块。

使用windows操作系统自带的超级终端软件，即可连接到防火墙。

防火墙的缺省配置中，包括了用户名和密码。

其中用户名为admin、密码Admin@123，所以登录时需要输入用户名和密码信息，输入时注意区分大小写。

修改防火墙的名称的方法与修改路由器名称的方法一致。

另外需要注意的是，由于防火墙和路由器同样使用了VRP平台操作系统，所以在命令级别、命令帮助等，与路由器上相应操作相同。

<SRG>sys13:47:28 2014/07/04Enter system view, return user view withCtrl+Z.[SRG]sysname FW13:47:32 2014/07/04步骤二.修改防火墙的时间和时区信息默认情况下防火墙没有定义时区，系统保存的时间和实际时间可能不符。

使用时应该根据实际的情况定义时间和时区信息。

实验中我们将时区定义到东八区，并定义标准时间。

<FW>clock timezone 1 add 08:00:0013:50:57 2014/07/04<FW>dis clock21:51:15 2014/07/032014-07-03 21:51:15ThursdayTime Zone : 1 add 08:00:00<FW>clock datetime 13:53:442014/07/0421:53:29 2014/07/03<FW>dis clock13:54:04 2014/07/042014-07-04 13:54:04FridayTime Zone : 1 add 08:00:00步骤三。

华为USG设备配置脚本及联通最新路由表

USG2000基础配置手册初始化设备：reset saved-configurationREBOOTNY1.# 进入系统视图。

<USG> system-view# 进入Ethernet 0/0/0视图。

[USG A] interface Ethernet 0/0/0# 配置Ethernet 0/0/0（公网）的IP地址。

[USG A-Ethernet0/0/0] ip address 61.163.165.108 255.255.255.128 #公网IP，运营商提供# 退回系统视图。

[USG A-Ethernet0/0/0] quit2.# 进入Ethernet 0/0/1视图。

[USG A] interface Ethernet 0/0/1# 配置内部局域网Ethernet 0/0/1的IP地址。

[USG A-Ethernet0/0/1] ip address 192.168.0.1 255.255.255.0[USG A-Ethernet0/0/1] dhcp select interface# 退回系统视图。

[USG A-Ethernet0/0/1] quit3.# 进入Trust区域视图。

[USG A] firewall zone trust# 配置Ethernet 0/0/1加入Trust区域。

#通常内网在trust区域[USG A-zone-trust] add interface Ethernet 0/0/1# 退回系统视图。

[USG A-zone-trust] quit# 进入Untrust区域视图。

[USG A] firewall zone untrust# 配置Ethernet 0/0/0加入Untrust区域。

#通常外网在untrust区域[USG A-zone-untrust] add interface Ethernet 0/0/0# 退回系统视图。

[USG A-zone-untrust] quit4.#配置需要上网的ACL[USG] acl 2000[USG-acl-basic-2000] rule permit[USG-acl-basic-2000] quit5.# 配置NAT地址池。

网络安全之华为USG防火墙配置实例

网络安全之华为USG防火墙配置实例USG5500系列产品是华为技术有限公司面向大中型企业和下一代数据中心推出的新一代电信级统一安全网关设备。

这里华迪教育以此为例，给同学们讲解防火墙配置实例。

华为USG防火墙配置手册

华为USG防火墙配置手册1. 简介本手册旨在指导用户进行华为USG防火墙的配置和使用。

华为USG防火墙是一款功能强大的网络安全设备，可用于保护企业网络免受网络攻击和安全威胁。

2. 配置步骤2.1 硬件连接在配置USG防火墙之前，请确保正确连接好相关硬件设备，包括USG防火墙、路由器和服务器等。

2.2 登录USG防火墙使用SSH客户端等工具，输入USG防火墙的IP地址和管理员账号密码进行登录。

2.3 配置基本参数登录USG防火墙后，根据实际需求配置以下基本参数：- 设置管理员密码- 配置IP地址和子网掩码- 设置DNS服务器地址2.4 配置网络地址转换（NAT）根据实际网络环境，配置网络地址转换（NAT）功能。

NAT 功能可以将内部IP地址转换为合法的公网IP地址，实现内网和外网的通信。

2.5 配置访问控制策略配置访问控制策略可以限制网络流量的访问权限，确保只有授权的用户或设备可以访问特定网络资源。

2.6 配置安全服务华为USG防火墙提供多种安全服务功能，例如防病毒、入侵检测和内容过滤等。

根据实际需求，配置相应的安全服务功能。

2.7 配置远程管理和监控配置远程管理和监控功能，可以通过远程管理工具对USG防火墙进行实时监控和管理。

3. 常见问题解答3.1 如何查看防火墙日志？登录USG防火墙的Web界面，找到"日志"选项，可以查看防火墙的各种日志信息，包括安全事件、连接记录等。

3.2 如何升级USG防火墙固件版本？4. 其他注意事项- 在配置USG防火墙之前，请先备份原有的配置文件，以防配置错误或损坏设备。

- 请勿将USG防火墙暴露在不安全的网络环境中，以免受到未授权的访问和攻击。

以上是华为USG防火墙的配置手册，希望能帮助到您。

如有其他问题，请随时联系我们的技术支持。

USG防火墙在双线出口场景下部署主备NAT与ip-link联动技术指导

USG 防火墙在双线出口场景下部署主备NAT 与ip-link 联动
技术指导
关键词：USG,双线出口,NAT,快速主备切换,ip-link
产品：USG2210
摘要：某网络中，租用电信和联通线路作为出口，以电信为主链路，联通为备链路；内网通过USG 防火墙做NAT 后访问公网，优先选用主链路，当主链路故障后，可通过ip-link 特性快速感知到故障而切换到备链路上。

1.1 组网和功能介绍：
出口设备连接电信和联通线路，以电信为主链路，联通为备链路；USG2210旁挂在出口设备上；内部用户访问外网的流量到达出口设备后，通过重定向策略引流到USG2210上，USG2210配置NAT
策略，完成NAT 转换后将流量转发到外网上；同时在USG2210上配置主备NAT 快速感知功能，当主链路故障后，可快速感知到故障而切换到备链路上。

.Y.Y.2
1.2 详细配置：
1、完成IP 地址、端口和路由配置，实现USG2210的公网地址可以访问外网；
注意：在出口设备上要配置到电信和联通的主备路由：
ip route-static 0.0.0.0 0.0.0.0 A.A.A.201 descriptionTo-CT-default
ip route-static 0.0.0.0 0.0.0.0 B .B.B.5 preference 80 description To-UT-default
2、在出口设备上配置重定向策略，将访问外网的流量引入到USG2210上：
3、在防火墙上配置NAT功能
4、配置主备NAT快速感知功能，可实现主备切换
1.3 场景验证：
采用长ping的方法，观察主链路故障后，会丢多少包：。

华为路由器usg2000说明书

华为路由器usg2000说明书
USG2000&5000配置策略路由方式如下：
1.组网需求
为满足部门A和部门B的需求，公司申请了两条接入Internet 的链路ISP1和ISP2来分担链路流量，并互为备份，以保证链路持续不中断。

详细需求如下：
a。

部门A所在网段为10.1.0.0/16，该部门访问Internet的报文正常情况下流入链路ISP1.
b。

部门B所在网段为20.1.0.0/16，该部门访问Internet的报文正常情况下流入链路ISP2.
c。

部门A和部门B所在链路互为备份，当某部门的链路（以下称主链路）出现故障时，流量切换到另一部门所在的链路（以下称备链路）上。

2.配置思路
策略路由和IP-Link联动配置思路如下：
a。

为实现不同链路分担不同流量，需要配置基于源地址的策略路由，使来自部门A的访问Internet报文流向链路ISP1，来自部门B的访问Internet报文流向链路ISP2.
b。

为实现部门A和部门B所在链路互为备份，保证链路不中断，需要配置如下：
1）。

配置策略路由和IP-Link联动，由IP-Link来观察部门A 和部门B各自主链路的可达性。

当主链路出现故障时，策略路由失效，设备将查找备份路由，以保持业务的持续流通。

2）。

配置部门A到链路ISP2的静态路由和部门B到链路ISP1的静态路由，作为部门A和部门B的备份路由。

同时，将静态路由与IP-Link联动，由IP-Link来观察部门A和部门B各自备链路的可达性。

华为USG防火墙配置实例脚本-PPPOE

华为USG防火墙配置实例脚本-PPPOEPPPOE分两部分：PPPOE-Server(例如ADSL局端)和PPPoE Client（ADSL拨号上网。

客户端）PPPOE-Server:G0/0接WAN、G0/1接局域网。

客户端通过PPPOE拨号拿IP上网。

公网IP 129.7.66.2/24、网关129.7.66.1，局域网拨到拿1.1.1.2/8-100的IP 典型应用：小区宽带、酒店等。

============================firewall mode routeinterface GigabitEthernet 0/0ip address 129.7.66.2 24ip route-static 0.0.0.0 0.0.0.0 129.7.66.1firewall zone trustadd interface GigabitEthernet 0/1firewall zone untrustadd interface GigabitEthernet 0/0firewall packet-filter default permit all#------------------------------------interface Virtual-Template 1ppp authentication-mode papip address 1.1.1.1 255.0.0.0remote address pool 1firewall zone trustadd interface Virtual-Template 1interface GigabitEthernet 0/1pppoe-server bind Virtual-Template 1#------------------------------------aaalocal-user usg3000 password simple usg3000ip pool 1 1.1.1.2 1.1.1.100#-----------------------------------acl 2001rule 0 permit source 1.1.1.0 0.255.255.255firewall interzone trust untrustnat outbound 2001=============================PPPOE-Client防火墙G0/0上接ADSL MODEM、局域网G0/1用IP192.168.1.1/24做网关。

华为USG2100 防火墙配置文档-配置IP-Link

z 应用在静态路由中
当 IP-Link 侦测出链路不可达时，USG2100 会对自身的静态路由进行相应的调整。如原来高优先级的静态路由所经链路被检测到发生故障，USG2100 会选择新的链路进行业务转发。如果高优先级的静态路由链路故障恢复正常时，USG2100 又会进行静态路由的调整，用高优先级的路由替换低优先级的路由，保证每次用到的链路是最高优先级的并且是可达的，以保持业务的持续进行。
如果在设定的时限内未收到回应报文，则认为链路发生故障，并进行后续相应的操作。当原来认为发生故障的链路，在之后设定的时限内，有连续 3 个回应报文返回，则认为发生故障的链路已经恢复正常，此后进行链路恢复的相关操作。
IP-Link 自动侦测的结果（目的主机可达或者不可达）可以被其他特性所引用，主要应用包括：
2.2.4 配置 IP-Link 应用于静态路由
配置 IP-Link 应用于静态路由，需要进行如下操作。步骤 1 执行命令 system-view，进入系统视图。步骤 2 执行命令 ip route-static ip-address { mask | mask-length } { interface-type interface-number
2.2.1 建立配置任务.....................................................................................................................................2-2 2.2.2 使能 IP-Link .......................................................................................................................................2-3 2.2.3 创建 IP-Link .......................................................................................................................................2-3 2.2.4 配置 IP-Link 应用于静态路由 ..........................................................................................................2-3 2.2.5 配置 IP-Link 应用于双机热备份 ......................................................................................................2-4 2.2.6 检查配置结果.....................................................................................................................................2-4 2.3 调试..............................................................................................................................................................2-4 2.4 配置举例......................................................................................................................................................2-5 2.4.1 配置 IP-Link 应用于静态路由示例 ..................................................................................................2-5 2.4.2 配置 IP-Link 应用于双机热备份示例 ..............................................................................................2-7 2.5 故障处理....................................................................................................................................................2-12 2.5.1 路由模式下故障处理.......................................................................................................................2-12 2.5.2 透明模式下故障处理.......................................................................................................................2-12

华为USG2200系列防火墙配置案例

华为USG2200系列防火墙配置案例以下是一份华为USG2200系列防火墙的配置案例：1.基本配置首先登录到防火墙的Web界面，在“系统”选项下进行基本的系统配置。

包括设定主机名、时区、DNS服务器和网关地址等。

2.网络配置在“网络”选项中进行网络配置。

设定防火墙的网络接口和IP地址。

可以设定多个网络接口，为不同的网络提供连接。

配置完成后，需要应用并重启防火墙。

3.防火墙策略在“安全策略”选项下进行防火墙策略的配置。

可以根据实际需求设置入站和出站规则，限制或允许特定的IP地址或端口访问。

可以设置默认的阻止或允许策略。

4.访问控制列表（ACL）在“ACL”选项中进行访问控制列表的配置。

可以创建不同的ACL规则，根据源和目的IP地址、端口和协议等进行过滤控制。

可以设置允许或阻止特定的流量通过。

5.网络地址转换（NAT）在“NAT”选项中进行网络地址转换的配置。

可以将内部私有IP地址映射到公网IP地址，实现内部网络与外部网络的通信。

配置时需要设置源和目的IP地址的转换规则。

6.入侵防御系统（IDS）在“IDS”选项中进行入侵防御系统的配置。

可以启用IDS功能，并设置规则、行为和告警等。

IDS可以监测和阻止可能的攻击行为，保护网络的安全。

7.虚拟专网（VPN）在“VPN”选项中进行虚拟专网的配置。

可以创建VPN隧道，实现不同地点的安全通信。

可以设置IPSec或SSL VPN，并配置相关的参数和安全策略。

8.日志和告警在“日志和告警”选项中进行日志和告警的配置。

可以设定日志记录的级别和方式，并设置告警的方式和内容。

日志和告警功能可以帮助管理员及时发现和处理安全事件。

以上只是一个简单的配置案例，实际情况可能会更加复杂。

华为USG2200系列防火墙拥有多种高级功能，如反病毒、应用控制、网页过滤等，可以根据具体需求进行配置。

总结起来，华为USG2200系列防火墙的配置步骤包括基本配置、网络配置、防火墙策略、ACL、NAT、IDS、VPN、日志和告警等。

华为USG防火墙设置完整版

华为USG防火墙设置完整版1. 简介华为USG防火墙是一款功能强大的网络安全设备，用于保护企业网络免受恶意攻击和未经授权的访问。

本文将提供华为USG 防火墙的完整设置步骤。

2. 连接防火墙首先，确保您正确地将USG防火墙连接到企业网络。

将防火墙的一个以太网口连接到您的局域网交换机上，并将另一个以太网口连接到网络边界路由器上。

3. 登录防火墙通过Web浏览器访问防火墙的管理界面。

输入防火墙的默认地址（一般为192.168.1.1）并按Enter键。

在登录页面中输入管理员用户名和密码，然后单击登录按钮。

4. 基本设置进入防火墙的管理界面后，首先进行基本设置。

点击"系统设置"选项卡，并在"基本设置"中进行如下配置：- 设置防火墙的名称和描述- 配置管理员密码、SNMP和NTP服务- 设置系统日志服务器5. 网络设置接下来，进行网络设置以确保防火墙与企业网络正常通信。

点击"网络对象"选项卡，并配置以下内容：- 配置局域网接口- 配置公网接口（如果有）- 配置NAT和端口映射规则6. 安全策略设置安全策略以保护企业网络免受未经授权的访问和恶意攻击。

点击"安全策略"选项卡，并完成以下步骤：- 创建访问控制规则，限制特定IP地址或IP地址范围的访问- 根据需求创建应用程序过滤规则和URL过滤规则- 配置反病毒、反垃圾邮件和反欺骗策略7. 其他配置除了上述步骤，您还可以进行其他配置以满足特定需求。

例如：- 配置VPN（虚拟专用网络）- 设置用户认证和权限管理- 配置远程访问8. 保存和应用配置在完成所有设置后，确保保存并应用配置更改。

点击"保存"按钮，并在确认弹窗中点击"应用"按钮。

防火墙将立即应用新的配置。

以上就是华为USG防火墙的完整设置步骤。

根据实际需求，您可以灵活配置并添加其他功能。

如果需要更详细的指导，请参考华为USG防火墙的官方文档。

华为USG防火墙运维命令大全

华为USG防火墙运维命令大全1查会话使用场合针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。

命令介绍（命令类）display firewall session table [ verbose ] { source { inside X.X.X.X | global X.X.X.X } | destination { inside X.X.X.X | global X.X.X.X } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instance { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ]使用方法（工具类）首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。

如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。

如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。

Global：表示在做NAT时转换后的IP。

Inside：表示在做NAT时转换前的IP。

使用示例<USG5360>display firewall session table verbose source inside10.160.30.214:29:51 2010/07/01Current total sessions :1icmp VPN: public->publicZone: trust -> local TTL: 00:00:20 Left:00:00:20Interface: I0 Nexthop: 127.0.0.1 MAC:00-00-00-00-00-00<-- packets:4462 bytes:374808 --> packets:4461 bytes:37472410.160.30.17:43986<--10.160.30.2:43986对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。

华为USG防火墙详细配置步骤

华为USG防火墙详细配置步骤
本文将介绍华为USG防火墙的详细配置步骤，包括以下几个方面：
1. 确认设备连接
- 确保USG防火墙已经正确连接至网络设备，可以通过网线或者光纤进行连接。

- 确认USG防火墙的电源已经连接并启动。

2. 登录管理界面
- 在计算机上打开浏览器，输入USG防火墙的管理界面地址。

- 输入正确的用户名和密码，登录到USG防火墙的管理界面。

3. 配置基本网络设置
- 在管理界面中，找到并点击“网络设置”选项。

- 在基本网络设置页面，根据网络需求配置IP地址、子网掩码、默认网关等基本网络参数。

4. 配置防火墙策略
- 在管理界面中，找到并点击“安全策略”或“防火墙策略”选项。

- 根据实际需求，配置防火墙策略，包括允许或禁止某些应用、网络服务或IP地址的访问。

5. 配置端口转发
- 在管理界面中，找到并点击“端口映射”或“端口转发”选项。

- 根据需要，配置端口映射规则，将外部请求的端口映射到内
部服务器的端口。

6. 配置虚拟专用网络（VPN）
- 在管理界面中，找到并点击“VPN”选项。

- 根据需求，配置VPN连接，包括设置加密方式、身份验证等
参数。

7. 保存配置并重启
- 在管理界面中，保存所有配置，并重启USG防火墙。

以上就是华为USG防火墙的详细配置步骤。

根据实际需求，可以进行相应的调整和扩展。

配置过程中，应注意安全设置和正确性，以确保USG防火墙的正常运行和网络的安全性。

华为USG防火墙IPsec怎么配置

华为USG防火墙IPsec怎么配置华为USG防火墙IPsec怎么配置华为的产品主要涉及通信网络中的交换网络、传输网络、无线及有线固定接入网络和数据通信网络及无线终端产品,那么你知道华为USG防火墙IPsec怎么配置吗?下面是学习啦我整理的一些关于华为USG防火墙IPsec怎么配置的相关资料，供你参考。

华为USG防火墙IPsec配置的案例实验拓扑使用华为ensp1.2.00.370模拟器来完成。

连接方式是client1-USG-1-AR1-USG-2-clent2链式组网构造。

实验需求USG-1和USG-2模拟企业边缘设备，分别在2台设备上配置NAT和IPsec实现2边私网能够通过相互通信。

实验配置R1的IP地址配置省略USG-1配置[USG-1]firewallzonetrust//配置trust区域[USG-1-zone-trust]addinterfaceg0/0/0//将接口参加trust区域[USG-1-zone-trust]quit[USG-1]firewallzoneuntrust//配置untrust区域[USG-1-zone-untrust]addintg0/0/1//将接口参加untrust 区域[USG-1-zone-untrust]quit[USG-1]intg0/0/0[USG-1-GigabitEthernet0/0/0]ipadd192.168.10.124[USG-1-GigabitEthernet0/0/0]intg0/0/1[USG-1-GigabitEthernet0/0/1]ipadd11.0.0.224[USG-1-GigabitEthernet0/0/1]quit[USG-1]iproute-static0.0.0.00.0.0.011.0.0.1//配置默认路由上公网[USG-1]nat-policyinterzonetrustuntrustoutbound//进入trust到untrust区域out方向的策略视图[USG-1-nat-policy-interzone-trust-untrust-outbound]pol icy1//创立一个策略[USG-1-nat-policy-interzone-trust-untrust-outbound-1]p olicysource192.168.10.00.0.0.255[USG-1-nat-policy-interzone-trust-untrust-outbound-1]p olicydestination192.168.20.00.0.0.255[USG-1-nat-policy-interzone-trust-untrust-outbound-1]a ctionno-nat//以上三条命令意思是不允许将源为192.168.10.0/24网段目的为192.168.20.0/24网段的数据包进行NAT[USG-1-nat-policy-interzone-trust-untrust-outbound-1]q uit[USG-1-nat-policy-interzone-trust-untrust-outbound]pol icy2//创立策略2[USG-1-nat-policy-interzone-trust-untrust-outbound-2]a ctionsource-nat//允许对源IP进行NAT[USG-1-nat-policy-interzone-trust-untrust-outbound-2]e asy-ipg0/0/1//对接口G0/0/1地址复用[USG-1-nat-policy-interzone-trust-untrust-outbound-2]q uit[USG-1-nat-policy-interzone-trust-untrust-outbound]qui t-------阶段一---------[USG-1]ikeproposal1//配置一个安全提议[USG-1-ike-proposal-1]authentication-methodpre-share //配置IKE认证方式为预分享密钥[USG-1-ike-proposal-1]authentication-algorithmsha1//配置IKE认证算法为sha1[USG-1-ike-proposal-1]integrity-algorithmaes-xcbc-96//配置IKE完好性算法[USG-1-ike-proposal-1]dhgroup2//配置IKE密钥协商DH 组[USG-1-ike-proposal-1]quit[USG-1]ikepeerUSG-2//创立一个IKE对等体名字为USG-2[USG-1-ike-peer-usg-2]pre-shared-keyabc123//配置预分享密钥[USG-1-ike-peer-usg-2]remote-address12.0.0.2//配置对等体IP地址[USG-1-ike-peer-usg-2]ike-proposal1//调用ike安全提议[USG-1-ike-peer-usg-2]quit----------阶段二----------[USG-1]ipsecproposaltest//配置一个ipsec安全提议[USG-1-ipsec-proposal-test]encapsulation-modetunnel//封装方式采用隧道[USG-1-ipsec-proposal-test]transformesp//配置IPSEC安全协议为ESP[USG-1-ipsec-proposal-test]espencryption-algorithmaes//配置ESP协议加密算法为aes[USG-1-ipsec-proposal-test]espauthentication-algorithm sha1//配置ESP协议认证算法[USG-1-ipsec-proposal-test]quit[USG-1]acl3000//创立一个ACL定义感兴趣流[USG-1-acl-adv-3000]rulepermitipsource192.168.10.00.0.0.255destination192.168.20.00.0.0.255[USG-1]ipsecpolicymap1isakmp//创立一个安全策略，名称为map[USG-1-ipsec-policy-isakmp-map-1]ike-peerUSG-2//调用ike对等体[USG-1-ipsec-policy-isakmp-map-1]proposaltest//调用IPsec安全提议[USG-1-ipsec-policy-isakmp-map-1]securityacl3000//配置感兴趣流[USG-1-ipsec-policy-isakmp-map-1]quit[USG-1]intg0/0/1[USG-1-GigabitEthernet0/0/1]ipsecpolicymap//在外网口上调用安全策略区域间策略配置[USG-1]policyinterzonetrustuntrustoutbound.//进入trust到untrust区域out方向策略视图[USG-1-policy-interzone-trust-untrust-outbound]policy1 //创立策略[USG-1-policy-interzone-trust-untrust-outbound-1]actio npermit//允许trust区域所有主机访问untrust区域[USG-1-policy-interzone-trust-untrust-outbound-1]quit[USG-1-policy-interzone-trust-untrust-outbound]quit[USG-1]policyinterzonetrustuntrustinbound//进入trust区域到untrust区域的in方向策略视图[USG-1-policy-interzone-trust-untrust-inbound]policy1[USG-1-policy-interzone-trust-untrust-inbound-1]policysource192.168.20.00.0.0.255[USG-1-policy-interzone-trust-untrust-inbound-1]policyd estination192.168.10.00.0.0.255[USG-1-policy-interzone-trust-untrust-inbound-1]action permit//以上命令为允许数据包源地址为192.168.20.0/24网段和目的地址为192.168.10.0/24网段的流量过[USG-1-policy-interzone-trust-untrust-inbound-1]quit[USG-1-policy-interzone-trust-untrust-inbound]quit[USG-1]policyinterzonelocaluntrustinbound//进入local区域到untrust区域的in方向策略视图[USG-1-policy-interzone-local-untrust-inbound]policy1[USG-1-policy-interzone-local-untrust-inbound-1]policys erviceservice-setesp[USG-1-policy-interzone-local-untrust-inbound-1]policys ource12.0.0.20[USG-1-policy-interzone-local-untrust-inbound-1]policydestination11.0.0.20[USG-1-policy-interzone-local-untrust-inbound-1]action permit//允许源地址是12.0.0.2目的地址是11.0.0.2的数据包访问esp协议USG-2配置[USG-2]firewallzonetrust[USG-2-zone-trust]addintg0/0/0[USG-2-zone-trust]quit[USG-2]firewallzoneuntrust[USG-2-zone-untrust]addintg0/0/1[USG-2-zone-untrust]quit[USG-2]intg0/0/0[USG-2-GigabitEthernet0/0/0]ipadd192.168.20.124[USG-2-GigabitEthernet0/0/0]intg0/0/1[USG-2-GigabitEthernet0/0/1]ipadd12.0.0.224[USG-2-GigabitEthernet0/0/1]quit[USG-2]iproute-static0.0.0.00.0.0.012.0.0.1[USG-2]nat-policyinterzonetrustuntrustoutbound[USG-2-nat-policy-interzone-trust-untrust-outbound]pol icy1[USG-2-nat-policy-interzone-trust-untrust-outbound-1]p olicysource192.168.20.00.0.0.255[USG-2-nat-policy-interzone-trust-untrust-outbound-1]p olicydestination192.168.10.00.0.0.255[USG-2-nat-policy-interzone-trust-untrust-outbound-1]a ctionno-nat[USG-2-nat-policy-interzone-trust-untrust-outbound-1]q uit[USG-2-nat-policy-interzone-trust-untrust-outbound]pol icy2[USG-2-nat-policy-interzone-trust-untrust-outbound-2]a ctionsource-nat[USG-2-nat-policy-interzone-trust-untrust-outbound-2]e asy-ipGigabitEthernet0/0/1[USG-2-nat-policy-interzone-trust-untrust-outbound-2]q uit[USG-2-nat-policy-interzone-trust-untrust-outbound]qui t[USG-2]ikeproposal1[USG-2-ike-proposal-1]authentication-methodpre-share[USG-2-ike-proposal-1]authentication-algorithmsha1[USG-2-ike-proposal-1]integrity-algorithmaes-xcbc-96[USG-2-ike-proposal-1]dhgroup2[USG-2-ike-proposal-1]quit[USG-2]ikepeerUSG-A[USG-2-ike-peer-usg-a]pre-shared-keyabc123[USG-2-ike-peer-usg-a]ike-proposal1[USG-2-ike-peer-usg-a]remote-address11.0.0.2[USG-2-ike-peer-usg-a]quit[USG-2]ipsecproposaltest[USG-2-ipsec-proposal-test]encapsulation-modetunnel[USG-2-ipsec-proposal-test]transformesp[USG-2-ipsec-proposal-test]espencryption-algorithmaes[USG-2-ipsec-proposal-test]espauthentication-algorithm sha1[USG-2-ipsec-proposal-test]quit[USG-2]acl3000[USG-2-acl-adv-3000]rulepermitipsource192.168.20.00.0.0.255destination192.168.10.00.0.0.255[USG-2-acl-adv-3000]quit[USG-2]ipsecpolicymap1isakmp[USG-2-ipsec-policy-isakmp-map-1]ike-peerUSG-A[USG-2-ipsec-policy-isakmp-map-1]proposaltest[USG-2-ipsec-policy-isakmp-map-1]securityacl3000[USG-2-ipsec-policy-isakmp-map-1]quit[USG-2]intg0/0/1[USG-2-GigabitEthernet0/0/1]ipsecpolicymap[USG-2-GigabitEthernet0/0/1]quit[USG-2]policyinterzonetrustuntrustoutbound[USG-2-policy-interzone-trust-untrust-outbound]policy1[USG-2-policy-interzone-trust-untrust-outbound-1]actio npermit[USG-2-policy-interzone-trust-untrust-outbound-1]quit[USG-2-policy-interzone-trust-untrust-outbound]quit[USG-2]policyinterzonetrustuntrustinbound[USG-2-policy-interzone-trust-untrust-inbound]policy1[USG-2-policy-interzone-trust-untrust-inbound-1]policys ource192.168.10.00.0.0.255[USG-2-policy-interzone-trust-untrust-inbound-1]policyd estination192.168.20.00.0.0.255[USG-2-policy-interzone-trust-untrust-inbound-1]action permit[USG-2-policy-interzone-trust-untrust-inbound-1]quit[USG-2-policy-interzone-trust-untrust-inbound]quit[USG-2]policyinterzonelocaluntrustinbound[USG-2-policy-interzone-local-untrust-inbound]policy1[USG-2-policy-interzone-local-untrust-inbound-1]policys ource11.0.0.20[USG-2-policy-interzone-local-untrust-inbound-1]policyd estination12.0.0.20[USG-2-policy-interzone-local-untrust-inbound-1]policys erviceservice-setesp[USG-2-policy-interzone-local-untrust-inbound-1]action permit使用C1(192.168.10.10)去pingC2(192.168.20.10)使用dispalyikesa和displayipsecsa来查看邻居建立情况看过文章华为USG防火墙IPsec怎么配置的人还看了：1.华为路由器配置命令大全2.华为路由器设置3.华为路由器设置wifi的具体方法4.华为路由器配置具体教程5.华为怎样设置连接两个无线路由器6.华为路由器具体介绍。

华为路由器路由策略和策略路由

路由策略和策略路由一、路由策略简介路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变网络流量所经过的路径。

路由协议在发布、接收和引入路由信息时，根据实际组网需求实施一些策略，以便对路由信息进行过滤和改变路由信息的属性，如：1、控制路由的接收和发布只发布和接收必要、合法的路由信息，以控制路由表的容量，提高网络的安全性。

2、控制路由的引入在一种路由协议在引入其它路由协议发现的路由信息丰富自己的路由信息时，只引入一部分满足条件的路由信息。

3、设置特定路由的属性修改通过路由策略过滤的路由的属性，满足自身需要。

路由策略具有以下价值：通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引入，提高网络安全性；通过修改路由属性，对网络数据流量进行合理规划，提高网络性能。

、基本原理路由策略使用不同的匹配条件和匹配模式选择路由和改变路由属性。

在特定的场景中，路由策略的6种过滤器也能单独使用，实现路由过滤。

若设备支持BGP to IGP功能，还能在IGP引入BGP路由时，使用BGP私有属性作为匹配条件。

图1路由策略原理图如图1，一个路由策略中包含N（N>=1）个节点（Node）。

路由进入路由策略后，按节点序号从小到大依次检查各个节点是否匹配。

匹配条件由If-match子句定义，涉及路由信息的属性和路由策略的6种过滤器。

当路由与该节点的所有If-match子句都匹配成功后，进入匹配模式选择，不再匹配其他节点。

匹配模式分permit和deny两种：permit：路由将被允许通过，并且执行该节点的Apply子句对路由信息的一些属性进行设置。

deny：路由将被拒绝通过。

当路由与该节点的任意一个If-match子句匹配失败后，进入下一节点。

如果和所有节点都匹配失败，路由信息将被拒绝通过。

过滤器路由策略中If-match子句中匹配的6种过滤器包括访问控制列表ACL(Access Control List)、地址前缀列表、AS路径过滤器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

lsc
----------------------------------------------------
policy-based-route PBR1 permit node 1
if-match acl 3001
apply ip-address next-hop 202.100.1.2
匹配acl3001的流量设置下一跳为202.100.1.2
------
policy-based-route PBR2 permit node 2
if-match acl 3002
apply ip-address next-hop 202.100.2.2
匹配acl3002的流量设置下一跳为202.100.2.2
-----
acl number 3001
rule 5 deny ip destination 192.168.3.0 0.0.0.255 目标到达192.168.3.0的路由不匹配策略
rule 10 permit ip source 192.168.2.0 0.0.0.255
------
acl number 3002
rule 1 deny ip destination 192.168.2.0 0.0.0.255 目标到达192.168.2.0的路由不匹配策略
rule 5 permit ip source 192.168.3.0 0.0.0.255
rule 1 deny ip destination 192.168.2.0 0.0.0.255
rule 5 permit ip source 192.168.3.0 0.0.0.255
policy-based-route PBR1 permit node 1 策略路由
if-match acl 3001
vlan2的网关
vlan-type dot1q 2
ip address 192.168.2.254 255.255.255.0
ip policy-based-route PBR1
---------------
interface GigabitEthernet0/0/0.3
vlan3的网关
vlan-type dot1q 3
华为USG防火墙ip-link与静态路由、PBR（策略路由）联动
2015年11月9日 23:53
拓扑图 ---------
--------------RI int g0/0/0 ip add 192.168.2.1 24 undo shut ip route-static 0.0.0.0 0.0.0.0 192.168.2.254 R2 int g0/0/0 ip add 92.168.3.1 24 undo shut ip route-static 0.0.0.0 0.0.0.0 192.168.3.254 ----------------交换机的配置
Physical Protocol Description
up
down Huawei, SRG Seri
up
up
Huawei, SRG Seri
up
up
Huawei, SRG Seri
up
up
Huawei, SRG Seri
up
up
Huawei, SRG Seri
-----------
firewall zone name ctc 给新建立的zone 起名字为 ctc set priority 10 建立优先级（手动） add interface GigabitEthernet0/0/1 添加接口 -firewall zone name cnc 给新建立的zone 起名字为 cnc set priority 20 建立优先级（手动） add interface GigabitEthernet0/0/2 添加接口
lsc
分区华为防火墙的第 3 页
实验完成
lsc
分区华为防火墙的第 4 页
ip address 192.168.3.254 255.255.255.0 ip policy-based-route PBR2
-------------------------------------firewall zone trust 将子接口添加到trust
add interface GigabitEthernet0/0/0 add interface GigabitEthernet0/0/0.2 add interface GigabitEthernet0/0/0.3
vlan batch 2 to 3 创建vlan 2和3
int e0/0/0 port link-type trunk trunk干道 port trunk allow-pass vlan 2 to 3 ----int e0/0/2 port link-type access port default vlan 2 stp edged-port enable ----int e0/0/3 port link-type access port default vlan 3 stp edged-port enable
ห้องสมุดไป่ตู้
------------访问控制列表
acl number 3001 把访问控制列表调用至ip地址
rule 5 deny ip destination 192.168.3.0 0.0.0.255
rule 10 permit ip source 192.168.2.0 0.0.0.255
------
acl number 3002
在防火墙上查看会话表（随机的，）
-------长时间ping 命令 Ping -c 20 202.100.1.2 -c 后面的参数是包的数量 -------尝试把运营商线路暂停，看看流量前后变化 R2 ping 100.100.100.100 查看会话表，流量优选cnc
当cnc线路挂了，线路会自动切换到ctc
分区华为防火墙的第 2 页
----------------------------------------------------------------好了，开始在路由器上ping通ISP网络，测试连通性
RI ping ISP CTC
R2 ping ISP cnc
还可以尝试RI ping ISP cnc
interface GigabitEthernet0/0/0.2 ip policy-based-route PBR1 # interface GigabitEthernet0/0/0.3 ip policy-based-route PBR2
--------------------------------------------------------------Ip-link检测开启 ip-link check enable (必须敲上） -----------------------------------------------------------------
---------------策略 policy interzone trust ctc outbound policy 0
action permit policy source 192.168.2.0 mask 24 policy source 192.168.3.0 mask 24
policy interzone trust cnc outbound policy 0
调用访问控制列表
apply ip-address next-hop 202.100.1.2 应用到下一跳地址（运营商)
-------
policy-based-route PBR2 permit node 2
if-match acl 3002
apply ip-address next-hop 202.100.2.2
允许通过
--------------ISP int g0/0/0 ip add 202.100.1.2 24 undo shut int g0/0/1 ip add 202.100.2.2 24
-------------
防火墙配置
-------
配置ip
interface GigabitEthernet0/0/0.2
ip-link 2 destination 202.100.2.2 interface GigabitEthernet 0/0/2 mode icmp ip-link 1 destination 202.100.1.2 interface GigabitEthernet 0/0/1 mode icmp ip route-static 0.0.0.0 0.0.0.0 202.100.1.2 track ip-link 1 ip route-static 0.0.0.0 0.0.0.0 202.100.2.2 track ip-link 2
action permit policy source 192.168.2.0 mask 24 policy source 192.168.3.0 mask 24 # nat-policy interzone trust ctc outbound policy 0 action source-nat policy source 192.168.2.0 mask 24 policy source 192.168.3.0 mask 24 easy-ip GigabitEthernet0/0/1 # nat-policy interzone trust cnc outbound policy 0 action source-nat policy source 192.168.2.0 mask 24 policy source 192.168.3.0 mask 24 easy-ip GigabitEthernet0/0/2