下面拓撲是防火墻的一種部署方式，按照網(wǎng)絡(luò)規(guī)劃，先配置好路由器、防火墻、核心交換機及各終端、服務(wù)器設(shè)備的ＩＰ地址。

1路由器R1的配置

[Huawei]sysname R1

[R1]interface GigabitEthernet 0/0/0

[R1-GigabitEthernet0/0/0]ip address 10.1.1.11 24

[R1]interface GigabitEthernet 0/0/1

[R1-GigabitEthernet0/0/0]ip address 100.1.1.1 24

[R1-GigabitEthernet0/0/0]q

ISP路由器上沒有配回程路由，都是由防火墻上NAT進行轉(zhuǎn)換的。

2配置防火墻的接口地址

[fw1]sysname FW1

[FW1]interface GigabitEthernet 0/0/1

[FW1-GigabitEthernet0/0/1]ip address 192.168.1.254 24

[FW1]interface GigabitEthernet 0/0/2

[FW1-GigabitEthernet0/0/2]ip address 192.168.80.254 24

[FW1]interface GigabitEthernet 0/0/3

[FW1-GigabitEthernet0/0/3]ip address 10.1.1.10 24

[FW1-GigabitEthernet0/0/3]q

驗證配置結(jié)果

[FW1]display ip interface brief

此時防火與各區(qū)域設(shè)備不能互通，接著下面的配置。

3把接口添加到防火墻安全域中

[FW1]firewall zone trust

[FW1-zone-trust]add interface GigabitEthernet 0/0/1

[FW1-zone-trust]q

[FW1]firewall zone dmz

[FW1-zone-dmz]add interface GigabitEthernet 0/0/2

[FW1-zone-dmz]q

[FW1]firewall zone untrust

[FW1-zone-untrust]add interface GigabitEthernet 0/0/3

[FW1-zone-untrust]q

注：區(qū)域里必須要有唯一的安全級別，相應(yīng)的接口要加入到區(qū)域，可以是物理接口和邏輯接口（Vlanif、Tunnel）。

這時候3個域就建立好了，但是域與域之間是不通的，因為域之間默認是拒絕的。但是從防火墻到內(nèi)網(wǎng)、DMZ、UnTrunst區(qū)域內(nèi)設(shè)備又是通的。

防火墻默認Trust區(qū)域設(shè)備到內(nèi)網(wǎng)網(wǎng)關(guān)是互通的，但是DMZ區(qū)域內(nèi)設(shè)備到防火墻是拒絕訪問的。

Display this查看默認的包過濾規(guī)則

4測試防火墻到各域設(shè)備

從防火墻到各區(qū)域設(shè)備，都能通訊；

[FW1]ping 192.168.1.10

[FW1]ping 192.168.80.10

[FW1]ping 10.1.1.11

全部都能互通；

5配置防火墻的域間包過濾策略

（1）配置內(nèi)網(wǎng)用戶訪問DMZ內(nèi)WEB服務(wù)器

配置內(nèi)網(wǎng)訪問DMZ服務(wù)器策略

[FW1]policy interzone trust dmz outbound

[FW1-policy-interzone-trust-dmz-outbound]policy 5

[FW1-policy-interzone-trust-dmz-outbound-5]policy source 192.168.1.10 0//只放行單個地址；

[FW1-policy-interzone-trust-dmz-outbound-5]policy destination 192.168.80.10 0//只允許訪問單個服務(wù)器；

[FW1-policy-interzone--trust-dmz-outbound-5]policy service service-set http//配置允許通過瀏覽器訪問

[FW1-policy-interzone--trust-dmz-outbound-5]policy service service-set icmp//配置表示允許ping命令；

[FW1-policy-interzone-trust-dmz-outbound-5]action permit

測試連通性

若內(nèi)網(wǎng)有多個VLAN，如何配置呢？

（2）內(nèi)網(wǎng)交換機SW1配置vlan10,vlan20,并將端口劃入對應(yīng)的VLAN當(dāng)中。

[Huawei]sysname SW1

[SW1]vlan batch 10 20

[SW1]interface GigabitEthernet 0/0/1

[SW1-GigabitEthernet0/0/1]port link-type access

[SW1-GigabitEthernet0/0/1]port default vlan 10

[SW1-GigabitEthernet0/0/1]q

[SW1]interface GigabitEthernet 0/0/2

[SW1-GigabitEthernet0/0/2]port link-type access

[SW1-GigabitEthernet0/0/2]port default vlan 20

[SW1-GigabitEthernet0/0/2]q

[SW1]interface GigabitEthernet 0/0/24

[SW1-GigabitEthernet0/0/24]port link-type trunk

[SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20

[SW1-GigabitEthernet0/0/24]q

（3）配置防火墻，配置子接口實現(xiàn)VLAN之間的互相訪問。

[FW1]interface GigabitEthernet 0/0/1

[FW1-GigabitEthernet0/0/1]undo ip address 192.168.1.254 24

[FW1]interface GigabitEthernet 0/0/1.10

[FW1-GigabitEthernet0/0/1.10]vlan-type dot1q 10

[FW1-GigabitEthernet0/0/1.10]ip address 192.168.1.254 24

[FW1-GigabitEthernet0/0/1.10]q

[FW1]interface GigabitEthernet 0/0/1.20

[FW1-GigabitEthernet0/0/1.20]vlan-type dot1q 20

[FW1-GigabitEthernet0/0/1.20]ip address 192.168.2.254 24

[FW1-GigabitEthernet0/0/1.20]

（4）在防火墻上配置子接口實現(xiàn)VLAN互通，需要將子接口添加到區(qū)域中：

[FW1]firewall zone trust

[FW1-zone-trust]add interface GigabitEthernet 0/0/1.10

[FW1-zone-trust]add interface GigabitEthernet 0/0/1.20

（5）測試

放行192.168.2.10訪問DMZ服務(wù)器

[FW1]policy interzone trust dmz outbound

[FW1-policy-interzone-trust-dmz-outbound]policy 5

[FW1-policy-interzone-trust-dmz-outbound-5]policy source 192.168.2.10 0

[FW1-policy-interzone-trust-dmz-outbound-5]q

[FW1-policy-interzone-trust-dmz-outbound]q

測試