华为ensp防火墙5500（相关搜索：防火墙|访问外网|服务器）

Question

华为ensp防火墙5500，如何配置安全策略和nat策略，需求如下：
1.内网用户
可以访问外网和DMZ内服务器
2.外网可以访问DMZ内服务器
3.内网和外网不能访问内网用户

Answer 1

晚上好🌙🌙🌙
本答案参考通义千问

根据你的需求，以下是华为ENSP防火墙5500的配置步骤，包括安全策略和NAT策略的配置。我们将通过有序列表逐步说明解决方案。

---

解决方案

1. 配置接口

首先，确保防火墙的接口已正确配置，并划分到不同的安全区域。

• 假设：
  • 内网接口（连接内网用户）：GE0/0/1，划分为Trust区域。
  • 外网接口（连接互联网）：GE0/0/2，划分为Untrust区域。
  • DMZ接口（连接DMZ服务器）：GE0/0/3，划分为DMZ区域。

# 配置接口IP地址
interface GigabitEthernet 0/0/1
 ip address 192.168.1.1 255.255.255.0
 quit

interface GigabitEthernet 0/0/2
 ip address 202.96.134.100 255.255.255.0
 quit

interface GigabitEthernet 0/0/3
 ip address 10.1.1.1 255.255.255.0
 quit

# 配置安全区域
firewall zone trust
 add interface GigabitEthernet 0/0/1
quit

firewall zone untrust
 add interface GigabitEthernet 0/0/2
quit

firewall zone dmz
 add interface GigabitEthernet 0/0/3
quit

---

2. 配置安全策略

接下来，配置安全策略以满足需求。

• 内网用户可以访问外网和DMZ内服务器：

  • 允许从Trust区域到Untrust区域的流量。
  • 允许从Trust区域到DMZ区域的流量。

• 外网可以访问DMZ内服务器：

  • 允许从Untrust区域到DMZ区域的流量。

• 内网和外网不能访问内网用户：

  • 禁止从Untrust区域到Trust区域的流量。
  • 禁止从DMZ区域到Trust区域的流量。

# 安全策略配置
security-policy
 rule name allow_trust_to_untrust
  source-zone trust
  destination-zone untrust
  action permit
 quit

 rule name allow_trust_to_dmz
  source-zone trust
  destination-zone dmz
  action permit
 quit

 rule name allow_untrust_to_dmz
  source-zone untrust
  destination-zone dmz
  action permit
 quit

 rule name deny_untrust_to_trust
  source-zone untrust
  destination-zone trust
  action deny
 quit

 rule name deny_dmz_to_trust
  source-zone dmz
  destination-zone trust
  action deny
 quit
quit

---

3. 配置NAT策略

为了实现内网用户访问外网的需求，需要配置源NAT。

• 需求：内网用户（192.168.1.0/24）访问外网时，使用防火墙的外网出口IP地址（202.96.134.100）作为源地址。

# 配置源NAT
nat address-group 1
 mode pat
 section 0 202.96.134.100 202.96.134.100
quit

nat-policy
 rule name nat_for_trust
  source-zone trust
  source-address 192.168.1.0 mask 255.255.255.0
  destination-zone untrust
  action nat address-group 1
 quit
quit

---

4. 验证配置

完成上述配置后，可以通过以下命令验证配置是否生效：

display security-policy rule all
display nat policy
ping -a 202.96.134.100 202.168.1.1

---

总结

通过以上配置，可以满足以下需求：

1. 内网用户可以访问外网和DMZ内服务器。
2. 外网可以访问DMZ内服务器。
3. 内网和外网不能访问内网用户。

重点配置回顾：

1. 接口和区域划分。
2. 安全策略限制了不必要的流量。
3. 源NAT策略实现了内网用户的外网访问。

如果还有其他问题，请随时补充说明！