求华为Eudemon100防火墙配置方案 - 华为技术 - 51CTO技术论坛

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» 华为技术 » 求华为Eudemon100防火墙配置方案 [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

本主题由 intelboy 于 2007-9-29 22:28 加入本版推荐

glliy

新新人类

帖子 8
精华 0
无忧币 26
积分 26
阅读权限 20

注册日期 2007-9-26

最后登录 2007-11-21

离线

[查看资料] [发短消息] [Blog]

发表于:2007-9-29 21:21　　标题：求华为Eudemon100防火墙配置方案
＜上一帖 | 下一帖＞

我原有的一个网络192.168.0.1-192.168.0.7七台主机都是双网卡配置其中192.168.0.5和192.168.0.7另块网卡都配有一个公网地址,
现在另给了个IP地址10.191.99.158/26网关10.191.99.129和一个FTP服务器10.190.19.11,网关10.191.99.129做了路由可以连通FTP服务器的，
现在给了一个Eudemon100防火墙有3个接口，要实现192.168.0.1-0.4在一个区域，192.168.0.5-0.7在一个区域，其中只有主机192.168.0.1能访问主机10.190.19.11的FTP服务，
192.168.0.5-0.7的区域中只有主机192.168.0.5能访问192.168.0.4的1521端口，
怎样才能在不改变原有IP的情况下最好的配置防火墙

网络工程师到底该不该去考CCIE认证？

2007-9-29 21:21

1楼

[ 顶部 ]

glliy

新新人类

帖子 8
精华 0
无忧币 26
积分 26
阅读权限 20

注册日期 2007-9-26

最后登录 2007-11-21

离线

[查看资料] [发短消息] [Blog]

发表于:2007-9-29 21:59　

现在通过路由，nat，192.168.0.1已经能访问主机10.190.19.11的FTP服务，但是192.168.0.5-0.7的区域还是不能和192.168.0.1-0.4的区域连通

网络工程师到底该不该去考CCIE认证？

2007-9-29 21:59

2楼

[ 顶部 ]

glliy

新新人类

帖子 8
精华 0
无忧币 26
积分 26
阅读权限 20

注册日期 2007-9-26

最后登录 2007-11-21

离线

[查看资料] [发短消息] [Blog]

发表于:2007-9-29 22:08　　标题：现在配置如下

<Eudemon>dis cu
#
sysname Eudemon
#
nat address-group 1 10.191.99.158 10.191.99.158
nat alg enable ftp
nat alg enable dns
nat alg enable icmp
nat alg enable netbios
undo nat alg enable h323
undo nat alg enable hwcc
undo nat alg enable ils
undo nat alg enable pptp
undo nat alg enable qq
undo nat alg enable msn
undo nat alg enable user-define
undo nat alg enable sip
#
interface Aux0
async mode flow
link-protocol ppp
#
interface Ethernet0/0
ip address 10.191.99.158 255.255.255.192
#
interface Ethernet1/0
ip address 192.168.0.8 255.255.255.0
#
interface Ethernet2/0
#
interface NULL0
#
acl number 2000
rule 0 permit source 192.168.0.1 0
rule 1 deny
#
acl number 3000
rule 5 permit icmp source 10.191.99.129 0 destination
10.191.99.158 0
rule 10 permit icmp source 10.190.19.11 0 destination
10.191.99.158 0
rule 15 permit icmp source 10.191.99.158 0 destination
10.191.99.129 0
rule 20 permit icmp source 10.191.99.158 0 destination
10.190.19.11 0

acl number 3010
rule 5 permit icmp source 192.168.0.8 0 destination
192.168.0.1 0
rule 10 permit icmp source 192.168.0.1 0 destination
192.168.0.8 0
rule 15 permit tcp source 192.168.0.7 0 destination
192.168.0.8 0
rule 20 permit icmp source 192.168.0.4 0 destination
192.168.0.8 0
rule 25 permit icmp source 192.168.0.8 0 destination
192.168.0.4 0

acl number 3020
rule 5 permit icmp source 10.191.99.129 0 destination
192.168.0.1 0
rule 10 permit icmp source 10.190.19.11 0 destination
192.168.0.1 0
rule 15 permit icmp source 192.168.0.1 0 destination
10.191.99.129 0
rule 20 permit icmp source 192.168.0.1 0 destination
10.190.19.11 0
rule 25 permit ip source 192.168.0.1 0 destination
10.191.99.129 0
rule 40 permit ip source 192.168.0.1 0 destination
10.190.19.11 0
rule 45 deny ip
#
firewall zone local
set priority 100
#
firewall zone trust
add interface Ethernet1/0
set priority 85
#
firewall zone untrust
add interface Ethernet2/0
set priority 5
#
firewall zone dmz
add interface Ethernet0/0
set priority 50
#
firewall interzone local trust
packet-filter 3010 inbound
packet-filter 3010 outbound
#
firewall interzone local untrust
#
firewall interzone local dmz
packet-filter 3000 inbound
packet-filter 3000 outbound
#
firewall interzone trust untrust
#
firewall interzone trust dmz
packet-filter 3020 inbound
packet-filter 3020 outbound
nat outbound 2000 address-group 1
#
firewall interzone dmz untrust
#
aaa
authentication-scheme default
#
authorization-scheme default
#
accounting-scheme default
#
domain default
#
#
ip route-static 0.0.0.0 0.0.0.0 10.191.99.129
#
user-interface con 0
user-interface aux 0
user-interface vty 0 4
#
return
<Eudemon>

[ 本帖最后由 glliy 于 2007-9-29 22:12 编辑 ]

网络工程师到底该不该去考CCIE认证？

2007-9-29 22:08

3楼

[ 顶部 ]

glliy

新新人类

帖子 8
精华 0
无忧币 26
积分 26
阅读权限 20

注册日期 2007-9-26

最后登录 2007-11-21

离线

[查看资料] [发短消息] [Blog]

发表于:2007-9-30 22:27　