防火墙的登入方式:1、console登入2、web图形化界面登入3、telnet远程登入4、stelnet/ssh远程登入一、eNSP 拓扑搭建设备作用USG6000V华为防火墙Cloud1桥接真实电脑网卡实现真机访问模拟器AR1路由器连线规则用以太网铜线Copper连接不能用 CTL 串口线。二、Cloud1 云设备配置重点目的 把模拟器内部的虚拟网络和你真实电脑的网卡打通。配置步骤双击 Cloud1 → 「端口创建」绑定信息下拉选你电脑的真实网卡如「以太网 2 -- IP: 192.168.0.100」点「增加」会生成一个 Public 类型的端口端口 2端口 1 是 Internal 类型eNSP 内部自动生成UDP 端口端口映射设置入端口 1 → 出端口 2勾选「双向通道」点「增加」映射表会出现两条1→2 和 2→1表示双向互通连线 防火墙的 GE 1/0/0 口 → Cloud 的 Ethernet 1 口三.Console 登入华为 USG6000V 防火墙的基础命令汇总操作顺序一、登录设备用户视图设备启动完成后按回车输入默认账号密码Username: admin Password: Admin123登录成功后提示符是USG6000V1这叫用户视图只能看、不能改配置。二、进入系统视图并改名USG6000V1 system-view→ 提示符变成[USG6000V1]进入系统视图可以改配置了。[USG6000V1] sysname FW1→ 把设备名改成 FW1提示符变成[FW1]三、进入接口视图开管理权限[FW1] interface GigabitEthernet 0/0/0→ 进入 GE0/0/0 接口提示符变成[FW1-GigabitEthernet0/0/0]接口视图[FW1-GigabitEthernet0/0/0] service-manage all permit→ 允许该接口的所有管理服务web、ssh、ping 等都能通四、查看类命令不用进配置模式也能用查看所有接口 IP 概况系统视图下敲[FW1] display ip interface brief查看当前接口配了啥接口视图下敲[FW1-GigabitEthernet0/0/0] display this五、退出 / 返回命令效果quit退回到上一层视图接口→系统return或 按CtrlZ直接跳回用户视图FW1六、设置 Console 永不超时防止长时间不操作被踢[FW1] user-interface console 0 [FW1-ui-console0] idle-timeout 0 0→0 0表示 0 分 0 秒超时 永不超时七、防火墙命令行基础视图层级从外到内#从外到内 用户视图 FW1 只能查看save 保存在这里敲敲 system-view 进系统 系统视图 [FW1] 全局配置进接口/协议都从这里进 接口视图 [FW1-GigabitEthernet1/0/0] 配接口参数 安全区域 [FW1-zone-trust] 把接口加入区域 #其他 协议视图 [FW1-ospf-1] → 路由协议 安全策略 [FW1-policy-security] NAT策略 [FW1-policy-nat]口诀视图越深方括号里的后缀越长。想退就敲quit想一步回家就敲return。常用操作system-view从用户视图进系统视图quit退回到上一层Ctrl Z直接跳回用户视图save保存配置不保存重启就丢九、踩过的坑四Web 登入及图形化登入防火墙 Web 管理配置核心完整命令sysname FW1 # 改设备名 interface GigabitEthernet 1/0/0 # 进连 Cloud 的接口 ip address 192.168.0.1 255.255.255.0 # 配 IP和电脑同网段 service-manage all permit # 开所有管理服务https/ping等 firewall zone trust # 进 Trust 安全区域 add interface GigabitEthernet 1/0/0 # 把接口加入 Trust 区为什么要加安全区域华为防火墙默认所有接口都不在任何区域不加的话接口不通这是防火墙和路由器的区别。防火墙 Web 管理配置完整命令流程第一步登录Username: admin Password: Qzy60912如果这个密码不对就试默认的Admin123没保存的话可能恢复默认了第二步进系统视图改设备名USG6000V1 system-view [USG6000V1] sysname FW1第三步配置 GE 1/0/0连 Cloud 的管理口进入 GE 1/0/0 接口连 Cloud 的管理口配置接口 IP和你电脑同网段开启接口的管理服务https、ping 等退回系统视图[FW1] interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0] ip address 192.168.0.1 255.255.255.0 [FW1-GigabitEthernet1/0/0] service-manage all permit [FW1-GigabitEthernet1/0/0] quit第四步把接口加入 Trust 安全区域必须做否则不通进入 Trust 安全区域把接口加入 Trust 区域退回用户视图[FW1] firewall zone trust [FW1-zone-trust] add interface GigabitEthernet 1/0/0 [FW1-zone-trust] quit第五步保存配置这次一定要存FW1 save提示Are you sure to continue? [Y/N]输入y回车。配完这些eNSP 拓扑设置Cloud 配置绑定信息选你电脑的真实网卡IP 192.168.0.100端口映射Ethernet 1 ↔ Ethernet 2双向通道连线FW1 的GE 1/0/0→ Cloud 的Ethernet 1Copper 铜线验证电脑 ping 测试ping 192.168.0.1通则网络通Web 登录浏览器打开https://192.168.0.1:8443必须是 https端口 8443账号admin密码你设置的Qzy60912提示证书不安全 → 点「高级」→「继续访问」五telnet远程登录配置 Telnet 的 AAA 认证创建一个新的管理员账号user1然后用这个账号通过 Telnet 登录防火墙。完整配置流程解读第一步开启 Telnet 服务[FW1] telnet server enable第二步配置 VTY 虚拟终端Telnet 用的线路[FW1] user-interface vty 0 4 # 进入第 0~4 条虚拟终端线路 [FW1-ui-vty0-4] authentication-mode aaa # 认证方式改为 AAA 认证 [FW1-ui-vty0-4] protocol inbound telnet # 允许 Telnet 协议接入第三步在 AAA 里创建新管理员账号[FW1] aaa [FW1-aaa] manager-user user1 # 创建用户 user1 [FW1-aaa-manager-user-user1] password cipher huawei123 # 设密码 [FW1-aaa-manager-user-user1] service-type telnet # 允许用 Telnet 登录 [FW1-aaa-manager-user-user1] level 3 # 权限等级 3最高管理级 [FW1-aaa-manager-user-user1] quit [FW1-aaa] bind manager-user user1 role system-admin # 绑定系统管理员角色第四步用新账号 Telnet 登录第一张图就是登录成功的效果用户名user1密码huawei123成功进入FW1用户视图。为什么要这么配默认 admin 是本地账号走的不是 AAA 模式改成authentication-mode aaa后VTY 登录就从 AAA 数据库里校验账号密码这样可以创建多个不同权限的管理员账号方便多人管理六StelnetSSH登入完整配置流程前置条件管理口已配好GE 1/0/0 连 Cloud[FW1] interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0] ip address 192.168.0.1 255.255.255.0 # 配IP和电脑同网段 [FW1-GigabitEthernet1/0/0] service-manage ssh permit # 接口允许SSH管理 [FW1-GigabitEthernet1/0/0] quit [FW1] firewall zone trust [FW1-zone-trust] add interface GigabitEthernet 1/0/0 # 接口加入Trust信任区域 [FW1-zone-trust] quit解释防火墙接口必须加入安全区域且开对应 service-manage管理流量才能进。第一步生成 RSA 密钥对SSH 加密的钥匙[FW1] rsa local-key-pair create提示输入密钥长度 →直接回车用默认 2048 解释SSH 是加密登录需要先生成一对公钥私钥用来加密传输的数据。如果提示已存在问要不要替换输y也可以。第二步开启 Stelnet 服务[FW1] stelnet server enable解释打开防火墙的 SSH 服务端默认监听22 端口。不开的话 22 端口是关的连接会被拒绝。第三步配置 VTY 虚拟终端线路[FW1] user-interface vty 0 4 # 进入第 0~4 条虚拟终端线路共5条支持5人同时登 [FW1-ui-vty0-4] authentication-mode aaa # 认证方式改为 AAA 认证从 AAA 数据库查账号 [FW1-ui-vty0-4] protocol inbound ssh # 只允许 SSH 协议登录更安全 [FW1-ui-vty0-4] quit解释VTY 就是远程登录用的虚拟线路protocol inbound ssh表示这条线只接受 SSHTelnet 就登不上了。第四步AAA 创建 SSH 登录账号[FW1] aaa [FW1-aaa] manager-user xixi # 创建管理员账号 xixi [FW1-aaa-manager-user-xixi] password cipher huawei123 # 密码 huawei123 [FW1-aaa-manager-user-xixi] level 3 # 权限等级 3最高管理级 [FW1-aaa-manager-user-xixi] service-type ssh # 允许这个账号用 SSH 登录 [FW1-aaa-manager-user-xixi] quit [FW1-aaa] bind manager-user xixi role system-admin # 绑定系统管理员角色 [FW1-aaa] quit解释AAA 是认证 / 授权 / 计费的统一管理模块远程登录的账号都在这里建。level 3是最高权限可以改所有配置。第五步指定 SSH 用户的认证方式[FW1] ssh user xixi authentication-type password # 用密码认证 [FW1] ssh user xixi service-type stelnet # 服务类型是 stelnet解释告诉 SSH 服务xixi 这个用户是用密码登录的服务类型是 StelnetSSH 命令行登录。第六步安全策略放通必做防火墙默认全拒绝[FW1] security-policy [FW1-policy-security] rule name allow_ssh # 建一条叫 allow_ssh 的规则 [FW1-policy-security-rule-allow_ssh] source-zone trust # 源区域Trust从管理口进来 [FW1-policy-security-rule-allow_ssh] destination-zone local # 目的区域Local防火墙自己 [FW1-policy-security-rule-allow_ssh] action permit # 动作放行 [FW1-policy-security-rule-allow_ssh] quit [FW1-policy-security] quit解释华为防火墙默认所有区域之间流量全拒绝。你从 Trust 区域登到防火墙自身Local 区域必须写一条策略放行不然连不上。第七步保存配置FW1 save输入y确认。不 save 重启就全没了。第八步电脑端 SSH 登录Windows cmd 里敲ssh xixi192.168.0.1 #ssh -o KexAlgorithmsdiffie-hellman-group14-sha1 xixi192.168.0.1第一次问Are you sure you want to continue connecting?→ 输yes密码huawei123解释加-o KexAlgorithmsdiffie-hellman-group14-sha1是因为 Windows 新版 SSH 默认禁用了老算法防火墙用的是旧的 sha1 密钥交换手动指定一下就能对上。配置思路框架第一层通路层让网络能通· 核心问题电脑怎么找到防火墙· 要做的事配管理口IP、划入安全区域、接口放行服务service-manage· 本质相当于给防火墙贴上“门牌号”并告诉保安防火墙哪个门允许SSH客人进入。第二层服务层让防火墙愿意接待· 核心问题防火墙的SSH服务开了吗用什么加密方式· 要做的事生成密钥对rsa、开启SSH服务stelnet server enable、配置VTY虚拟线路规定只接受SSH· 本质相当于在房子里布置好会客室VTY并准备好加密电话密钥保证通话不被窃听。第三层认证层让防火墙认识你· 核心问题你是谁凭什么让你进来· 要做的事在AAA里建账号密码、绑定权限、指定SSH认证方式、写安全策略从Trust到Local放行· 本质相当于给来访者登记身份证账号、发门禁卡权限并让保安安全策略最终放行。按从底层到上层的逻辑理解题外笔记路由器防火墙工作在网络层交换机工作在链路层console口在哪ospf协议开放式最短路由协议可以修改管理口默认的管理地址 http://192.168.0.1:8443