【正文】 何方式進(jìn)行復(fù)制、經(jīng)銷(xiāo)、翻印、存儲(chǔ)于信息檢索系統(tǒng)或使用于任何其他任何商業(yè)目的。華為認(rèn)證系列教程HCDPIENP提升企業(yè)級(jí)網(wǎng)絡(luò)性能實(shí)驗(yàn)指導(dǎo)書(shū) 141 / 152華為認(rèn)證體系介紹依托華為公司雄厚的技術(shù)實(shí)力和專(zhuān)業(yè)的培訓(xùn)體系，華為認(rèn)證考慮到不同客戶(hù)對(duì)ICT技術(shù)不同層次的需求，致力于為客戶(hù)提供實(shí)戰(zhàn)性、專(zhuān)業(yè)化的技術(shù)認(rèn)證。HCDPEnterprise (Huawei Certified Data ProfessionalEnterprise，華為認(rèn)證數(shù)據(jù)通信資深工程師企業(yè)級(jí))主要面向企業(yè)級(jí)網(wǎng)絡(luò)維護(hù)工程師、網(wǎng)絡(luò)設(shè)計(jì)工程師以及希望系統(tǒng)深入地掌握路由、交換、網(wǎng)絡(luò)調(diào)整及優(yōu)化技術(shù)的人士。華為認(rèn)證協(xié)助您打開(kāi)行業(yè)之窗，開(kāi)啟改變之門(mén)，屹立在ICT世界的潮頭浪尖！ 前言簡(jiǎn)介本書(shū)為HCDPIENP認(rèn)證培訓(xùn)教程，適用于準(zhǔn)備參加HCDPIENP考試的學(xué)員或者希望系統(tǒng)掌握華為安全產(chǎn)品與技術(shù)、可靠性HA技術(shù)、QoS原理以及在華為通用路由平臺(tái)VRP上的實(shí)現(xiàn)的讀者。Module 3 詳細(xì)介紹了IP QoS技術(shù)，幫助讀者深入了解QoS原理，掌握QoS在華為VRP中的配置。設(shè)備介紹為了滿(mǎn)足HCDPIENP實(shí)驗(yàn)需要，建議每套實(shí)驗(yàn)環(huán)境采用以下配置：設(shè)備名稱(chēng)、型號(hào)與版本的對(duì)應(yīng)關(guān)系如下：設(shè)備名稱(chēng)設(shè)備型號(hào)軟件版本R1AR 2220Version ( V200R001C01SPC300)R2AR 2220Version ( V200R001C01SPC300)R3AR 2220Version ( V200R001C01SPC300)R4AR 1220Version ( V200R001C01SPC300)R5AR 1220Version ( V200R001C01SPC300)S1S570028CEI24SVersion (V100R006C00SPC800)S2S570028CEI24SVersion (V100R006C00SPC800)S3S370028TPEIACVersion (V100R006C00SPC800)S4S370028TPEIACVersion (V100R006C00SPC800)FW1Eudemon 200EX2Version (V100R005C00SPC100)FW2Eudemon 200EX2Version (V100R005C00SPC100)目錄第一章 防火墻特性功能 1實(shí)驗(yàn) 11 Eudemon防火墻安全區(qū)域及其他基本功能配置 1實(shí)驗(yàn) 12 Eudemon防火墻IPSec VPN配置 21實(shí)驗(yàn) 13 防火墻攻擊防范配置 42實(shí)驗(yàn) 14 Eudemon防火墻NAT配置 56實(shí)驗(yàn) 15 Eudemon防火墻雙機(jī)熱備份 71第二章 服務(wù)質(zhì)量與流量控制 99實(shí)驗(yàn) 21 QoS基礎(chǔ) 99實(shí)驗(yàn) 22 使用流策略實(shí)現(xiàn)流行為控制 119第三章 綜合實(shí)驗(yàn) 135實(shí)驗(yàn) 31 綜合實(shí)驗(yàn)1（選做） 135實(shí)驗(yàn) 32 綜合實(shí)驗(yàn)2（選做） 140第一章 防火墻特性功能實(shí)驗(yàn) 11 Eudemon防火墻安全區(qū)域及其他基本功能配置學(xué)習(xí)目的 掌握黑名單的配置方法學(xué)習(xí)任務(wù)步驟一. 基本配置與IP編址給三個(gè)路由器配置地址信息。Eudemon 200Esystemview Enter system view, return user view with Ctrl+Z.[Eudemon 200E]sysname FW[FW]vlan 12[FWvlan12]quit[FW]interface vlanif 12[FWVlanif12]ip address 24[FWVlanif12]interface Ethernet 1/0/0[FWEthernet1/0/0]port access vlan 12[FWEthernet1/0/0]interface Ethernet 0/0/0[FWEthernet0/0/0]ip address 24[FWEthernet0/0/0]interface ethernet 2/0/0[FWEthernet2/0/0]ip address 24[FWEthernet2/0/0]quit[FW]undo interface Vlanif 1交換機(jī)上需要按照需求定義VLAN。[R1]ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=3 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=4 ms Reply from : bytes=56 Sequence=4 ttl=254 time=2 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 2/3/4 ms[R1]ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=4 ms Reply from : bytes=56 Sequence=2 ttl=254 time=4 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=4 ms Reply from : bytes=56 Sequence=5 ttl=254 time=4 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet lossroundtrip min/avg/max = 3/3/4 ms防火墻上默認(rèn)有四個(gè)區(qū)域，分別是“l(fā)ocal“、”trust“、”untrust“、”dmz“。 || IPv6acl: null outbound : default: permit。 || IPv6acl: null outbound : default: permit。 || IPv6acl: null outbound : default: permit。檢查區(qū)域之間的連通性。R2ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=3 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=3 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 3/3/3 msTrust區(qū)域到DMZ區(qū)域。配置區(qū)域之間的缺省包過(guò)濾策略，僅允許Trust區(qū)域訪(fǎng)問(wèn)其他區(qū)域，不允許其他區(qū)域之間的訪(fǎng)問(wèn)。[R1]ping a PING : 56 data bytes, press CTRL_C to break Request time out Request time out Request time out Request time out Request time out ping statistics 5 packet(s) transmitted 0 packet(s) received % packet lossTrust區(qū)域到Untrust區(qū)域。[R3]ping a PING : 56 data bytes, press CTRL_C to break Request time out Request time out Request time out Request time out Request time out ping statistics 5 packet(s) transmitted 0 packet(s) received % packet loss配置域間包過(guò)濾策略，允許Untrust區(qū)域訪(fǎng)問(wèn)DMZ區(qū)域的特定服務(wù)器。[R3]userinterface vty 0 4[R3uivty04]authenticationmode none測(cè)試網(wǎng)絡(luò)連通性。如果認(rèn)為某個(gè)IP地址對(duì)應(yīng)的用戶(hù)不可信時(shí)，可將該用戶(hù)的IP地址加入黑名單，之后當(dāng)設(shè)備收到源地址為該IP地址的報(bào)文時(shí)，將其予以丟棄，從而達(dá)到保護(hù)網(wǎng)絡(luò)安全的目的。并在防火墻上配置靜態(tài)路由。如果這個(gè)速率過(guò)快，說(shuō)明這個(gè)源地址極可能在掃描目的地址的所有端口。檢測(cè)連通性。通過(guò)配置ASPF功能，可實(shí)現(xiàn)內(nèi)網(wǎng)正常對(duì)外提供FTP和TFTP服務(wù)，同時(shí)還可避免內(nèi)網(wǎng)用戶(hù)在訪(fǎng)問(wèn)外網(wǎng)Web服務(wù)器時(shí)下載危險(xiǎn)控件。而TFTP協(xié)議在系統(tǒng)中沒(méi)有預(yù)先定義，可以通過(guò)自定義的三元組ASPF來(lái)進(jìn)行匹配。由于TFTP服務(wù)需要自定義端口號(hào)等信息，所以需要單獨(dú)創(chuàng)建一條ACL。[FW]firewall interzone trust untrust[FWinterzonetrustuntrust]detect javablocking 2001 outbound[FWinterzonetrustuntrust]quit由于ASPF功能決定了很多特殊協(xié)議能夠得到正常轉(zhuǎn)發(fā)，所以當(dāng)這些業(yè)務(wù)出現(xiàn)問(wèn)題時(shí)，可以通過(guò)如下方式來(lái)進(jìn)行問(wèn)題定位。 掌握在Eudemon防火墻上配置GRE over IPSec VPN的方法現(xiàn)在分部網(wǎng)絡(luò)內(nèi)Trust區(qū)域的用戶(hù)需要能夠訪(fǎng)問(wèn)總部的Trust區(qū)域。實(shí)驗(yàn)之前，請(qǐng)清空S1與S2的配置，并重啟它們。Eudemon 200Esystemview Enter system view, return user view with Ctrl+Z.[Eudemon 200E]sysname FW1[FW1]interface Ethernet 0/0/0[FW1Ethernet0/0/0]ip address 24[FW1Ethernet0/0/0]interface Ethernet 2/0/0[FW1Ethernet2/0/0]ip address 24Eudemon 200Esystemview Enter system view, return user view with Ctrl+Z.[Eudemon 200E]sysname FW2[FW2]interface Ethernet 0/0/0[FW2Ethernet0/0/0]ip address 24[FW2Ethernet0/0/0]interface Ethernet 2/0/0[FW2Ethernet2/0/0]ip address 24配置防火墻FW1和FW2的安全區(qū)域，并將接口添加到對(duì)應(yīng)的安全區(qū)域。[FW1]ping PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=253 time=40 ms Reply from : bytes=56 Sequence=2 ttl=253 time=30 ms Reply from : bytes=56 Sequence=3 ttl=253 time=30 ms Reply from : bytes=56 Sequence=4 ttl=253 time=40 ms Reply from : bytes=56 Sequence=5 ttl=253 time=30 ms ping statistics 5 packet(s) transmitted