【正文】 con 0userinterface tty 2 authenticationmode none modem bothuserinterface vty 0 4 slbcwmprightmanager servergrouppolicy interzone dmz untrust inbound policy 1 action permit policy service serviceset icmp policy destination 0 policy 2 action permit policy service serviceset telnet policy destination 0 policy 3 action deny return[S1]display currentconfiguration !Software Version V100R006C00SPC800 sysname S1 vlan batch 11 to 13interface GigabitEthernet0/0/1 port linktype access port default vlan 11interface GigabitEthernet0/0/2 port linktype access port default vlan 12interface GigabitEthernet0/0/3 port linktype access port default vlan 13interface GigabitEthernet0/0/21 port linktype access port default vlan 11interface GigabitEthernet0/0/22 port linktype access port default vlan 12interface GigabitEthernet0/0/23 port linktype access port default vlan 13return實驗 12 Eudemon防火墻IPSec VPN配置學習目的應用detect userdefine，實現(xiàn)TFTP報文的正常轉發(fā)。 ACL2001用于定義外網(wǎng)Web服務器向內網(wǎng)發(fā)送的流量，用于控件阻斷功能的流量匹配。在向內網(wǎng)開放的Web網(wǎng)站上可能存在危險的java控件。[FW]firewall blacklist enable[FW]firewall blacklist item 測試連通性。這樣攻擊防范功能所生成的動態(tài)黑名單表項將在30分鐘后被刪除。[FW]firewall defend portscan enable配置IP地址掃描速率的閾值為5000pps。，希望直接屏蔽掉從該IP發(fā)來的流量。黑名單是一個重要的安全特性，其特點為可以由設備動態(tài)地進行添加或刪除。同時為了測試網(wǎng)絡，需要開放ICMP Ping測試功能。[R2]ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=5 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=4 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 3/3/5 msDMZ區(qū)域到Untrust區(qū)域。Untrust區(qū)域到Trust區(qū)域。R3ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=3 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=3 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 3/3/3 msDMZ區(qū)域到Trust區(qū)域。R1ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=3 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=3 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet lossroundtrip min/avg/max = 3/3/3 msUntrust區(qū)域到DMZ區(qū)域。 || IPv6acl: null outbound : default: permit。 || IPv6acl: null outbound : default: permit。 || IPv6acl: null outbound : default: permit。[FW]firewall zone dmz[FWzonedmz]add interface Ethernet 2/0/0[FWzonedmz]firewall zone trust[FWzonetrust]add interface Vlanif 12[FWzonetrust]firewall zone untrust[FWzoneuntrust]add interface Ethernet 0/0/0默認情況下，所有區(qū)域之間可以正常通訊，不被檢查。[FW]ping PING : 56 data bytes, press CTRL_C to break Request time out Reply from : bytes=56 Sequence=2 ttl=255 time=1 ms Reply from : bytes=56 Sequence=3 ttl=255 time=1 ms Reply from : bytes=56 Sequence=4 ttl=255 time=1 ms Reply from : bytes=56 Sequence=5 ttl=255 time=1 ms ping statistics 5 packet(s) transmitted 4 packet(s) received % packet loss roundtrip min/avg/max = 1/1/1 ms[FW]ping PING : 56 data bytes, press CTRL_C to break Request time out Reply from : bytes=56 Sequence=2 ttl=255 time=1 ms Reply from : bytes=56 Sequence=3 ttl=255 time=1 ms Reply from : bytes=56 Sequence=4 ttl=255 time=1 ms Reply from : bytes=56 Sequence=5 ttl=255 time=1 ms ping statistics 5 packet(s) transmitted 4 packet(s) received % packet loss roundtrip min/avg/max = 1/1/1 ms[FW]ping PING : 56 data bytes, press CTRL_C to break Request time out Reply from : bytes=56 Sequence=2 ttl=255 time=1 ms Reply from : bytes=56 Sequence=3 ttl=255 time=1 ms Reply from : bytes=56 Sequence=4 ttl=255 time=1 ms Reply from : bytes=56 Sequence=5 ttl=255 time=1 ms ping statistics 5 packet(s) transmitted 4 packet(s) received % packet loss roundtrip min/avg/max = 1/1/1 ms在RR2和R3上配置缺省路由，在FW上配置明確的靜態(tài)路由，實現(xiàn)三個Loopback0接口連接的網(wǎng)段之間的互通。實驗中我們在防火墻上配置VLAN12，定義Vlanif12，配置IP地址作為Inside區(qū)域的網(wǎng)關。公司總部的網(wǎng)絡分成了三個區(qū)域，包括內部區(qū)域（Trust）、外部區(qū)域（Untrust）和服務器區(qū)域（DMZ）。 掌握域間包過濾的配置方法讀者知識背景為了更好地掌握本書內容，閱讀本書的讀者應首先具備以下基本條件之一：1) 參加過HCDA培訓2) 通過HCDA考試3) 熟悉TCP/IP協(xié)議，具有一定的網(wǎng)絡基礎知識4) 熟悉多種路由協(xié)議如OSPF、ISIS和BGP本書常用圖標路由器三層交換機二層交換機防火墻網(wǎng)云以太網(wǎng)線纜串行線纜實驗環(huán)境說明組網(wǎng)介紹本實驗環(huán)境面向準備HCDPIENP考試的網(wǎng)絡工程師，實驗設備包括路由器5臺，交換機4臺，防火墻2臺。Module1 詳細介紹了華為Eudemon防火墻產(chǎn)品功能特性和業(yè)務特性，使讀者對華為安全產(chǎn)品及網(wǎng)絡安全有一個較為深入的了解。內容上涵蓋IPv4路由技術原理深入以及在VRP中的實現(xiàn)；交換技術原理深入以及在VRP中的實現(xiàn)；網(wǎng)絡安全技術、高可靠性技術和Qos技術等高級IP網(wǎng)絡技術以及在華為產(chǎn)品中的實現(xiàn)。HCDA（Huawei Certified Data Associate，華為認證數(shù)據(jù)通信工程師）主要面向IP網(wǎng)絡維護工程師，以及其他希望學習IP網(wǎng)絡知識的人士。商標聲明和其他華為商標均為華為技術有限公司的商標。 保留一切權利。 華為技術有限公司 2010。版權所有 侵權必究。根據(jù)ICT技術的特點和客戶不同層次的需求，華為認證為客戶提供面向十三個方向的四級認證體系。HCDPEnterprise包括IESN（Implement Enterprise Switching Network，部署企業(yè)級交換網(wǎng)絡）、IERN（Implement Enterprise Routing Network，部署企業(yè)級路由網(wǎng)絡）、IENP（Improving Enterprise Network Performance，提升企業(yè)級網(wǎng)絡性能）三個部分。內容描述本書共包含三個Module，系統(tǒng)地介紹了華為安全產(chǎn)品與技術、可靠性HA技術和QoS原理以及在VRP上的配置與實現(xiàn)。本書引導讀者循序漸進地掌握華為安全產(chǎn)品與技術、可靠性HA技術和QoS技術原理以及在華為產(chǎn)品中的實現(xiàn)，讀者也可以根據(jù)自身情況選擇感興趣的章節(jié)閱讀。 掌握防火墻安全區(qū)域的配置方法 掌握應用層包過濾的配置方法拓撲圖圖11 Eudemon防火墻區(qū)域配置場景你是你們公司的網(wǎng)絡管理員。Huaweisystemview Enter syste