其實(shí)防火墻配置，只需要配置到能使用web方式管理，剩下的都在網(wǎng)頁上配置即可，有人喜歡用命令配置，但我說下用命令配置的弊端，首先是安全策略的備注不好寫，還有就是策略的順序不方便調(diào)整，需要提前規(guī)劃好，還有就是容易出錯(cuò)，真的完全沒有必要，你又不是配置交換機(jī)，防火墻用網(wǎng)頁配置，又方便又不容易出錯(cuò)。需要注意的一點(diǎn)，華為的USG防火墻型號(hào)不同，在用命令創(chuàng)建用戶的命令會(huì)有些出入，不過都是大同小異。再啰嗦一下，防火墻的安全策略是講究順序的，從上到下依次執(zhí)行，在這點(diǎn)上和windows系統(tǒng)自帶的防火墻是不同的，windows防火墻不講究什么順序，是按照最佳匹配原則。

華為USG防火墻配置命令

常用命令

//用戶視圖，用戶視圖只能使用查看命令
?//查看用戶視圖下的所有命令
displayversion//查看VRP系統(tǒng)版本
system-view//進(jìn)入系統(tǒng)視圖
[SRG]sysnameR1//修改設(shè)備名稱為R1
[R1]displayclock//查看系統(tǒng)時(shí)間
[R1]quit//返回上一級(jí)
save//保存配置
displaysaved-configuration//查看保存的配置
displaycurrent-configuration//查看當(dāng)前運(yùn)行的配置
reboot//重啟設(shè)備
resetsaved-configuration//恢復(fù)出廠配置

查看license信息及esn碼

[USG6000]displaylicense//查看license信息
[USG6000]displayesn//查看esn碼

查看接口IP信息

[USG6000]displayipinterfacebrief//查看接口IP簡(jiǎn)要信息
[USG6000]displaycurrent-configurationinterfaceGigabitEthernet1/0/0//查看該接口的運(yùn)行信息

設(shè)置接口IP地址

[SRG]interfaceGigabitEthernet0/0/0//進(jìn)入接口模式
[SRG-GigabitEthernet0/0/0]ipaddress10.10.10.1124//24為子網(wǎng)掩碼
[SRG-GigabitEthernet0/0/0]shutdown//禁用接口
[SRG-GigabitEthernet0/0/0]undoshutdown//啟用接口
[SRG-GigabitEthernet0/0/0]displaythis//查看該接口信息

設(shè)置vlan1管理地址,并允許ssh及https訪問

[USG6000]interfaceVlanif1
[USG6000-Vlanif1]ipaddress192.168.80.10024
[USG6000-Vlanif1]service-managesshpermit
[USG6000-Vlanif1]service-managehttpspermit
[USG6000-Vlanif1]service-managepingpermit//注意這種方式會(huì)導(dǎo)致策略不生效
[USG6000-Vlanif1]undoservice-manageenable//必須關(guān)閉服務(wù)管理,策略才生效

設(shè)置靜態(tài)默認(rèn)路由

[USG6000]iproute-static0.0.0.00.0.0.0192.168.80.1

設(shè)置旗標(biāo)和登錄成功后提示

[SRG]headerlogininformation"zhuhaihuanaozaixianjianceshiusg2000"
[SRG]headershellinformation"WecometoHuaweiUSG2000"

設(shè)置時(shí)區(qū)及日期

clocktimezonebeijinadd08:00//設(shè)置時(shí)區(qū)為北京東八區(qū)
clockdatetime11102021/02/03//11點(diǎn)20分10秒，2021年02月03日

設(shè)置console口密碼及超時(shí)時(shí)間

[SRG]user-interfaceconsole0//進(jìn)入console口配置模式
[SRG-ui-console0]authentication-modepasswordcipherhuawei@123//設(shè)置密碼為huawei@123
[SRG-ui-console0]idle-timeout20//設(shè)置超時(shí)時(shí)間為20分鐘

設(shè)置console口使用用戶名密碼登錄（usg2000)

[SRG]user-interfaceconsole0
[SRG-ui-console0]authentication-modeaaa//認(rèn)證模式為AAA
[SRG]aaa//進(jìn)入AAA配置模式
[SRG-aaa]local-userchbpasswordcipherhuawei@123//創(chuàng)建chb用戶名，密碼為huawei@123
[SRG-aaa]local-userchbservice-typeterminal//指定chb用戶的類型為console口用
[SRG-aaa]local-userchblevel15//指定chb用戶的權(quán)限等級(jí)為15（15表示最高權(quán)限）
[SRG-aaa]displaylocal-user//查看本地用戶

創(chuàng)建AAA用戶管理console口,ssh,web

[USG6000]aaa//進(jìn)入AAA配置模式
[USG6000-aaa]manager-userchbadmin//創(chuàng)建用戶chbadmin
[USG6000-aaa-manager-user-chbadmin]passwordcipherhuawei@123//設(shè)置密碼為huawei@123
[USG6000-aaa-manager-user-chbadmin]service-typeterminalsshweb//指定為console,ssh,web用
[USG6000-aaa-manager-user-chbadmin]level15//設(shè)置級(jí)別為15,數(shù)值越大權(quán)限越高,15是最高權(quán)限

web登錄配置管理

1. 配置USG的IP地址（略）

2. 配置UGS接口Web設(shè)備管理

[SRG-GigabitEthernet0/0/0]service-manageenable//默認(rèn)已開啟
[SRG-GigabitEthernet0/0/0]service-managehttpspermit//允許https，也可以設(shè)置允許Ping

3. 啟動(dòng)web管理功能

[SRG]web-managerenable
[SRG]web-managersecurityenableport8443
[SRG]web-managertimeout60//設(shè)置超時(shí)時(shí)間為60分鐘

telnet登錄配置管理

1. 開啟telnet服務(wù)

[SRG]telnetserverenable

2. 配置USG接口telnet設(shè)備管理

[SRG-GigabitEthernet0/0/0]service-manageenable
[SRG-GigabitEthernet0/0/0]service-managetelnetpermit//設(shè)置接口允許telnet
[SRG-GigabitEthernet0/0/0]service-managepingpermit//設(shè)置接口允許ping

3. 配置vty 并設(shè)置密碼登錄（或者參照下一條使用用戶密碼登錄）

[SRG]user-interfacevty04//進(jìn)入vty配置模式
[SRG-ui-vty0-4]protocolinboundtelnet//配置vty允許telnet
[SRG-ui-vty0-4]authentication-modepasswordcipherhuawei@123//設(shè)置認(rèn)證模式為密碼
[SRG-ui-vty0-4]userprivilegelevel3//設(shè)置權(quán)限級(jí)別為3

4. 配置vty并設(shè)置用戶名密碼登錄即AAA認(rèn)證

[USG6000]user-interfacevty04
[USG6000-ui-vty0-4]protocolinboundtelnet
[USG6000-ui-vty0-4]authentication-modeaaa//設(shè)置認(rèn)證模式為AAA
[USG6000-ui-vty0-4]idle-timeout60//設(shè)置超時(shí)時(shí)間60分鐘

[USG6000]aaa//進(jìn)入AAA配置
[USG6000-aaa]manager-usertelchb//創(chuàng)建用戶telchb
[USG6000-aaa-manager-user-telchb]passwordcipherhuawei@123//設(shè)置密碼為huawei@123
[USG6000-aaa-manager-user-telchb]service-typetelnet//設(shè)置服務(wù)類型為telnet
[USG6000-aaa-manager-user-telchb]level3//設(shè)置級(jí)別為3

通過SSH方式登錄管理

1. 啟用Stelnet服務(wù)

[SRG]stelnetserverenable

2. 配置防火墻管理接口允許SSH管理

[SRG-GigabitEthernet0/0/0]service-manageenable
[SRG-GigabitEthernet0/0/0]service-managesshpermit

3. 配置RSA本地密鑰對(duì)

[SRG]rsalocal-key-paircreate

4. 配置vty線路

[SRG]user-interfacevty04
[SRG-ui-vty0-4]authentication-modeaaa
[SRG-ui-vty0-4]protocolinboundssh//允許ssh
[SRG-ui-vty0-4]idle-timeout60//設(shè)置超時(shí)時(shí)間為60分鐘

5. 配置ssh登錄用戶名密碼

[SRG]sshuserchbssh
[SRG]sshuserchbsshauthentication-typepassword
[SRG]sshuserchbsshservice-typestelnet

[SRG]aaa
[SRG-aaa]local-userchbsshpasswordcipherhuawei@123
[SRG-aaa]local-userchbsshservice-typessh

[SRG-aaa]local-userchbsshlevel3

文件管理

dir//查看當(dāng)前目錄文件
copyprivate-data.txt123.txt//復(fù)制private-data.txt到當(dāng)前目錄并改名為123.txt
move123.txt111.txt//移動(dòng)123.txt到當(dāng)前目錄并改名為111.txt
delete111.txt//刪除111.txt，并非徹底刪除可以恢復(fù)
dir/all//查看當(dāng)前目錄所有文件
undelete111.txt//恢復(fù)剛才刪除的文件111.txt
delete/unreserved111.txt//徹底刪除111.txt
mkdirflash:/backup//在根目錄下創(chuàng)建文件夾backup
cdbackup//切換目錄到backup文件夾中
pwd//查看當(dāng)前路徑
cd///切換到根目錄
copyprivate-data.txtflash:/backup/private-data-bak.txt//復(fù)制文件到指定路徑
moveprivate-data.txtflash:/private-data.txt//移動(dòng)文件到指定路徑

將flash中的文件備份到TFTP和FTP

#將flash中的vrpcfg.zip上傳到tftp服務(wù)器
tftp192.168.10.11putflash:/vrpcfg.zip

#將tftp服務(wù)器的vrpcfg2.zip下載到flash中
tftp192.168.10.11getvrpcfg2.zipflash:/vrpcfg2.zip

ftp192.168.10.1121//登錄ftp服務(wù)器端口號(hào)21
輸入用戶名
輸入密碼
[R1-ftp]get111.txt111.txt//下載ftp中的111.txt到flash中
[R1-ftp]putvrpcfg.zipvrpcfg-bak.zip//上傳flash中的vrpcfg.zip到ftp中

設(shè)置系統(tǒng)啟動(dòng)使用的文件及配置文件

displaystartup//查看系統(tǒng)啟動(dòng)使用的系統(tǒng)文件和配置文件
startupsystem-softwarefilename1.zip//設(shè)置系統(tǒng)啟動(dòng)文件
startupsaved-configurationvrpcfg2.zip//指定保存配置的文件

將防火墻設(shè)置為ftp服務(wù)器

需設(shè)置防火墻規(guī)則允許（略）

[USG6000]ftpserverenable//開啟ftp服務(wù)

[USG6000]aaa
[USG6000-aaa]manager-userftpchb
[USG6000-aaa-manager-user-ftpchb]passwordcipherhuawei@123
[USG6000-aaa-manager-user-ftpchb]service-typeftp//指定服務(wù)類型為ftp
[USG6000-aaa-manager-user-ftpchb]ftp-directoryhda1://指定ftp的根目錄為hda1
[USG6000-aaa-manager-user-ftpchb]level3

[USG6000]undoftpserver//關(guān)閉ftp服務(wù)

安全區(qū)域設(shè)置并將接口劃入該區(qū)域

[USG6000]firewallzoneuntrust//進(jìn)入untrust區(qū)域配置
[USG6000-zone-untrust]addinterfaceGigabitEthernet1/0/0//將該接口加入到該區(qū)域
[USG6000-zone-untrust]displaythis//查看該區(qū)域的配置信息

[USG6000]firewallzonetrust
[USG6000-zone-trust]addinterfaceVlanif1//將vlan1接口劃入該區(qū)域

[USG6000]firewallzonenameInbound//創(chuàng)建區(qū)域Inbound，并進(jìn)入該區(qū)域配置
[USG6000-zone-Inbound]setpriority90//設(shè)置優(yōu)先級(jí)為90，數(shù)值越大信任級(jí)別越高
[USG6000-zone-Inbound]addinterfaceGigabitEthernet1/0/5//將該接口加入到該區(qū)域

[USG6000]displayzone//查看區(qū)域信息

配置安全策略

[USG6000]security-policy//進(jìn)入安全策略配置
[USG6000-policy-security]defaultactiondeny//設(shè)置默認(rèn)策略為禁止
[USG6000-policy-security]rulenameSUL02//新建一條規(guī)則名稱是SUL02
[USG6000-policy-security-rule-SUL02]source-zoneuntrust//源區(qū)域是untrust
[USG6000-policy-security-rule-SUL02]destination-zonelocal//目標(biāo)區(qū)域是local
[USG6000-policy-security-rule-SUL02]actionpermit//動(dòng)作是允許

[USG6000]displaysecurity-policyruleall//查看所有安全策略條目名稱

[USG6000]displaysecurity-policyrulenameSUL02//查看SUL02這條安全策略

[USG6000]interfaceGigabitEthernet1/0/1//進(jìn)入該接口模式
[USG6000-GigabitEthernet1/0/0]undoservice-manageenable//關(guān)閉服務(wù)管理,才能使安全策略生效

配置安全策略示例

[USG6000]security-policy
[USG6000-policy-security]rulenameUT02//新建一個(gè)規(guī)則名稱叫UT02
[USG6000-policy-security-rule-UT02]source-address192.168.10.1232
[USG6000-policy-security-rule-UT02]source-address192.168.11.00.0.0.255//使用反掩碼表示地址范圍,即192.168.11.0/24這個(gè)網(wǎng)段
[USG6000-policy-security-rule-UT02]source-addressrange192.168.12.1192.168.12.50//指定地址范圍在192.168.12.1~192.168.12.50
[USG6000-policy-security-rule-UT02]destination-addressany//目標(biāo)地址是any,表示所有地址
[USG6000-policy-security-rule-UT02]userany//用戶是所有用戶,這條命令是默認(rèn)的,可以省略
[USG6000-policy-security-rule-UT02]serviceprotocoltcpdestination-port22//指定目標(biāo)端口是TCP的22號(hào)端口
[USG6000-policy-security-rule-UT02]serviceprotocoludpdestination-port888//指定目標(biāo)端口是UDP的888端口
[USG6000-policy-security-rule-UT02]serviceprotocolicmp//允許ping
[USG6000-policy-security-rule-UT02]serviceprotocolicmpicmp-typeecho-reply//上一條命令包含這條命令,這個(gè)表示只允許icmp的回顯包

[USG6000-policy-security]undorulenameUT02//刪除UT02這條規(guī)則
[USG6000-policy-security]displaythis//查看規(guī)則內(nèi)容

使用地址組,服務(wù)組,時(shí)間組的方式配置安全策略

創(chuàng)建相應(yīng)的地址組

[USG6000]ipaddress-setA01typeobject//創(chuàng)建對(duì)象A01
[USG6000-object-address-set-A01]address192.168.11.00.0.0.255//添加地址范圍,注意是反掩碼寫法
[USG6000-object-address-set-A01]address192.168.12.00.0.0.255

[USG6000]ipaddress-setA02typeobject//創(chuàng)建對(duì)象A02
[USG6000-object-address-set-A02]address192.168.20.00.0.0.255
[USG6000-object-address-set-A02]address192.168.21.00.0.0.255

[USG6000]ipaddress-setAtypegroup//創(chuàng)建組A
[USG6000-group-address-set-A]addressaddress-setA01//添加對(duì)象A01
[USG6000-group-address-set-A]addressaddress-setA02
[USG6000-group-address-set-A]address192.168.3.00.0.0.255//也可以在組里面,直接添加地址范圍

[USG6000]displayipaddress-setall//查看地址組
[USG6000]displayipaddress-setverboseA01item//查看地址組A01詳細(xì)
[USG6000]displayipaddress-setverboseAitem

創(chuàng)建相應(yīng)的服務(wù)組

[USG6000]ipservice-setS01typeobject//創(chuàng)建服務(wù)對(duì)象S01
[USG6000-object-service-set-S01]serviceprotocoltcpdestination-port80//添加目的地址端口為TCP的80
[USG6000-object-service-set-S01]serviceprotocoltcpdestination-port22

[USG6000]ipservice-setS02typeobject
[USG6000-object-service-set-S02]serviceprotocoltcpdestination-port8080
[USG6000-object-service-set-S02]serviceprotocoltcpdestination-port8081

[USG6000]ipservice-setStypegroup//創(chuàng)建服務(wù)組
[USG6000-group-service-set-S]serviceservice-setS01//添加服務(wù)對(duì)象S01
[USG6000-group-service-set-S]serviceservice-setS02

[USG6000]displayipservice-setall//查看服務(wù)組
[USG6000]displayipservice-setverboseS01item//查看服務(wù)組S01詳細(xì)
[USG6000]displayipservice-setverboseSitem

創(chuàng)建相應(yīng)的時(shí)間組

[USG6000]time-rangeT//創(chuàng)建時(shí)間組T
[USG6000-time-range-T]period-range0800to1800working-day//設(shè)置周期時(shí)間為,工作日為周一到周五的8點(diǎn)到18點(diǎn)
[USG6000-time-range-T]absolute-range08002021/04/02to18002020/12/30//設(shè)置絕對(duì)時(shí)間
[USG6000-time-range-T]undoabsolute-rangeall//刪除上一條命令
[USG6000-time-range-T]displaythis

配置安全策略時(shí)使用剛才創(chuàng)建的組

[USG6000]security-policy
[USG6000-policy-security]rulenameUT03//創(chuàng)建或者是進(jìn)入條目UT03編輯
[USG6000-policy-security-rule-UT03]serviceS//指定服務(wù)組為S
[USG6000-policy-security-rule-UT03]destination-addressaddress-setA//指定目標(biāo)地址為地址組A

[USG6000-policy-security-rule-UT03]time-rangeT//設(shè)置時(shí)間組為T
[USG6000-policy-security-rule-UT03]undotime-range//刪除上一條命令

[USG6000-policy-security-rule-UT03]actionpermit//動(dòng)作允許

查看路由及設(shè)置默認(rèn)路由

[USG6000]iproute-static0.0.0.00.0.0.0172.16.10.3//設(shè)置默認(rèn)路由
[USG6000]undoiproute-static0.0.0.00.0.0.0//刪除上一條命令
[USG6000]iproute-static0.0.0.00.0.0.0GigabitEthernet1/0/0172.16.10.3//設(shè)置默認(rèn)路由,并指定出去的接口

[USG6000]displayiprouting-table//查看路由表

設(shè)置接口為交換口

[USG6000]interfaceGigabitEthernet1/0/1//進(jìn)入接口模式
[USG6000-GigabitEthernet1/0/1]portswitch//設(shè)置接口為交換口
[USG6000-GigabitEthernet1/0/1]portlink-typeaccess//設(shè)置接口類型為接入接口
[USG6000-GigabitEthernet1/0/1]undoportswitch//取消上一條命令,即接口恢復(fù)為路由口

查看防火墻會(huì)話表

[USG6000]displayfirewallsessiontable//查看會(huì)話表簡(jiǎn)要信息
[USG6000]displayfirewallsessiontableverbose//查看會(huì)話表詳細(xì)信息
[USG6000]displayfirewallserver-map//查看server-map信息

將ASPF檢測(cè)FTP流量的端口改為其他端口

防火墻默認(rèn)是開啟ASPF檢測(cè)的,針對(duì)多協(xié)議服務(wù),如FTP服務(wù),ASPF會(huì)針對(duì)FTP服務(wù)臨時(shí)開放安全策略

[USG6000]acl2001//創(chuàng)建ACL編號(hào)2001
[USG6000-acl-basic-2001]rulepermitsource10.21.50.100.0.0.0//允許該源地址
[USG6000]port-mappingFTPport2121acl2001//將關(guān)于ASFP檢測(cè)的FTP服務(wù)轉(zhuǎn)移到2121端口,ACL條目是2001
[USG6000]undofirewalldetectftp//關(guān)閉aspf檢測(cè)ftp瀏覽

番外：SSH方式連接華為USG2000防火墻報(bào)錯(cuò)

SecureCRT使用SSH方式連接華為USG2000防火墻報(bào)錯(cuò)如下：

Theclienthasdisconnectedfromtheserver.Reason:
MessageAuthenticationCodedidnotverify(packet#4).Dataintegrityhasbeen
compromised.

解決方法：
改為使用SSH1協(xié)議登錄即可
通過telnet該地址的22端口可以看出SSH使用的版本是1.9

華為USG防火墻重置密碼

以下操作會(huì)初始化華為USG防火墻，所有配置清空哦

通電情況下，用圓珠筆按住reset按鈕10秒，筆記本接好console口，等待畫面，出現(xiàn)提示按ctrl+B，輸入默認(rèn)密碼O&m15213 然后選擇對(duì)應(yīng)的數(shù)字“Reset Factory Configuration”，返回后選擇數(shù)字1，啟動(dòng)系統(tǒng)，然后輸入默認(rèn)的用戶名admin，默認(rèn)密碼Admin@123 網(wǎng)頁登錄地址是https://192.168.0.1:8443 用戶名密碼也是admin和Admin@123

總結(jié)

其實(shí)防火墻本身的管理web也是有漏洞的，可以通過只讓某一個(gè)IP地址能夠訪問來增加安全性，但也不能保證絕對(duì)安全，我這邊的做法是，單獨(dú)留一個(gè)接口，用與web管理，當(dāng)然弊端就是配置防火墻需要到現(xiàn)場(chǎng)用筆記本接上那個(gè)保留的接口才能配置，好處就是黑客想入侵，必須要通過社工的方式，接觸到這臺(tái)設(shè)備。說實(shí)話有點(diǎn)異想天開了，首先問問自己，你的設(shè)備值不值得別人這樣做，簡(jiǎn)直是拿高射炮去打蚊子，沒人會(huì)去干這種蠢事的。

審核編輯：湯梓紅