USG6310S防火墙配置说明

USG6310S防火墙配置说明.概述防火墙使用场景为子站保护管理机（安全II区）接入站内继保保护装置（安全I区），通过对IP地址及端口进行限制，达到阻止非法访问的目的。为方便现场调试及日后维护工作现规定如下：1）防火墙ETHO的IP固定为,用作配置用；2）防火墙ETHO接从交换机过来的网线；3）防火墙ETH4接从子站管理机过来的网线。.登录将笔记本通过网线接入防火墙的ETHO,通过浏览器访问httpsL92268O1:8443。用户名：admin、密码：Admin@123（初始密码）进行配置，第一次登录时需要修改密码，将密码改为“Nice2003”。登录后设置界面如下图所示图2-1登录首页3.网络配1in点击快捷按钮“网络：可以对所使用的接入口进行配置，操作顺序如下图所示：装置后面板网口标识0至7与配置页面中接口名称对应关系如下：后面板ETHO对应配置页面中接口GEO/O/O后面板ETH1对应配置页面中接口GEO/O/1后面板ETH7对应配置页面中接口GE0/0/7

3.1.ETHO配置ETH保留作为配置使用。出厂时已经设好，无需变更。修改GigibitEtheniet接口名称别名虑损系貌a安全区域傕式蹄检则接口对IPv4连技类型IP地址IPv63.1.ETHO配置ETH保留作为配置使用。出厂时已经设好，无需变更。修改GigibitEtheniet接口名称别名虑损系貌a安全区域傕式蹄检则接口对IPv4连技类型IP地址IPv6蝌儆百选口N£g?务器②奋用DNS服外器②接口聋克入方向常克^50-100000^过要很护照值心）；*£“史帕州恰（讣确症|不消图3-1ETHO配置32ETH1配置选择GEO/O/工行右则的编辑I》，在弹出的界面中设置如下：按口名称SIS安全他搔横式在接类型Access'/LANID接口对接”活宽A75lo]^5<60-10000>出方向常克Kbpsy<60-10000>▼高皴图3-2ETH1酉己置配置项如下：别名：保护安全区域：trust模式：交换连接类型：Access确定后第一次操作会弹出提示，如下图所示，确定即可。*认 X接口模式切换时，可能会瘠馀部分胃置，是否继续？确定取消I选择GE0/0/4行右则的编辑口，在弹出的界面中设置如下：图3-4ETH4配置配置项如下：别名：子站安全区域：dmz模式：交换连接类型：Access4.对象配置对象配置中主要配置需放行的ip及端口号，ip在“地址”中配置、端口号在“服务中配置”，配置操作顺序如下图所示：HuaweiHUAweiUSG6310S面板S胤证书⑥本地证书:凰CAi碎间HuaweiHUAweiUSG6310S面板S胤证书⑥本地证书:凰CAi碎间CRL期证其过惠地址列表小新建区删除名左保护地址而述=与地址： 2:寻地址一|曼地址组

湎域名组日镇地区D炫服若:图跳务3脸原务组子站地址图4-1对象配置操作顺序,地址配置首次配置选择“新建”，如已有配置则选择“编辑”2,配置界面如下图所示:图4-2图4-2保护IP配置注：1）第行可配置1个IP/范围或MAC地址，行之间使用回车分隔；

2）掩码可以使用255.255.X.X样式，也可使用掩码位数来表示；3）IP配置支持多种方式，若连续的IP.可在首末2个IP之间通过连接，如-00；4）单个IP配置，其掩码必须为55或32,否则保存时其最后1至2段会变成0；新建地址分两部分，一是可以通过R一是需要屏蔽的IP修改地址售行可酉鬲一个P地址危国或售行可酉鬲一个P地址危国或MAC地址，行之间用回至外席，示例:101012/2562552550/3X0.00.255-03234：：120/120a231::a237-b231::b237aaaa-aaaa-aaaa砂比迸行过IP地址,范国或MAC地址比迸行过注意：若内网肓爵三层交换机的组陀演悬，并且充要针对投文的源F源时，清先在系统”配转中开启照三层mac说另悦能。确定取消图4-3子站地址配置42服务配置4.2.1.月艮务配置服务配置中我们选择放行的端口，根据实际配置：常用放行的端口如下：icmp：ping服务

着建自定义服岩名称|618501-1*描述mms规约通信 2—协议列表牛新建笈删除3匚协议号TCP/UDP/SCTP参数ICMP参数编辑源端口目的端口ICMP类理编日□6(TCP)0-65535102———国取消协议TCPH取消协议TCPH协议覆6源端口0-65535目的端口102飞0-255》取消取消确定422.服务组配置为方便选择及管理，将子站与保护通信的端口归到保护通信组中。

引用朋客或用号组保护通信I保护与子站通信用瑞口可达adah50D引用朋客或用号组保护通信I保护与子站通信用瑞口可达adah50D3代bootpcbootpschargendaytimediameterdiscardtep已达61850南自页共1页确定取消5.策略点击快捷按钮“策略：可以对所使用的策略进行配置，操作顺序如下图所示:HuaweiMUAWC1USG6310S■7:□点安全策璐: :毋安全策略？IHuaweiMUAWC1USG6310S■7:□点安全策璐: :毋安全策略？I: WNA麻塘?□'期常竞管理:n0阻颔捺Sil爱魂面扳小新建▼I区啊除摩复制卷移动围MX用导出▼网清除全部命中次数臬启用屋禁用淑安…目的…源地.目的地址…用户接入…图5-1策略配置顺序通过策略配置对需要从防火墙放行的IP及服务进行配置，配置如下:

图5-2子站至保护策略修改安全策略?X作云：马的子上瓦门茸手笛摘喳桁算愫沫击▽也至为下1第6先怪笫豚桎柘1▲名称保护三子站1 1蝴建先昭组 |-NONE-0|源安全区域trust回多因|目的安全区域Cru 3一Q乡送）源地址明区⑦有保护地址 4目的地址地区⑦£1子站地址I 5用户②any珍闻接人万式⑦any统而曲②an?用务&6185。icmpssng应用any多由时间依anys动作黝允许禁止内各安全反病等 -NONE- 0西匿］/M郎5御 -NONE- 0'0圈图5-3保护至子站策略

6.保存配置修改完毕,按界面右上角“保存”，如下图所示保存所做的配置°HuaweiUSG83I0SHuaweiUSG83I0S后日自■；品要图6-1保存配置.重启点击快捷按钮“系统:在左侧目录树中选择“系统重启”，选择“保存并重启”，弹出确认对话框，确定即可。重启后所做的配置即生效，防火墙装置重启后至系统正常时间较长。.备份点击快捷按钮“系统”，在左侧目录树中选择“配置文件管理”，选择“导出”，在弹出的对话框中选择文件备置位置及文件名，确定即可。

面板黠控自集略@啪师舌舞9MMp契踏三层MACJ明|曾03联动Bi看文件信息F面板黠控自集略@啪师舌舞9MMp契踏三层MACJ明|曾03联动Bi看文件信息F次启破醒文件hdalArpcfgxiphdaluVrpcfgzip选杼更■7■也豆出厂或重1泡系猊里启一「推送信息曲Eo押法当酋配置&铛仰曲m保存3B$aj5升级中心―更领产102煮文件管蟀鼻及JE塔闩初等闰支挣国快速向导.Loading...图8-1备份导出.复位当无法测试出防火墙的登录密码后，可在防火墙通电正常运行后用顶端尖硬的物体去捅防火墙后面板上RST键5秒以上，防火墙会清空当前配置恢复出厂设置。复位过程中前面板SYS灯先熄灭、后闪烁最后长亮，如果想快速启动可在按RST键5秒后关电重启防火墙。.附录同一安全区域多个网口同一安全区域如trust若有多个网线接入，将接入网口的安全区域配置成待加入的安全区域即可。同区域内多个网口间是互通，与交换机类似。对象及策略无需特殊配置。接口名祢 安全区域 ।厘址 注接类型VIAN fiUCGWWXGiQMGMD 加3他加3. 呼普霸褐 路由物呼I84PvG2F♦ ♦ ♦ @ u儆8/ 1 交缝♦ ♦ ♦Vu咏22必叙我判 E值pudIG 耻3， 1 交状♦ ♦ ♦ ，Q熊足 -(3pudic 二 胎秀北 招国区00丸孑如 put:lK> Accass 1 xft- ZO'E@PUDI0 二 鬣雷品 相国田仲 PU6IC 二 微龈2 招自aow —(Spudic 二 招国W3H0 •闰31仃 一♦ ♦ ♦ ®Q♦ ♦ ®O444 0Q♦ ♦ ♦ ®Qtt a图10-1同安全区域多个网口接入配置案例[SoftwareVersionV500R001C30SPC100!Lastconfigurationwassavedat2017-08-2101:42:05UTC#sysnameUSG6300#undoI2tpsendaccmenableI2tpdomainsuffix-separator@#ipsecsha2compatibleenable#undofactory-configurationprohibit#undotelnetserverenableundotelnetipv6serverenable#clocktimezoneBeijingadd08:00:00Asoisuuoiieonps-euiqoaujeuo用issasuuoiieonpseuiqo..sujeudsiAso-ujoosisi-euiqo9iueu9|i4wsmujoo9|91euiqo..sujeudsiAso'ujooiun-euiqoauuRuaiygs..uuooiuneuiqo,,sujeudsias叫!qoni-Rinq。aujeu创41as1.9|iqouueuiqo,,sujeudsi#9|qeusU0113919p-S3J04es#siqeusMOljeiepopun#9|qeusujnsdXi6o|opun9|qeus|jnsdXi6o|opun9|qeuslesjqisdXi6o|opunsiqeusAoi|odsdAi6o|9|qeus601sAssdAi6o|siqeus叫416o|#pjeosipuonoepuspp||e/v\9jij#科13919p||eM9Jlj#OtztzT用叫o-oineuoiiejnSijuoodjq0TZ3A|iepqps-sdi3|npaipssiepdn#dojpuoiioe-i|nepp9Ai93JSdde-uoiiP3i|ddesup|ds6eueujoisue|deiep||eMa」ij#9|qeusAiunossJsOeueiu-qQM9|qeu9JsOeueiu-qQM乙TASRTTAS|iuoisjsaAiunossjaOeueiu-qsM#siqeusjaqujnu-xeuj-Ajoisiquoissssius6e-duuus#9s乙eqsad-uoneoiiusqinespineMQJij.#乙TASRttashuoisjsaXiunosssOeueuj-Jssn6uinss-s6edsmpejouAs-osssOeueuj-jasnsnipejuo-u6is-s|6uissOeueuj-jasnujsiuo-u6is-9|6uissOeueuj-jasnpeuo-u6is-9|6uiss6eueuj-jssnq6iq|9A9|X3i|0d-pj0Mssed£888uodXiunossuoiieoiiusqine-q^MsOeueuj-jQsnupdatescheduleav-sdbdaily22:10updateschedulesa-sdbdaily22:10updateschedulecncdaily22:10#ipvpn-instancedefaultipv4-family#ipaddress-set保护地址typeobjectaddress0range172.20.80,200#ipaddress-set子站地址typeobjectaddress051mask32#time-rangeworktimeperiod-range08:00:00to18:00:00working-day#aaaauthentication-schemedefaultauthentication-schemeadmin」ocalauthentication-schemeadmm_radius_localauthentication-schemeadmin_hwtacacs_localauthentication-schemeadminadlocalauthentication-schemeadminjdapjocalauthentication-schemeadmm_radiusauthentication-schemeadmm_hwtacacsauthentication-schemeadmm_adauthentication-schemeadmin」dapauthorization-schemedefaultaccounting-schemedefaultdomaindefaultservice-typeinternetaccessssl-vpnI2tpikeinternet-accessmodepasswordreferenceusercurrent-domainmanager-useraudit-adminpassword cipher@%@%nQXlYTEI-@m/KF=h;&16)jh3'D2e=!|2t2e%(*8*T-dYjh6)®%@%service-typewebterminallevel15manager-userapi-adminpassword cipher@%@%+'AVN+p-RI®l]*Y,yllT+3(8B8G)*：zmSCqC&uOr4jk;3(;+@%@%service-typeapilevel15manager-useradminpassword cipher@%@%VA>'3aS@b0(40'@@m7kA%,L-pm>[HVj4O-WZsc6dl{p~1L0%@%©%service-typewebterminallevel15rolesystem-admmroledevice-adminroledevice-admm(monitor)roleaudit-adminbindmanager-useraudit-adminroleaudit-adminbindmanager-useradminrolesystem-admin#I2tp-groupdefault-Ins#interfaceGigabitEthernetO/O/Oundoshutdownipbindingvpn-instancedefaultipaddressservice-managehttppermitservice-managehttpspermitUMopinqsopun9/O/OlsujaqiBiiqe6i9soepsiui#牛工sei|esssooeodAi*U!|uodUMopinqsopunqoiiMSUOdV/O/OEU」叫皿qeSgsoepsiui#UMopinqsopun2/0/03U」叫皿qoSg的即叫#UMopinqsopun乙/0/03U」叫皿qoSg的即叫#毋科sei|esssooeodAi*U!|uodUMopinqsopunqoiiMSUOdT/O/OEU」叫皿qeSgsoepsiui#liuujsd6uid96eueuj«93iAJ9Sisnnuriquoz#T/0/03U」叫皿q。61gMe呻inppe0/0/03U」叫川q。619a到%inppe98Aiuoudissisrij19uoz11pmsj14#001Aiuoud19S|P3O|9UOZ11pmsj14#cmnN33即叫#0/0/0」P|nil333341a【U!#OJTBniJiAsoejjsiui#UMopinqsopunN/O/Oiau」叫闻!qp6ga。。呻3#UMopinqsopun9/O/Oiau」叫闻!qp6ga。。呻3iqOiSM-jo-uoiuodojdspoujsoepsiui-ainuu#uoiieooi#es#OS9TAiasoejjsiui-jssnqsspunoquiloooiojdeeespouu-uoiieoiiusqme170Aiasoejjsiui-jssneeespouu-uoiieoi