1、H3C SecPath F100 系列防火墙配置初始化配置 H3C system-view 开启防火墙功能H3Cfirewall packet-filter enable H3Cfirewall packet-filter default permit 分配端口区域H3C firewall zone untrust H3C-zone-trust add interface GigabitEthernet0/0 H3C firewall zone trust H3C-zone-trust add interface GigabitEthernet0/1 工作模式firewall mode tra
2、nsparent 透明传输firewall mode route 路由模式http 服务器使能 HTTP 服务器 undo ip http shutdown 关闭 HTTP 服务器 ip http shutdown 添加 WEB用户H3C local-user admin H3C-luser-admin password simple admin H3C-luser-admin service-type telnet H3C-luser-admin level 3 开启防范功能firewall defend all 打开所有防范切换为中文模式 language-mode chinese 设置防
3、火墙的名称 sysname sysname 配置防火墙系统 IP 地址 firewall system-ip system-ip-address address-mask 设置标准时间 clock datetime time date 设置所在的时区 clock timezone time-zone-name add | minus time 取消时区设置 undo clock timezone 配置切换用户级别的口令 super password level user-level simple | cipher password 取消配置的口令 undo super password lev
4、el user-level 缺缺省情况下，若不指定级别，则设置的为切换到 3 级的密码。切换用户级别 super level 直接重新启动防火墙 reboot 开启信息中心 info-center enable 关闭信息中心 undo info-center enable ftp server enable 显示下次启动时加载的配置文件 display saved-configuration by-linenum 显示系统本次启动及下次启动使用的配置文件 display startup 显示当前视图的配置 display this 显示防火墙的当前的运行配置display current-co
5、nfiguration interface interface-type interface-number | configuration isp | zone | interzone | radius-template | system |user-interface by-linenum | begin | include |exclude string 保存当前配置 save file-name | safely 删除 Flash 中保存的下次启动时加载的配置文件 reset saved-configuration 配置防火墙工作在透明模式 firewall mode transpare
6、nt H3C SecPath 系列安全产品 操作手册（安全） 第 8 章 透明防火墙操作命令配置防火墙工作在路由模式 firewall mode route 恢复防火墙的工作模式为缺省模式 undo firewall mode 缺省情况下，防火墙工作在路由模式（ route ）下。启动 ARP 表项自动学习功能 firewall arp-learning enable 禁止 ARP 表项自动学习功能 undo firewall arp-learning enable 缺省情况下，当防火墙工作在透明模式下时，防火墙启动 ARP 表项自动学习功能。配置 VLAN ID 透传操作命令使能接口的 VL
7、AN ID 透传功能 bridge vlanid-transparent-transmit enable 禁止接口的 VLAN ID 透传功能 undo bridge vlanid-transparent-transmit enable 缺省情况下，禁止接口的 VLAN ID 透传功能。使能 ARP Flood 攻击防范功能 firewall defend arp-flood max-rate rate-number 关闭 ARP Flood 攻击防范功能 undo firewall defend arp-flood max-rate 缺省为关闭 ARP Flood 攻击防范功能。 ARP 报
8、文的最大连接速率范围为 11,000,000 ，缺省为 100。SecPath 系列安全产品支持以 HTTP 方式登录到系统中，并通过 Web 管理界面对系统进行配置和管理。在使用 Web 界面登录到系统前，必须先使能 HTTP 服务器功能。请在系统视图下进行下列配置。H3C SecPath 系列安全产品 操作手册（基础配置） 第 4 章 系统维护管理开启 / 关闭 HTTP 服务器开启 HTTP 服务器 undo ip http shutdown 关闭 HTTP 服务器 ip http shutdown 缺省情况下，系统开启 HTTP 服务器。仅当登录用户具有 Telnet 的服务类型时（
9、service-type telnet ），才允许登录 HTTP 服务器，且不同等级的用户在 Web 界面中的可配置项也会不同。配置 HTTP 服务器的访问限制可以配置 HTTP 服务器，使仅具有特定 IP 地址的用户才可以登录 HTTP 服务器，对设备进行配置和管理。请在系统视图下进行下列配置。表 4-18 配置 HTTP 服务器的访问限制操作 命令配置 HTTP 服务器的访问限制 ip http acl acl-number 取消对 HTTP 服务器的访问限制 undo ip http acl 缺省情况下，未配置 HTTP 服务器的访问限制。仅 ACL 中允许的 IP 地址才可以访问 HT
10、TP 服务器。表 3-10 显示系统状态信息操作 命令显示系统版本信息 display version 显示详细的软件版本信息 vrbd 显示系统时钟 display clock 显示终端用户 display users all 显示起始配置信息 display saved-configuration 显示当前配置信息 display current-configuration 显示调试开关状态 display debugging interface interface-type interface-number module-name 显示当前视图的运行配置 display this 显示技
11、术支持信息 display diagnostic-information 显示剪贴板的内容 display clipboard H3C SecPath 系列安全产品 操作手册（基础配置） 第 3 章 Comware 的基本配置操作 命令显示当前系统内存使用情况 display memory limit 显示 CPU 占用率的统计信息 display cpu-usage configuration | number offset verbose from-device 设置 CPU 占用率统计的周期 cpu-usage cycle 5sec | 1min | 5min | 72min 以图形方式
12、显示 CPU 占用率统计历史信息 display cpu-usage history task task-id 对插槽中的插卡进行拔出预处理 remove slot slot-id 取消拔出预处理操作 undo remove slot slot-id 显示设备和插卡的信息（任意视图） display device slot-id 配置防火墙网页登陆1. 配置防火墙缺省允许报文通过。system-view H3C firewall packet-filter default permit2. 为防火墙的以太网接口（以 GigabitEthernet0/0 为例）配置 IP 地址，并将接口加入到安
13、全区域。H3C interface GigabitEthernet0/0 H3C-GigabitEthernet0/0 ip address 192.168.0.1 255.255.255.0 H3C-GigabitEthernet0/0 quit H3C firewall zone trust H3C-zone-trust add interface GigabitEthernet0/0 3. 为 PC配置 IP 地址。假设 PC的 IP 地址为 192.168.0.2 。4. 使用 Ping 命令验证网络连接性。ping 192.168.0.2 Ping 命令成功！5. 添加登录用户为使用
14、户可以通过 Web登录， 并且有权限对防火墙进行管理， 必须为用户添加登录帐户并且赋予其权限。例如：建立一个帐户名和密码都为 admin，帐户类型为 telnet ，权限等级为 3的管理员用户。H3C local-user admin H3C-luser-admin password simple admin H3C-luser-admin service-type telnet H3C-luser-admin level 3 在 PC上启动浏览器 （建议使用 IE5.0 及以上版本） ， 在地址栏中输入 IP 地址 “ 192.168.0.1 ”后回车，即可进入防火墙 Web登录页面，使用之
15、前创建的 admin 帐户登录防火墙，单击按钮即可登录。用户可以通过“ Language”下拉框选择界面语言内部主机通过域名区分并访问对应的内部服务器组网应用1) 配置 easy ip （不用配地址池，直接通过接口地址做转换）nat outbound acl-number 2)DNS MAP nat dns-map domain-name global -addr global-port tcp | udp 实例：# 在 Ethernet0/0/0 接口上配置 FTP 及 WWW内部服务器。H3C interface ethernet0/0/0 H3C-Ethernet0/0/0 ip add
16、ress 1.1.1.1 255.0.0.0 H3C-Ethernet0/0/0 nat outbound 2000 H3C-Ethernet0/0/0 nat server protocol tcp global 1.1.1.1 www inside 10.0.0.2 www H3C-Ethernet0/0/0 nat server protocol tcp global 1.1.1.1 ftp inside 10.0.0.3 ftp H3C-Ethernet0/0/0 quit # 配置访问控制列表，允许 10.0.0.0/8 网段访问 Internet 。H3C acl number 2
17、000 H3C-acl-basic-2000 rule 0 permit source 10.0.0.0 0.0.0.255 H3C-acl-basic-2000 rule 1 deny # 配置 ethernet1/0/0 。H3C interface ethernet1/0/0 H3C-Ethernet1/0/0 ip address 10.0.0.1 255.0.0.0 加上如下配置后， 内部主机也可以通过域名 和 访问其对应的内部服务器。# 配置域名与外部地址、端口号、协议类型之间的映射。H3C nat dns-map 1.1.1.1 80 tcp H3C nat dns-map 1.1.1.1 21 tcp 此时外部主机可以通过域名 和 访问其对应的内部服务器。
