華為USG防火墻配置命令詳解

其實防火墻配置，只需要配置到能使用web方式管理，剩下的都在網(wǎng)頁上配置即可，有人喜歡用命令配置，但我說下用命令配置的弊端，首先是安全策略的備注不好寫，還有就是策略的順序不方便調整，需要提前規(guī)劃好，還有就是容易出錯，真的完全沒有必要，你又不是配置交換機，防火墻用網(wǎng)頁配置，又方便又不容易出錯。需要注意的一點，華為的USG防火墻型號不同，在用命令創(chuàng)建用戶的命令會有些出入，不過都是大同小異。再啰嗦一下，防火墻的安全策略是講究順序的，從上到下依次執(zhí)行，在這點上和windows系統(tǒng)自帶的防火墻是不同的，windows防火墻不講究什么順序，是按照最佳匹配原則。

華為USG防火墻配置命令

常用命令

//用戶視圖，用戶視圖只能使用查看命令
?//查看用戶視圖下的所有命令
displayversion//查看VRP系統(tǒng)版本
system-view//進入系統(tǒng)視圖
[SRG]sysnameR1//修改設備名稱為R1
[R1]displayclock//查看系統(tǒng)時間
[R1]quit//返回上一級
save//保存配置
displaysaved-configuration//查看保存的配置
displaycurrent-configuration//查看當前運行的配置
reboot//重啟設備
resetsaved-configuration//恢復出廠配置

查看license信息及esn碼

[USG6000]displaylicense//查看license信息
[USG6000]displayesn//查看esn碼

查看接口IP信息

[USG6000]displayipinterfacebrief//查看接口IP簡要信息
[USG6000]displaycurrent-configurationinterfaceGigabitEthernet1/0/0//查看該接口的運行信息

設置接口IP地址

[SRG]interfaceGigabitEthernet0/0/0//進入接口模式
[SRG-GigabitEthernet0/0/0]ipaddress10.10.10.1124//24為子網(wǎng)掩碼
[SRG-GigabitEthernet0/0/0]shutdown//禁用接口
[SRG-GigabitEthernet0/0/0]undoshutdown//啟用接口
[SRG-GigabitEthernet0/0/0]displaythis//查看該接口信息

設置vlan1管理地址,并允許ssh及https訪問

[USG6000]interfaceVlanif1
[USG6000-Vlanif1]ipaddress192.168.80.10024
[USG6000-Vlanif1]service-managesshpermit
[USG6000-Vlanif1]service-managehttpspermit
[USG6000-Vlanif1]service-managepingpermit//注意這種方式會導致策略不生效
[USG6000-Vlanif1]undoservice-manageenable//必須關閉服務管理,策略才生效

設置靜態(tài)默認路由

[USG6000]iproute-static0.0.0.00.0.0.0192.168.80.1

設置旗標和登錄成功后提示

[SRG]headerlogininformation"zhuhaihuanaozaixianjianceshiusg2000"
[SRG]headershellinformation"WecometoHuaweiUSG2000"

設置時區(qū)及日期

clocktimezonebeijinadd08:00//設置時區(qū)為北京東八區(qū)
clockdatetime11102021/02/03//11點20分10秒，2021年02月03日

設置console口密碼及超時時間

[SRG]user-interfaceconsole0//進入console口配置模式
[SRG-ui-console0]authentication-modepasswordcipherhuawei@123//設置密碼為huawei@123
[SRG-ui-console0]idle-timeout20//設置超時時間為20分鐘

設置console口使用用戶名密碼登錄（usg2000)

[SRG]user-interfaceconsole0
[SRG-ui-console0]authentication-modeaaa//認證模式為AAA
[SRG]aaa//進入AAA配置模式
[SRG-aaa]local-userchbpasswordcipherhuawei@123//創(chuàng)建chb用戶名，密碼為huawei@123
[SRG-aaa]local-userchbservice-typeterminal//指定chb用戶的類型為console口用
[SRG-aaa]local-userchblevel15//指定chb用戶的權限等級為15（15表示最高權限）
[SRG-aaa]displaylocal-user//查看本地用戶

創(chuàng)建AAA用戶管理console口,ssh,web

[USG6000]aaa//進入AAA配置模式
[USG6000-aaa]manager-userchbadmin//創(chuàng)建用戶chbadmin
[USG6000-aaa-manager-user-chbadmin]passwordcipherhuawei@123//設置密碼為huawei@123
[USG6000-aaa-manager-user-chbadmin]service-typeterminalsshweb//指定為console,ssh,web用
[USG6000-aaa-manager-user-chbadmin]level15//設置級別為15,數(shù)值越大權限越高,15是最高權限

web登錄配置管理

1. 配置USG的IP地址（略）

2. 配置UGS接口Web設備管理

[SRG-GigabitEthernet0/0/0]service-manageenable//默認已開啟
[SRG-GigabitEthernet0/0/0]service-managehttpspermit//允許https，也可以設置允許Ping

3. 啟動web管理功能

[SRG]web-managerenable
[SRG]web-managersecurityenableport8443
[SRG]web-managertimeout60//設置超時時間為60分鐘

telnet登錄配置管理

1. 開啟telnet服務

[SRG]telnetserverenable

2. 配置USG接口telnet設備管理

[SRG-GigabitEthernet0/0/0]service-manageenable
[SRG-GigabitEthernet0/0/0]service-managetelnetpermit//設置接口允許telnet
[SRG-GigabitEthernet0/0/0]service-managepingpermit//設置接口允許ping

3. 配置vty 并設置密碼登錄（或者參照下一條使用用戶密碼登錄）

[SRG]user-interfacevty04//進入vty配置模式
[SRG-ui-vty0-4]protocolinboundtelnet//配置vty允許telnet
[SRG-ui-vty0-4]authentication-modepasswordcipherhuawei@123//設置認證模式為密碼
[SRG-ui-vty0-4]userprivilegelevel3//設置權限級別為3

4. 配置vty并設置用戶名密碼登錄即AAA認證

[USG6000]user-interfacevty04
[USG6000-ui-vty0-4]protocolinboundtelnet
[USG6000-ui-vty0-4]authentication-modeaaa//設置認證模式為AAA
[USG6000-ui-vty0-4]idle-timeout60//設置超時時間60分鐘

[USG6000]aaa//進入AAA配置
[USG6000-aaa]manager-usertelchb//創(chuàng)建用戶telchb
[USG6000-aaa-manager-user-telchb]passwordcipherhuawei@123//設置密碼為huawei@123
[USG6000-aaa-manager-user-telchb]service-typetelnet//設置服務類型為telnet
[USG6000-aaa-manager-user-telchb]level3//設置級別為3

通過SSH方式登錄管理

1. 啟用Stelnet服務

[SRG]stelnetserverenable

2. 配置防火墻管理接口允許SSH管理

[SRG-GigabitEthernet0/0/0]service-manageenable
[SRG-GigabitEthernet0/0/0]service-managesshpermit

3. 配置RSA本地密鑰對

[SRG]rsalocal-key-paircreate

4. 配置vty線路

[SRG]user-interfacevty04
[SRG-ui-vty0-4]authentication-modeaaa
[SRG-ui-vty0-4]protocolinboundssh//允許ssh
[SRG-ui-vty0-4]idle-timeout60//設置超時時間為60分鐘

5. 配置ssh登錄用戶名密碼

[SRG]sshuserchbssh
[SRG]sshuserchbsshauthentication-typepassword
[SRG]sshuserchbsshservice-typestelnet

[SRG]aaa
[SRG-aaa]local-userchbsshpasswordcipherhuawei@123
[SRG-aaa]local-userchbsshservice-typessh

[SRG-aaa]local-userchbsshlevel3

文件管理

dir//查看當前目錄文件
copyprivate-data.txt123.txt//復制private-data.txt到當前目錄并改名為123.txt
move123.txt111.txt//移動123.txt到當前目錄并改名為111.txt
delete111.txt//刪除111.txt，并非徹底刪除可以恢復
dir/all//查看當前目錄所有文件
undelete111.txt//恢復剛才刪除的文件111.txt
delete/unreserved111.txt//徹底刪除111.txt
mkdirflash:/backup//在根目錄下創(chuàng)建文件夾backup
cdbackup//切換目錄到backup文件夾中
pwd//查看當前路徑
cd///切換到根目錄
copyprivate-data.txtflash:/backup/private-data-bak.txt//復制文件到指定路徑
moveprivate-data.txtflash:/private-data.txt//移動文件到指定路徑

將flash中的文件備份到TFTP和FTP

#將flash中的vrpcfg.zip上傳到tftp服務器
tftp192.168.10.11putflash:/vrpcfg.zip

#將tftp服務器的vrpcfg2.zip下載到flash中
tftp192.168.10.11getvrpcfg2.zipflash:/vrpcfg2.zip

ftp192.168.10.1121//登錄ftp服務器端口號21
輸入用戶名
輸入密碼
[R1-ftp]get111.txt111.txt//下載ftp中的111.txt到flash中
[R1-ftp]putvrpcfg.zipvrpcfg-bak.zip//上傳flash中的vrpcfg.zip到ftp中

設置系統(tǒng)啟動使用的文件及配置文件

displaystartup//查看系統(tǒng)啟動使用的系統(tǒng)文件和配置文件
startupsystem-softwarefilename1.zip//設置系統(tǒng)啟動文件
startupsaved-configurationvrpcfg2.zip//指定保存配置的文件

將防火墻設置為ftp服務器

需設置防火墻規(guī)則允許（略）

[USG6000]ftpserverenable//開啟ftp服務

[USG6000]aaa
[USG6000-aaa]manager-userftpchb
[USG6000-aaa-manager-user-ftpchb]passwordcipherhuawei@123
[USG6000-aaa-manager-user-ftpchb]service-typeftp//指定服務類型為ftp
[USG6000-aaa-manager-user-ftpchb]ftp-directoryhda1://指定ftp的根目錄為hda1
[USG6000-aaa-manager-user-ftpchb]level3

[USG6000]undoftpserver//關閉ftp服務

安全區(qū)域設置并將接口劃入該區(qū)域

[USG6000]firewallzoneuntrust//進入untrust區(qū)域配置
[USG6000-zone-untrust]addinterfaceGigabitEthernet1/0/0//將該接口加入到該區(qū)域
[USG6000-zone-untrust]displaythis//查看該區(qū)域的配置信息

[USG6000]firewallzonetrust
[USG6000-zone-trust]addinterfaceVlanif1//將vlan1接口劃入該區(qū)域

[USG6000]firewallzonenameInbound//創(chuàng)建區(qū)域Inbound，并進入該區(qū)域配置
[USG6000-zone-Inbound]setpriority90//設置優(yōu)先級為90，數(shù)值越大信任級別越高
[USG6000-zone-Inbound]addinterfaceGigabitEthernet1/0/5//將該接口加入到該區(qū)域

[USG6000]displayzone//查看區(qū)域信息

配置安全策略

[USG6000]security-policy//進入安全策略配置
[USG6000-policy-security]defaultactiondeny//設置默認策略為禁止
[USG6000-policy-security]rulenameSUL02//新建一條規(guī)則名稱是SUL02
[USG6000-policy-security-rule-SUL02]source-zoneuntrust//源區(qū)域是untrust
[USG6000-policy-security-rule-SUL02]destination-zonelocal//目標區(qū)域是local
[USG6000-policy-security-rule-SUL02]actionpermit//動作是允許

[USG6000]displaysecurity-policyruleall//查看所有安全策略條目名稱

[USG6000]displaysecurity-policyrulenameSUL02//查看SUL02這條安全策略

[USG6000]interfaceGigabitEthernet1/0/1//進入該接口模式
[USG6000-GigabitEthernet1/0/0]undoservice-manageenable//關閉服務管理,才能使安全策略生效

配置安全策略示例

[USG6000]security-policy
[USG6000-policy-security]rulenameUT02//新建一個規(guī)則名稱叫UT02
[USG6000-policy-security-rule-UT02]source-address192.168.10.1232
[USG6000-policy-security-rule-UT02]source-address192.168.11.00.0.0.255//使用反掩碼表示地址范圍,即192.168.11.0/24這個網(wǎng)段
[USG6000-policy-security-rule-UT02]source-addressrange192.168.12.1192.168.12.50//指定地址范圍在192.168.12.1~192.168.12.50
[USG6000-policy-security-rule-UT02]destination-addressany//目標地址是any,表示所有地址
[USG6000-policy-security-rule-UT02]userany//用戶是所有用戶,這條命令是默認的,可以省略
[USG6000-policy-security-rule-UT02]serviceprotocoltcpdestination-port22//指定目標端口是TCP的22號端口
[USG6000-policy-security-rule-UT02]serviceprotocoludpdestination-port888//指定目標端口是UDP的888端口
[USG6000-policy-security-rule-UT02]serviceprotocolicmp//允許ping
[USG6000-policy-security-rule-UT02]serviceprotocolicmpicmp-typeecho-reply//上一條命令包含這條命令,這個表示只允許icmp的回顯包

[USG6000-policy-security]undorulenameUT02//刪除UT02這條規(guī)則
[USG6000-policy-security]displaythis//查看規(guī)則內容

使用地址組,服務組,時間組的方式配置安全策略

創(chuàng)建相應的地址組

[USG6000]ipaddress-setA01typeobject//創(chuàng)建對象A01
[USG6000-object-address-set-A01]address192.168.11.00.0.0.255//添加地址范圍,注意是反掩碼寫法
[USG6000-object-address-set-A01]address192.168.12.00.0.0.255

[USG6000]ipaddress-setA02typeobject//創(chuàng)建對象A02
[USG6000-object-address-set-A02]address192.168.20.00.0.0.255
[USG6000-object-address-set-A02]address192.168.21.00.0.0.255

[USG6000]ipaddress-setAtypegroup//創(chuàng)建組A
[USG6000-group-address-set-A]addressaddress-setA01//添加對象A01
[USG6000-group-address-set-A]addressaddress-setA02
[USG6000-group-address-set-A]address192.168.3.00.0.0.255//也可以在組里面,直接添加地址范圍

[USG6000]displayipaddress-setall//查看地址組
[USG6000]displayipaddress-setverboseA01item//查看地址組A01詳細
[USG6000]displayipaddress-setverboseAitem

創(chuàng)建相應的服務組

[USG6000]ipservice-setS01typeobject//創(chuàng)建服務對象S01
[USG6000-object-service-set-S01]serviceprotocoltcpdestination-port80//添加目的地址端口為TCP的80
[USG6000-object-service-set-S01]serviceprotocoltcpdestination-port22

[USG6000]ipservice-setS02typeobject
[USG6000-object-service-set-S02]serviceprotocoltcpdestination-port8080
[USG6000-object-service-set-S02]serviceprotocoltcpdestination-port8081

[USG6000]ipservice-setStypegroup//創(chuàng)建服務組
[USG6000-group-service-set-S]serviceservice-setS01//添加服務對象S01
[USG6000-group-service-set-S]serviceservice-setS02

[USG6000]displayipservice-setall//查看服務組
[USG6000]displayipservice-setverboseS01item//查看服務組S01詳細
[USG6000]displayipservice-setverboseSitem

創(chuàng)建相應的時間組

[USG6000]time-rangeT//創(chuàng)建時間組T
[USG6000-time-range-T]period-range0800to1800working-day//設置周期時間為,工作日為周一到周五的8點到18點
[USG6000-time-range-T]absolute-range08002021/04/02to18002020/12/30//設置絕對時間
[USG6000-time-range-T]undoabsolute-rangeall//刪除上一條命令
[USG6000-time-range-T]displaythis

配置安全策略時使用剛才創(chuàng)建的組

[USG6000]security-policy
[USG6000-policy-security]rulenameUT03//創(chuàng)建或者是進入條目UT03編輯
[USG6000-policy-security-rule-UT03]serviceS//指定服務組為S
[USG6000-policy-security-rule-UT03]destination-addressaddress-setA//指定目標地址為地址組A

[USG6000-policy-security-rule-UT03]time-rangeT//設置時間組為T
[USG6000-policy-security-rule-UT03]undotime-range//刪除上一條命令

[USG6000-policy-security-rule-UT03]actionpermit//動作允許

查看路由及設置默認路由

[USG6000]iproute-static0.0.0.00.0.0.0172.16.10.3//設置默認路由
[USG6000]undoiproute-static0.0.0.00.0.0.0//刪除上一條命令
[USG6000]iproute-static0.0.0.00.0.0.0GigabitEthernet1/0/0172.16.10.3//設置默認路由,并指定出去的接口

[USG6000]displayiprouting-table//查看路由表

設置接口為交換口

[USG6000]interfaceGigabitEthernet1/0/1//進入接口模式
[USG6000-GigabitEthernet1/0/1]portswitch//設置接口為交換口
[USG6000-GigabitEthernet1/0/1]portlink-typeaccess//設置接口類型為接入接口
[USG6000-GigabitEthernet1/0/1]undoportswitch//取消上一條命令,即接口恢復為路由口

查看防火墻會話表

[USG6000]displayfirewallsessiontable//查看會話表簡要信息
[USG6000]displayfirewallsessiontableverbose//查看會話表詳細信息
[USG6000]displayfirewallserver-map//查看server-map信息

將ASPF檢測FTP流量的端口改為其他端口

防火墻默認是開啟ASPF檢測的,針對多協(xié)議服務,如FTP服務,ASPF會針對FTP服務臨時開放安全策略

[USG6000]acl2001//創(chuàng)建ACL編號2001
[USG6000-acl-basic-2001]rulepermitsource10.21.50.100.0.0.0//允許該源地址
[USG6000]port-mappingFTPport2121acl2001//將關于ASFP檢測的FTP服務轉移到2121端口,ACL條目是2001
[USG6000]undofirewalldetectftp//關閉aspf檢測ftp瀏覽

番外：SSH方式連接華為USG2000防火墻報錯

SecureCRT使用SSH方式連接華為USG2000防火墻報錯如下：

Theclienthasdisconnectedfromtheserver.Reason:
MessageAuthenticationCodedidnotverify(packet#4).Dataintegrityhasbeen
compromised.

解決方法：
改為使用SSH1協(xié)議登錄即可
通過telnet該地址的22端口可以看出SSH使用的版本是1.9

華為USG防火墻重置密碼

以下操作會初始化華為USG防火墻，所有配置清空哦

通電情況下，用圓珠筆按住reset按鈕10秒，筆記本接好console口，等待畫面，出現(xiàn)提示按ctrl+B，輸入默認密碼O&m15213 然后選擇對應的數(shù)字“Reset Factory Configuration”，返回后選擇數(shù)字1，啟動系統(tǒng)，然后輸入默認的用戶名admin，默認密碼Admin@123 網(wǎng)頁登錄地址是https://192.168.0.1:8443 用戶名密碼也是admin和Admin@123

總結

其實防火墻本身的管理web也是有漏洞的，可以通過只讓某一個IP地址能夠訪問來增加安全性，但也不能保證絕對安全，我這邊的做法是，單獨留一個接口，用與web管理，當然弊端就是配置防火墻需要到現(xiàn)場用筆記本接上那個保留的接口才能配置，好處就是黑客想入侵，必須要通過社工的方式，接觸到這臺設備。說實話有點異想天開了，首先問問自己，你的設備值不值得別人這樣做，簡直是拿高射炮去打蚊子，沒人會去干這種蠢事的。

審核編輯：湯梓紅