华为防火墙的管理方式介绍及配置

川长思鸟来 2021-11-11 01:18 457阅读 0赞

> 博文大纲：
> 
>  *  一、华为防火墙设备的几种管理方式介绍
>  *  二、各种管理方式的配置  
>     1、通过Telnet方式管理  
>     2、通过web方式管理  
>     3、通过SSH方式管理

## 一、华为防火墙设备的几种管理方式介绍 ##

由于在对防火墙设备配置管理方式时，涉及到了AAA这个概念，索性就将AAA的相关介绍简单写一下。

AAA是验证（Authentication）、授权（Authorization）和记账（Accounting）三个部分组成，是一个能够处理用户访问请求的服务器程序，主要目的是管理用户访问网络服务器，为具有访问权限的用户提供服务。其中：

*  验证：哪些用户可以访问网络服务器。
 *  授权：具有访问权限的用户可以得到哪些服务，有什么权限。
 *  记账：如何对正在使用网络资源的用户进行审计。
    
    AAA服务器通常同网络访问控制、网关服务器、数据库及用户信息目录等协同工作。若要访问网络资源，首先要进行用户的入网认证，这样才能访问网络资源。鉴别的过程就是验证用户身份的合法性；鉴别完成后，才能对用户访问网络资源进行授权，并对用户访问网络资源进行计费管理。
    
    网络设备的AAA认证方式有本地身份验证、远程身份验证两大类，本地身份验证通过将用户名和密码在本地创建并验证，而远程身份验证通过各个厂商自有的AAA服务器来完成，这需要设备和AAA服务器进行关联。
    
    华为防火墙支持用户进行本地与远程配置，以下所有配置都将以本地配置来进行身份验证。

> 华为防火墙常见的管理方式有：
> 
>  *  通过Console方式管理：属于带外管理，不占用带宽，适用于新设备的首次配置时使用，在第一次配置时，会配置下面几个管理方式的其中一个或多个，下次在配置直接远程连接即可，无须使用Console连接了。
>  *  通过Telnet方式管理：属于带内管理，配置简单，安全性低，资源占用少，主要适用于安全性不高、设备性能差的场景。因为在配置时所有数据是明文传输，所以仅限于内网环境使用。
>  *  通过web管理方式：属于带内管理，可以基于图形化管理，适用于新手配置设备（但也要熟知其工作原理）。
>  *  通过SSH方式管理，属于带内管理，配置相比较复杂些，资源占用也高，但是欣慰的是安全性极高，主要适用于对安全性要求较高的场景，如通过互联网远程管理公司网络设备。

## 二、各种管理方式的配置 ##

Console方式的管理，只要连接console线，在客户端使用超级终端连接即可，具体操作请百度吧，这里就不写了。

### 1、通过Telnet方式管理配置 ###

这个的网络环境没什么好说的，我这里使用eNSP拉了一台防火墙，连接上宿主机即可，连接宿主机主要是为了验证，若需要在eNSP上验证效果，需要给模拟器上的防火墙导入系统，我这里使用的是USG6000的防火墙，可以[下载][Link 1]我提供的防火墙系统文件

防火墙配置如下：

USG6000的防火墙，默认编号最小的接口（一般是G0/0/0）已经配置了远程管理的一些相关配置及IP地址，所以有很多配置是可以省略的，不过为了完整的将所需的配置写下来，我不使用它的G0/0/0接口，而使用别的全新没有配置的接口。

如下：

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk]

开始配置：

<USG6000V1>sys                
    [USG6000V1]in g1/0/0                    
    [USG6000V1-GigabitEthernet1/0/0]ip add 192.168.1.254 24          
    [USG6000V1-GigabitEthernet1/0/0]quit
    [USG6000V1]telnet server enable                        
    [USG6000V1]in g1/0/0                   
    [USG6000V1-GigabitEthernet1/0/0]service-manage enable           
    [USG6000V1-GigabitEthernet1/0/0]service-manage telnet permit        
    [USG6000V1-GigabitEthernet1/0/0]quit
    [USG6000V1]firewall zone trust                     
    [USG6000V1-zone-trust]add in g1/0/0        
    [USG6000V1-GigabitEthernet1/0/0]quit
    [USG6000V1]security-policy               
    [USG6000V1-policy-security]rule name allow_telnet   
    [USG6000V1-policy-security-rule-allow_telnet]source-zone trust 
    [USG6000V1-policy-security-rule-allow_telnet]destination-zone local 
    [USG6000V1-policy-security-rule-allow_telnet]action permit           
    [USG6000V1]user-interface vty 0 4                     
    [USG6000V1-ui-vty0-4]authentication-mode aaa          
    [USG6000V1-ui-vty0-4]protocol inbound telnet          
    [USG6000V1-ui-vty0-4]quit 
    [USG6000V1]aaa              
    [USG6000V1-aaa]manager-user lv              
    [USG6000V1-aaa-manager-user-lv]password            
    
    Enter Password:                           
    
    Confirm Password:                       
    [USG6000V1-aaa-manager-user-lv]service-type telnet         
    [USG6000V1-aaa-manager-user-lv]level 3                   
    [USG6000V1-aaa-manager-user-lv]quit
    [USG6000V1-aaa]quit

经过上面的配置，即可使用Xshell等超级终端软件连接该防火墙了。使用Telnet命令即可连接，如下：  
![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 1]

[C:\~]$ telnet 192.168.1.254                     
    
    Connecting to 192.168.1.254:23...
    Connection established.
    To escape to local shell, press 'Ctrl+Alt+]'.
    
    Warning: Telnet is not a secure protocol, and it is recommended to use Stelnet.
    
    Login authentication
    
    Username:lv                         
    Password:                         
    The password needs to be changed. Change now? [Y/N]: y 
    
    Please enter old password:                
    Please enter new password:                   
    Please confirm new password:

**关于管理级别，在之前的博文提到过，“0”是参观级别，啥都做不了；“1”是监控级别，可以查看相关配置；“2”为配置级别，可以配置部分参数；“3-15”是管理级别，拥有最大的权限**

### 2、配置web方式登录防火墙配置 ###

注意：以下配置是在全新的防火墙上配置的，该防火墙默认没有任何配置，上面配置了Telnet的防火墙已经删除了。

开始配置：

<USG6000V1>sys                       
    [USG6000V1]in g1/0/0                    
    [USG6000V1-GigabitEthernet1/0/0]ip add 192.168.1.254 24         
    [USG6000V1-GigabitEthernet1/0/0]service-manage https permit 
    [USG6000V1-GigabitEthernet1/0/0]service-manage http permit 
    [USG6000V1]firewall zone trust          
    [USG6000V1-zone-trust]add in g1/0/0      
    [USG6000V1-zone-trust]quit
    [USG6000V1]security-policy        
    [USG6000V1-policy-security]rule name allow_web       
    [USG6000V1-policy-security-rule-allow_web]source-zone trust   
    [USG6000V1-policy-security-rule-allow_web]destination-zone local   
    [USG6000V1-policy-security-rule-allow_web]action permit   
    [USG6000V1-policy-security-rule-allow_web]quit   
    [USG6000V1-policy-security]quit
    [USG6000V1]web-manager security enable      
              
    [USG6000V1]aaa              
    [USG6000V1-aaa]manager-user jian      
    [USG6000V1-aaa-manager-user-jian]password    
    
    Enter Password:                           
    
    Confirm Password:            
    
    [USG6000V1-aaa-manager-user-jian]level 3      
    [USG6000V1-aaa-manager-user-jian]quit
    [USG6000V1-aaa]quit

经过以上配置，现在即可使用web访问测试，防火墙默认情况下开启的https端口为8443，使用客户端访问测试，经过上面的配置，应使用 [https://192.168.1.254:8443][https_192.168.1.254_8443] 进行访问（建议使用谷歌浏览器，可能是eNSP模拟器的原因，若网页加载不出来，多刷新几次就好）：

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 2]

根据提示，输入相应密码，更改密码（用户首次登陆须更改密码）：  
![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 3]

更改新密码后，使用用户名及新密码进行登录：

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 4]

登录后就可以看到下面的管理界面了（加载不出来就多刷新几次）：

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 5]

配置web方式管理设备至此就完成了。

### 3、配置SSH方式登录设备 ###

和Telnet相比，SSH安全性更高，所以一般不推荐使用Telnet方式登录设备，而是通过ssh来登录设备，下面开始配置SSH方式登录设备（注意：防火墙所有配置都没了，现在又是重新开始配置）：

开始配置：

<USG6000V1>sys                      
    [USG6000V1]in g1/0/0                   
    [USG6000V1-GigabitEthernet1/0/0]ip add 192.168.1.254 24        
    [USG6000V1-GigabitEthernet1/0/0]service-manage enable            
    [USG6000V1-GigabitEthernet1/0/0]service-manage ssh permit       
    [USG6000V1-GigabitEthernet1/0/0]quit
    [USG6000V1]firewall zone trust                     
    [USG6000V1-zone-trust]add in g1/0/0        
    [USG6000V1-zone-trust]quit
    [USG6000V1]security-policy               
    [USG6000V1-policy-security]rule name allow_ssh  
    [USG6000V1-policy-security-rule-allow_ssh]source-zone trust 
    [USG6000V1-policy-security-rule-allow_ssh]destination-zone local 
    [USG6000V1-policy-security-rule-allow_ssh]action permit           
    [USG6000V1-policy-security-rule-allow_ssh]quit
    [USG6000V1-policy-security]quit
    [USG6000V1]rsa local-key-pair create            
    The key name will be: USG6000V1_Host
    The range of public key size is (512 ~ 2048). 
    NOTES: If the key modulus is greater than 512, 
           it will take a few minutes.
    Input the bits in the modulus[default = 2048]:         
    Generating keys...
    ..+++++
    ........................++
    ....++++
    ...........++
    [USG6000V1]user-interface vty 0 4              
    [USG6000V1-ui-vty0-4]authentication-mode aaa          
    [USG6000V1-ui-vty0-4]protocol inbound ssh      
    [USG6000V1-ui-vty0-4]quit
    [USG6000V1]ssh user zhao            
    [USG6000V1]ssh user zhao authentication-type password           
    [USG6000V1]ssh user zhao service-type stelnet        
    [USG6000V1]aaa          
    [USG6000V1-aaa]manager-user zhao            
    [USG6000V1-aaa-manager-user-zhao]password           
    
    Enter Password:                    
    
    Confirm Password:                   
    [USG6000V1-aaa-manager-user-zhao]service-type ssh        
    [USG6000V1-aaa-manager-user-zhao]level 3                   
    [USG6000V1-aaa-manager-user-zhao]quit
    [USG6000V1-aaa]quit
    [USG6000V1]stelnet server enable

至此配置完毕，开始使用Xshell连接即可。

执行命令“ssh 192.168.1.254”进行连接，剩下操作看图吧，不解释了。  
![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 6]

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 7]

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 8]

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 9]

![华为防火墙的管理方式介绍及配置][watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 10]

写在最后：

其实你们仔细看完后，应该不难发现，每种方式管理的配置并不复杂，很多地方都一样（第三种管理方式的注释我基本上都是复制前两种的，稍作改动就行了，所以，别嫌我繁琐，因为我想在一些新手参考这篇文档时可以看的更方便些。）

———————— 本文至此结束，感谢阅读 ————————

[Link 1]: https://pan.baidu.com/s/1eUhARJhtfy3AyLbfrROu_A
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk]: https://s1.51cto.com/images/blog/201908/03/afcba869824bbe5a521a51ba990989ff.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 1]: https://s1.51cto.com/images/blog/201908/03/2d84ac85d14e8b3a3356239f6d838884.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[https_192.168.1.254_8443]: https://192.168.1.254:8443
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 2]: https://s1.51cto.com/images/blog/201908/03/77cbee96723fda4ff449cc881628c246.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 3]: https://s1.51cto.com/images/blog/201908/03/ca843657bacb9d59cad32056ad9b4451.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 4]: https://s1.51cto.com/images/blog/201908/03/933d302db41da23cad7bbb07715cb472.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 5]: https://s1.51cto.com/images/blog/201908/03/f427f19a57f68496118c2479a05d71f5.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 6]: https://s1.51cto.com/images/blog/201908/03/af904c5b1eb6304c051e2ccbc60d1254.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 7]: https://s1.51cto.com/images/blog/201908/03/5c09d370483451aa33b0aff83dd7cfa1.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 8]: https://s1.51cto.com/images/blog/201908/03/1eb2e46b5440f23d547617a46a4f31e2.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 9]: https://s1.51cto.com/images/blog/201908/03/a73548366da193afd54e817d1a5af92d.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[watermark_size_16_text_QDUxQ1RP5Y2a5a6i_color_FFFFFF_t_100_g_se_x_10_y_10_shadow_90_type_ZmFuZ3poZW5naGVpdGk 10]: https://s1.51cto.com/images/blog/201908/03/8c802788a29610f4f01abdc38e182eb9.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=