一、实验拓扑：
二、实验要求：
三、命令部署： 1、路由器接口地址、默认路由等基本配置： [R1]interface GigabitEthernet 0/0/0 [R1-GigabitEthernet0/0/0]ip add 202.100.1.1 24 [R1-GigabitEthernet0/0/0]quit [R1]ip route-static 0.0.0.0 0.0.0.0 202.100.1.10 //配置默认路由，指向SRG的接口地址 [R1]quit <R1>save //选择y才可以
<R2>system-view Enter system view, return user view with Ctrl+Z. //Ctrl+Z可以在任何模式回到最初的<>模式 [R2]interface GigabitEthernet 0/0/0 [R2-GigabitEthernet0/0/0]ip add 10.1.1.2 24 [R2]ip route-static 0.0.0.0 0.0.0.0 10.1.1.10 <R2>save //选择y才可以
<R3>system-view [R3]int g0/0/0 [R3-GigabitEthernet0/0/0]ip add 192.168.1.3 24 [R3-GigabitEthernet0/0/0]quit [R3]ip route-static 0.0.0.0 0.0.0.0 192.168.1.10 <R3>save 2、交换机VLAN等配置： 配置VLAN: [SW1]vlan 202 [SW1-vlan202]vlan 10 [SW1-vlan10]vlan 192 定义Access口并划分VLAN： [SW1]port-group group-member g0/0/1 g0/0/4 //定义端口组—组里边的数量——g0/0/1和g0/0/4 [SW1-port-group]port link-type access //交换机2个接口一起配置access接口类型 [SW1-GigabitEthernet0/0/1]port link-type access //自动弹出来2个 [SW1-GigabitEthernet0/0/4]port link-type access [SW1-port-group]port default vlan 202 //端口划分VLAN 202 [SW1-GigabitEthernet0/0/1]port default vlan 202 [SW1-GigabitEthernet0/0/4]port default vlan 202 [SW1-port-group]stp edged-port enable //stp的边缘端口开启 [SW1-GigabitEthernet0/0/1]stp edged-port enable [SW1-GigabitEthernet0/0/4]stp edged-port enable <SW1>undo terminal monitor //关闭乱七八糟提示的鬼东西
[SW1]int g0/0/2 [SW1-GigabitEthernet0/0/2]port link-type access [SW1-GigabitEthernet0/0/2]port default vlan 10 [SW1-GigabitEthernet0/0/2]stp edged-port enable
[SW1]int g0/0/3 [SW1-GigabitEthernet0/0/3]port link-type access [SW1-GigabitEthernet0/0/3]port default vlan 192 [SW1-GigabitEthernet0/0/3]stp edged-port enable 定义Trunk： [SW1]int g0/0/5 [SW1-GigabitEthernet0/0/5]port link-type trunk [SW1-GigabitEthernet0/0/5]port trunk allow-pass vlan 10 192 //放行VLAN 10和192，华为默认是干掉所有VLAN的 查看配置： [SW1]display current-configuration //这里省略 3、SRG配置： （1）SRG基本配置： [SRG]int g0/0/0 [SRG-GigabitEthernet0/0/0]undo shutdown Info: Interface GigabitEthernet0/0/0 is not shutdown. [SRG-GigabitEthernet0/0/0]ip add 202.100.1.10 24
[SRG]int g0/0/1 [SRG-GigabitEthernet0/0/1]undo shutdown //先打开接口 [SRG]int g0/0/1.10 [SRG-GigabitEthernet0/0/1.10]vlan dot1q 10 //封装dot1q vlan10 [SRG-GigabitEthernet0/0/1.10]ip add 10.1.1.10 24 //给子接口配置IP地址
[SRG]int g0/0/1.192 [SRG-GigabitEthernet0/0/1.192]vlan-type dot1q 192 [SRG-GigabitEthernet0/0/1.192]ip add 192.168.1.10 24 查看验证： [SRG]display ip int bri
（2）SRG重点配置：
区域：
华为有区域的概念的，分为：Trust、Untrust、DMZ；
默认存在4个区域：[SRG]display current-configuration
firewall zone local set priority 100
firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 默认把该接口划分为Trust
firewall zone untrust set priority 5
firewall zone dmz set priority 50
思科：没有区域的概念，Inside、Outside、DMZ这只是接口的名字，只有安全级别，用安全级别来区分不同接口类型；
安全级别：
华为1-100；思科：0-100
[SRG]firewall zone trust [SRG-zone-trust]undo add int g0/0/0 //将默认的g0/0/0挪出Trust区域
[SRG]firewall zone untrust [SRG-zone-untrust]add int g0/0/0
[SRG]firewall zone trust [SRG-zone-trust]add int g0/0/1.192
[SRG]firewall zone dmz [SRG-zone-dmz]add int g0/0/1.10 查看验证： [SRG]display zone
测试： [SRG]ping 202.100.1.1 Request time out Reply from 202.100.1.1: bytes=56 Sequence=2 ttl=255 time=100 ms Reply from 202.100.1.1: bytes=56 Sequence=3 ttl=255 time=60 ms Reply from 202.100.1.1: bytes=56 Sequence=4 ttl=255 time=80 ms Reply from 202.100.1.1: bytes=56 Sequence=5 ttl=255 time=80 ms 同理：[SRG]ping 10.1.1.2 //可通 [SRG]ping 192.168.1.3 //可通 注意：思科的防火墙默认所有区域流量抵达ASA后才干掉，就是说可以进入ASA； 华为除Trust区域可以抵达SRG外，其它区域流量进不了SRG；比如Unttust、DMZ去pingSRG的接口地址不不通的；原因：默认有Local区域，安全级别为100，而且没有任何接口，其实默认情况RSG就是Local区域；所以比如DMZ去Ping RSG，它会认为是DMZ跨区域访问我的Local区域，这默认情况是不允许的，流量直接被干掉，同理Untrust也一样。 验证：[R1]ping 202.100.1.10 //都是Request time out [R2]ping 10.1.1.10 //都是Request time out [R3]ping 192.168.1.10 //可以Ping通的 [SRG]display firewall packet-filter default all //默认情况就是遵循这种Oubound、Inbound规则，当然可以改的，不建议修改。因为有这种策略才叫防火墙。 华为不是放行ACL，而是放行Zone间策略。 Zone间策略默认都是Deny，不通的；比如Trust和Untrust之间相互都是Deny的。 同一个Zone，ASA是不通的，华为默认是可通的；比如都是Trust区域的2台设备是可通的。
（3）？？？？？ [SRG]undo interface g0/0/1.10 [SRG]undo interface GigabitEthernet0/0/1.192
[SRG]vlan 10 [SRG-vlan-10]vlan 192
[SRG]int Vlanif 10 [SRG-Vlanif10]ip add 10.1.1.10 24 [SRG]int Vlanif 192 [SRG-Vlanif192]ip add 192.168.1.10 24 查看验证： [SRG]display ip int bri
[SRG]int g0/0/1 [SRG-GigabitEthernet0/0/1]portswitch [SRG-GigabitEthernet0/0/1]port link-type trunk [SRG-GigabitEthernet0/0/1]port trunk permit vlan 10 192 对比：思科的3层交换机是可以配IP地址的，只要输入no switchport；默认思科的三层交换机就是二层交换机； 华为刚好是反过来的：默认就是三层的可以配地址的，接口下输入portswitch就变为而层层的了；华为的三层交换机不能做成二层的；华为RSG这里比较特殊允许这么做，接下来ip address 不能Tab了。 把VLAN划分到Zone里边： [SRG]firewall zone trust [SRG-zone-trust]add interface Vlanif 192 [SRG]firewall zone dmz [SRG-zone-dmz]add interface Vlanif 10 查看： [SRG]display zone
测试： [SRG]ping 10.1.1.2 //可通 [SRG]ping 192.168.1.3 //可通过 允许把接口变为Trunk 还有一种方法：看课件！！！
