usg5310防火墙配置手册,usg5310 配置 案例 实战

题图来自Unsplash，基于CC0协议

导读

首先进行设备初始化，连接设备并进入系统视图，配置主机名，例如：[Quidway] sysname USG5310。接着配置设备管理接口，特别是GE0/0/0接口，为接口分配管理VLAN（如VLANIF10）并配置IP地址，例如：interface GigabitEthernet0/0/0 [Quidway-USG5310] interface GigabitEthernet0/0/0 [Quidway-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0 [Quidway-GigabitEthernet0/0/0] quit [Quidway-USG5310] vlan batch 10 然后启用接口：[Quidway-USG5310] undo firewall packet-filter ？可能需要清除默认的包过滤策略，并激活配置：[Quidway-USG5310] commit [Quidway-USG5310] save。如果控制台或Telnet密码未设置，则需要设置它们。对于通过Console管理，不需要配置IP，默认IP是192.168.1.1（不同型号可能不同，请参考设备手册），可以通过按TOMY键重启设备上网口，或者通过子接口地址（如果配置了）。

基础的网络接口配置涉及接口类型选择，如GE/TX电口及对应的子接口。若作为内网出口，配置接口到“Trust”区域；外网接口配置到“Untrust”区域。配置接口IP地址，可能需要先创建子接口（如配置VLANIF10），开启接口。启用路由协议，例如RIP或OSPF，以便不同网段通信。配置IP路由信息库不允许非法主机，拒绝非法地址到“Untrust”访问。配置用户登录，如启用SSH2协议：[Quidway-USG5310] aaa [Quidway-USG5310-aaa] local-user admin class manage [Quidway-USG5310-aaa] local-user admin service-type ssh [Quidway-USG5310-aaa] quit [Quidway-USG5310] ssh server enable ，并为其设置访问控制列表，如允许来自某个网段的SSH访问。

安全策略是防火墙的核心功能。定义安全区域，如Trust（内网）和Untrust（外网）。配置安全策略规则，明确允许或拒绝哪些流量可以从哪个区域去往哪个区域。例如，允许Trust区域访问Untrust区域的HTTP（Web）服务，或允许内部服务器转发Team的流量到互联网。配置如针对公网IP的server map（PAT）或者直接配置NAT。配置防火墙功能，如IPS入侵防御、AV（如上网行为管理-USB防盗、Web URL过滤）、VPN配置等。确保SYN Flood攻击防护等安全特性开启以保障设备和网络的稳定性。配置系统日志服务器，以便记录设备运行的状态和告警信息，例如：[Quidway-USG5310] info-center enable [Quidway-USG5310] info-center log fasdop-level debug [Quidway-USG5310] info-server log 192.168.1.1 level all。

防火墙接口，如GigabitEthernet口，作为配置模板，千兆电口等，可通过display命令查看接口状态和配置信息。配置时，关注双机热备、业务链路备份（多出口上网）、路由备份等高可靠配置，对网络的整体健壮性至关重要。防火墙作为网络的核心，其配置正确性直接关系到用户业务的访问，特别是访问控制列表的应用，需要精确，考虑到访问策略中目标（访问哪个IP）、服务器配置（提供Web服务的服务器IP）、安全区域设定、目标区域不能直接访问返回、端口配置、和具体的策略顺序，以及可能使用的口字中间设备如代理网关或服务器map。防火墙性能参数，如区域配置确保流量方向正确，以及规则的优化（命中含表）避免策略冲突或浪费。

官方文档和配置案例是配置过程中的重要学习资源。在实践中，需要针对具体网络结构，区域划分，安全需求，来配置并验证防火墙的各项功能。时刻检查路由表是否正确（display ip routing-table），访问控制配置是否生效（display firewall policy configuration verbose 或通过测试连接验证）， NAT配置是否正确（display nat session statistics），以及设备日志是否有异常信息。

初步配置完成后，需要对默认管理员用户进行密码更换，并记得保存配置（save）。通过Telnet或SSH登录设备后，可以利用ping、display version、display int、display firewall、display security-server、流分类查看等命令来辅助进行故障排查。扩展功能如USB口，支持对防疫等应用的支持，也是配置考虑的一部分。在正常运行时，定期检查配置，确保防火墙按预期工作。