H3C S9500交换机Firewall之路由模式的配置

H3C S9500交换机Firewall之路由模式的配置

 

一、组网需求：

防火墙工作在路由模式下，内网主机的网关全部都在FW上，外网主机网关也在防火墙上，在这种方式下，9500可以不配置任何三层接口，当作纯粹的二层设备来用，所有的三层转发都交由FW来完成。

二、组网图

三、配置步骤

软件版本：H3C S9500交换机B1325及之后软件版本

硬件版本：H3C S9500交换机LSM1FW8DB1单板

1）添加内网VLAN50和外网VLAN60

[S9500] vlan 50

[S9500－vlan50] port E2/1/2

[S9500] vlan 60

[S9500－vlan60] port E3/1/3

2）设置SecBlade模块，配置内网VLAN 50和外网VLAN60为安全VLAN

[S9500]secblade module test

[S9500-secblade-test] security-vlan  50 60

[S9500-secblade-test] map to slot 2

3）进入SecBlade视图，配置子接口，并且把子接口加入相应的区域（缺省用户名和密码为SecBlade，区分大小写）

<S9500> secblade slot 2

user：SecBlade

password：SecBlade

<SecBlade_FW> system

5）SecBlade视图下配置防火墙工作模式为路由模式，把接口配置相应的IP地址并加入相应的区域

[SecBlade_FW] firewall mode route

[SecBlade_FW] interface g0/0.50

[SecBlade_FW -GigabitEthernet0/0.50] ip address 50.0.0.254 24

[SecBlade_FW -GigabitEthernet0/0.50] vlan-type dot1q vid 50

[SecBlade_FW] interface GigabitEthernet 0/0.60

[SecBlade_FW -GigabitEthernet0/0.60] ip address 60.0.0.254 24

[SecBlade_FW -GigabitEthernet0/0.60] vlan-type dot1q vid 60

[SecBlade_FW] firewall zone trust

[SecBlade_FW -zone-trust] add interface GigabitEthernet 0/0.50

[SecBlade_FW] firewall zone untrust

[SecBlade_FW -zone-untrust] add interface GigabitEthernet 0/0.60

四、配置关键点：

1)        Firewall在缺省默认情况下不转发任何报文，需要执行命令firewall packet-filter default permit使其默认转发；

2)        FW转发报文前，请确认扣板上的主接口是up的。