1  简介

本文档介绍H3C防火墙和UTM设备域间策略的典型配置举例。

本文档系统工作在无优先级访问策略状态。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解VD、安全域、对象管理、域间策略特性。

3  基本域间策略配置举例

3.1  组网需求

如图1所示，公司内部网络通过Firewall与Internet互连。要求：

·     正确配置域间策略，允许内部主机Public（IP地址为10.1.1.12/24）在任何时候访问外部网络；

·     禁止内部其他主机在上班时间（星期一～星期五的8:00～18:00）访问外部网络。

·     管理主机连接防火墙端口GigabitEthernet0/0，对设备进行Web管理。

图1 基本域间策略配置组网图

3.2  配置思路

·     为了使域间策略在规定的时间内生效，要在配置域间策略前按组网要求配置好时间段。

·     为了对网络访问行为进行监控，需开启日志功能。

·     为了对设备进行Web管理，需要配置管理口所在安全域到Local域的域间策略，这里管理口为GigabitEthernet0/0。

3.3  使用版本

本举例是在SecPath F1000-E Release 3734P06版本上进行配置和验证的。

3.4  配置注意事项

此举例的所有配置都是在缺省VD下配置的。

3.5  配置步骤

3.5.1  通过命令行设置管理口，实现对设备的Web管理

# 通过Console口登录设备。

# 系统默认将管理口加入到Management域。如果未加入，则需要手动配置。

<Firewall> system-view

[Firewall] zone name management

[Firewall-zone-management] import interface gigabitethernet 0/0

[Firewall-zone-management] quit

# 配置管理口GigabitEthernet 0/0的IP地址。

[Firewall] interface gigabitethernet 0/0

[Firewall-GigabitEthernet0/0] ip address 192.168.2.1 24

[Firewall-GigabitEthernet0/0] quit

# 配置地址对象，管理主机的IP地址为192.168.2.2。

[Firewall] object network host manage-pc

[Firewall-object-network-manage-pc] host address 192.168.2.2

[Firewall-object-network-manage-pc] quit

# 配置Management域到Local域之间的域间策略。

[Firewall] interzone source management destination local

[Firewall-interzone-management-local] rule 0 permit

[Firewall-interzone-management-local-rule-0] source-ip manage-pc

[Firewall-interzone-management-local-rule-0] destination-ip any_address

[Firewall-interzone-management-local-rule-0] service http

[Firewall-interzone-management-local-rule-0] rule enable

[Firewall-interzone-management-local-rule-0] quit

# 如果系统无用户名，需要设置相应的用户名，并开启相应服务，用于Web登录。

3.5.2  通过Web方式配置Firewall

(1)     配置接口IP地址

# 在左侧导航栏中选择“设备管理 > 接口管理”，配置接口GigabitEthernet0/1的地址，进入如下界面。

图2 接口管理

# 点击GigabitEthernet0/1栏中的按钮，进入“接口编辑”界面。按照下图设置接口GigabitEthernet0/1，点击<确定>按钮，返回“接口管理”界面。

图3 接口编辑

# 采用相同方法配置接口GigabitEthernet0/2的地址，详细配置略。

(2)     修改安全域

# 在左侧导航栏中选择“设备管理 > 安全域”。

图4 安全域

# 点击“Untrust”后面的按钮，进入“修改安全域”界面，将接口GigabitEthernet0/1加入Untrust域，点击<确定>按钮完成配置。

图5 修改安全域

# 点击Trust栏中的按钮，进入“修改安全域”界面。按照下图将接口GigabitEthernet0/2加入Trust域，点击<确定>按钮完成配置。

图6 修改安全域

(3)     配置时间段

# 配置时间段（星期一～星期五的8:00～18:00）。

a.     在左侧导航栏中选择 “资源管理 > 时间段”，单击<新建>按钮，进行如图7所示配置。

图7 配置上班时间段

b.     输入名称为“worktime”。

c.     选中“周期时间段”前的复选框。

d.     设置开始时间为“8:0”。

e.     设置结束时间为“18:0”。

f.     选中“星期一”～“星期五”前的复选框。

g.     单击<确定>按钮完成操作。

(4)     配置资源

# 配置主机地址资源对象。

a.     在左侧导航栏中选择“资源管理 > 地址 > IP 地址”，默认进入“主机地址”页签的页面，单击<新建>按钮，进行如下配置，如图8所示。

图8 配置主机地址资源public

b.     选中“IP地址”前的单选按钮。

c.     输入名称为“public”。

d.     输入IP地址为“10.1.1.12”，单击<添加>按钮将其添加到IP地址列表框中。

e.     单击<确定>按钮完成操作。

# 配置允许主机Public在任何时候访问外部网络的域间策略规则。

a.     在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，单击<新建>按钮，进行如下配置，如图9所示。

图9 配置允许主机Public在任何时候访问外部网络的域间策略规则

b.     选择源域为“Trust”。

c.     选择目的域为“Untrust”。

d.     选择源IP地址为“public”。

e.     选择过滤动作为“Permit”。

f.     选中“开启Syslog日志功能”复选框。

g.     选中“启用规则”复选框。

h.     选中“确定后续添加下一条规则”复选框。

i.     单击<确定>按钮完成操作。

# 配置禁止其他主机在上班时间访问外部网络的域间策略规则。

a.     在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，单击<新建>按钮，进行如下配置，如图10所示。

图10 配置禁止其他主机在上班时间访问外部网络的域间策略规则

b.     选择过滤动作为“Deny”。

c.     选择时间段为“worktime”。

d.     选中“开启Syslog日志功能”复选框。

e.     选中“启用规则”复选框。

f.     单击<确定>按钮完成操作。

# 配置允许其他主机在非上班时间访问外部网络的域间策略规则。

a.     在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，单击<新建>按钮，进行如下配置，如图11所示。

图11 配置允许其他主机在非上班时间访问外部网络的域间策略规则

b.     选择过滤动作为“Permit”。

c.     选中“开启Syslog日志功能”复选框。

d.     选中“启用规则”复选框。

e.     去勾选“确定后续添加下一条规则”复选框。

f.     单击<确定>按钮完成操作。

3.5.3  通过命令行方式配置Firewall

# 配置接口GigabitEthernet0/1的地址。

<Firewall> system-view

[Firewall] interface gigabitethernet 0/1

[Firewall-GigabitEthernet0/1] ip address 20.1.1.1 24

[Firewall-GigabitEthernet0/1] quit

# 配置接口GigabitEthernet0/2的地址。

[Firewall] interface gigabitethernet 0/2

[Firewall-GigabitEthernet0/2] ip address 10.1.1.1 24

[Firewall-GigabitEthernet0/2] quit

# 将接口GigabitEthernet0/1加入Untrust域。

[Firewall] zone name untrust

[Firewall-zone-untrust] import interface gigabitethernet 0/1

[Firewall-zone-untrust] quit

# 将接口GigabitEthernet0/2加入Trust域。

[Firewall] zone name trust

[Firewall-zone-trust] import interface gigabitethernet 0/2

[Firewall-zone-trust] quit

# 配置时间段（星期一～星期五的8:00～18:00）。

[Firewall] time-range worktime 08:00 to 18:00 working-day

# 配置主机地址资源对象public。

[Firewall] object network host public

[Firewall-object-network-public] host address 10.1.1.12

[Firewall-object-network-public] quit

# 配置允许主机Public在任何时候访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule permit logging

[Firewall-interzone-trust-untrust-rule-0] source-ip public

[Firewall-interzone-trust-untrust-rule-0] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-0] service any_service

[Firewall-interzone-trust-untrust-rule-0] rule enable

[Firewall-interzone-trust-untrust-rule-0] quit

# 配置禁止其他主机在上班时间访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule 1 deny logging time-range worktime

[Firewall-interzone-trust-untrust-rule-1] source-ip any_address

[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-1] service any_service

[Firewall-interzone-trust-untrust-rule-1] rule enable

[Firewall-interzone-trust-untrust-rule-1] quit

# 配置允许其他主机在非上班时间访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule 2 permit logging

[Firewall-interzone-trust-untrust-rule-1] source-ip any_address

[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-1] service any_service

[Firewall-interzone-trust-untrust-rule-1] rule enable

[Firewall-interzone-trust-untrust-rule-1] quit

3.6  验证配置

# 内部主机Public在上班时间访问外部网络，允许访问。在导航栏中选择“日志管理 > 日志报表 > 域间策略日志”，可以看到域间策略日志 ，动作为允许。

图12 域间策略日志

# 其他内部主机如IP地址为10.1.1.13/24的主机，在上班时间访问外部网络时，访问被拒绝。在导航栏中选择“日志管理 > 日志报表 > 域间策略日志”，可以看到域间策略日志，动作为拒绝。

图13 域间策略日志

3.7  配置文件

#

time-range worktime 08:00 to 18:00 working-day

#

interface GigabitEthernet0/0

port link-mode route

ip address 192.168.2.1 24

#

interface GigabitEthernet0/1

port link-mode route

ip address 20.1.1.1 24

#

interface GigabitEthernet0/2

port link-mode route

ip address 10.1.1.1 24

#

zone name Management id 0

 priority 100

 import interface GigabitEthernet0/0

#

zone name Trust id 2

 priority 85

 import interface GigabitEthernet0/2

zone name Untrust id 4

 priority 5

 import interface GigabitEthernet0/1

switchto vd Root

 object network host manage-pc

  host address 192.168.2.2

 object network host public

  host address 10.1.1.12

interzone source Management destination Local

  rule 0 permit

   source-ip manage-pc

   destination-ip any_address

   service http

   rule enable

interzone source Trust destination Untrust

  rule 0 permit logging

   source-ip public

   destination-ip any_address

   service any_service

   rule enable

  rule 1 deny logging time-range worktime

   source-ip any_address

   destination-ip any_address

   service any_service

   rule enable

rule 2 permit logging

   source-ip any_address

   destination-ip any_address

   service any_service

   rule enable

#

4  基于隧道应用的域间策略配置举例

4.1  组网需求

如图14所示组网，要求在Firewall A和Firewall B之间建立GRE隧道，Host A和Host B通过GRE隧道进行互访。

图14 GRE隧道组网图

4.2  使用版本

本举例是在SecPath F1000-E Feature 3171P22版本上进行配置和验证的。

4.3  配置注意事项

此举例的所有配置都是在缺省VD下配置的。

4.4  配置步骤

4.4.1  通过Web方式配置Firewall A

(1)     配置接口IP地址

# 在左侧导航栏中选择“设备管理 > 接口管理”，配置接口GigabitEthernet0/1的地址，进入如下界面。

图15 接口管理

# 点击GigabitEthernet0/1栏中的按钮，进入“接口编辑”界面。按照下图设置接口GigabitEthernet0/1，点击<确定>按钮，返回“接口管理”界面。

图16 接口编辑

# 采用相同方法配置接口GigabitEthernet0/2的地址，详细配置略。

(2)     创建GRE tunnel接口

# 在左侧导航栏选择“VPN > GRE > GRE”，点击<新建>按钮，按如下页面进行配置。

图17 GRE隧道配置

(3)     将接口GigabitEthernet 0/1加入到安全域Trust

# 在左侧导航栏中选择“设备管理 > 安全域”。

图18 安全域

# 点击“Trust”后面的按钮，进入“修改安全域”界面，将接口GigabitEthernet0/1加入Trust域，点击<确定>按钮完成配置。

图19 修改安全域

# 采用相同方法将接口GigabitEthernet0/2加入到安全域Untrust，详细配置略。

(4)     创建域间策略

# 在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，点击<新建>按钮，创建Trust域到Untrust域的域间策略。

图20 创建Trust域到Untrust域的域间策略规则

# 按“确定”按钮完成配置。

# 在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，点击<新建>按钮，创建Local域到Untrust域的域间策略。

图21 创建Untrust域到Local域的域间策略规则

# 按“确定”按钮完成配置。

# 在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，点击<新建>按钮，创建Untrust域到Local域的域间策略。

图22 创建Untrust域到Local域的域间策略规则

# 在左侧导航栏中选择“防火墙 > 安全策略 > 域间策略”，点击<新建>按钮，创建Untrust域到Trust域的域间策略。

图23 创建Untrust域到Trust域的域间策略规则

(5)     配置静态路由

# 在左侧导航栏“网络管理 > 路由管理 > 静态路由”，点击<新建>按钮，设置去往目的地址为10.2.1.0/24网段的路由下一跳为tunnel1。

图24 配置静态路由

4.4.2  通过命令行方式配置Firewall A

# 配置接口GigabitEthernet 0/1的IP地址。

<FirewallA> system-view

[FirewallA] interface gigabitethernet 0/1

[FirewallA-GigabitEthernet0/1] ip address 10.1.1.1 24

[FirewallA-GigabitEthernet0/1] quit

# 配置接口GigabitEthernet 0/2的IP地址。

[FirewallA] interface gigabitethernet 0/2

[FirewallA-GigabitEthernet0/2] ip address 37.1.1.1 24

[FirewallA-GigabitEthernet0/2] quit

# 创建GRE隧道。

[FirewallA] interface tunnel 1

[FirewallA-Tunnel1] source gigabitethernet 0/2

[FirewallA-Tunnel1] destination 37.1.1.2

[FirewallA-Tunnel1] ip address 100.1.1.1 24

[FirewallA-Tunnel1] quit

# 将接口GigabitEthernet 0/1添加到Trust域。

[FirewallA] zone name trust

[FirewallA-zone-trust] import interface gigabitethernet 0/1

[FirewallA-zone-trust] quit

# 将接口GigabitEthernet 0/2和Tunnel1添加到Untrust域。

[FirewallA] zone name Untrust

[FirewallA-zone-Untrust] import interface GigabitEthernet 0/2

[FirewallA-zone-Untrust] import interface Tunnel 1

[FirewallA-zone-Untrust] quit

# 创建地址对象。

[FirewallA] object network subnet sour-addr

[FirewallA-object-network-sour-addr] subnet 10.1.1.0 0.0.0.255

[FirewallA-object-network-sour-addr] quit

[FirewallA] object network subnet dest-addr

[FirewallA-object-network-dest-addr] subnet 10.2.1.0 0.0.0.255

[FirewallA-object-network-dest-addr] quit

[FirewallA] object network subnet tunnel-addr

[FirewallA-object-network-tunnel-addr] subnet 37.1.1.0 0.0.0.255

[FirewallA-object-network-tunnel-addr] quit

# 创建Trust域到Untrust域之间的域间策略。

[FirewallA] interzone source trust destination untrust

[FirewallA-interzone-trust-untrust] rule permit

[FirewallA-interzone-trust-untrust-rule-1] source-ip sour-addr

[FirewallA-interzone-trust-untrust-rule-1] destination-ip dest-addr

[FirewallA-interzone-trust-untrust-rule-1] service any_service

[FirewallA-interzone-trust-untrust-rule-1] rule enable

[FirewallA-interzone-trust-untrust-rule-1] quit

# 创建Local域到Untrust域之间的域间策略。

[FirewallA] interzone source local destination untrust

[FirewallA-interzone-local-untrust] rule permit

[FirewallA-interzone-local-untrust-rule-1] source-ip tunnel-addr

[FirewallA-interzone-local-untrust-rule-1] destination-ip tunnel-addr

[FirewallA-interzone-local-untrust-rule-1] service any_service

[FirewallA-interzone-local-untrust-rule-1] rule enable

[FirewallA-interzone-local-untrust-rule-1] quit

# 创建Untrust域到Local域之间的域间策略。

[FirewallA] interzone source untrust destination local

[FirewallA-interzone-untrust-local] rule permit

[FirewallA-interzone-untrust-local-rule-1] source-ip tunnel-addr

[FirewallA-interzone-untrust-local-rule-1] destination-ip tunnel-addr

[FirewallA-interzone-untrust-local-rule-1] service any_service

[FirewallA-interzone-untrust-local-rule-1] rule enable

[FirewallA-interzone-untrust-local-rule-1] quit

# 创建Untrust域到Trust域之间的域间策略。

[FirewallA] interzone source untrust destination trust

[FirewallA-interzone-untrust-trust] rule permit

[FirewallA-interzone-untrust-trust-rule-1] source-ip dest-addr

[FirewallA-interzone-untrust-trust-rule-1] destination-ip sour-addr

[FirewallA-interzone-untrust-trust-rule-1] service any_service

[FirewallA-interzone-untrust-trust-rule-1] rule enable

[FirewallA-interzone-untrust-trust-rule-1] quit

# 配置去往目的地址为10.2.1.0/24网段的静态路由。

[Firewall] ip route-static 10.2.1.0 24 Tunnel 1

4.4.3  Firewall B的配置

Firewall B的配置方法与Firewall A相同，请参考Firewall A的配置。

4.5  验证配置

完成上述配置后，Host A和Host B可以互相ping通，具体验证信息略。

4.6  配置文件

#

interface GigabitEthernet 0/1

port link-mode route

ip address 10.1.1.1 24

#

interface GigabitEthernet 0/2

port link-mode route

ip address 37.1.1.1 24

#

interface Tunnel 1

source GigabitEthernet 0/2

destination 37.1.1.2

ip address 100.1.1.1 24

#

zone name Trust id 2

priority 85

import interface GigabitEthernet 0/1

zone name Untrust id 4

priority 5

import interface GigabitEthernet 0/2

import interface Tunnel 1

switchto vd Root

object network subnet sour-addr

subnet 10.1.1.0 0.0.0.255

object network subnet dest-addr

subnet 10.2.1.0 0.0.0.255

object network subnet tunnel-addr

subnet 37.1.1.0 0.0.0.255

interzone source Trust destination Untrust

rule 0 permit

source-ip sour-addr

destination-ip dest-addr

service any_service

rule enable

interzone source local destination untrust

rule 0 permit

source-ip tunnel-addr

destination-ip tunnel-addr

service any_service

rule enable

interzone source untrust destination local

rule 0 permit

source-ip tunnel-addr

destination-ip tunnel-addr

service any_service

rule enable

interzone source untrust destination trust

rule 0 permit

source-ip dest-addr

destination-ip sour-addr

service any_service

rule enable

#

ip route-static 10.2.1.0 24 Tunnel 1

#

5  基于L2TP VPN应用的域间策略配置举例

5.1  组网需求

如图25所示，Firewall A上创建虚拟PPP用户，要求为该虚拟PPP用户建立L2TP隧道，使Host A向Host B发送报文时Firewall A自动向Firewall B发起建立隧道连接的请求。

图25 L2TP VPN组网图

5.2  使用版本

本举例是在SecPath F1000-E Feature 3171P22版本上进行配置和验证的。

5.3  配置注意事项

·     此举例的所有配置都是在缺省VD下配置的。

·     如果需要在自定义VD下，设置Local为源域，该VD下自定义安全域为目的域的域间策略，需要将自定义下的安全域设置为共享域，然后在默认VD下设置Local域到该域的域间策略。

·     如果需要在自定义VD下，设置目的域为Local域的域间策略，需要将Local域设置为共享域。

5.4  配置步骤

5.4.1  配置Firewall A

1. 配置接口地址

# 配置接口GigabitEthernet 0/1的IP地址。

<FirewallA> system-view

[FirewallA] interface gigabitethernet 0/1

[FirewallA-GigabitEthernet0/1] ip address 10.1.1.1 24

[FirewallA-GigabitEthernet0/1] quit

# 配置接口GigabitEthernet 0/2的IP地址。

[FirewallA] interface gigabitethernet 0/2

[FirewallA-GigabitEthernet0/2] ip address 37.1.1.1 24

[FirewallA-GigabitEthernet0/2] quit

# 配置虚拟PPP用户的用户名和密码，及PPP验证方式为PAP。

[FirewallA] interface virtual-template 0

[FirewallA-Virtual-Template0] ip address ppp-negotiate

[FirewallA-Virtual-Template0] ppp pap local-user vpdnuser password simple Hello

[FirewallA-Virtual-Template0] ppp authentication-mode pap

[FirewallA-Virtual-Template0] quit

2. 配置安全域

# 将接口 VT 0添加到Untrust域。

[FirewallA]zone name Untrust

[FirewallA-zone-Untrust] import interface virtual-template0

[FirewallA-zone-Untrust] quit

# 将接口GigabitEthernet 0/1添加到Trust域。

[FirewallA] zone name Trust

[FirewallA-zone-trust] import interface gigabitethernet 0/1

[FirewallA-zone-trust] quit

# 将接口GigabitEthernet 0/2添加到Untrust域。

[FirewallA] zone name Untrust

[FirewallA-zone-Untrust] import interface gigabitethernet 0/2

[FirewallA-zone-Untrust] quit

3. 配置域间策略

# 创建地址对象。

[FirewallA] object network subnet sour-addr

[FirewallA-object-network-sour-addr] subnet 10.1.1.0 0.0.0.255

[FirewallA-object-network-sour-addr] quit

[FirewallA] object network subnet dest-addr

[FirewallA-object-network-dest-addr] subnet 10.2.1.0 0.0.0.255

[FirewallA-object-network-dest-addr] quit

[FirewallA] object network subnet tunnel-addr

[FirewallA-object-network-tunnel-addr] subnet 37.1.1.0 0.0.0.255

[FirewallA-object-network-tunnel-addr] quit

# 创建Trust域到Untrust域之间的域间策略。

[FirewallA] interzone source trust destination untrust

[FirewallA-interzone-trust-untrust] rule permit

[FirewallA-interzone-trust-untrust-rule-1] source-ip sour-addr

[FirewallA-interzone-trust-untrust-rule-1] destination-ip dest-addr

[FirewallA-interzone-trust-untrust-rule-1] service any_service

[FirewallA-interzone-trust-untrust-rule-1] rule enable

[FirewallA-interzone-trust-untrust-rule-1] quit

# 创建Local域到Untrust域之间的域间策略。

[FirewallA] interzone source local destination untrust

[FirewallA-interzone-local-untrust] rule permit

[FirewallA-interzone-local-untrust-rule-1] source-ip tunnel-addr

[FirewallA-interzone-local-untrust-rule-1] destination-ip tunnel-addr

[FirewallA-interzone-local-untrust-rule-1] service any_service

[FirewallA-interzone-local-untrust-rule-1] rule enable

[FirewallA-interzone-local-untrust-rule-1] quit

4. 配置L2TP

# 创建本地用户，配置用户名、密码及服务类型。

[FirewallA] local-user vpdnuser

[FirewallA-luser-vpdnuser] password simple Hello

[FirewallA-luser-vpdnuser] service-type ppp

[FirewallA-luser-vpdnuser] quit

# 开启L2TP。

[FirewallA] l2tp enable

[FirewallA] l2tp-group 1

# 配置LAC侧本端名称，配置对端LNS的IP地址。

[FirewallA-l2tp1] tunnel name LAC

[FirewallA-l2tp1] start l2tp ip 37.1.1.2 fullusername vpdnuser

# 启用通道验证并设置通道验证密钥。

[FirewallA-l2tp1] tunnel authentication

[FirewallA-l2tp1] tunnel password simple aabbcc

[FirewallA-l2tp1] quit

# 配置私网路由，访问公司总部的报文将通过L2TP隧道转发。

[FirewallA] ip route-static 10.2.1.0 24 virtual-template 0

# 触发LAC建立L2TP隧道。

[Firewall] interface virtual-template 0

[Firewall-virtual-template0] l2tp-auto-client enable

[Firewall-virtual-template0] quit

5.4.2  配置Firewall B

1. 配置接口IP地址

# 设置接口GigabitEthernet 0/1的IP地址。

<FirewallB> system-view

[FirewallB] interface gigabitethernet 0/1

[FirewallB-GigabitEthernet0/1] ip address 10.2.1.1 24

[FirewallB-GigabitEthernet0/1] quit

# 配置接口GigabitEthernet 0/2的IP地址。

[FirewallB] interface gigabitethernet 0/2

[FirewallB-GigabitEthernet0/2] ip address 37.1.1.2 24

[FirewallB-GigabitEthernet0/2] quit

# 配置虚拟模板接口Virtual-Template0的相关信息。

[FirewallB] interface virtual-template 0

[FirewallB-virtual-template0] ip address 100.1.1.1 255.255.255.0

[FirewallB-virtual-template0] remote address pool 1

[FirewallB-virtual-template0] ppp authentication-mode pap

[FirewallB-virtual-template0] quit

2. 配置安全域

# 将接口 VT 0添加到Untrust域。

[FirewallB] zone name Untrust

[FirewallB-zone-Untrust] import interface Virtual-Template0

[FirewallB-zone-Untrust] quit

# 将接口GigabitEthernet 0/1添加到Trust域。

[FirewallB] zone name Trust

[FirewallB-zone-trust] import interface gigabitethernet 0/1

[FirewallB-zone-trust] quit

# 将接口GigabitEthernet 0/2添加到Untrust域。

[FirewallB] zone name Untrust

[FirewallB-zone-Untrust] import interface gigabitethernet 0/2

[FirewallB-zone-Untrust] quit

3. 配置域间策略

# 创建地址对象。

[FirewallB] object network subnet sour-addr

[FirewallB-object-network-sour-addr] subnet 10.2.1.0 0.0.0.255

[FirewallB-object-network-sour-addr] quit

[FirewallB] object network subnet dest-addr

[FirewallB-object-network-dest-addr] subnet 10.1.1.0 0.0.0.255

[FirewallB-object-network-dest-addr] quit

[FirewallB] object network subnet tunnel-addr

[FirewallB-object-network-tunnel-addr] subnet 37.1.1.0 0.0.0.255

[FirewallB-object-network-tunnel-addr] quit

# 创建Untrust域到Local域之间的域间策略。

[FirewallB] interzone source untrust destination local

[FirewallB-interzone-untrust-local] rule permit

[FirewallB-interzone-untrust-local-rule-1] source-ip tunnel-addr

[FirewallB-interzone-untrust-local-rule-1] destination-ip tunnel-addr

[FirewallB-interzone-untrust-local-rule-1] service any_service

[FirewallB-interzone-untrust-local-rule-1] rule enable

[FirewallB-interzone-untrust-local-rule-1] quit

# 创建Untrust域到Trust域之间的域间策略。

[FirewallB] interzone source untrust destination trust

[FirewallB-interzone-untrust-trust] rule permit

[FirewallB-interzone-untrust-trust-rule-1] source-ip dest-addr

[FirewallB-interzone-untrust-trust-rule-1] destination-ip sour-addr

[FirewallB-interzone-untrust-trust-rule-1] service any_service

[FirewallB-interzone-untrust-trust-rule-1] rule enable

[FirewallB-interzone-untrust-trust-rule-1] quit

4. 配置L2TP隧道

# 创建本地用户，配置用户名、密码及服务类型。

[FirewallB] local-user vpdnuser

[FirewallB-luser-vpdnuser] password simple Hello

[FirewallB-luser-vpdnuser] service-type ppp

[FirewallB-luser-vpdnuser] quit

# 对VPN用户采用本地验证。

[FirewallB] domain system

[FirewallB-isp-system] authentication ppp local

[FirewallB-isp-system] ip pool 1 100.1.1.2 100.1.1.10

[FirewallB-isp-system] quit

# 启用L2TP服务，并设置一个L2TP组。

[FirewallB] l2tp enable

[FirewallB] l2tp-group 1

# 配置LNS侧本端名称及接收的通道对端名称。

[FirewallB-l2tp1] tunnel name LNS

[FirewallB-l2tp1] allow l2tp virtual-template 0 remote LAC

# 启用通道验证并设置通道验证密钥。

[FirewallB-l2tp1] tunnel authentication

[FirewallB-l2tp1] tunnel password simple aabbcc

[FirewallB-l2tp1] quit

# 配置私网路由，访问VPN用户的报文将通过L2TP隧道转发。

[FirewallB] ip route-static 10.1.1.0 24 virtual-template 0

5.5  验证配置

Host A和Host B可以互相ping通，具体验证显示信息略。

5.6  配置文件

·     Firewall A：

#

l2tp enable

#

local-user vpdnuser

 password simple Hello

 service-type ppp

#

l2tp-group 1

 tunnel password simple aabbcc

 tunnel name LAC

 start l2tp ip 37.1.1.2 fullusername vpdnuser

#

interface Virtual-Template0

 ppp authentication-mode pap

 ppp pap local-user vpdnuser password simple Hello

 l2tp-auto-client enable

 ip address ppp-negotiate

#

interface GigabitEthernet0/1

 port link-mode route

 ip address 10.1.1.1 255.255.255.0

#

interface GigabitEthernet0/2

 port link-mode route

 ip address 37.1.1.1 255.255.255.0

#

zone name Trust id 2

 priority 85

 import interface GigabitEthernet0/1

zone name Untrust id 4

 priority 5

 import interface GigabitEthernet0/2

 import interface Virtual-Template0

switchto vd Root

 object network subnet dest-addr

  subnet 10.2.1.0 0.0.0.255

object network subnet sour-addr

  subnet 10.1.1.0 0.0.0.255

 object network subnet tunnel-addr

  subnet 37.1.1.0 0.0.0.255

 interzone source Local destination Untrust

  rule 0 permit

   source-ip tunnel-addr

   destination-ip tunnel-addr

   service any_service

   rule enable

 interzone source Trust destination Untrust

  rule 0 permit

   source-ip sour-addr

   destination-ip dest-addr

   service any_service

   rule enable

 interzone source Untrust destination Local

  rule 0 permit

   source-ip tunnel-addr

   destination-ip tunnel-addr

   service any_service

   rule enable

 interzone source Untrust destination Trust

  rule 0 permit

   source-ip dest-addr

   destination-ip sour-addr

   service any_service

   rule enable

#

 ip route-static 10.2.1.0 255.255.255.0 Virtual-Template0

#

·     Firewall B：

#

l2tp enable

#

domain system

 authentication ppp local

ip pool 0 100.1.1.2 100.1.1.10

#

local-user vpdnuser

 password simple Hello

 service-type ppp

#

l2tp-group 1

 allow l2tp virtual-template 0 remote LAC

 tunnel password simple aabbcc

#

interface Virtual-Template0

 ppp authentication-mode pap

 remote address pool

 ip address 100.1.1.1 255.255.255.0

#

interface GigabitEthernet0/1

 port link-mode route

 ip address 10.2.1.1 255.255.255.0

#

interface GigabitEthernet0/2

 port link-mode route

 ip address 37.1.1.2 255.255.255.0

#

zone name Trust id 2

 priority 85

 import interface GigabitEthernet0/1

zone name Untrust id 4

 priority 5

 import interface GigabitEthernet0/2

 import interface Virtual-Template0

switchto vd Root

 object network subnet dest-addr

  subnet 10.1.1.0 0.0.0.255

 object network subnet sour-addr

  subnet 10.2.1.0 0.0.0.255

 object network subnet tunnel-addr

  subnet 37.1.1.0 0.0.0.255

interzone source Local destination Untrust

  rule 0 permit

   source-ip tunnel-addr

   destination-ip tunnel-addr

   service any_service

   rule enable

 interzone source Trust destination Untrust

  rule 0 permit

   source-ip sour-addr

destination-ip dest-addr

   service any_service

   rule enable

 interzone source Untrust destination Local

  rule 0 permit

   source-ip tunnel-addr

   destination-ip tunnel-addr

   service any_service

   rule enable

 interzone source Untrust destination Trust

  rule 0 permit

   source-ip dest-addr

   destination-ip sour-addr

   service any_service

   rule enable

#

ip route-static 10.1.1.0 24 virtual-template 0