## 先说结论这个拓扑的核心不是“把线连通”而是把访问关系控制清楚。最终实现效果如下| 访问场景 | 最终效果 || --- | --- || 办公区 PC 访问 OA Server | 仅工作日 08:00-18:00 允许 || 办公区 PC 访问 Web Server | 任意时间允许 || 生产区 PC 访问 OA Server | 任意时间允许 || 生产区 PC 访问 Web Server | 默认禁止 || 生产区 PC3 访问 Web Server | 每周一 10:00-11:00 允许 |一句话概括LSW1 做 VLAN 接入FW1 做三层网关和策略控制LSW2 承载 DMZ 服务器所有 Trust 到 DMZ 的流量都必须经过 FW1 安全策略匹配。## 一、项目需求拆解原始拓扑如下Trust 区域包含办公区和生产区DMZ 区域包含 OA Server 与 Web Server。作业要求可以拆成 5 条安全规则1. VLAN 2 属于办公区。2. VLAN 3 属于生产区。3. 办公区只允许在工作日 08:00-18:00 访问 OA Server。4. 办公区任意时间允许访问 Web Server。5. 生产区任意时间允许访问 OA Server但禁止访问 Web ServerPC3 是例外只能在每周一 10:00-11:00 访问 Web Server。这里最容易忽略的是“PC3 特例”。生产区整体禁止访问 Web Server但 PC3 在指定时间又允许访问 Web Server所以安全策略必须先匹配 PC3 特例再匹配生产区拒绝规则。## 二、为什么 Trust 区域要拆成两个 /25 子网拓扑图中 Trust 区域整体标注为 192.168.1.0/24但防火墙侧出现了两个网关地址- 办公区网关192.168.1.126- 生产区网关192.168.1.254如果两个防火墙子接口都配置在 192.168.1.0/24就会出现三层接口网段重叠问题。因此本项目采用更规范的拆分方式- VLAN 2 办公区192.168.1.0/25可用地址范围 192.168.1.1-192.168.1.126- VLAN 3 生产区192.168.1.128/25可用地址范围 192.168.1.129-192.168.1.254这样 PC1、PC2、PC3 的地址与图中网关完全匹配也能让 FW1 子接口正常工作。## 三、项目拓扑设计本项目使用三个安全逻辑区域| 区域 | 包含设备 | 作用 || --- | --- | --- || Trust | PC1、PC2、PC3、LSW1 | 企业内部用户区 || DMZ | OA Server、Web Server、LSW2 | 企业服务器区 || FW1 | USG 防火墙 | 三层网关与安全策略执行点 |设备连接关系如下| 链路 | 接口规划 | 说明 || --- | --- | --- || PC1 到 LSW1 | GE0/0/2 | AccessVLAN 2 || PC2 到 LSW1 | GE0/0/3 | AccessVLAN 3 || PC3 到 LSW1 | GE0/0/4 | AccessVLAN 3 || LSW1 到 FW1 | LSW1 GE0/0/1 - FW1 GE1/0/1 | Trunk放行 VLAN 2、3 || LSW2 到 FW1 | LSW2 GE0/0/1 - FW1 GE1/0/0 | DMZ 接入 || OA Server 到 LSW2 | LSW2 GE0/0/2 | DMZ 服务器接入 || Web Server 到 LSW2 | LSW2 GE0/0/3 | DMZ 服务器接入 |## 四、IP 地址规划| 设备 | VLAN/区域 | IP 地址 | 掩码 | 默认网关 | 说明 || --- | --- | --- | --- | --- | --- || PC1 | VLAN 2 办公区 | 192.168.1.1 | 255.255.255.128 | 192.168.1.126 | 办公区终端 || PC2 | VLAN 3 生产区 | 192.168.1.129 | 255.255.255.128 | 192.168.1.254 | 生产区终端 || PC3 | VLAN 3 生产区 | 192.168.1.130 | 255.255.255.128 | 192.168.1.254 | 生产区特例终端 || OA Server | DMZ | 10.0.0.1 | 255.255.255.0 | 10.0.0.254 | OA 办公系统 || Web Server | DMZ | 10.0.0.2 | 255.255.255.0 | 10.0.0.254 | 企业 Web 服务 || FW1 GE1/0/1.2 | VLAN 2 | 192.168.1.126 | 255.255.255.128 | - | 办公区网关 || FW1 GE1/0/1.3 | VLAN 3 | 192.168.1.254 | 255.255.255.128 | - | 生产区网关 || FW1 GE1/0/0 | DMZ | 10.0.0.254 | 255.255.255.0 | - | DMZ 网关 |## 五、配置思路总览配置顺序建议按下面这条线推进1. 配置 PC 与服务器 IP 地址。2. 配置 LSW1创建 VLAN 2、VLAN 3接入口划分 VLAN上联口配置 Trunk。3. 配置 LSW2将 OA Server、Web Server 和 FW1 接口放在同一个 DMZ 二层网络。4. 配置 FW1创建子接口配置网关地址加入安全区域。5. 配置地址对象和时间对象。6. 配置安全策略并按策略顺序验证。## 六、LSW1 配置Trust 区域 VLAN 划分LSW1 负责办公区和生产区的二层接入。PC1 属于办公区 VLAN 2PC2 和 PC3 属于生产区 VLAN 3。textHuawei system-view[Huawei] sysname LSW1[LSW1] vlan batch 2 3[LSW1] interface GigabitEthernet0/0/1[LSW1-GigabitEthernet0/0/1] port link-type trunk[LSW1-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 3[LSW1-GigabitEthernet0/0/1] quit[LSW1] interface GigabitEthernet0/0/2[LSW1-GigabitEthernet0/0/2] port link-type access[LSW1-GigabitEthernet0/0/2] port default vlan 2[LSW1-GigabitEthernet0/0/2] quit[LSW1] interface GigabitEthernet0/0/3[LSW1-GigabitEthernet0/0/3] port link-type access[LSW1-GigabitEthernet0/0/3] port default vlan 3[LSW1-GigabitEthernet0/0/3] quit[LSW1] interface GigabitEthernet0/0/4[LSW1-GigabitEthernet0/0/4] port link-type access[LSW1-GigabitEthernet0/0/4] port default vlan 3[LSW1-GigabitEthernet0/0/4] quit[LSW1] save配置完成后LSW1 的关键检查命令如下text[LSW1] display vlan[LSW1] display port vlan## 七、LSW2 配置DMZ 服务器接入LSW2 只负责 DMZ 区域的服务器接入。这里使用 VLAN 10 管理 DMZ 二层网络FW1 的 GE1/0/0、OA Server、Web Server 都在同一 VLAN 中。textHuawei system-view[Huawei] sysname LSW2[LSW2] vlan batch 10[LSW2] interface GigabitEthernet0/0/1[LSW2-GigabitEthernet0/0/1] port link-type access[LSW2-GigabitEthernet0/0/1] port default vlan 10[LSW2-GigabitEthernet0/0/1] quit[LSW2] interface GigabitEthernet0/0/2[LSW2-GigabitEthernet0/0/2] port link-type access[LSW2-GigabitEthernet0/0/2] port default vlan 10[LSW2-GigabitEthernet0/0/2] quit[LSW2] interface GigabitEthernet0/0/3[LSW2-GigabitEthernet0/0/3] port link-type access[LSW2-GigabitEthernet0/0/3] port default vlan 10[LSW2-GigabitEthernet0/0/3] quit[LSW2] save## 八、FW1 配置接口、子接口与安全区域FW1 是本项目的关键设备既是 Trust 区域和 DMZ 区域的三层网关也是访问控制策略的执行点。### 1. 配置接口地址textUSG6000V system-view[USG6000V] sysname FW1[FW1] interface GigabitEthernet1/0/0[FW1-GigabitEthernet1/0/0] ip address 10.0.0.254 255.255.255.0[FW1-GigabitEthernet1/0/0] undo shutdown[FW1-GigabitEthernet1/0/0] quit[FW1] interface GigabitEthernet1/0/1[FW1-GigabitEthernet1/0/1] undo shutdown[FW1-GigabitEthernet1/0/1] quit[FW1] interface GigabitEthernet1/0/1.2[FW1-GigabitEthernet1/0/1.2] vlan-type dot1q 2[FW1-GigabitEthernet1/0/1.2] ip address 192.168.1.126 255.255.255.128[FW1-GigabitEthernet1/0/1.2] quit[FW1] interface GigabitEthernet1/0/1.3[FW1-GigabitEthernet1/0/1.3] vlan-type dot1q 3[FW1-GigabitEthernet1/0/1.3] ip address 192.168.1.254 255.255.255.128[FW1-GigabitEthernet1/0/1.3] quit### 2. 加入安全区域text[FW1] firewall zone trust[FW1-zone-trust] set priority 85[FW1-zone-trust] add interface GigabitEthernet1/0/1.2[FW1-zone-trust] add interface GigabitEthernet1/0/1.3[FW1-zone-trust] quit[FW1] firewall zone dmz[FW1-zone-dmz] set priority 50[FW1-zone-dmz] add interface GigabitEthernet1/0/0[FW1-zone-dmz] quit因为 Trust 和 DMZ 都是 FW1 的直连网段本项目不需要额外配置静态路由。只要终端默认网关写对跨网段流量就能到达 FW1。## 九、地址对象与时间对象为了让安全策略更清晰建议先创建地址对象和时间对象。这样后期排错时看策略名称就能快速定位需求。### 1. 地址对象text[FW1] ip address-set office_net type object[FW1-object-address-set-office_net] address 0 192.168.1.0 mask 25[FW1-object-address-set-office_net] quit[FW1] ip address-set prod_net type object[FW1-object-address-set-prod_net] address 0 192.168.1.128 mask 25[FW1-object-address-set-prod_net] quit[FW1] ip address-set pc3_host type object[FW1-object-address-set-pc3_host] address 0 192.168.1.130 mask 32[FW1-object-address-set-pc3_host] quit[FW1] ip address-set oa_server type object[FW1-object-address-set-oa_server] address 0 10.0.0.1 mask 32[FW1-object-address-set-oa_server] quit[FW1] ip address-set web_server type object[FW1-object-address-set-web_server] address 0 10.0.0.2 mask 32[FW1-object-address-set-web_server] quit如果你的 USG 版本不支持这种地址对象写法也可以在安全策略中直接写地址例如textsource-address 192.168.1.0 mask 255.255.255.128destination-address 10.0.0.1 mask 255.255.255.255### 2. 时间对象text[FW1] time-range workday_0800_1800[FW1-time-range-workday_0800_1800] period-range 08:00:00 to 18:00:00 working-day[FW1-time-range-workday_0800_1800] quit[FW1] time-range monday_1000_1100[FW1-time-range-monday_1000_1100] period-range 10:00:00 to 11:00:00 mon[FW1-time-range-monday_1000_1100] quit有些 eNSP 镜像的星期关键字可能存在大小写或版本差异。如果 mon 不识别可以在命令后输入 ? 查看当前版本支持的写法例如 Mon、Monday 或其他星期关键字。配置时间策略前一定要看设备时间text[FW1] display clock如果时间不对可以临时调整。例如设置为 2026 年 7 月 28 日星期二 09:00textFW1 clock datetime 09:00:00 2026-07-28## 十、安全策略这一步决定实验是否成功安全策略一定要注意顺序。PC3 是生产区的一台主机生产区整体又禁止访问 Web Server所以 PC3 的允许规则必须放在生产区拒绝规则前面。| 顺序 | 策略名称 | 源地址 | 目的地址 | 时间段 | 动作 || --- | --- | --- | --- | --- | --- || 1 | pc3_web_monday_allow | PC3 | Web Server | 周一 10:00-11:00 | permit || 2 | office_oa_worktime_allow | 办公区 | OA Server | 工作日 08:00-18:00 | permit || 3 | office_web_allow | 办公区 | Web Server | 任意时间 | permit || 4 | prod_oa_allow | 生产区 | OA Server | 任意时间 | permit || 5 | prod_web_deny | 生产区 | Web Server | 任意时间 | deny || 6 | office_oa_offtime_deny | 办公区 | OA Server | 任意时间 | deny |完整策略命令如下text[FW1] security-policy[FW1-policy-security] rule name pc3_web_monday_allow[FW1-policy-security-rule-pc3_web_monday_allow] source-zone trust[FW1-policy-security-rule-pc3_web_monday_allow] destination-zone dmz[FW1-policy-security-rule-pc3_web_monday_allow] source-address address-set pc3_host[FW1-policy-security-rule-pc3_web_monday_allow] destination-address address-set web_server[FW1-policy-security-rule-pc3_web_monday_allow] time-range monday_1000_1100[FW1-policy-security-rule-pc3_web_monday_allow] action permit[FW1-policy-security-rule-pc3_web_monday_allow] quit[FW1-policy-security] rule name office_oa_worktime_allow[FW1-policy-security-rule-office_oa_worktime_allow] source-zone trust[FW1-policy-security-rule-office_oa_worktime_allow] destination-zone dmz[FW1-policy-security-rule-office_oa_worktime_allow] source-address address-set office_net[FW1-policy-security-rule-office_oa_worktime_allow] destination-address address-set oa_server[FW1-policy-security-rule-office_oa_worktime_allow] time-range workday_0800_1800[FW1-policy-security-rule-office_oa_worktime_allow] action permit[FW1-policy-security-rule-office_oa_worktime_allow] quit[FW1-policy-security] rule name office_web_allow[FW1-policy-security-rule-office_web_allow] source-zone trust[FW1-policy-security-rule-office_web_allow] destination-zone dmz[FW1-policy-security-rule-office_web_allow] source-address address-set office_net[FW1-policy-security-rule-office_web_allow] destination-address address-set web_server[FW1-policy-security-rule-office_web_allow] action permit[FW1-policy-security-rule-office_web_allow] quit[FW1-policy-security] rule name prod_oa_allow[FW1-policy-security-rule-prod_oa_allow] source-zone trust[FW1-policy-security-rule-prod_oa_allow] destination-zone dmz[FW1-policy-security-rule-prod_oa_allow] source-address address-set prod_net[FW1-policy-security-rule-prod_oa_allow] destination-address address-set oa_server[FW1-policy-security-rule-prod_oa_allow] action permit[FW1-policy-security-rule-prod_oa_allow] quit[FW1-policy-security] rule name prod_web_deny[FW1-policy-security-rule-prod_web_deny] source-zone trust[FW1-policy-security-rule-prod_web_deny] destination-zone dmz[FW1-policy-security-rule-prod_web_deny] source-address address-set prod_net[FW1-policy-security-rule-prod_web_deny] destination-address address-set web_server[FW1-policy-security-rule-prod_web_deny] action deny[FW1-policy-security-rule-prod_web_deny] quit[FW1-policy-security] rule name office_oa_offtime_deny[FW1-policy-security-rule-office_oa_offtime_deny] source-zone trust[FW1-policy-security-rule-office_oa_offtime_deny] destination-zone dmz[FW1-policy-security-rule-office_oa_offtime_deny] source-address address-set office_net[FW1-policy-security-rule-office_oa_offtime_deny] destination-address address-set oa_server[FW1-policy-security-rule-office_oa_offtime_deny] action deny[FW1-policy-security-rule-office_oa_offtime_deny] quit[FW1-policy-security] default action deny[FW1-policy-security] quit[FW1] save这里服务类型没有单独限制默认按“访问服务器”理解为 IP 层可达便于同时用 ping 和 Web 访问验证。## 十一、Web 页面配置路线如果你参考博客使用防火墙 Web 页面配置可以按下面顺序做1. 使用 admin / admin123 登录 FW1。2. 进入接口配置完成 GE1/0/0、GE1/0/1.2、GE1/0/1.3 的 IP 地址配置。3. 进入安全区域将办公区和生产区子接口加入 Trust将 DMZ 接口加入 DMZ。4. 创建地址对象office_net、prod_net、pc3_host、oa_server、web_server。5. 创建时间对象workday_0800_1800、monday_1000_1100。6. 创建 6 条安全策略并严格按上文顺序排列。7. 提交配置并保存。Web 页面配置的重点不是点哪个按钮而是策略逻辑和顺序。只要对象、区域、时间段和策略顺序正确Web 页面和 CLI 的最终效果是一致的。## 十二、验证方案按矩阵逐条打勾### 1. 先验证基础连通性| 测试项 | 命令示例 | 预期结果 || --- | --- | --- || PC1 到办公区网关 | ping 192.168.1.126 | 成功 || PC2 到生产区网关 | ping 192.168.1.254 | 成功 || PC3 到生产区网关 | ping 192.168.1.254 | 成功 || OA Server 到 DMZ 网关 | ping 10.0.0.254 | 成功 || Web Server 到 DMZ 网关 | ping 10.0.0.254 | 成功 |如果这一步失败先不要看防火墙策略优先检查 PC IP、网关、交换机 VLAN、Trunk 放行列表。### 2. 再验证业务访问| 编号 | 测试场景 | 测试时间示例 | 源主机 | 目的地址 | 预期结果 || --- | --- | --- | --- | --- | --- || 1 | 办公区访问 OA | 2026-07-28 周二 09:00 | PC1 | 10.0.0.1 | 允许 || 2 | 办公区非工作时间访问 OA | 2026-07-28 周二 19:00 | PC1 | 10.0.0.1 | 拒绝 || 3 | 办公区访问 Web | 任意时间 | PC1 | 10.0.0.2 | 允许 || 4 | 生产区访问 OA | 任意时间 | PC2/PC3 | 10.0.0.1 | 允许 || 5 | 生产区访问 Web | 非特例时间 | PC2 | 10.0.0.2 | 拒绝 || 6 | PC3 特例访问 Web | 2026-08-03 周一 10:30 | PC3 | 10.0.0.2 | 允许 || 7 | PC3 超出特例时间访问 Web | 2026-08-03 周一 11:30 | PC3 | 10.0.0.2 | 拒绝 |### 3. 验证时常用命令textFW1 display clockFW1 display security-policy rule allFW1 display firewall session table测试不同时间段时可以临时修改防火墙时间。修改时间后建议清理旧会话textFW1 reset firewall session table原因是防火墙是状态检测设备已经建立的会话可能继续存在。如果不清理会话可能出现“策略明明改了但测试结果没变”的情况。## 十三、踩坑提醒### 1. PC 能 ping 网关但 ping 不通服务器这种情况一般说明二层接入没问题问题集中在防火墙- FW1 接口是否加入了正确安全区域。- 安全策略源区域是否是 Trust目的区域是否是 DMZ。- 地址对象是否写错例如把 PC3 写成了 PC2。- 策略顺序是否正确。### 2. PC 连自己的网关都 ping 不通优先检查交换机和终端地址- PC 所在接口是否是 access。- PC 所在接口是否划入正确 VLAN。- LSW1 上联 FW1 的接口是否是 trunk。- trunk 是否放行 VLAN 2 和 VLAN 3。- PC 的掩码和默认网关是否写成 /24。本项目中 PC1 应使用 255.255.255.128网关是 192.168.1.126PC2、PC3 也应使用 255.255.255.128网关是 192.168.1.254。### 3. PC3 周一 10:00-11:00 还是不能访问 Web重点看三件事- pc3_web_monday_allow 是否在 prod_web_deny 上面。- 防火墙系统时间是否真的是周一 10:00-11:00。- PC3 地址对象是否精确写成 192.168.1.130/32。### 4. 只允许 HTTP 后 ping 不通如果策略里只放通了 HTTP那么 ping 不通是正常现象因为 ping 用的是 ICMP。## 十四、项目总结本项目完成了一个典型的企业内网安全访问控制场景- VLAN 2 和 VLAN 3 实现办公区、生产区隔离。- FW1 子接口承担不同 VLAN 的三层网关。- OA Server 和 Web Server 放入 DMZ 区域。- Trust 到 DMZ 的访问统一经过防火墙安全策略控制。- 通过时间段对象实现工作日访问和每周一特例访问。这个实验的重点不是命令数量而是策略设计逻辑先把区域划清楚再把地址对象建清楚最后按“特例优先、允许在前、拒绝兜底”的顺序写策略。只要这个逻辑不乱后面的排错会轻松很多。
