2026/5/15HCIA HCIA

39.Eudemon-N（NGFW）防火墙基础实验

Eudemon N（NGFW）防火墙基础实验 1.实验拓扑及描述 2.实验需求 1. 本实验中的防火墙为Eudemon N系列防火墙（软件版本为V100R001C30SPC300）； 2. 防火墙三个接口的IP地址按照上图所示进行配置；将这三个接口划入相应的安全区域； 3. 配置防火墙的安全策略，使

Eudemon-N（NGFW）防火墙基础实验

1.实验拓扑及描述

2.实验需求

本实验中的防火墙为Eudemon-N系列防火墙（软件版本为V100R001C30SPC300）；

防火墙三个接口的IP地址按照上图所示进行配置；将这三个接口划入相应的安全区域；

配置防火墙的安全策略，使得PC1能够主动访问PC2，但是PC2无法主动访问PC1；PC2能够主动访问Server的FTP服务。

3.实现步骤及配置

防火墙FW的配置如下：

SHELL

[FW] interface GigabitEthernet1/0/1 
[FW-GigabitEthernet1/0/1] ip address 192.168.1.254 24 
[FW] interface GigabitEthernet1/0/2 
[FW-GigabitEthernet1/0/2] ip address 172.16.1.254 24 
[FW] interface GigabitEthernet1/0/3 
[FW-GigabitEthernet1/0/3] ip address 10.1.1.254 24 
 
#将接口添加到相应的安全区域： 
[FW] firewall zone trust 
[FW-zone-trust] add interface GigabitEthernet0/0/1 
[FW] firewall zone dmz 
[FW-zone-dmz] add interface GigabitEthernet0/0/2 
[FW] firewall zone untrust 
[FW-zone-untrust] add interface GigabitEthernet0/0/3 
 
#配置安全策略，使得trust区域的192.168.1.0/24网段能够访问untrust区域的10.1.1.0/24网段： 
[FW]security-policy 
[FW-policy-security]rule name test1    #test1是自定义的规则名 
[FW-policy-security-rule-test1]source-zone trust 
[FW-policy-security-rule-test1]destination-zone untrust 
[FW-policy-security-rule-test1]source-address 192.168.1.0 24 
[FW-policy-security-rule-test1]destination-address 10.1.1.0 24 
[FW-policy-security-rule-test1]action permit 
 
#配置安全策略，使得untrust区域的10.1.1.0/24网段用户能够访问Server的FTP服务： 
[FW]security-policy 
[FW-policy-security]rule name for_FTP

注意：Eudemon-N系列防火墙的配置与-X系列存在一定的差异，例如区域间安全策略的配置就大不相同，因此需格外留意。

完成上述配置后，PC1即可ping通PC2，当PC1 ping PC2时，我们能在FW上看到如下会话：

SHELL

使用display firewall session table verbose命令进一步查看会话的详细内容

SHELL

从上述输出可以看出流量的源区域及目标区域，会话所命中的安全策略中的规则名称等信息。 PC2也能够访问Server的FTP服务，在FW上能看到如下会话：

SHELL