HCL配置防火牆WEB方式登入實驗

comware v5防火牆中存在區域優先順序的概念，以及預設區域互訪策略，即高優先順序安全區域可以訪問低優先順序，低優先順序區域不能訪問高優先順序區域，相同優先順序區域可以互訪，所有區域都可以訪問local區域。

出於安全性的考慮，comware v7摒棄了v5中區域優先順序的概念以及預設域間策略。預設情況下，所有介面不屬於任何安全域；區域之間預設無法互訪。若要通過http或https方式配置防火牆，需要在命令列下進行相關配置。

開啟物理機的網路連線，將virtualbox host-only network網絡卡位址配置為 192.168.0.2/24，如下圖

啟動命令列終端，login:adminpassword:admin，檢視g1/0/1介面位址預設為192.168.0.1/24，使用display inte***ce brief命令檢視

此時，在物理機下 ping 192.168.0.1 ，是 ping 不通的

[h3c]security-zone name management
[h3c-security-zone-management]import inte***ce gigabitethernet 1/0/1

檢視安全域及域下介面，使用命令display security-zone

上述配置將 gigabitethernet 1/0/1 介面劃到 management 域下，可以根據實際情況更改。

[h3c]acl advanced 3000
[h3c-acl-ipv4-adv-3000]rule permit ip   //允許所有ip流量通過

（5）建立域間策略

management到local策略：

[h3c]zone-pair security source management destination local
[h3c-zone-pair-security-management-local]packet-filter 3000

local到management策略：

此時，在物理機下 ping 192.168.0.1 ，是可以 ping 通的

f1060配置介面

注：注意：

(1) f1060上預設開啟 http 及 https 服務，若未開啟，無法通過 web 登入。可以檢視相關配置檢查 http 及 https 是否開啟，也可以在 cmd 下 telnet 192.168.0.1 80 和 telnet 192.168.0.1 443 檢視相關埠是否開啟。

開啟 http 服務命令：ip http enable

開啟 https 服務命令：ip https enable

(2) 預設 admin 使用者只可以通 http 方式登入；若使用其他使用者登入，相關使用者下必須開啟 service type http 或 https