防火墙一般几个接口（防火墙接口类型全介绍）

物理接口1) 防火墙支持的接口可以是二层接口或者三层接口2) 二层接口：portswitch3) 三层接口：undo portswitch

逻辑接口1) VT（virtual template）接口、dialer接口2) tunnel接口、null接口3) vlanif接口4) 三层以太网子接口5) Eth-Trunk接口、loobacp接口

防火墙的Eth-trunk

优点：

1) 本质是要提高链路的带宽 2) 可靠性（LACP协议） 3) 负载分担

Eth-trunk模式分类：

1) 手工负载分担模式（默认）注意：所有链路都要参与转发2) 静态LACP模式（没有动态LACP）注意: 可以所有，也可以配置备份M:N形式 Eth-trunk接口类型1) 三层Eth-trunk2) 二层Eth-trunk

交换机上面为二层Eth-trunk

第一步：新建Eth-trunk及模式

interfaceEth-Trunk1 modelacp-static---------默认手工负载分担

第二步：定义Eth-trunk类型

interfaceEth-Trunk1 portlink-typetrunk porttrunkallow-passvlan2to4094

第三步：把接口加入Eth-trunk组方法一

intXXXX eth-trunk1

方法二

inteth-trunkXX(防火墙不能） trunkportg0/0/1to0/0/2

防火墙上面为三层Eth-trunk 第一步：创建ETH-TRUNK及模式

interfaceEth-Trunk1 modelacp-static

第二步：接口成员加入ETH-TRUNK

intXXX eth-trunk1

检查Eth-Trunk的配置

<FW1>displayeth-trunk1 15:10:492019/06/02 Eth-Trunk1'sstateinformationis: Local: LAGID:1WorkingMode:STATIC PreemptDelay:DisableHashArichmetic:AccordingtoIP SystemPriority:32768SystemID:2444-27ca-fbff Leastactive-linknumber:1Maxactive-linknumber:8 OperateStatus:upNumberofUpPortinTrunk:2----------------------------------------------------ActorPortNameStatusPortTypePortPriPortNoPortKeyPortStateWeigth GigabitEthernet0/0/1Selected100M32768264101111001 GigabitEthernet0/0/2Selected100M32768364101111001 Partner:----------------------------------------------------ActorPortNameSysPriSystemIDPortPriPortNoPortKeyPortState GigabitEthernet0/0/132768384c-4f60-9d2032768128910111100GigabitEthernet0/0/232768384c-4f60-9d2032768228910111100

防火墙的子接口

物理接口的子接口

防火墙配置子接口

interfaceGigabitEthernet1/0/1.10-------先取子接口 vlan-typedot1q10----------------------封装VLANID ipaddress10.1.1.10255.255.255.0#interfaceGigabitEthernet1/0/1.16 vlan-typedot1q16 ipaddress192.168.1.10255.255.255.0#

第二步：把子接口加ZONE

firewallzonetrust addinterfaceGigabitEthernet1/0/1.10#firewallzonedmz addinterfaceGigabitEthernet1/0/1.16

检查：

[FW1]displayzone 20:26:162019/03/07local priorityis100#trust priorityis85 interfaceofthezoneis(2): GigabitEthernet0/0/0 GigabitEthernet1/0/1.10#dmz priorityis50 interfaceofthezoneis(1): GigabitEthernet1/0/1.16

第三步：测试防火墙直连通信默认一个都通不了，因为华为防火墙默认ZONE与ZONE之间都没有放行安全策略 默认的策略是deny

[FW1]displaysecurity-policyall 21:35:502019/09/05 Total:1 RULEIDRULENAMESTATEACTIONHITTED -------------------------------------------------------------------------------0defaultenabledeny275 -------------------------------------------------------------------------------[FW1] security-policy defaultactionpermit----------默认全开安全策略

测试各个直接通信测试完毕一定要记得关闭

security-policydefaultactiondeny

注意： 关于ping的问题 如果在防火墙上PING各个ZONE，只要上面放行所有安全策略，就可以访问 如果从各个安全区域访问防火墙的接口，全放安全策略无用，必须开启接口的访问管理PING，这样才能PING通防火墙接口第五步：检查测试

逻辑接口的子接口

三层eth-trunk可以配置IP 二层Eth-trunk链路类型默认为hybrid

interfaceEth-Trunk1 portlink-typetrunk porttrunkallow-passvlan10164050

配置：

interfaceEth-Trunk1.10 vlan-typedot1q10ipaddress10.1.1.10255.255.255.0#interfaceEth-Trunk1.16 vlan-typedot1q16ipaddress192.168.1.10255.255.255.0#

注意：注意:所有防火墙的接口，无论是物理还是逻辑都需要加ZONE防火墙所有的接口都定义ZONE

firewallzonetrustsetpriority85 addinterfaceEth-Trunk1.10# firewallzoneuntrustsetpriority5# firewallzonedmzsetpriority50 addinterfaceEth-Trunk1.16

放行安全策略

security-policy rulenametrust_dmzsource-zonetrust destination-zonedmz actionpermit

防火墙的vlanif接口

 实验演示防火墙上面的vlanif接口技术

配置思路：第一步: 创建VLAN

vlanbatch2030

第二步：把接口配置成为二层

interfaceGigabitEthernet1/0/3 portswitch portlink-typeaccess------------默认为ACCESS，可以修改 portaccessvlan20#interfaceGigabitEthernet1/0/4 portswitch portlink-typeaccess portaccessvlan30

第三步：创建VLANIF接口

interfaceVlanif20 ipaddress10.1.2.10255.255.255.0 service-managepingpermit#interfaceVlanif30 ipaddress10.1.3.10255.255.255.0 service-managepingpermit

第四步：接口划入ZONE注意：不需要把接口再划入ZONE，只需要逻辑加ZONE

firewallzonetrustaddinterfaceVlanif20 addinterfaceVlanif30

第五步：测试检查注意: 同一个ZONE不需要配置安全策略，可以互相通信 ------结论对吗？现在USG6320 V100版本 ，就必须要配置同一个ZONE安全策略

security-policy rulenametrust_trustsource-zonetrust destination-zonetrust actionpermit

,