常用命令
<SRG> //用户视图，用户视图只能使用查看命令
<SRG>? //查看用户视图下的所有命令
<SRG>display version //查看VRP系统版本
<SRG>system-view //进入系统视图
[SRG]sysname R1 //修改设备名称为R1
[R1]display clock //查看系统时间
[R1]quit //返回上一级
<SRG>save //保存配置
<SRG>display saved-configuration //查看保存的配置
<SRG>display current-configuration //查看当前运行的配置
<SRG>reboot //重启设备
<USG6000>reset saved-configuration //恢复出厂配置查看license信息及esn码
[USG6000]display license //查看license信息
[USG6000]display esn //查看esn码查看接口IP信息
[USG6000]display ip interface brief //查看接口IP简要信息
[USG6000]display current-configuration interface GigabitEthernet 1/0/0 //查看该接口的运行信息设置接口IP地址
[SRG]interface GigabitEthernet 0/0/0 //进入接口模式
[SRG-GigabitEthernet0/0/0]ip address 10.10.10.11 24 //24为子网掩码
[SRG-GigabitEthernet0/0/0]shutdown //禁用接口
[SRG-GigabitEthernet0/0/0]undo shutdown //启用接口
[SRG-GigabitEthernet0/0/0]display this //查看该接口信息设置vlan1管理地址,并允许ssh及https访问
[USG6000]interface Vlanif 1
[USG6000-Vlanif1]ip address 192.168.80.100 24
[USG6000-Vlanif1]service-manage ssh permit
[USG6000-Vlanif1]service-manage https permit
[USG6000-Vlanif1]service-manage ping permit //注意这种方式会导致策略不生效
[USG6000-Vlanif1]undo service-manage enable //必须关闭服务管理,策略才生效设置静态默认路由
[USG6000]ip route-static 0.0.0.0 0.0.0.0 192.168.80.1设置旗标和登录成功后提示
[SRG]header login information "zhuhai huanao zaixianjianceshi usg2000"
[SRG]header shell information "Wecome to Huawei USG2000"设置时区及日期
<R1>clock timezone beijin add 08:00 //设置时区为北京东八区
<R1>clock datetime 11:20:10 2021/02/03 //11点20分10秒，2021年02月03日设置console口密码及超时时间
[SRG]user-interface console 0 //进入console口配置模式
[SRG-ui-console0]authentication-mode password cipher huawei@123 //设置密码为huawei@123
[SRG-ui-console0]idle-timeout 20 //设置超时时间为20分钟设置console口使用用户名密码登录（usg2000)
[SRG]user-interface console 0
[SRG-ui-console0]authentication-mode aaa //认证模式为AAA
[SRG]aaa //进入AAA配置模式
[SRG-aaa]local-user chb password cipher huawei@123 //创建chb用户名，密码为huawei@123
[SRG-aaa]local-user chb service-type terminal //指定chb用户的类型为console口用
[SRG-aaa]local-user chb level 15 //指定chb用户的权限等级为15（15表示最高权限）
[SRG-aaa]display local-user //查看本地用户创建AAA用户管理console口,ssh,web
[USG6000]aaa //进入AAA配置模式
[USG6000-aaa]manager-user chbadmin //创建用户chbadmin
[USG6000-aaa-manager-user-chbadmin]password cipher huawei@123 //设置密码为huawei@123
[USG6000-aaa-manager-user-chbadmin]service-type terminal ssh web //指定为console,ssh,web用
[USG6000-aaa-manager-user-chbadmin]level 15 //设置级别为15,数值越大权限越高,15是最高权限web登录配置管理
[SRG-GigabitEthernet0/0/0]service-manage enable //默认已开启
[SRG-GigabitEthernet0/0/0]service-manage https permit //允许https，也可以设置允许Ping
3. 启动web管理功能
[SRG]web-manager enable
[SRG]web-manager security enable port 8443
[SRG]web-manager timeout 60 //设置超时时间为60分钟
telnet登录配置管理
1. 开启telnet服务
[SRG]telnet server enable 2. 配置USG接口telnet设备管理
[SRG-GigabitEthernet0/0/0]service-manage enable
[SRG-GigabitEthernet0/0/0]service-manage telnet permit //设置接口允许telnet
[SRG-GigabitEthernet0/0/0]service-manage ping permit //设置接口允许ping3. 配置vty 并设置密码登录（或者参照下一条使用用户密码登录）
[SRG]user-interface vty 0 4 //进入vty配置模式
[SRG-ui-vty0-4]protocol inbound telnet //配置vty允许telnet
[SRG-ui-vty0-4]authentication-mode password cipher huawei@123 //设置认证模式为密码
[SRG-ui-vty0-4]user privilege level 3 //设置权限级别为34. 配置vty并设置用户名密码登录即AAA认证
[USG6000]user-interface vty 0 4
[USG6000-ui-vty0-4]protocol inbound telnet
[USG6000-ui-vty0-4]authentication-mode aaa //设置认证模式为AAA
[USG6000-ui-vty0-4]idle-timeout 60 //设置超时时间60分钟
[USG6000]aaa //进入AAA配置
[USG6000-aaa]manager-user telchb //创建用户telchb
[USG6000-aaa-manager-user-telchb]password cipher huawei@123 //设置密码为huawei@123
[USG6000-aaa-manager-user-telchb]service-type telnet //设置服务类型为telnet
[USG6000-aaa-manager-user-telchb]level 3 //设置级别为3通过SSH方式登录管理
1. 启用Stelnet服务
[SRG]stelnet server enable 2. 配置防火墙管理接口允许SSH管理
[SRG-GigabitEthernet0/0/0]service-manage enable
[SRG-GigabitEthernet0/0/0]service-manage ssh permit 3. 配置RSA本地密钥对
[SRG]rsa local-key-pair create 4. 配置vty线路
[SRG]user-interface vty 0 4
[SRG-ui-vty0-4]authentication-mode aaa
[SRG-ui-vty0-4]protocol inbound ssh //允许ssh
[SRG-ui-vty0-4]idle-timeout 60 //设置超时时间为60分钟5. 配置ssh登录用户名密码
[SRG]ssh user chbssh
[SRG]ssh user chbssh authentication-type password
[SRG]ssh user chbssh service-type stelnet
[SRG]aaa
[SRG-aaa]local-user chbssh password cipher huawei@123
[SRG-aaa]local-user chbssh service-type ssh
[SRG-aaa]local-user chbssh level 3文件管理
<SRG>dir //查看当前目录文件
<SRG>copy private-data.txt 123.txt //复制private-data.txt到当前目录并改名为123.txt
<SRG>move 123.txt 111.txt //移动123.txt到当前目录并改名为111.txt
<SRG>delete 111.txt //删除111.txt，并非彻底删除可以恢复
<SRG>dir /all //查看当前目录所有文件
<SRG>undelete 111.txt //恢复刚才删除的文件111.txt
<SRG>delete /unreserved 111.txt //彻底删除111.txt
<SRG>mkdir flash:/backup //在根目录下创建文件夹backup
<SRG>cd backup //切换目录到backup文件夹中
<SRG>pwd //查看当前路径
<SRG>cd / //切换到根目录
<SRG>copy private-data.txt flash:/backup/private-data-bak.txt //复制文件到指定路径
<SRG>move private-data.txt flash:/private-data.txt //移动文件到指定路径将flash中的文件备份到TFTP和FTP
#将flash中的vrpcfg.zip上传到tftp服务器
<R1>tftp 192.168.10.11 put flash:/vrpcfg.zip
#将tftp服务器的vrpcfg2.zip下载到flash中
<R1>tftp 192.168.10.11 get vrpcfg2.zip flash:/vrpcfg2.zip
<R1>ftp 192.168.10.11 21 //登录ftp服务器端口号21
输入用户名
输入密码
[R1-ftp]get 111.txt 111.txt //下载ftp中的111.txt到flash中
[R1-ftp]put vrpcfg.zip vrpcfg-bak.zip //上传flash中的vrpcfg.zip到ftp中设置系统启动使用的文件及配置文件
<SRG>display startup //查看系统启动使用的系统文件和配置文件
<SRG>startup system-software filename1.zip //设置系统启动文件
<SRG>startup saved-configuration vrpcfg2.zip //指定保存配置的文件将防火墙设置为ftp服务器
需设置防火墙规则允许（略）
[USG6000]ftp server enable //开启ftp服务
[USG6000]aaa
[USG6000-aaa]manager-user ftpchb
[USG6000-aaa-manager-user-ftpchb]password cipher huawei@123
[USG6000-aaa-manager-user-ftpchb]service-type ftp //指定服务类型为ftp
[USG6000-aaa-manager-user-ftpchb]ftp-directory hda1: //指定ftp的根目录为hda1
[USG6000-aaa-manager-user-ftpchb]level 3
[USG6000]undo ftp server //关闭ftp服务安全区域设置并将接口划入该区域
[USG6000]firewall zone untrust //进入untrust区域配置
[USG6000-zone-untrust]add interface GigabitEthernet 1/0/0 //将该接口加入到该区域
[USG6000-zone-untrust]display this //查看该区域的配置信息
[USG6000]firewall zone trust
[USG6000-zone-trust]add interface Vlanif 1 //将vlan1接口划入该区域
[USG6000]firewall zone name Inbound //创建区域Inbound ，并进入该区域配置
[USG6000-zone-Inbound]set priority 90 //设置优先级为90，数值越大信任级别越高
[USG6000-zone-Inbound]add interface GigabitEthernet 1/0/5 //将该接口加入到该区域
[USG6000]display zone //查看区域信息配置安全策略
[USG6000]security-policy //进入安全策略配置
[USG6000-policy-security]default action deny //设置默认策略为禁止
[USG6000-policy-security]rule name SUL02 //新建一条规则名称是SUL02
[USG6000-policy-security-rule-SUL02]source-zone untrust //源区域是untrust
[USG6000-policy-security-rule-SUL02]destination-zone local //目标区域是local
[USG6000-policy-security-rule-SUL02]action permit //动作是允许
[USG6000]display security-policy rule all //查看所有安全策略条目名称
[USG6000]display security-policy rule name SUL02 //查看SUL02这条安全策略
[USG6000]interface GigabitEthernet 1/0/1 //进入该接口模式
[USG6000-GigabitEthernet1/0/0]undo service-manage enable //关闭服务管理,才能使安全策略生效配置安全策略示例
[USG6000]security-policy
[USG6000-policy-security]rule name UT02 //新建一个规则名称叫UT02
[USG6000-policy-security-rule-UT02]source-address 192.168.10.12 32
[USG6000-policy-security-rule-UT02]source-address 192.168.11.0 0.0.0.255 //使用反掩码表示地址范围,即192.168.11.0/24这个网段
[USG6000-policy-security-rule-UT02]source-address range 192.168.12.1 192.168.12.50 //指定地址范围在192.168.12.1~192.168.12.50
[USG6000-policy-security-rule-UT02]destination-address any //目标地址是any,表示所有地址
[USG6000-policy-security-rule-UT02]user any //用户是所有用户,这条命令是默认的,可以省略
[USG6000-policy-security-rule-UT02]service protocol tcp destination-port 22 //指定目标端口是TCP的22号端口
[USG6000-policy-security-rule-UT02]service protocol udp destination-port 888 //指定目标端口是UDP的888端口
[USG6000-policy-security-rule-UT02]service protocol icmp //允许ping
[USG6000-policy-security-rule-UT02]service protocol icmp icmp-type echo-reply //上一条命令包含这条命令,这个表示只允许icmp的回显包
[USG6000-policy-security]undo rule name UT02 //删除UT02这条规则
[USG6000-policy-security]display this //查看规则内容使用地址组,服务组,时间组的方式配置安全策略
1、创建相应的地址组
[USG6000]ip address-set A01 type object //创建对象A01
[USG6000-object-address-set-A01]address 192.168.11.0 0.0.0.255 //添加地址范围,注意是反掩码写法
[USG6000-object-address-set-A01]address 192.168.12.0 0.0.0.255
[USG6000]ip address-set A02 type object //创建对象A02
[USG6000-object-address-set-A02]address 192.168.20.0 0.0.0.255
[USG6000-object-address-set-A02]address 192.168.21.0 0.0.0.255
[USG6000]ip address-set A type group //创建组A
[USG6000-group-address-set-A]address address-set A01 //添加对象A01
[USG6000-group-address-set-A]address address-set A02
[USG6000-group-address-set-A]address 192.168.3.0 0.0.0.255 //也可以在组里面,直接添加地址范围
[USG6000]display ip address-set all //查看地址组
[USG6000]display ip address-set verbose A01 item //查看地址组A01详细
[USG6000]display ip address-set verbose A item 2、创建相应的服务组
[USG6000]ip service-set S01 type object //创建服务对象S01
[USG6000-object-service-set-S01]service protocol tcp destination-port 80 //添加目的地址端口为TCP的80
[USG6000-object-service-set-S01]service protocol tcp destination-port 22
[USG6000]ip service-set S02 type object
[USG6000-object-service-set-S02]service protocol tcp destination-port 8080
[USG6000-object-service-set-S02]service protocol tcp destination-port 8081
[USG6000]ip service-set S type group //创建服务组
[USG6000-group-service-set-S]service service-set S01 //添加服务对象S01
[USG6000-group-service-set-S]service service-set S02
[USG6000]display ip service-set all //查看服务组
[USG6000]display ip service-set verbose S01 item //查看服务组S01详细
[USG6000]display ip service-set verbose S item 3、创建相应的时间组
[USG6000]time-range T //创建时间组T
[USG6000-time-range-T]period-range 08:00:00 to 18:00:00 working-day //设置周期时间为,工作日为周一到周五的8点到18点
[USG6000-time-range-T]absolute-range 08:00:00 2021/04/02 to 18:00:00 2020/12/30 //设置绝对时间
[USG6000-time-range-T]undo absolute-range all //删除上一条命令
[USG6000-time-range-T]display this4、配置安全策略时使用刚才创建的组
[USG6000]security-policy
[USG6000-policy-security]rule name UT03 //创建或者是进入条目UT03编辑
[USG6000-policy-security-rule-UT03]service S //指定服务组为S
[USG6000-policy-security-rule-UT03]destination-address address-set A //指定目标地址为地址组A
[USG6000-policy-security-rule-UT03]time-range T //设置时间组为T
[USG6000-policy-security-rule-UT03]undo time-range //删除上一条命令
[USG6000-policy-security-rule-UT03]action permit //动作允许查看路由及设置默认路由
[USG6000]ip route-static 0.0.0.0 0.0.0.0 172.16.10.3 //设置默认路由
[USG6000]undo ip route-static 0.0.0.0 0.0.0.0 //删除上一条命令
[USG6000]ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet 1/0/0 172.16.10.3 //设置默认路由,并指定出去的接口
[USG6000]display ip routing-table //查看路由表设置接口为交换口
[USG6000]interface GigabitEthernet 1/0/1 //进入接口模式
[USG6000-GigabitEthernet1/0/1]portswitch //设置接口为交换口
[USG6000-GigabitEthernet1/0/1]port link-type access //设置接口类型为接入接口
[USG6000-GigabitEthernet1/0/1]undo portswitch //取消上一条命令,即接口恢复为路由口查看防火墙会话表
[USG6000]display firewall session table //查看会话表简要信息
[USG6000]display firewall session table verbose //查看会话表详细信息
[USG6000]display firewall server-map //查看server-map信息将ASPF检测FTP流量的端口改为其他端口
防火墙默认是开启ASPF检测的,针对多协议服务,如FTP服务,ASPF会针对FTP服务临时开放安全策略
[USG6000]acl 2001 //创建ACL编号2001
[USG6000-acl-basic-2001]rule permit source 10.21.50.10 0.0.0.0 //允许该源地址
[USG6000]port-mapping FTP port 2121 acl 2001 //将关于ASFP检测的FTP服务转移到2121端口,ACL条目是2001
[USG6000]undo firewall detect ftp //关闭aspf检测ftp浏览SSH方式连接华为USG2000防火墙报错
SecureCRT使用SSH方式连接华为USG2000防火墙报错如下：
The client has disconnected from the server. Reason:
Message Authentication Code did not verify (packet #4). Data integrity has been
compromised.解决方法：
改为使用SSH1协议登录即可
通过telnet该地址的22端口可以看出SSH使用的版本是1.9
华为USG防火墙重置密码
以下操作会初始化华为USG防火墙，所有配置清空哦
通电情况下，用圆珠笔按住reset按钮10秒，笔记本接好console口，等待画面，出现提示按ctrl+B，输入默认密码O&m15213 然后选择对应的数字“Reset Factory Configuration”，返回后选择数字1，启动系统，然后输入默认的用户名admin，默认密码Admin@123 网页登录地址是https://192.168.0.1:8443 用户名密码也是admin和Admin@123
原创文章，作者：EASY，如若转载，请注明文章出处：© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
暂无评论内容