eNSP防火墙配置实验（trust、DMZ、untrust）

在现代网络环境中，防火墙作为网络安全的重要组成部分，负责监控和控制进出网络的数据流。eNSP（Enterprise Network Simulation Platform）是一款由华为推出的网络仿真工具，可以帮助网络工程师进行设备配置和故障排除的练习。本文将以eNSP为基础，讲解如何配置三种网络区域：信任区（Trust）、非信任区（Untrust）和DMZ（非军事区）。

网络区域概述

1. 信任区（Trust）：通常指内网，受到充分信任的网络区域，允许内部设备之间自由通信。

2. 非信任区（Untrust）：通常指公网或外部网络，所有来自该区域的流量都需经过严格的检查和控制。

3. DMZ（非军事区）：介于信任区和非信任区之间的区域，用于放置对外提供服务的服务器，如Web服务器、邮件服务器等。DMZ区域通常对外公开，但受到一定的网络安全措施保护。

实验环境搭建

我们首先需要在eNSP中创建一个简单的网络拓扑如下：

        +-----------+ 
        |  互联网   | 
        +-----------+
               |
           +-------+
           | 非信任区|
           +-------+
               |
        +--------------+
        |    防火墙    |
        +--------------+
         /       |     \
        /        |      \
 +--------+   +--------+  +--------+
 |  信任区 |   |   DMZ  |  |  其他  |
 +--------+   +--------+  +--------+

防火墙基本配置

1. 创建区域（Trust、DMZ、Untrust）

首先需要进入防火墙命令行界面，并创建各个区域：

system-view
# 创建信任区
firewall zone trust
 quit
# 创建非信任区
firewall zone untrust
 quit
# 创建DMZ区域
firewall zone dmz
 quit

2. 接口与区域绑定

接下来，将接口与相应的区域进行绑定。假设假定GigabitEthernet0/0/1是信任区接口，GigabitEthernet0/0/2是非信任区接口，GigabitEthernet0/0/3是DMZ区接口。

# 进入接口配置
interface GigabitEthernet0/0/1
 firewall zone trust
 quit

interface GigabitEthernet0/0/2
 firewall zone untrust
 quit

interface GigabitEthernet0/0/3
 firewall zone dmz
 quit

3. 配置访问控制

防火墙的核心是其访问控制功能，要根据网络需求配置ACL。以下配置作用是允许信任区与DMZ之间的流量，限制非信任区对信任区的访问。

# 创建ACL
acl number 3000
 rule permit source 192.168.1.0 0.0.0.255  # 信任区地址
 rule permit source 192.168.2.0 0.0.0.255  # DMZ地址
 rule deny  # 默认拒绝

# 应用ACL
firewall zone trust
  service-group service-group-name tcp
  service-group service-group-name udp
  acl 3000
 quit

firewall zone untrust
  acl 3000
 quit

4. NAT配置（如有必要）

如果需要允许DMZ中的服务器对外提供服务，可以配置NAT（网络地址转换）。

nat outbound
firewall zone untrust
  nat outbound
 quit

验证防火墙配置

完成以上配置后，可以通过命令display firewall traffic statistics，检查流量规则是否生效，以及display firewall zone检查区域配置。

总结

通过以上操作，我们利用eNSP配置了基本的防火墙区域设置，包括信任区、非信任区、和DMZ。这些配置为网络的安全性提供了分层防护，确保了内部网络的安全与稳定。在实际应用中，网络管理员可以根据具体需求进一步优化规则和策略。