防火墙的四种登入方式-尧图网络科技

防火墙的登入方式:

1、console登入
2、web图形化界面登入
3、telnet远程登入
4、stelnet/ssh远程登入

一、eNSP 拓扑搭建

设备	作用
USG6000V	华为防火墙
Cloud1	桥接真实电脑网卡，实现真机访问模拟器
AR1	路由器

连线规则：用以太网铜线（Copper）连接，不能用 CTL 串口线。

二、Cloud1 云设备配置（重点）

目的：把模拟器内部的虚拟网络和你真实电脑的网卡打通。

配置步骤：

双击 Cloud1 → 「端口创建」
绑定信息：下拉选你电脑的真实网卡（如「以太网 2 -- IP: 192.168.0.100」）
点「增加」，会生成一个 Public 类型的端口（端口 2）
端口 1 是 Internal 类型（eNSP 内部自动生成，UDP 端口）
端口映射设置：入端口 1 → 出端口 2，勾选「双向通道」，点「增加」
映射表会出现两条：1→2 和 2→1，表示双向互通
连线：防火墙的 GE 1/0/0 口 → Cloud 的 Ethernet 1 口

三.Console 登入

华为 USG6000V 防火墙的基础命令汇总，操作顺序

一、登录设备（用户视图）

设备启动完成后，按回车，输入默认账号密码：

Username: admin Password: Admin@123

登录成功后提示符是<USG6000V1>，这叫用户视图，只能看、不能改配置。

二、进入系统视图并改名

<USG6000V1> system-view

→ 提示符变成[USG6000V1]，进入系统视图，可以改配置了。

[USG6000V1] sysname FW1

→ 把设备名改成 FW1，提示符变成[FW1]

三、进入接口视图，开管理权限

[FW1] interface GigabitEthernet 0/0/0

→ 进入 GE0/0/0 接口，提示符变成[FW1-GigabitEthernet0/0/0]（接口视图）

[FW1-GigabitEthernet0/0/0] service-manage all permit

→ 允许该接口的所有管理服务（web、ssh、ping 等都能通）

四、查看类命令（不用进配置模式也能用）

查看所有接口 IP 概况（系统视图下敲）：

[FW1] display ip interface brief

查看当前接口配了啥（接口视图下敲）：

[FW1-GigabitEthernet0/0/0] display this

五、退出 / 返回

命令	效果
quit	退回到上一层视图（接口→系统）
`return`或按`Ctrl+Z`	直接跳回用户视图`<FW1>`

六、设置 Console 永不超时（防止长时间不操作被踢）

[FW1] user-interface console 0 [FW1-ui-console0] idle-timeout 0 0

→0 0表示 0 分 0 秒超时 = 永不超时

七、防火墙命令行基础

视图层级（从外到内）

#从外到内 用户视图 <FW1> 只能查看，save 保存在这里敲，敲 system-view 进系统 系统视图 [FW1] 全局配置，进接口/协议都从这里进 接口视图 [FW1-GigabitEthernet1/0/0] 配接口参数 安全区域 [FW1-zone-trust] 把接口加入区域 #其他 协议视图 [FW1-ospf-1] → 路由协议 安全策略 [FW1-policy-security] NAT策略 [FW1-policy-nat]

口诀：视图越深，方括号里的后缀越长。想退就敲quit，想一步回家就敲return。

常用操作

system-view：从用户视图进系统视图
quit：退回到上一层
Ctrl + Z：直接跳回用户视图
save：保存配置（不保存重启就丢）

九、踩过的坑

四，Web 登入及图形化登入

防火墙 Web 管理配置（核心）

完整命令：

sysname FW1 # 改设备名 interface GigabitEthernet 1/0/0 # 进连 Cloud 的接口 ip address 192.168.0.1 255.255.255.0 # 配 IP（和电脑同网段） service-manage all permit # 开所有管理服务（https/ping等） firewall zone trust # 进 Trust 安全区域 add interface GigabitEthernet 1/0/0 # 把接口加入 Trust 区

为什么要加安全区域：华为防火墙默认所有接口都不在任何区域，不加的话接口不通，这是防火墙和路由器的区别。

防火墙 Web 管理配置完整命令流程

第一步：登录

Username: admin Password: Qzy60912

如果这个密码不对，就试默认的Admin@123（没保存的话可能恢复默认了）

第二步：进系统视图，改设备名

<USG6000V1> system-view [USG6000V1] sysname FW1

第三步：配置 GE 1/0/0（连 Cloud 的管理口）

进入 GE 1/0/0 接口（连 Cloud 的管理口），配置接口 IP（和你电脑同网段），开启接口的管理服务（https、ping 等），退回系统视图

[FW1] interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0] ip address 192.168.0.1 255.255.255.0 [FW1-GigabitEthernet1/0/0] service-manage all permit [FW1-GigabitEthernet1/0/0] quit

第四步：把接口加入 Trust 安全区域（必须做，否则不通）

进入 Trust 安全区域，把接口加入 Trust 区域，退回用户视图

[FW1] firewall zone trust [FW1-zone-trust] add interface GigabitEthernet 1/0/0 [FW1-zone-trust] quit

第五步：保存配置（这次一定要存！）

<FW1> save

提示Are you sure to continue? [Y/N]输入y回车。

配完这些eNSP 拓扑设置

Cloud 配置：

绑定信息：选你电脑的真实网卡（IP 192.168.0.100）
端口映射：Ethernet 1 ↔ Ethernet 2，双向通道

连线：FW1 的GE 1/0/0→ Cloud 的Ethernet 1（Copper 铜线）

验证：

电脑 ping 测试：ping 192.168.0.1，通则网络通
Web 登录：浏览器打开https://192.168.0.1:8443，
- 必须是 https，端口 8443
- 账号：admin，密码：你设置的Qzy60912
- 提示证书不安全 → 点「高级」→「继续访问」

五，telnet远程登录

配置 Telnet 的 AAA 认证，创建一个新的管理员账号user1，然后用这个账号通过 Telnet 登录防火墙。

完整配置流程解读

第一步：开启 Telnet 服务

[FW1] telnet server enable

第二步：配置 VTY 虚拟终端（Telnet 用的线路）

[FW1] user-interface vty 0 4 # 进入第 0~4 条虚拟终端线路 [FW1-ui-vty0-4] authentication-mode aaa # 认证方式改为 AAA 认证 [FW1-ui-vty0-4] protocol inbound telnet # 允许 Telnet 协议接入

第三步：在 AAA 里创建新管理员账号

[FW1] aaa [FW1-aaa] manager-user user1 # 创建用户 user1 [FW1-aaa-manager-user-user1] password cipher huawei@123 # 设密码 [FW1-aaa-manager-user-user1] service-type telnet # 允许用 Telnet 登录 [FW1-aaa-manager-user-user1] level 3 # 权限等级 3（最高管理级） [FW1-aaa-manager-user-user1] quit [FW1-aaa] bind manager-user user1 role system-admin # 绑定系统管理员角色

第四步：用新账号 Telnet 登录（第一张图就是登录成功的效果）

用户名user1，密码huawei@123，成功进入<FW1>用户视图。

为什么要这么配？

默认 admin 是本地账号，走的不是 AAA 模式
改成authentication-mode aaa后，VTY 登录就从 AAA 数据库里校验账号密码
这样可以创建多个不同权限的管理员账号，方便多人管理

六，Stelnet（SSH）登入

完整配置流程

前置条件：管理口已配好（GE 1/0/0 连 Cloud）

[FW1] interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0] ip address 192.168.0.1 255.255.255.0 # 配IP，和电脑同网段 [FW1-GigabitEthernet1/0/0] service-manage ssh permit # 接口允许SSH管理 [FW1-GigabitEthernet1/0/0] quit [FW1] firewall zone trust [FW1-zone-trust] add interface GigabitEthernet 1/0/0 # 接口加入Trust信任区域 [FW1-zone-trust] quit

解释：防火墙接口必须加入安全区域，且开对应 service-manage，管理流量才能进。

第一步：生成 RSA 密钥对（SSH 加密的钥匙）

[FW1] rsa local-key-pair create

提示输入密钥长度 →直接回车用默认 2048 解释：SSH 是加密登录，需要先生成一对公钥私钥，用来加密传输的数据。如果提示已存在问要不要替换，输y也可以。

第二步：开启 Stelnet 服务

[FW1] stelnet server enable

解释：打开防火墙的 SSH 服务端，默认监听22 端口。不开的话 22 端口是关的，连接会被拒绝。

第三步：配置 VTY 虚拟终端线路

[FW1] user-interface vty 0 4 # 进入第 0~4 条虚拟终端线路（共5条，支持5人同时登） [FW1-ui-vty0-4] authentication-mode aaa # 认证方式改为 AAA 认证（从 AAA 数据库查账号） [FW1-ui-vty0-4] protocol inbound ssh # 只允许 SSH 协议登录，更安全 [FW1-ui-vty0-4] quit

解释：VTY 就是远程登录用的虚拟线路，protocol inbound ssh表示这条线只接受 SSH，Telnet 就登不上了。

第四步：AAA 创建 SSH 登录账号

[FW1] aaa [FW1-aaa] manager-user xixi # 创建管理员账号 xixi [FW1-aaa-manager-user-xixi] password cipher huawei@123 # 密码 huawei@123 [FW1-aaa-manager-user-xixi] level 3 # 权限等级 3（最高管理级） [FW1-aaa-manager-user-xixi] service-type ssh # 允许这个账号用 SSH 登录 [FW1-aaa-manager-user-xixi] quit [FW1-aaa] bind manager-user xixi role system-admin # 绑定系统管理员角色 [FW1-aaa] quit

解释：AAA 是认证 / 授权 / 计费的统一管理模块，远程登录的账号都在这里建。level 3是最高权限，可以改所有配置。

第五步：指定 SSH 用户的认证方式

[FW1] ssh user xixi authentication-type password # 用密码认证 [FW1] ssh user xixi service-type stelnet # 服务类型是 stelnet

解释：告诉 SSH 服务，xixi 这个用户是用密码登录的，服务类型是 Stelnet（SSH 命令行登录）。

第六步：安全策略放通（必做！防火墙默认全拒绝）

[FW1] security-policy [FW1-policy-security] rule name allow_ssh # 建一条叫 allow_ssh 的规则 [FW1-policy-security-rule-allow_ssh] source-zone trust # 源区域：Trust（从管理口进来） [FW1-policy-security-rule-allow_ssh] destination-zone local # 目的区域：Local（防火墙自己） [FW1-policy-security-rule-allow_ssh] action permit # 动作：放行 [FW1-policy-security-rule-allow_ssh] quit [FW1-policy-security] quit

解释：华为防火墙默认所有区域之间流量全拒绝。你从 Trust 区域登到防火墙自身（Local 区域），必须写一条策略放行，不然连不上。

第七步：保存配置

<FW1> save

输入y确认。不 save 重启就全没了。

第八步：电脑端 SSH 登录

Windows cmd 里敲：

ssh xixi@192.168.0.1 #（ssh -o KexAlgorithms=+diffie-hellman-group14-sha1 xixi@192.168.0.1）

第一次问Are you sure you want to continue connecting?→ 输yes
密码：huawei@123

解释：加-o KexAlgorithms=+diffie-hellman-group14-sha1是因为 Windows 新版 SSH 默认禁用了老算法，防火墙用的是旧的 sha1 密钥交换，手动指定一下就能对上。

配置思路框架

第一层：通路层（让网络能通）
· 核心问题：电脑怎么找到防火墙？
· 要做的事：配管理口IP、划入安全区域、接口放行服务（service-manage）
· 本质：相当于给防火墙贴上“门牌号”，并告诉保安（防火墙）哪个门允许SSH客人进入。
第二层：服务层（让防火墙愿意接待）
· 核心问题：防火墙的SSH服务开了吗？用什么加密方式？
· 要做的事：生成密钥对（rsa）、开启SSH服务（stelnet server enable）、配置VTY虚拟线路（规定只接受SSH）
· 本质：相当于在房子里布置好会客室（VTY），并准备好加密电话（密钥），保证通话不被窃听。
第三层：认证层（让防火墙认识你）
· 核心问题：你是谁？凭什么让你进来？
· 要做的事：在AAA里建账号密码、绑定权限、指定SSH认证方式、写安全策略（从Trust到Local放行）
· 本质：相当于给来访者登记身份证（账号）、发门禁卡（权限），并让保安（安全策略）最终放行。

按从底层到上层的逻辑理解

题外笔记：

路由器防火墙工作在网络层交换机工作在链路层

console口在哪？

ospf协议开放式最短路由协议

可以修改管理口，默认的管理地址 http://192.168.0.1:8443