华为防火墙的OSPF配置实验

您所在的位置：网站首页 › 核心交换机对接互联出口网防火墙协议 › 华为防火墙的OSPF配置实验

华为防火墙的OSPF配置实验

2024-07-13 05:16| 来源: 网络整理| 查看: 265

华为防火墙的OSPF配置实验

文章目录华为防火墙的OSPF配置实验实验需求步骤一：配置地址步骤二：配置OSPF步骤三：配置防火墙策略步骤四：配置NAT1）问题描述2）问题分析3）解决办法

实验需求

1.SW1、SW2、OUT和FW之间通过OSPF实现路由互通

2.OUT路由器上配置easy ip，使SW1和SW2的loopbach接口可以访问外网

注：本实验是基于华为USG5500设备

实验拓扑图如下

在这里插入图片描述

步骤一：配置地址

按照图示配置好ip地址（两台交换机是用vlanif10配置的地址）

配置过程略

步骤二：配置OSPF

SW1：

[SW1-ospf-1]ospf 1 [SW1-ospf-1] area 0.0.0.0 [SW1-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0] network 1.1.1.1 0.0.0.0

SW2:

[SW2]ospf 1 [SW2-ospf-1] area 0.0.0.0 [SW2-ospf-1-area-0.0.0.0] network 192.168.2.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0] network 2.2.2.2 0.0.0.0 [SW2-ospf-1-area-0.0.0.0]

FW:

[FW]ospf 1 [FW-ospf-1] area 0.0.0.0 [FW-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255 [FW-ospf-1-area-0.0.0.0] network 192.168.2.0 0.0.0.255 [FW-ospf-1-area-0.0.0.0] network 192.168.3.0 0.0.0.255

OUT:

#出口路由器除了配置OSPF外还要配置默认路由访问外网 [OUT]ip route-static 0.0.0.0 0 100.1.1.5 #ospf配置 [OUT]ospf 1 [OUT-ospf-1]default-route-advertise #引入默认路由 [OUT-ospf-1] area 0.0.0.0 [OUT-ospf-1-area-0.0.0.0] network 192.168.3.0 0.0.0.255 [OUT-ospf-1-area-0.0.0.0] network 4.4.4.4 0.0.0.0 [OUT-ospf-1-area-0.0.0.0]

配置好OSPF路由后在FW上查看ospf邻居状态，发现所有邻居状态都为Extart，说明了DD报文应该是被防火墙丢弃了，OSPF不能正常的收发LSA更新报文，导致邻居状态卡在Extart状态。

在这里插入图片描述

步骤三：配置防火墙策略 [FW]firewall zone trust #进入安全区域trust [FW-zone-trust]add interface GigabitEthernet0/0/3 #将接口加入到安全区域 [FW-zone-trust]add interface GigabitEthernet0/0/2 [FW-zone-trust]add interface GigabitEthernet0/0/1

在这里插入图片描述

此条命令一配置，SW1、SW2和OUT就处于同一个安全区域（Trust），在同一个区域的设备之间进行通信默认是不受防火墙影响的，所以彼此之间能进行正常通信，正常交换DD报文。邻居状态达到Full。

步骤四：配置NAT [OUT]acl number 2000 #配置acl抓取私网数据包 [OUT-acl-basic-2000] rule 5 permit source 1.1.1.0 0.0.0.255 [OUT-acl-basic-2000] rule 10 permit source 2.2.2.2 0 [OUT-GigabitEthernet0/0/1]nat outboud 2000 #应用acl到OUT的出接口批匹配数据包进行地址转换

测试一下是否能正常的学习路由从而访问内外网，在SW1上测试是否能ping通内外网。

带源地址1.1.1.1 能ping通内部SW2的环回地址2.2.2.2。

在这里插入图片描述