Hillstone山石防火墙透明模式配置案例

1 需求分析

网络安全问题日益严重，用户需要在网络环境中加入防火墙设备保护网络数据安全，又不希望更改原有网络结构，山石网科为用户提供了二层透明部署方案解决此类问题。

2 解决方案

2.1 软硬件信息

软件版本	SG6000-M-3-5.5R8P3-v6.bin
硬件平台	SG-6000-C2000

2.2 拓扑

2.3 环境说明

• 用户原始网络环境为内网PC—核心交换机—外网；
• 当前在核心交换机和出口路由器之间增加防火墙设备；
• 防火墙二层透明模式部署。

2.4 登录设备

• 防火墙支持WebUI界面登录，Ethernet0/0或MGT接口默认管理IP地址192.168.1.1/24，并且该接口的各种管理功能均为开启状态。初次使用防火墙时，将电脑网线直连到防火墙Ethernet0/0口或者MGT口，如下图所示：

 

• 将电脑网卡地址设置为192.168.1.x/24网段地址，不能配置192.168.1.1。

 

• 通过浏览器输入https://192.168.1.1 登录WebUI界面。默认用户名密码hillstone/hillstone。

 

2.5 配置透明模式

• 防火墙上联出口路由器接口选择二层安全域–l2-untrust，网络–接口–编辑相应接口–选择安全域。

 

• 下联连接内网核心交换机接口选择l2-trust，网络–接口–编辑相应接口–选择安全域。

 

• 如果只需要内网访问外网，放行l2-trust 到l2-untrust安全策略即可。

 

• 如果需要允许外网访问内网，放行l2-untrust到l2-trust安全策略即可。

 

• 当核心和出口路由器之间有trunk ，需要开启带标签转发功能，网络–虚拟交换机—转发标记包：

 

• 上线完成后测试业务即可。