当前位置： 首页 > news >正文

跨厂商（华为 H3C）防火墙 GRE 隧道部署

news 2025/11/1 10:12:24

实验介绍

组网需求

企业总部与分部分别以华为防火墙（GNS3 USG6000V）、H3C 防火墙（GNS3 H3CvFW）作为网关接入 Internet，现需在二者间搭建 GRE 隧道，以实现 192.168.10.0/24（总部内网）与 192.168.20.0/24（分部内网）的安全互通。

组网拓扑

数据规划

项目数据描述
USG6000V接口配置接口号：GigabitEthernet 1/0/0
IP地址：100.64.10.1/24
安全区域：Untrust
接口号：GigabitEthernet 1/0/1
IP地址：192.168.10.1/24
安全区域：Trust
GRE配置接口名称：Tunnel
IP地址：172.16.1.1/24
源地址：100.64.10.1/24
目的地址：100.64.20.1/24
隧道识别关键字：123456
H3CvFW接口配置接口号：GigabitEthernet 2/0
IP地址：100.64.20.1/24
安全区域：Untrust
接口号：GigabitEthernet 1/0/2
IP地址：192.168.20.1/24
安全区域：Trust
GRE配置接口名称：Tunnel
IP地址：172.16.1.2/24
源地址：100.64.20.1/24
目的地址：100.64.10.1/24
隧道识别关键字：123456

配置思路

配置 Internet 路由器

① 仅需配置接口的 IP 地址，模拟 Internet 两端互联。

配置防火墙

① 配置接口的 IP 地址，并将接口加入安全区域。

② 在 USG6000V 和 H3CvFW 上分别创建一个 Tunnel 接口。在 Tunnel 接口中指定隧道的源 IP 地址和目的 IP 等封装参数。

③ 配置静态路由，将出接口指定为本设备的 Tunnel 接口。该路由的作用是将需要经过 GRE 隧道传输的流量引入到 GRE 隧道中。

④ 配置安全策略，允许 GRE 隧道的建立和流量的转发。

实验步骤

应用部署

在 Hi168 云平台部署 GNS3 应用并打开 GNS3 应用，完成拓扑图搭建。

具体操作参考下方文章。

文章链接：Hi168 云平台 GNS3 自助使用手册

GNS3 中拓扑绘制

打开 GNS3 应用，在工作区拖入一台 Huawei USG6000V 防火墙、一台 H3C vFW1000、一台 AR 路由器（模拟 Internet）、两台 PC 终端设备，按照组网拓扑，搭建基础网络拓扑环境。

配置模拟 Internet

配置 G0/0/0 接口。

[Internet]interface GigabitEthernet 0/0/0
[Internet-GigabitEthernet0/0/0]ip address 100.64.20.2 24
[Internet-GigabitEthernet0/0/0]quit

配置 G0/0/1 接口。

[Internet]interface GigabitEthernet 0/0/1	
[Internet-GigabitEthernet0/0/1]ip address 100.64.10.2 24
[Internet-GigabitEthernet0/0/1]quit

查看接口的 IP 配置。

[Internet]display ip interface brief

配置 H3CvFW 防火墙

配置接口，并将接口加入安全区域

配置 G2/0 接口，并将接口加入 Untrust 安全区域。

[H3C]interface GigabitEthernet 2/0
[H3C-GigabitEthernet2/0]ip address 100.64.20.1 24
[H3C-GigabitEthernet2/0]quit 
[H3C]security-zone name Untrust 
[H3C-security-zone-Untrust]import interface GigabitEthernet 2/0
[H3C-security-zone-Untrust]quit

配置 G3/0 接口，并将接口加入 Trust 安全区域。

[H3C]interface GigabitEthernet 3/0
[H3C-GigabitEthernet3/0]ip address 192.168.20.1 24
[H3C-GigabitEthernet3/0]quit
[H3C]security-zone name Trust
[H3C-security-zone-Trust]import interface GigabitEthernet 3/0
[H3C-security-zone-Trust]quit

配置 Tunnel0 接口，并将接口加入 Untrust 安全区域。

[H3C]interface Tunnel 0 mode gre
[H3C-Tunnel0]ip address 172.16.1.2 24
[H3C-Tunnel0]source 100.64.20.1
[H3C-Tunnel0]destination 100.64.10.1
[H3C-Tunnel0]quit
[H3C]security-zone name Untrust 
[H3C-security-zone-Untrust]import interface Tunnel 0
[H3C-security-zone-Untrust]quit

查看接口的 IP 配置。

[H3C]display ip interface brief

查看安全区域配置。

[H3C]display security-zone

配置域间安全策略

配置 Trust 域和 Untrust 的域间安全策略

[H3C]security-policy ip
[H3C-security-policy-ip]rule 1 name trust_untrust
[H3C-security-policy-ip-1-trust_untrust]action pass
[H3C-security-policy-ip-1-trust_untrust]source-zone trust
[H3C-security-policy-ip-1-trust_untrust]source-zone untrust
[H3C-security-policy-ip-1-trust_untrust]destination-zone trust
[H3C-security-policy-ip-1-trust_untrust]destination-zone untrust

配置 Local 和 Untrust 的域间安全策略，允许封装后的 GRE 报文通过域间安全策略。

[H3C-security-policy-ip]rule name local_untrust
[H3C-security-policy-ip-0-local_untrust]action pass
[H3C-security-policy-ip-0-local_untrust]source-zone local
[H3C-security-policy-ip-0-local_untrust]source-zone untrust
[H3C-security-policy-ip-0-local_untrust]destination-zone local
[H3C-security-policy-ip-0-local_untrust]destination-zone untrust
[H3C-security-policy-ip-0-local_untrust]service gre
[H3C-security-policy-ip-0-local_untrust]quit
配置路由

配置连接到 Internet 的缺省路由，下一跳为 100.64.20.2 并将需要经过 GRE 隧道传输的流量引入到 GRE 隧道中。

[H3C]ip route-static 0.0.0.0 0 100.64.20.2
[H3C]ip route-static 192.168.10.0 24 Tunnel 0

配置 USG6000V 防火墙

配置接口，并将接口加入安全区域

配置口 GE1/0/0 接口，并将接口加入 untrust 安全区域。

[USG6000V1]interface GigabitEthernet 1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip address 100.64.10.1 24
[USG6000V1-GigabitEthernet1/0/0]quit 
[USG6000V1]firewall zone untrust 
[USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/0
[USG6000V1-zone-untrust]quit

配置 GE1/0/1 接口，并将接口加入 trust 安全区域。

[USG6000V1]interface GigabitEthernet 1/0/1	
[USG6000V1-GigabitEthernet1/0/1]ip address 192.168.10.1 24
[USG6000V1-GigabitEthernet1/0/1]quit 
[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/1
[USG6000V1-zone-trust]quit

配置 Tunnel1 接口，并将接口加入 dmz 安全区域。

[USG6000V1]interface Tunnel 1
[USG6000V1-Tunnel1]ip address 172.16.1.1 24
[USG6000V1-Tunnel1]quit
[USG6000V1]firewall zone dmz
[USG6000V1-zone-dmz]add interface Tunnel 1
[USG6000V1-zone-dmz]quit

查看接口的IP配置。

[USG6000V1]display ip interface brief

查看安全区域配置。

[USG6000V1]display zone

配置路由

配置连接到 Internet 的缺省路由，下一跳为 100.64.10.2 并将需要经过 GRE 隧道传输的流量引入到 GRE 隧道中。

[USG6000V1]ip route-static 0.0.0.0 0 100.64.10.2
[USG6000V1]ip route-static 192.168.20.0 24 Tunnel1
配置 Tunnel 接口的封装参数
[USG6000V1]interface Tunnel 1
[USG6000V1-Tunnel1]tunnel-protocol gre
[USG6000V1-Tunnel1]source 100.64.10.1
[USG6000V1-Tunnel1]destination 100.64.20.1
[USG6000V1-Tunnel1]gre key 123456
[USG6000V1-Tunnel1]quit
配置域间安全策略

配置 Trust 域和 DMZ 的域间安全策略，允许封装前的报文通过域间安全策略。

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name 1
[USG6000V1-policy-security-rule-1]source-zone trust dmz
[USG6000V1-policy-security-rule-1]destination-zone dmz trust
[USG6000V1-policy-security-rule-1]action permit
[USG6000V1-policy-security-rule-1]quit

配置 Local 和 Untrust 的域间安全策略，允许封装后的 GRE 报文通过域间安全策略。

[USG6000V1-policy-security]rule name 2
[USG6000V1-policy-security-rule-2]source-zone local untrust
[USG6000V1-policy-security-rule-2]destination-zone untrust local
[USG6000V1-policy-security-rule-2]service gre
[USG6000V1-policy-security-rule-2]action permit
[USG6000V1-policy-security-rule-2]quit

配置 PC

配置总部的PC1。

配置分部的PC2。

结果验证

在 PC1 中 ping 分部中的 PC2。

在 PC1 中 ping 总部中的 PC2。

http://www.dtcms.com/a/553629.html

相关文章：

  • 抖音网站单产品网站
  • 品牌网站源码江阴响应式网站建设
  • Java中wait和await的区别
  • DBeaver连接本地MySQL、创建数据库表的基础操作
  • 优秀网站首页设计上海网站建设定制公司
  • 不只是替代，更是升级：MEMS加速度计精准捕捉振动测量？
  • Kotlin协程 -＞ Flow和FlowCollector接口声明的意义
  • Postman接口测试: Postman环境变量全局变量设置，多接口顺序执行详解
  • 达梦数据库到Greenplum：用ETL工具实现数据仓库迁移
  • 建设网站需要注意什么问题中国铁建最新消息
  • 【Windows】Anaconda3-2025-x86_64的安装教程，使用【notebook】和【PyCharm】测试环境
  • Rust开发之使用match和if let处理Result错误
  • 九九重阳敬桑榆 众趣科技VR漫游让养老选择更安心
  • 什么是索引？索引对查询性能的影响？
  • 【ESP32 IDF】巴发云实现HTTP OTA功能
  • 会议室玻璃门秒装智能锁，还能对接多种会议预约APP
  • ​QT备份项目，如何避免无法运行
  • 设计师一般用什么网站诊所网站建设
  • FAST开发方法在在线运动器材销售系统分析中的应用详解
  • 佛山市官网网站建设多少钱房屋设计软件app自己设计画图
  • 21.5 三大云平台容器化部署终极对决：AWS ECS vs Azure ACI vs GCP Cloud Run实战指南
  • 论文学习_Unleashing the power of pseudo-code for binary code similarity analysis
  • 网站哪个公司做的好可以做围棋习题的网站
  • 分散加载文件（sct）的属性关键字列表
  • 【音频】linux音频混合服务器 PulseAudio 和 JACK
  • ACC清分系统金仓数据库迁移实战：无损迁移与性能调优全解析
  • wap网站开发和自适应服务器的作用和用途
  • 做网站需要懂什么做众筹网站怎么赚钱吗
  • 【FPGA】时序逻辑计数器——板级验证
  • 创实信息正式成为极狐GitLab中国授权代理