园区出口配置举例(防火墙旁路).doc

1 大型园区出口配置示例(防火墙旁路部署)1.1 配置注意事项l 本举例中得交换机以华为公司得S系列框式交换机为例、防火墙以USG系列为例、路由器以NE系列为例。l 本配置案例仅涉及企业网络出口相关配置,涉及企业内网得相关配置请参见华为S系列园区交换机快速配置中得“大型园区组网场景”。l 本例仅涉及防火墙与交换机得对接配置以及防火墙得双机热备配置。防火墙上得安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能得配置示例请参见防火墙配置案例集。l 本例仅涉及园区出口路由器与交换机得对接配置。路由器在公网侧得配置示例请参见NE系列路由器配置指南。1.2 组网需求在大型园区出口,核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机,对业务流量提供安全过滤功能。为了简化网络并提高可靠性,在核心层交换机通常部署集群。在防火墙上部署双机热备(主备模式),当其中一台故障时,业务可以平滑切换到另一台。核心交换机双归接入2台出口路由器,路由器之间部署VRRP确保可靠性。为提高链路可靠性,在核心交换机与出口路由器之间,核心交换机与防火墙之间,2台防火墙之间均通过Eth-Trunk互连。如下图所示。图1-1 园区出口组网图(防火墙旁挂,双机热备)在一般得三层转发环境下,园区内外部之间得流量将直接通过交换机转发,不会经过FW1或FW2。当流量需要从交换机转发至FW,经FW检测后再转发回交换机,就需要在交换机上配置VRF功能,将交换机隔离成两个相互独立得虚拟交换机VRF-A与根交换机Public。Public作为连接出口路由器得交换机。对于下行流量,它将外网进来得流量转发给FW进行检测;对于上行流量,它接收经FW检测后得流量,并转发到路由器。VRF-A作为连接内网侧得交换机。对于下行流量,它接收经FW检测后得流量,并转发到内网;对于上行流量,它将内网得流量转发到FW去检测。根据上图中得流量转发路径可以将上图转换成如下所示得更容易理解得逻辑组网图。图1-2 交换机与路由器、防火墙之间物理接口连接示意图本例所示核心交换机工作在三层模式,上图所示得逻辑组网图可以理解为防火墙上下行连接三层交换机得双机热备组网。这种组网得特点就是需要在防火墙得上下行业务接口上部署VRRP备份组,如下所示。图1-3 交换机与路由器、防火墙之间三层口连接示意图如上图所示,内部用户访问外网得流量转发路径如下(上图中蓝色路径):1. 当内部用户访问外网得流量到达VRF-A时,流量根据VRF-A上得静态路由(下一跳设置为防火墙下行VRRP得虚拟IP地址)被转发到防火墙。2. 防火墙完成对流量得安全检测后,会根据静态路由(下一跳设置为CSS得VLANIF20)将流量转发到Public上。3. 最后,Public通过到路由器得静态路由(下一跳设置为路由器VRRP得虚拟IP地址)将流量转发到路由器。外部用户访问内网得流量转发路径如下(上图中红色路径):1. 当外部用户访问内网得流量到路由器时,流量根据OSPF路由表被转发到Public上。2. 流量到达Public后,先根据Public上得静态路由(下一跳设置为防火墙上行VRRP得虚拟IP地址)被转发到防火墙。3. 防火墙完成对流量得安全检测后,会根据静态路由(下一跳设置为CSS得VLANIF30)将流量转发到VRF-A上。4. VRF-A通过OSPF路由表将流量转发汇聚交换机,最后由汇聚交换机将流量转发到业务网络。1.3 数据规划表1-1 链路聚合接口规划设备接口编号成员接口VLANIFIP地址对端设备对端接口编号Router1Eth-trunk1、10010GE1/0/110GE1/0/2-10、10、4、2/24Switch 1Switch 2Eth-Trunk1Router2Eth-trunk1、10010GE1/0/110GE1/0/2-10、10、4、3/24Switch 1Switch 2Eth-Trunk2Router 1与Router 2得VRRP-10、10、4、100/24-CSS(Switch 1与Switch 2)Eth-trunk110GE1/4/0/010GE2/4/0/0VLANIF1010、10、4、1/24Router 1Eth-Trunk1Eth-trunk210GE1/4/0/110GE2/4/0/1VLANIF1010、10、4、1/24Router 2Eth-Trunk1Eth-trunk4GE1/1/0/7GE2/1/0/7VLANIF2010、10、2、1/24FW 1Eth-Trunk4Eth-trunk5GE1/1/0/8GE2/1/0/8VLANIF3010、10、3、1/24FW 1Eth-Trunk5Eth-trunk6GE1/2/0/7GE2/2/0/7VLANIF2010、10、2、1/24FW 2Eth-Trunk6Eth-trunk7GE1/2/0/8GE2/2/0/8VLANIF3010、10、3、1/24FW 2Eth-Trunk7Eth-trunk8GE1/3/0/1GE2/3/0/1VLANIF10010、10、100、1/24业务网络1-(本案例不体现配置)Eth-trunk9GE1/3/0/2GE2/3/0/2VLANIF20010、10、200、1/24业务网络2-(本案例不体现配置)FW1Eth-trunk1GE2/0/0GE2/0/1-10、1、1、1/24FW2Eth-Trunk1Eth-Trunk4GE1/0/0GE1/0/1-10、10、2、2/24Switch 1Switch 2Eth-Trunk4Eth-Trunk5GE1/1/0GE1/1/1-10、10、3、2/24Switch 1Switch 2Eth-Trunk5FW2Eth-trunk1GE2/0/0GE2/0/1-10、1、1、2/24FW1Eth-Trunk1Eth-Trunk6GE1/0/0GE1/0/1-10、10、2、3/24Switch 1Switch 2Eth-Trunk6Eth-Trunk7GE1/1/0GE1/1/1-10、10、3、3/24Switch 1Switch 2Eth-Trunk7FW 1与FW 2得VRRP1(上行)-10、10、2、5/24-FW 1与FW 2得VRRP2(下行)-10、10、3、5/24-1.4 配置思路采用如下思路配置园区出口举例:1. 配置核心交换机集群CSS。2. 配置交换机与防火墙、路由器之间得接口及IP地址。为提高链路可靠性,在交换机与防火墙、交换机与路由器之间配置跨框Eth-Trunk接口。在防火墙得接口上配置安全区域。3. 在出口路由器上部署VRRP。为了保证核心交换机与两个出口路由器之间得可靠性,在两个出口路由器之间部署VRRP,VRRP得心跳报文经过核心交换机进行交互。Router1为Master设备,Router2为Backup设备。4. 部署路由。交换机上配置VRF功能,将交换机隔离成两个相互独立得虚拟交换机VRF-A与根交换机Public,以隔离业务网段路由与公网路由。为了引导各设备得上行流量,在核心交换机上配置一条缺省路由,下一跳指向出口路由器VRRP得虚地址。为了引导园区两个出口路由器得回程流量,在两个出口路由器与核心交换机之间部署OSPF,核心交换机上将所有用户网段发布到OSPF里面,通告给两个出口路由器。为了将业务网络得上行流量引导至防火墙,在交换机上配置一条缺省路由,下一跳指向防火墙VRRP VRID2得虚拟IP。为了将到业务网络1得下行流量引导至防火墙,在交换机上配置一条缺省路由,下一跳指向防火墙VRRP VRID1得虚拟IP。为了将到业务网络2得下行流量引导至防火墙,在交换机上配置一条缺省路由,下一跳指向防火墙VRRP VRID1得虚拟IP。为了将业务网络得上行流量引导至交换机,在防火墙上配置一条缺省路由,下一跳指向交换机VLANIF20得IP地址。为了将到业务网络1得下行流量引导至交换机,在防火墙上配置一条缺省路由,下一跳指向交换机VLANIF30得IP地址。为了将到业务网络2得下行流量引导至交换机,在防火墙上配置一条缺省路由,下一跳指向交换机VLANIF30得IP地址。5. 配置防火墙双机热备。1.5 操作步骤步骤 1 交换机:配置交换机集群。1. 连接集群卡得线缆。下图以S12700交换机得EH1D2VS08000集群卡连线为例。本例连线示意图中,S12700主控板、交换网板与集群卡都就是满配得情况。实际使用时,S12700每框至少配置一块主控板与一块交换网板即可。推荐每框配置两块交换网板并插上两块集群卡。图1-5 集群卡连线示意图l 两框之间至少要连接一根集群线缆。l 一块集群卡只能与对框一块集群卡相连,不能连接到多块集群卡,且不能与本框集群卡相连。l 集群卡上组1得任意接口只能与对框集群卡上组1得任意接口相连,组2得要求同组1。l 每块集群卡上连接集群线缆得数量相同(如果不相同会影响总得集群带宽),且两端按照接口编号得顺序对接。2. 在Switch 1上配置集群。# 集群连接方式为集群卡(缺省值,不需配置)。集群ID采用缺省值1(不需配置)。优先级为100。 system-view HUAWEI set css mode css-card /设备缺省值,不需再执行命令配置,此步骤仅用作示范命令。 HUAWEI set css id 1 /设备缺省值,不需再执行命令配置,此步骤仅用作示范命令。 HUAWEI set css priority 100 /集群优先级缺省为1,修改主交换机得优先级大于备交换机 HUAWEI css enable Warning: The CSS configuration takes effect only after the system is rebooted、 The next CSS mode is CSS-card、 Reboot now? Y/N:y/重启交换机 3. 在Switch 2上配置集群。集群连接方式为集群卡(缺省值,不需配置)。集群ID为2。优先级采用缺省值1(不需配置)。 system-view HUAWEI set css id 2 /集群ID缺省为1,修改备交换机得ID为2 HUAWEI css enable Warning: The CSS configuration takes effect only after the system is rebooted、 The next CSS mode is CSS-card、 Reboot now? Y/N:y/重启交换机 4. 交换机完成重启后,查瞧集群状态。 在集群系统得主交换机Switch 1上,主用主控板上得CSS MASTER灯绿色常亮。(图1) Switch 1得两块主控板上编号为1得CSS ID灯绿色常亮,Switch 2得两块主控板上编号为2得CSS ID灯绿色常亮。(图1) 集群卡上有集群线缆连接得端口LINK/ALM灯绿色常亮。(图2) 主框上所有集群卡得MASTER灯绿色常亮,备框上所有集群卡得MASTER灯常灭。(图2)图1-6 CSS系统指示灯示意图l 集群建立后,后续交换机得配置都在主交换机(Switch 1)上进行,数据会自动同步到备交换机(Switch 2)。l 在集群系统中,接口编号会变为4维,例如,10GE1/4/0/0。其中左边第一位表示集群ID。步骤 2 配置CSS与FW、路由器之间得跨框Eth-Trunk口,CSS上得VLANIF口以及IP地址。1. 配置交换机与路由器之间得跨框Eth-Trunk,VLANIF以及IP地址。# 在CSS上创建Eth-Trunk1,用于连接Router1,并加入Eth-Trunk成员接口。 system-view HUAWEI sysname CSS /给集群系统重新命名。 CSS interface Eth-Trunk 1 CSS-Eth-Trunk1 quit CSS interface XGigabitethernet 1/4/0/0 /在Eth-Trunk1中加入主交换机上得成员接口 CSS-XGigabitEthernet1/4/0/0 Eth-Trunk 1 CSS-XGigabitEthernet1/4/0/0 quit CSS interface XGigabitethernet 2/4/0/0 /在Eth-Trunk1中加入备交换机上得成员接口 CSS-XGigabitEthernet2/4/0/0 Eth-Trunk 1 CSS-XGigabitEthernet2/4/0/0 quit # 在CSS上创建Eth-Trunk2,用于连接Router2,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 2 CSS-Eth-Trunk2 quit CSS interface XGigabitethernet 1/4/0/1 /在Eth-Trunk2中加入主交换机上得成员接口 CSS-XGigabitEthernet1/4/0/1 Eth-Trunk 2 CSS-XGigabitEthernet1/4/0/1 quit CSS interface XGigabitethernet 2/4/0/1 /在Eth-Trunk2中加入备交换机上得成员接口 CSS-XGigabitEthernet2/4/0/1 Eth-Trunk 2 CSS-XGigabitEthernet2/4/0/1 quit # 创建VLANIF,并配置IP地址。CSS vlan batch 10 CSS interface Eth-Trunk 1 /将Eth-Trunk1加入VLAN10 CSS-Eth-Trunk1 port link-type trunk CSS-Eth-Trunk1 port trunk allow-pass vlan 10 CSS-Eth-Trunk1 quit CSS interface Eth-Trunk 2 /将Eth-Trunk2加入VLAN10 CSS-Eth-Trunk2 port link-type trunk CSS-Eth-Trunk2 port trunk allow-pass vlan 10 CSS-Eth-Trunk2 quit CSS interface Vlanif 10 /创建VLANIF10,用于CSS与Router1、Router2通信 CSS-Vlanif10 ip address 10、10、4、1 24 CSS-Vlanif10 quit 2. 配置交换机与FW之间得跨框Eth-Trunk,CSS上得VLANIF口以及IP地址。# 在CSS上创建Eth-Trunk4,用于将Pubilc与FW1连接,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 4 CSS-Eth-Trunk4 quit CSS interface Gigabitethernet 1/1/0/7 /在Eth-Trunk4中加入主交换机上得成员接口 CSS-Gigabitethernet1/1/0/7 Eth-Trunk 4 CSS-Gigabitethernet1/1/0/7 quit CSS interface Gigabitethernet 2/1/0/7 /在Eth-Trunk4中加入备交换机上得成员接口 CSS-Gigabitethernet2/1/0/7 Eth-Trunk 4 CSS-Gigabitethernet2/1/0/7 quit # 在CSS上创建Eth-Trunk5,用于将VRF-A与FW1连接,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 5 CSS-Eth-Trunk5 quit CSS interface Gigabitethernet 1/1/0/8 /在Eth-Trunk5中加入主交换机上得成员接口 CSS-Gigabitethernet1/1/0/8 Eth-Trunk 5 CSS-Gigabitethernet1/1/0/8 quit CSS interface Gigabitethernet 2/1/0/8 /在Eth-Trunk5中加入备交换机上得成员接口 CSS-Gigabitethernet2/1/0/8 Eth-Trunk 5 CSS-Gigabitethernet2/1/0/8 quit # 在CSS上创建Eth-Trunk6,用于将Pubilc与FW2连接,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 6 CSS-Eth-Trunk6 quit CSS interface Gigabitethernet 1/2/0/7 /在Eth-Trunk6中加入主交换机上得成员接口 CSS-Gigabitethernet1/2/0/7 Eth-Trunk 6 CSS-Gigabitethernet1/2/0/7 quit CSS interface Gigabitethernet 2/2/0/7 /在Eth-Trunk6中加入备交换机上得成员接口 CSS-Gigabitethernet2/2/0/7 Eth-Trunk 6 CSS-Gigabitethernet2/2/0/7 quit # 在CSS上创建Eth-Trunk7,用于将VRF-A与FW2连接,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 7 CSS-Eth-Trunk7 quit CSS interface Gigabitethernet 1/2/0/8 /在Eth-Trunk7中加入主交换机上得成员接口 CSS-Gigabitethernet1/2/0/8 Eth-Trunk 7 CSS-Gigabitethernet1/2/0/8 quit CSS interface Gigabitethernet 2/2/0/8 /在Eth-Trunk7中加入备交换机上得成员接口 CSS-Gigabitethernet2/2/0/8 Eth-Trunk 7 CSS-Gigabitethernet2/2/0/8 quit # 创建VLANIF,并配置IP地址。CSS vlan batch 20 30 CSS interface Eth-Trunk 4 /将Eth-Trunk4加入VLAN20 CSS-Eth-Trunk4 port link-type trunk CSS-Eth-Trunk4 port trunk allow-pass vlan 20 CSS-Eth-Trunk4 quit CSS interface Eth-Trunk 6 /将Eth-Trunk6加入VLAN20 CSS-Eth-Trunk6 port link-type trunk CSS-Eth-Trunk6 port trunk allow-pass vlan 20 CSS-Eth-Trunk6 quit CSS interface Vlanif 20 /创建VLANIF20,用于CSS得Public连接FW1、FW2 CSS-Vlanif20 ip address 10、10、2、1 24 CSS-Vlanif20 quit CSS interface Eth-Trunk 5 /将Eth-Trunk5加入VLAN30 CSS-Eth-Trunk5 port link-type trunk CSS-Eth-Trunk5 port trunk allow-pass vlan 30 CSS-Eth-Trunk5 quit CSS interface Eth-Trunk 7 /将Eth-Trunk7加入VLAN30 CSS-Eth-Trunk7 port link-type trunk CSS-Eth-Trunk7 port trunk allow-pass vlan 30 CSS-Eth-Trunk7 quit CSS interface Vlanif 30 /创建VLANIF30,用于CSS得VRF-A连接FW1、FW2 CSS-Vlanif30 ip address 10、10、3、1 24 CSS-Vlanif30 quit 3. 配置交换机与业务网络之间得跨框Eth-Trunk,VLANIF以及IP地址。# 在CSS上创建Eth-Trunk8,用于连接业务网络1,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 8 CSS-Eth-Trunk8 quit CSS interface Gigabitethernet 1/3/0/1 /在Eth-Trunk8中加入主交换机上得成员接口 CSS-Gigabitethernet1/3/0/1 Eth-Trunk 8 CSS-Gigabitethernet1/3/0/1 quit CSS interface Gigabitethernet 2/3/0/1 /在Eth-Trunk8中加入备交换机上得成员接口 CSS-Gigabitethernet2/3/0/1 Eth-Trunk 8 CSS-Gigabitethernet2/3/0/1 quit # 在CSS上创建Eth-Trunk9,用于连接业务网络2,并加入Eth-Trunk成员接口。CSS interface Eth-Trunk 9 CSS-Eth-Trunk9 quit CSS interface Gigabitethernet 1/3/0/2 /在Eth-Trunk9中加入主交换机上得成员接口 CSS-Gigabitethernet1/3/0/2 Eth-Trunk 9 CSS-Gigabitethernet1/3/0/2 quit CSS interface Gigabitethernet 2/3/0/2 /在Eth-Trunk9中加入备交换机上得成员接口 CSS-Gigabitethernet2/3/0/2 Eth-Trunk 9 CSS-Gigabitethernet2/3/0/2 quit # 创建VLANIF,并配置IP地址。CSS vlan batch 100 200 CSS interface Eth-Trunk 8 /将Eth-Trunk8加入VLAN100 CSS-Eth-Trunk8 port link-type trunk CSS-Eth-Trunk8 port trunk allow-pass vlan 100 CSS-Eth-Trunk8 quit CSS interface Vlanif 100 /创建VLANIF100,用于CSS连接业务网络1 CSS-Vlanif100 ip address 10、10、100、1 24 CSS-Vlanif100 quit CSS interface Eth-Trunk 9 /将Eth-Trunk9加入VLAN200 CSS-Eth-Trunk9 port link-type trunk CSS-Eth-Trunk9 port trunk allow-pass vlan 200 CSS-Eth-Trunk9 quit CSS interface Vlanif 200 /创建VLANIF200,用于CSS连接业务网络2 CSS-Vlanif200 ip address 10、10、200、1 24 CSS-Vlanif200 quit 步骤 3 路由器:配置路由器与CSS之间得接口# 配置Router1,在Router1上创建Eth-Trunk1,并加入成员接口。 system-view Huawei sysname Router1 Router1 interface Eth-Trunk 1 Router1-Eth-Trunk1 quit Router1 interface XGigabitethernet 1/0/1 Router1-XGigabitEthernet1/0/1 undo shutdown Router1-XGigabitEthernet1/0/1 Eth-Trunk 1 Router1-XGigabitEthernet1/0/1 quit Router1 interface XGigabitethernet 1/0/2 Router1-XGigabitEthernet1/0/2 undo shutdown Router1-XGigabitEthernet1/0/2 Eth-Trunk 1 Router1-XGigabitEthernet1/0/2 quit # 配置Dot1q终结子接口,终结VLAN10。并配置IP地址。Router1 interface Eth-Trunk 1、100 Router1-Eth-Trunk1、100 ip address 10、10、4、2 24 Router1-Eth-Trunk1、100 dot1q termination vid 10 Router1-Eth-Trunk1、100 quit # Router2上得配置步骤与Router1相同,仅接口IP地址有差别,请参照Router1完成Router2得配置。步骤 4 防火墙:配置防火墙得接口与安全区# 配置FW1得接口与安全区。 system-view USG sysname FW1 FW1 interface Eth-Trunk 4 /配置与CSS连接得接口及IP地址 FW1-Eth-Trunk4 ip address 10、10、2、2 24 FW1-Eth-Trunk4 quit FW1 interface Gigabitethernet 1/0/0 /在Eth-Trunk4中加入成员接口 FW1-GigabitEthernet1/0/0 Eth-Trunk 4 FW1-GigabitEthernet1/0/0 quit FW1 interface Gigabitethernet 1/0/1 /在Eth-Trunk4中加入成员接口 FW1-GigabitEthernet1/0/1 Eth-Trunk 4 FW1-GigabitEthernet1/0/1 quit FW1 interface Eth-Trunk 5 /配置与CSS连接得接口及IP地址 FW1-Eth-Trunk5 ip address 10、10、3、2 24 FW1-Eth-Trunk5 quit FW1 interface Gigabitethernet 1/1/0 /在Eth-Trunk5中加入成员接口 FW1-GigabitEthernet1/1/0 Eth-Trunk 5 FW1-GigabitEthernet1/1/0 quit FW1 interface Gigabitethernet 1/1/1 /在Eth-Trunk5中加入成员接口 FW1-GigabitEthernet1/1/1 Eth-Trunk 5 FW1-GigabitEthernet1/1/1 quit FW1 interface Eth-Trunk 1 /配置FW1与FW2连接得接口 FW1-Eth-Trunk1 ip address 10、1、1、1 24 FW1-Eth-Trunk1 quit FW1 interface Gigabitethernet 2/0/0 /在Eth-Trunk1中加入成员接口 FW1-GigabitEthernet2/0/0 Eth-Trunk 1 FW1-GigabitEthernet2/0/0 quit FW1 interface Gigabitethernet 2/0/1 /在Eth-Trunk1中加入成员接口 FW1-GigabitEthernet2/0/1 Eth-Trunk 1 FW1-GigabitEthernet2/0/1 quit FW1 firewall zone trust FW1-zone-trust add interface Eth-Trunk 5 /将连接内网得Eth-Trunk5加入安全区域 FW1-zone-trust quit FW1 firewall zone untrust FW1-zone-untrust add interface Eth-Trunk 4 /将连接外网得Eth-Trunk4加入非安全区域 FW1-zone-untrust quit FW1 firewall zone dmz FW1-zone-dmz add interface Eth-Trunk 1 /将FW1、FW2之间得接口加入DMZ区域 FW1-zone-dmz quit # 配置FW2得接口与安全区。 system-view USG sysname FW2 FW2 interface Eth-Trunk 6 /配置与CSS连接得接口及IP地址 FW2-Eth-Trunk6 ip address 10、10、2、3 24 FW2-Eth-Trunk6 quit FW2 interface Gigabitethernet 1/0/0 /在Eth-Trunk6中加入成员接口 FW2-GigabitEthernet1/0/0 Eth-Trunk 6 FW2-GigabitEthernet1/0/0 quit FW2 interface Gigabitethernet 1/0/1 /在Eth-Trunk6中加入成员接口 FW2-GigabitEthernet1/0/1 Eth-Trunk 6 FW2-GigabitEthernet1/0/1 quit FW2 interface Eth-Trunk 7 /配置与CSS连接得接口及IP地址 FW2-Eth-Trunk7 ip address 10、10、3、3 24 FW2-Eth-Trunk7 quit FW2 interface Gigabitethernet 1/1/0 /在Eth-Trunk7中加入成员接口 FW2-GigabitEthernet1/1/0 Eth-Trunk 7 FW2-GigabitEthernet1/1/0 quit FW2 interface Gigabitethernet 1/1/1 /在Eth-Trunk7中加入成员接口 FW2-GigabitEthernet1/1/1 Eth-Trunk 7 FW2-GigabitEthernet1/1/1 quit FW2 interface Eth-Trunk 1 /配置FW2与FW1连接得接口 FW2-Eth-Trunk1 ip address 10、1、1、2 24 FW2-Eth-Trunk1 quit FW2 interface Gigabitethernet 2/0/0 /在Eth-Trunk1中加入成员接口 FW2-GigabitEthernet2/0/0 Eth-Trunk 1 FW2-GigabitEthernet2/0/0 quit FW2 interface Gigabitethernet 2/0/1 /在Eth-Trunk1中加入成员接口 FW2-GigabitEthernet2/0/1 Eth-Trunk 1 FW2-GigabitEthernet2/0/1 quit FW2 firewall zone trust FW2-zone-trust add interface Eth-Trunk 7 /将连接内网得Eth-Trunk7加入安全区域 FW2-zone-trust quit FW2 firewall zone untrust FW2-zone-untrust add interface Eth-Trunk 6 /将连接外网得Eth-Trunk6加入非安全区域 FW2-zone-untrust quit FW2 firewall zone dmz FW2-zone-dmz add interface Eth-Trunk 1 /将FW1、FW2之间得接口加入DMZ区域 FW2-zone-dmz quit 步骤 5 路