背景信息

初始配置只配置一个内网接口和一个外网接口。如果规划的安全区域更多，如服务器安全区域、访问者安全区域等，则需要配置接口和安全区域。

1. 如果需要在缺省安全区域的基础上自定义安全区域，可以选择“网络安全区域”，新建安全区域。

可以通过本步骤或在接口配置界面将接口加入安全区域。

2. 单击“网络接口”，根据网络规划配置其他接口的IP地址和安全区域。一般情况下，加入业务区域的接口都加入到dmz区域。将内部和外部接口加入trust区域。Internet接口加入untrust区域。如果已经定义了安全区域，则需要将接口加入安全区域。

“启用访问管理”控制访问防火墙的协议类型。例如，通过HTTPS或SSH协议登录防火墙，则需要开启HTTPS或SSH协议。例如，如果要Ping防火墙接口检查连通性，可以开启Ping协议。

:

操作步骤

配置安全策略

配置接口和安全区域后，还需要配置允许流量通过的安全策略。另外，安全策略允许的流量并不意味着没有威胁。可以在安全策略中引用内容安全配置文件进行入侵检测和病毒检测。

此处配置的安全策略适用于防火墙的在线运行。在确保防火墙能够正常工作后，您需要根据日志和业务情况调整策略，以更好地保护网络安全。

下面的安全策略配置仅为举例。请根据实际流量访问需求配置安全策略。匹配条件越详细，就越能防止防火墙释放多余的流量。

: 010 - 1010 1。2.选择“安全策略”。配置外网用户访问内网的Web服务器10.2.1.5，并引用缺省入侵防御配置文件对流量进行威胁检测。

3.继续配置其他安全策略。

背景信息

操作步骤

初始化配置时，向导会自动生成源NAT策略，将Internet流量的源IP地址转换为公网接口的IP地址。可以直接使用，也可以修改配置。另外，如果企业中有一台服务器供外部用户访问，则需要配置NAT Server，将服务器的私网IP地址映射为公网IP地址。

: 010 - 1010 1。配置源NAT源NAT支持两种地址转换方式：

地址池方式：当有多个公网地址时，使用地址池方式。这种方式需要创建NAT地址池，限制公网地址的使用范围。

接口出地址方式：当只有防火墙上公网接口的公网IP地址时，一般采用接口出地址方式。在这种模式下，内网PC直接使用公网接口的IP地址访问Internet，尤其适用于公网接口的IP地址是动态获取的，不固定的情况。

a.可选：选择“策略NAT策略NAT策略源转换地址池”，配置公网IP地址池。

b.选择“策略NAT策略NAT策略”，配置源NAT策略。地址池方式源NAT需要引用地址池。出接口方式源NAT不指定地址池，将源地址转换为出接口的IP地址。

2. 配置NAT Server(服务器映射)。

a.选择“策略NAT策略服务器映射”。

b.创建服务器映射。

:

配置NAT

背景信息

防火墙部分高级业务由license控制。如需使用，请先激活license。

防火墙支持在线激活License和手动激活License。

在线激活不需要导入License文件。您只需要在发货附件中获取License证书的Entitlement ID，连接到License中心进行激活即可。在接入License center前，请确保已配置防火墙，用于接入外部业务通道。您需要获取并导入License文件进行手动激活。 010 - 1010 1。2.选择“系统License管理”。请根据实际情况选择激活方式。在线激活

手动激活

操作步骤

激活License

已配置防火墙，可以访问外部业务通道。

已购买并激活特征库升级服务的License。

背景信息

升级最新的特征库，可以识别更多的应用、病毒和威胁，提升系统的安全防御能力。

您可以通过以下三种方式更新特征库：

定时升级：设置设备在指定时间自动连接到安全中心进行特征库升级。避开高峰时段；否则可能影响业务。立即升级：设备立即连接到安全中心进行特征库升级。本地升级：从isecurity.huawei.com网站下载特征库文件，上传到设备上进行升级。该方法适用于设备不能直接连接到Internet的情况。建议首次使用时立即对防火墙进行升级，并配置定时升级，使特征库能够及时自动升级。

: 010 - 1010 1。选择“系统升级中心”。

2. 单击特征库对应的“立即升级”，进行特征库升级。

3.立即升级完成后，单击每个特征库对应的“定时升级时间”，设置定时升级时间。建议在业务流量较小的时间段设置为夜间。

操作步骤

防火墙接入网络，提供基本的安全功能。接下来，您可以配置其他高级特性。下面列出了常见的特性。具体操作请参见产品文档。

双机热备：部署两台防火墙进行备份。当其中一台防火墙出现故障时，另一台防火墙可以快速接管故障防火墙的工作，保证业务流量的连续性。VPN:支持IPSec VPN、SSL VPN、L2TP、GRE等多种VPN，满足分支机构互联和移动办公的需求。智能选路：当企业通过多个isp接入Internet时，防火墙提供动态和静态智能选路功能，根据管理员配置的选路方式调整流量分配，最大限度地利用链路资源。用户认证：主机动态获取IP地址，多个用户登录同一台主机。基于IP地址的策略控制无法针对特定用户。防火墙提供用户认证功能，对通过认证的用户进行权限控制。内容安全：基本安全策略只控制流量是否允许。防火墙提供内容安全功能，对允许的流量进行应用层数据检测。内容安全功能包括入侵防御、反病毒、URL过滤、文件过滤、内容过滤和邮件过滤。加密流量检测：加密传输的应用流量越来越多。需要配置加密流量检测，对SSL流量进行解密后再进行内容安全检测。带宽管理：对企业购买的带宽进行限制。带宽管理功能为关键业务提供带宽限制和带宽保障，提高带宽利用率。

升级特征库

日志记录是监控网络安全、业务运行状态和防火墙运行状态的重要记录。管理员可以定期分析日志，调整防火墙配置，确保网络得到持续的保护。

防火墙支持多种日志类型，包括会话日志、流量日志、策略命中日志、威胁日志和系统日志。常见日志类型如表1-3所示。有关更多信息，请参见产品文档。

表1-3常见日志类型