DHCP:(5)华为防火墙USG上部署DHCP服务以及DHCP中继 | 网络之路博客
注册 登录
  • 欢迎网络之路博客网站,分享IT教程,推荐使用2345浏览器访问本网站,可以下载PDF与观看实战文章点击下载
  • 如果您觉得本站对您有帮助,那么赶紧使用Ctrl+D 收藏吧,支持我们下
  • 远程技术支持的淘宝店铺已经开张了哦,传送门:需要的朋友可以点击查看
  • 资源太多??下载繁琐??不知道如何学起??博主给你解决这些问题!~!点击免费下载

DHCP:(5)华为防火墙USG上部署DHCP服务以及DHCP中继

【汇总】DHCP原理应用文档

文档帖子汇总实战系列学习视频学习必备软件
    博主也只是业余时间写写技术文档,请大家见谅,大家觉得不错的话,可以推荐给朋友哦,博主会努力推出更好的系列文档的。如果大家有任何疑问或者文中有错误跟疏忽的地方,欢迎大家留言指出,博主看到后会第一时间修改,谢谢大家的支持,更多技术文章尽在网络之路博客,http://ccieh3c.com

说明

    之前已经介绍过华为交换机的DHCP的应用场景以及配置,这次介绍的是华为防火墙USG的应用场景及配置,一般在防火墙上面部署DHCP的话属于一种小型办公网络,或者soho级别的,防火墙后面接傻瓜式交换机或者是可管理的二层交换机,有多个VLAN,下面就针对这2种场景介绍如何配置,以及防火墙跟交换机配置上面的一些细节差别与注意的地方。

拓扑

dhcp

说明:该场景,防火墙作为出口访问internet,然后接的傻瓜式交换机来连接下面的办公PC,属于一个简单的SOHO环境,一般在防火墙上面应用DHCP,也通常是这种情况,大点的环境则是交换机或者专门的DHCP服务器来做。

实验目标

1、防火墙初始化配置
2、DHCP配置(基于全局的配置方式)
3、防火墙策略+NAT配置,让下面PC能够访问Internet。
4、测试

1、防火墙初始化配置

接口地址配置
[HW-USG]int g0/0/1
[HW-USG-GigabitEthernet0/0/1]ip address 202.100.1.1 24

[HW-USG]int g0/0/0
[HW-USG-GigabitEthernet0/0/0]ip address 192.168.1.1 24
接口加入Zone
[HW-USG]firewall zone untrust
[HW-USG-zone-untrust]add interface g0/0/1
说明:默认情况下G0/0/0属于trust接口,而G0/0/1则不属于任何接口,所以这里必须加入对应的Zone,这里为Untrust。

2、DHCP配置(基于全局的配置方式)

开启DHCP服务
[HW-USG]dhcp enable

创建地址池
[HW-USG]dhcp server ip-pool 1
[HW-USG-dhcp-1]network 192.168.1.0 mask 24
[HW-USG-dhcp-1]gateway-list 192.168.1.1
[HW-USG-dhcp-1]dns-list 114.114.114.114
[HW-USG-dhcp-1]domain-name ccieh3c.taobao.com
[HW-USG-dhcp-1]expired day 1

[HW-USG]dhcp server forbidden-ip 192.168.1.1 192.168.1.10
说明:这里创建地址池与交换机不一样,类似于H3C的方法,另外排除地址是在全局定义的,而不是在地址池内。
[HW-USG]int g0/0/0
[HW-USG-GigabitEthernet0/0/0]dhcp select global
调用在接口下。

3、防火墙策略+NAT配置,让下面PC能够访问Internet。

[HW-USG]policy interzone trust untrust outbound
[HW-USG-policy-interzone-trust-untrust-outbound]policy 0
[HW-USG-policy-interzone-trust-untrust-outbound-0]policy source 192.168.1.0 mask 24
[HW-USG-policy-interzone-trust-untrust-outbound-0]action permit
说明:如果是21系列的话,可能存在默认策略是放行的,但是这里是55系列,是需要手工放行流量的,这里定义的是允许192.168.1.0的流量从trust进来,访问Untrust的任何流量都通过。

[HW-USG]nat-policy interzone trust untrust outbound
[HW-USG-nat-policy-interzone-trust-untrust-outbound]policy 0
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]policy source 192.168.1.0 mask 24
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]action source-nat
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]easy-ip g0/0/1
说明:这里定义从trust来的192.168.1.0/24,访问Untrust的任何流量,做源NAT转换,转换的地址是G0/0/1的接口地址,也就是通过这个来访问internet。

默认路由
[HW-USG]ip route-static 0.0.0.0 0 202.100.1.2
说明:这里配置一条默认路由指向ISP,访问外网。

4、测试

dhcp
dhcp

说明:可以看到获取地址没有任何问题,而且能够访问外网,在防火墙上面也有对应的表项产生,也明确看到了当访问外网的时候,转换成了出接口地址202.100.1.1出去,做PAT。

场景2

Dhcp

说明:场景2适合在一个小型办公网络内,但是有2~3个部门,需要划分VLAN跟不同网段,那么这时候防火墙上面就需要通过跟交换机一样配置trunk,然后起VLAN接口来作为网关,并且在接口下配置DHCP服务。

实现目标

1、二层交换机配置
2、防火墙配置改变
3、DHCP配置(基于接口形式)
4、策略与NAT配置上网
5、测试

1、二层交换机配置

创建VLAN
[HW-s2700]vlan batch 2 to 3

PC接口划入对应VLAN
[HW-s2700]int e0/0/1
[HW-s2700-Ethernet0/0/1]port link-type access
[HW-s2700-Ethernet0/0/1]port default vlan 2
[HW-s2700-Ethernet0/0/1]stp edged-port enable

[HW-s2700-Ethernet0/0/1]int e0/0/2
[HW-s2700-Ethernet0/0/2]port hybrid pvid vlan 3
[HW-s2700-Ethernet0/0/2]port hybrid untagged vlan 3
[HW-s2700-Ethernet0/0/2]stp edged-port enable

与防火墙对接接口配置为trunk
[HW-s2700-Ethernet0/0/2]int g0/0/1
[HW-s2700-GigabitEthernet0/0/1]port link-type trunk
[HW-s2700-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3

2、防火墙配置改变

创建VLAN
[HW-USG]vlan batch 2 to 3
切换至二层接口
[HW-USG]int g0/0/0
[HW-USG-GigabitEthernet0/0/0]portswitch
说明:这里必须把三层口的配置清空,比如IP地址等,才可以切换
[HW-USG-GigabitEthernet0/0/0]port link-type trunk
[HW-USG-GigabitEthernet0/0/0]port trunk permit vlan 2 to 3
说明:配置对接交换机的接口为trunk,并且放行VLAN 2与3通过,这里的配置与交换机有点区别,跟H3C一样。

三层VLAN接口配置
[HW-USG]int vlan 2
[HW-USG-Vlanif2]ip address 192.168.2.1 24
[HW-USG-Vlanif2]int vlan 3
[HW-USG-Vlanif3]ip add 192.168.3.1 24
容易忽略的一件事,加入Zone!说明,这里加入三层接口即可,二层不需要加入
[HW-USG]firewall zone trust
[HW-USG-zone-trust]add interface Vlanif 2
[HW-USG-zone-trust]add interface Vlanif 3

3、DHCP配置(基于接口形式)

[HW-USG]int vlan 2
[HW-USG-Vlanif2]dhcp select interface
[HW-USG-Vlanif2]dhcp server ip-range 192.168.2.10 192.168.2.200
[HW-USG-Vlanif2]dhcp server dns-list 114.114.114.114
[HW-USG-Vlanif2]dhcp server domain-name ccieh3c.taobao.com
[HW-USG-Vlanif2]dhcp server expired day 1

[HW-USG]int vlan 3
[HW-USG-Vlanif3]dhcp select interface
[HW-USG-Vlanif3]dhcp server ip-range 192.168.3.10 192.168.3.150
[HW-USG-Vlanif3]dhcp server dns-list 114.114.114.114
[HW-USG-Vlanif3]dhcp server domain-name ccieh3c.taobao.com
说明:这里基于接口的配置,与交换机有点区别,所以红色标记了下。

4、策略与NAT配置上网

策略配置,允许内网访问外网
[HW-USG]policy interzone trust untrust outbound
[HW-USG-policy-interzone-trust-untrust-outbound]policy 0
[HW-USG-policy-interzone-trust-untrust-outbound-0]policy source 192.168.2.0 mask 24
[HW-USG-policy-interzone-trust-untrust-outbound-0]policy source 192.168.3.0 mask 24
[HW-USG-policy-interzone-trust-untrust-outbound-0]action permit

NAT配置,让内网的地址通过外网接口地址形式访问外网.
[HW-USG]nat-policy interzone trust untrust outbound
[HW-USG-nat-policy-interzone-trust-untrust-outbound]policy 0
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]policy source 192.168.2.0 mask 24
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]policy source 192.168.3.0 mask 24
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]action source-nat
[HW-USG-nat-policy-interzone-trust-untrust-outbound-0]easy-ip g0/0/1

5、测试/h2>
dhcp
dhcp
dhcp

可以看到,接口地址能够获取,而且也能够访问外网,地址也正常转换了。

DHCP中继配置

USG只支持在接口下配置,而且配置方式有点不一样
ip relay address 192.168.1.1
dhcp select relay
说明:先指定地址,最后在接口下开启relay服务。

博主精心分类(附带学习思路哦)

文档帖子汇总,点击查看
    博主也只是业余时间写写技术文档,请大家见谅,大家觉得不错的话,可以推荐给朋友哦,博主会努力推出更好的系列文档的。如果大家有任何疑问或者文中有错误跟疏忽的地方,欢迎大家留言指出,博主看到后会第一时间修改,谢谢大家的支持,更多技术文章尽在网络之路博客http://ccieh3c.com

下载整理好的PDF

↓↓↓↓↓↓↓↓↓↓花些许时间就可以下载实战文档本地看,安装本站推荐的浏览器,用推荐的浏览器打开对应文章即可下载,觉得文章对您有帮助,记得保留该浏览器哦,下载其他博文可以继续使用,感谢大家支持。(如果对大家有些许帮助,可以每天打开浏览器访问一下本博客,博客会获取推广积分的哦,谢谢)↓↓↓↓↓↓↓↓↓↓

如果链接失效请联系博主或留言

您使用的不是本站推荐览器浏览!(无法获取下载地址)请点击这里下载安装windows版!(没有下载地址?)

 未标题3.gif

原创与收集的内容,允许转载,转载时请务必以超链接形式标明文章原始出处,博客地址http://ccieh3c.com。

 介绍下载2.jpg
喜欢 (2)
[]
分享 (0)
网络之路
关于作者:
分享一些自己懂的技术知识点,希望对大家有帮助。
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址