2022.2.8 Pretty things should be enjoyed--美玉不该蒙尘

---

1、接口配置IP 接口加入安全域

2、路由（策略路由/普通路由）

[FW]policy-based-route
[FW-policy-pbr]dis this
2022-02-08 11:48:45.540
#
policy-based-route
 rule name vpc1-r3
  source-zone trust
  source-address 192.168.1.0 mask 255.255.255.0
  track ip-link r3--关联ip-link
  action pbr next-hop 100.1.1.1
 rule name vpc2-r4
  source-zone dmz
  source-address 10.1.1.0 mask 255.255.255.0
  track ip-link r4--关联ip-link
  action pbr next-hop 200.1.1.1

3、NAT

[FW]nat-policy
[FW-policy-nat]dis this
2022-02-08 11:50:22.150
#
nat-policy
 rule name permit-interint
  source-zone dmz
  source-zone trust
  destination-zone untrust
  source-address 10.1.1.0 mask 255.255.255.0
  source-address 192.168.1.0 mask 255.255.255.0
  action source-nat easy-ip

4、策略

[FW]security-policy
[FW-policy-security]dis this
2022-02-08 11:51:33.100
#
security-policy
 rule name permit-interint
  source-zone dmz
  source-zone trust
  destination-zone untrust
  source-address 10.1.1.0 mask 255.255.255.0
  source-address 192.168.1.0 mask 255.255.255.0
  action permit

IP-LINK 
[FW]ip-link check enable
[FW]ip-link name r3
[FW-iplink-r3]destination 100.1.1.1

兜底路由调用IP-LINK

[FW]ip route-static 0.0.0.0 0.0.0.0 100.1.1.1 track ip-link r3

---

总结

华为防火墙：
所有抵达USG防火墙自身的管理流量（Ping、Telnet、SSH、SNMP、HTTP、HTTPS、Netconf）不受安全策略的控制，如果需要放行，需要在接口下放行。
[FW-GigabitEthernet0/0/0]service-manage ping permit
[FW-GigabitEthernet0/0/0]service-manage ping deny

策略路由不能基于目的端口和目的安全域匹配流量，控制数据走向。

策略路由   优于   普通路由表