华赛防火墙动态获得IP配置.doc

通过DHCP接入设备作为Client，通过DHCP协议向Server（运营商设备）申请IP地址，实现接入Internet。组网需求如图1所示，USG作为出口网关，为局域网内PC提供接入Internet出口。公司网络规划如下： 局域网内所有PC都部署在10.1.1.0/24网段，均通过DHCP动态获得IP地址。 下行链路：使用LAN以太网接口，通过交换机连接公司内的所有PC。 上行链路：使用WAN以太网接口接入Internet。同时，向运营商申请Internet接入服务。运营商提供的Internet接入服务使用DHCP协议。根据以上情况，需要将USG作为DHCP Client，向DHCP Server（运营商设备）获得IP地址、DNS地址后，实现接入Internet。项目数据说明(1)接口号：GigabitEthernet 6/0/2安全区域：Untrust通过向DHCP Server（运营商设备）获得IP地址、DNS地址。(2)接口号：Ethernet 6/0/0（VLAN 1）安全区域：TrustLAN以太网接口，缺省属于VLAN 1。(3)接口号：Ethernet 6/0/1（VLAN 1）安全区域：TrustLAN以太网接口，缺省属于VLAN 1。Vlanif 1IP地址：10.1.1.1/24安全区域：Trust通过DHCP，给局域网内PC动态分配IP地址。配置思路1. 配置下行链路。在Vlanif 1上开启DHCP Server服务，为PC动态分配IP地址，指定PC获得的网关和DNS服务器地址均为Vlanif 1接口。PC上网通常需要解析域名，这就需要为其指定DNS服务器地址。本例中采用USG作为DNS中继设备。2. 配置上行链路。在GigabitEthernet 6/0/2上开启DHCP Client。3. 将接口加入到安全区域，并在域间配置NAT和包过滤。将连接公司局域网的接口加入到高安全等级的区域（Trust），将连接Internet的上行接口加入到低安全等级的区域（Untrust）。局域网内通常使用私网地址，访问Internet时，必须配置NAT。本例中，因为上行接口通过拨号获得IP地址，每次拨号获得的IP地址可能不一样，所以采用Easy IP。4. 配置DNS代理。指定DNS服务器地址为GigabitEthernet 6/0/2接口，从运营商处获得。说明： 设备从DHCP Server处获得IP地址后，通常DHCP Server也会发给DHCP Client缺省路由。下一跳地址为运营商的设备。所以此组网下，无需额外配置缺省路由。操作步骤1. 配置下行链路。 # 配置Vlanif 1接口的IP地址。 system-viewUSG interface Vlanif 1USG-Vlanif1 ip address 10.1.1.1 24# 在Vlanif 1上开启DHCP Server服务，为PC动态分配IP地址，指定PC获得的网关和DNS服务器地址均为Vlanif 1接口。USG-Vlanif1 dhcp select interfaceUSG-Vlanif1 dhcp server dns-list 10.1.1.1USG-Vlanif1 quit2. 配置上行链路，在GigabitEthernet 6/0/2上开启DHCP Client。 3. USG interface GigabitEthernet 6/0/24. USG-GigabitEthernet6/0/2 dhcp client enableUSG-GigabitEthernet6/0/2 quit5. 将接口加入到安全区域，并在域间配置NAT和包过滤。 # 将接口加入到安全区域。USG firewall zone untrustUSG-zone-untrust add interface GigabitEthernet 6/0/2USG-zone-untrust quitUSG firewall zone trustUSG-zone-trust add interface vlanif 1USG-zone-trust add interface Ethernet 6/0/0USG-zone-trust add interface Ethernet 6/0/1USG-zone-trust quit# 域间配置NAT和包过滤。USG firewall packet-filter default permit allUSG nat-policy interzone trust untrust outboundUSG-nat-policy-interzone-trust-untrust-outbound policy 1USG-nat-policy-interzone-trust-untrust-outbound-1 action source-natUSG-nat-policy-interzone-trust-untrust-outbound-1 policy source 10.1.1.0 0.0.0.255USG-nat-policy-interzone-trust-untrust-outbound-1 easy-ip GigabitEthernet 6/0/2USG-nat-policy-interzone-trust-untrust-outbound-1 quitUSG-nat-policy-interzone-trust-untrust-outbound quit说明： firewall packet-filter default permit all命令中，打开了所有安全区域间的包过滤。请根据网络情况关闭不需要开放的域间缺省包过滤。6. 配置DNS代理。 7. USG