物理接口1) 防火墙支持的接口可以是二层接口或者三层接口2) 二层接口：portswitch3) 三层接口：undo portswitch
逻辑接口1) VT（virtual template）接口、dialer接口2) tunnel接口、null接口3) vlanif接口4) 三层以太网子接口5) Eth-Trunk接口、loobacp接口
防火墙的Eth-trunk
优点：
1) 本质是要提高链路的带宽 2) 可靠性（LACP协议） 3) 负载分担
Eth-trunk模式分类：
1) 手工负载分担模式（默认）注意：所有链路都要参与转发2) 静态LACP模式（没有动态LACP）注意: 可以所有，也可以配置备份M:N形式 Eth-trunk接口类型1) 三层Eth-trunk2) 二层Eth-trunk
交换机上面为二层Eth-trunk
第一步：新建Eth-trunk及模式
interfaceEth-Trunk1
modelacp-static---------默认手工负载分担
第二步：定义Eth-trunk类型
interfaceEth-Trunk1
portlink-typetrunk
porttrunkallow-passvlan2to4094
第三步：把接口加入Eth-trunk组方法一
intXXXX
eth-trunk1
方法二
inteth-trunkXX(防火墙不能）
trunkportg0/0/1to0/0/2
防火墙上面为三层Eth-trunk 第一步：创建ETH-TRUNK及模式
interfaceEth-Trunk1
modelacp-static
第二步：接口成员加入ETH-TRUNK
intXXX
eth-trunk1
检查Eth-Trunk的配置
<FW1>displayeth-trunk1
15:10:492019/06/02
Eth-Trunk1'sstateinformationis:
Local:
LAGID:1WorkingMode:STATIC
PreemptDelay:DisableHashArichmetic:AccordingtoIP
SystemPriority:32768SystemID:2444-27ca-fbff
Leastactive-linknumber:1Maxactive-linknumber:8
OperateStatus:upNumberofUpPortinTrunk:2----------------------------------------------------ActorPortNameStatusPortTypePortPriPortNoPortKeyPortStateWeigth
GigabitEthernet0/0/1Selected100M32768264101111001
GigabitEthernet0/0/2Selected100M32768364101111001
Partner:----------------------------------------------------ActorPortNameSysPriSystemIDPortPriPortNoPortKeyPortState
GigabitEthernet0/0/132768384c-4f60-9d2032768128910111100GigabitEthernet0/0/232768384c-4f60-9d2032768228910111100
防火墙的子接口
物理接口的子接口
防火墙配置子接口
interfaceGigabitEthernet1/0/1.10-------先取子接口
vlan-typedot1q10----------------------封装VLANID
ipaddress10.1.1.10255.255.255.0#interfaceGigabitEthernet1/0/1.16
vlan-typedot1q16
ipaddress192.168.1.10255.255.255.0#
第二步：把子接口加ZONE
firewallzonetrust
addinterfaceGigabitEthernet1/0/1.10#firewallzonedmz
addinterfaceGigabitEthernet1/0/1.16
检查：
[FW1]displayzone
20:26:162019/03/07local
priorityis100#trust
priorityis85
interfaceofthezoneis(2):
GigabitEthernet0/0/0
GigabitEthernet1/0/1.10#dmz
priorityis50
interfaceofthezoneis(1):
GigabitEthernet1/0/1.16
第三步：测试防火墙直连通信默认一个都通不了，因为华为防火墙默认ZONE与ZONE之间都没有放行安全策略 默认的策略是deny
[FW1]displaysecurity-policyall
21:35:502019/09/05
Total:1
RULEIDRULENAMESTATEACTIONHITTED
-------------------------------------------------------------------------------0defaultenabledeny275
-------------------------------------------------------------------------------[FW1]
security-policy
defaultactionpermit----------默认全开安全策略
测试各个直接通信测试完毕一定要记得关闭
security-policydefaultactiondeny
注意： 关于ping的问题 如果在防火墙上PING各个ZONE，只要上面放行所有安全策略，就可以访问 如果从各个安全区域访问防火墙的接口，全放安全策略无用，必须开启接口的访问管理PING，这样才能PING通防火墙接口第五步：检查测试
逻辑接口的子接口
三层eth-trunk可以配置IP 二层Eth-trunk链路类型默认为hybrid
interfaceEth-Trunk1
portlink-typetrunk
porttrunkallow-passvlan10164050
配置：
interfaceEth-Trunk1.10
vlan-typedot1q10ipaddress10.1.1.10255.255.255.0#interfaceEth-Trunk1.16
vlan-typedot1q16ipaddress192.168.1.10255.255.255.0#
注意：注意:所有防火墙的接口，无论是物理还是逻辑都需要加ZONE防火墙所有的接口都定义ZONE
firewallzonetrustsetpriority85
addinterfaceEth-Trunk1.10#
firewallzoneuntrustsetpriority5#
firewallzonedmzsetpriority50
addinterfaceEth-Trunk1.16
放行安全策略
security-policy
rulenametrust_dmzsource-zonetrust
destination-zonedmz
actionpermit
防火墙的vlanif接口
实验演示防火墙上面的vlanif接口技术
配置思路：第一步: 创建VLAN
vlanbatch2030
第二步：把接口配置成为二层
interfaceGigabitEthernet1/0/3
portswitch
portlink-typeaccess------------默认为ACCESS，可以修改
portaccessvlan20#interfaceGigabitEthernet1/0/4
portswitch
portlink-typeaccess
portaccessvlan30
第三步：创建VLANIF接口
interfaceVlanif20
ipaddress10.1.2.10255.255.255.0
service-managepingpermit#interfaceVlanif30
ipaddress10.1.3.10255.255.255.0
service-managepingpermit
第四步：接口划入ZONE注意：不需要把接口再划入ZONE，只需要逻辑加ZONE
firewallzonetrustaddinterfaceVlanif20
addinterfaceVlanif30
第五步：测试检查注意: 同一个ZONE不需要配置安全策略，可以互相通信 ------结论对吗？现在USG6320 V100版本 ，就必须要配置同一个ZONE安全策略
security-policy
rulenametrust_trustsource-zonetrust
destination-zonetrust
actionpermit
