eNSP 华为防火墙基于时间段安全策略完整实验

发布时间：2026/10/20 6:03:25

eNSP 华为防火墙基于时间段安全策略完整实验
前言很多同学初学防火墙只会写一条简单 permit 策略但是真实企业内网权限非常精细化 办公员工工作日上班时段才允许登录 OA 办公系统下班禁止访问 办公人员随时随地可以访问企业官网 生产车间员工随时需要登录 OA 处理工单默认禁止访问官网 仅运维 PC 每周一上午短暂开放官网权限用来更新产品页面。本次实验基于 ENSP 模拟器使用华为 USG6000V 下一代防火墙 S5700 交换机借助单臂路由、地址对象、时间段对象、域间安全策略完整复刻企业权限模型。命令行配置 WEB 图形界面操作全部提供跟着操作即可成功复现一、实验拓扑一览设备清单 防火墙USG6000V-FW1内网交换机S5700-LSW1划分 VLAN2 办公、VLAN3 生产服务器交换机S5700-LSW2DMZ 服务器区终端PC1办公、PC2生产、PC3生产运维特例服务器OA Server、Web Server链路说明PC1 接入 LSW1 GE0/0/2属于 VLAN2PC2、PC3 接入 LSW1 GE0/0/3、GE0/0/4属于 VLAN3LSW1 GE0/0/1 Trunk 上联防火墙 GE1/0/1单臂路由接口防火墙 GE1/0/0 接入 LSW2作为 DMZ 网关OA Server、Web Server 接入 LSW2同网段 10.0.0.0/24二、IP 地址规划表设备接口IP 地址网关归属说明PC1办公Ethernet 0/0/1192.168.1.1/24192.168.1.254Trust VLAN2PC2生产Ethernet 0/0/1192.168.1.129/24192.168.1.254Trust VLAN3PC3运维特例Ethernet 0/0/1192.168.1.130/24192.168.1.254Trust VLAN3OA ServerEthernet 0/0/010.0.0.1/2410.0.0.254DMZ 区域Web ServerEthernet 0/0/010.0.0.2/2410.0.0.254DMZ 区域FW1-GE1/0/1.2子接口192.168.1.254/24无Trust封装 VLAN2FW1-GE1/0/1.3子接口192.168.1.254/24无Trust封装 VLAN3FW1-GE1/0/0物理接口10.0.0.254/24无DMZ 网关三、业务访问需求策略自上而下匹配顺序严禁改动VLAN2 办公 PC1周一至周五 08:00–18:00允许访问 OA 服务器其余时间拒绝访问 OAVLAN2 办公 PC1任意时刻永久允许访问 Web 服务器VLAN3 生产 PC2、PC3任何时间允许访问 OA 服务器VLAN3 生产 PC 默认禁止访问 Web 服务器特例权限PC3 每周一 10:00–11:00 可以访问 Web 服务器用于产品页面更新防火墙默认策略全部阻断仅手工放行流量。四、步骤 1内网交换机 S5700-LSW1 完整配置双击打开 LSW1 终端输入 system-view 进入系统视图system-view sysname LSW1 vlan batch 2 3 # 办公PC1 接入接口 access vlan2 interface GigabitEthernet 0/0/2 port link-type access port default vlan 2 # 生产PC2 access vlan3 interface GigabitEthernet 0/0/3 port link-type access port default vlan 3 # 生产PC3 access vlan3 interface GigabitEthernet 0/0/4 port link-type access port default vlan 3 # 上联防火墙接口 Trunk放行VLAN2、VLAN3标签 interface GigabitEthernet 0/0/1 port link-type trunk port trunk allow-pass vlan 2 3 save配置校验命令display vlandisplay port vlan五、步骤 2USG6000V 防火墙完整配置5.1 单臂路由子接口 物理接口配置system-view sysname FW1 # 对接LSW1上联口子接口封装VLAN标签 interface GigabitEthernet 1/0/1.2 vlan-type dot1q 2 ip address 192.168.2.254 255.255.255.0 interface GigabitEthernet 1/0/1.3 vlan-type dot1q 3 ip address 192.168.3.254 255.255.255.0 # 对接服务器交换机LSW2 interface GigabitEthernet 1/0/0 ip address 10.0.0.254 255.255.255.0 firewall zone trust add interface GigabitEthernet 1/0/1.2 add interface GigabitEthernet 1/0/1.3 quit firewall zone dmz add interface GigabitEthernet 1/0/0 quit # 3. 时间段对象 time-range working-time periodic weekdays 08:00 to 18:00 time-range monday-special periodic monday 10:00 to 11:00 # 4. 地址对象 ip address-set PC1 type object address 192.168.2.1 mask 255.255.255.255 ip address-set PC2 type object address 192.168.3.129 mask 255.255.255.255 ip address-set PC3 type object address 192.168.3.130 mask 255.255.255.255 ip address-set Server_OA type object address 10.0.0.1 mask 255.255.255.255 ip address-set Server_Web type object address 10.0.0.2 mask 255.255.255.255 # 5. 安全策略【自上而下顺序不可调换】 security-policy # 策略1PC1 工作日 8:00-18:00 允许访问OA rule name PC1_OA source-zone trust destination-zone dmz source-address address-set PC1 destination-address address-set Server_OA time-range working-time action permit # 策略2PC1 任何时间均可访问Web rule name PC1_Web source-zone trust destination-zone dmz source-address address-set PC1 destination-address address-set Server_Web action permit # 策略3PC2、PC3 任意时间访问OA rule name Prod_OA source-zone trust destination-zone dmz source-address address-set PC2 source-address address-set PC3 destination-address address-set Server_OA action permit # 策略4PC3 每周一10:00~11:00 特例允许访问Web rule name PC3_Web_Special source-zone trust destination-zone dmz source-address address-set PC3 destination-address address-set Server_Web time-range monday-special action permit # 策略5其余所有内网主机访问Web全部拒绝 rule name Deny_Other_Web source-zone trust destination-zone dmz destination-address address-set Server_Web action deny # 全局默认策略阻断所有未匹配流量 default action denyWEB 图形界面操作路径【网络】→【接口】→新建子接口封装 802.1Q VLAN 标签配置 IP 并加入安全区域。5.2 创建时间段对象实现分时控制核心# 工作日8点~18点办公访问OA有效时段 time-range working-time periodic weekdays 08:00 to 18:00 # 每周一上午10点~11点PC3特例时段 time-range monday-special periodic monday 10:00 to 11:005.3 创建地址对象区分终端与服务器# 办公PC1地址 ip address-set PC1 type object address 192.168.1.1 mask 255.255.255.255 # 生产PC2 ip address-set PC2 type object address 192.168.1.129 mask 255.255.255.255 # 生产PC3 ip address-set PC3 type object address 192.168.1.130 mask 255.255.255.255 # OA服务器 ip address-set Server_OA type object address 10.0.0.1 mask 255.255.255.255 # Web服务器 ip address-set Server_Web type object address 10.0.0.2 mask 255.255.255.2555.4 安全策略顺序严禁调换自上而下匹配流量security-policy # 策略1PC1工作日允许访问OA rule name PC1_OA source-zone trust destination-zone dmz source-address address-set PC1 destination-address address-set Server_OA time-range working-time action permit # 策略2PC1永久访问Web服务器 rule name PC1_Web source-zone trust destination-zone dmz source-address address-set PC1 destination-address address-set Server_Web action permit # 策略3PC2、PC3随时访问OA rule name Prod_OA source-zone trust destination-zone dmz source-address address-set PC2 source-address address-set PC3 destination-address address-set Server_OA action permit # 策略4PC3每周一10-11点特例访问Web rule name PC3_Web_Special source-zone trust destination-zone dmz source-address address-set PC3 destination-address address-set Server_Web time-range monday-special action permit # 策略5其余所有内网主机访问Web全部拒绝 rule name Deny_Other_Web source-zone trust destination-zone dmz destination-address address-set Server_Web action deny # 设置默认策略全部阻断 default action deny六、步骤 3终端 IP 填写打开 PC1、PC2、PC3、OA、Web 服务器按照 IP 规划填写 IP 地址、子网掩码、网关。七、连通性测试由底层到上层逐层验证设置防火墙时间为工作日 09:00PC1 ping OA 服务器 10.0.0.1 互通修改防火墙时间为周末PC1 ping OA 无法连通PC1 任意时间 ping Web 服务器永久互通PC2 随时 ping OA 通PC2 直接 ping Web流量被阻断修改防火墙系统时间为周一 10:05PC3 ping Web 可以正常连通八、常见报错排错手册PC 无法 ping 通网关 排查交换机 access 接口 VLAN 是否正确、防火墙子接口arp broadcast enable是否配置、网线是否插错端口。同网段互通跨网段完全不通 排查防火墙子接口是否加入 trust 区域。流量永久被阻断 排查安全策略上下顺序放行策略必须放在拒绝策略上方。时间段策略不生效 排查防火墙系统时间ENSP 模拟器设备时间和 PC 本地时间不一致会导致分时策略失效。九、实验总结本次实验融合交换机 VLAN 划分、单臂路由、防火墙安全区域、地址对象、时间段对象、分时安全策略多个核心知识点。 USG6000V 下一代防火墙不再依靠传统 ACL使用对象化策略管理网络权限更贴合企业真实运维场景。掌握这套思路遇到复杂企业权限需求都可以灵活拆分地址与时间段实现精细化访问控制。

相关新闻

RAG混合检索系统架构与优化实践

RAG混合检索系统架构与优化实践

1. RAG混合检索系统架构深度解析RAG（检索增强生成）系统已经成为当前AI应用开发的热门架构选择。作为一名长期从事AI系统开发的工程师，我发现混合检索方案在实际业务场景中表现尤为突出。与单一检索方式相比，混合检索能够同时兼顾语…

2026/10/15 11:11:48 阅读更多 →
TM4C129XKCZAD看门狗与ADC寄存器级配置与调试实战

TM4C129XKCZAD看门狗与ADC寄存器级配置与调试实战

1. 项目概述与核心价值在嵌入式系统开发，尤其是基于ARM Cortex-M内核的微控制器项目中，看门狗定时器和模数转换器是两个基石级的外设。前者是系统稳定运行的“守护神”，后者是连接物理世界与数字世界的“桥梁”。今天，我们就以德州…

2026/10/20 22:00:57 阅读更多 →
Kali Linux 2024 虚拟机安装与配置全指南：从零搭建渗透测试环境

Kali Linux 2024 虚拟机安装与配置全指南：从零搭建渗透测试环境

如果你正在寻找一个“一站式”的Kali Linux安装指南，却发现网上教程要么版本过时，要么步骤跳跃，要么关键细节（如VMware配置、网络设置、汉化）语焉不详，那么这篇文章就是为你准备的。Kali Linux作为最知名的…

2026/10/20 10:48:14 阅读更多 →

最新新闻

游戏UI环形布局：动态参数化控件环绕实现方案

游戏UI环形布局：动态参数化控件环绕实现方案

1. 项目概述：为什么一个“UI控件环绕”能成为游戏客户端开发中的高频需求“UI控件环绕特效”这八个字，听上去像美术同学随口提的一句需求，但在我过去十年参与的二十多个中大型游戏客户端项目里，它几乎出现在每一轮版本评审会上——…

2026/10/21 5:42:16 阅读更多 →
AI智能体进阶五级法则：从失控到工程化的实战指南

AI智能体进阶五级法则：从失控到工程化的实战指南

破题：如果你不崩溃，说明你还没做AI智能体做了两年多AI智能体落地，我最大的感受是：每个号称“AI应用研发专家”的人，职业生涯大概都逃不过一次体面尽失的崩溃。不是测试不通过的崩溃，是那种线上用户疯狂反馈…

2026/10/21 5:42:16 阅读更多 →
硬盘故障自救全程复盘：从警告信号到数据恢复与备份策略

硬盘故障自救全程复盘：从警告信号到数据恢复与备份策略

硬盘坏掉这种事，没用过的人不会在意，等真遇到才发现，搜再多数据恢复工具也不如事前一份备份。半个月前，我那块存了多年照片和项目资料的硬盘突然不认盘了，盘符还在，双击进去就卡死，折腾了大半天…

2026/10/21 5:42:16 阅读更多 →
IP-Adapter+AnimateDiff：AI动漫短剧工业化流水线实战

IP-Adapter+AnimateDiff：AI动漫短剧工业化流水线实战

2026年了，还在用单张AI生成图拼动漫短剧的，基本已经被淘汰了。真正能稳定出片的，靠的是一整套“角色不出戏、动作不跳帧、批量不闹心”的工业化流水线。过去大半年我一直在磨这个方向，核心组合就是IP-Adapter做角色锚定&#xff0…

2026/10/21 5:42:16 阅读更多 →
GET与POST传参的隐藏陷阱：URL编码、Content-Type与中文乱码

GET与POST传参的隐藏陷阱：URL编码、Content-Type与中文乱码

1. 先别急着写代码：GET和POST传参的真正差异在哪里作为一个写过无数接口、也调试过无数接口的人，我几乎每天都要面对GET和POST传参这件事。你可能觉得这有什么好讲的，小学生都会，但实际工作里，因为"参数没传对&qu…

2026/10/21 5:42:16 阅读更多 →
在NAS上用Docker部署YesPlayMusic：打造全家人使用的干净网易云音乐播放器

在NAS上用Docker部署YesPlayMusic：打造全家人使用的干净网易云音乐播放器

我把家里的NAS当成一个长期运行的“家庭服务器”来用，除了存照片、跑下载任务、备份手机相册之外，最近折腾的最值的一件事，是把第三方网易云音乐播放器YesPlayMusic部署了上去。现在全家任何一台设备，只要打开浏览器输入地址&…

2026/10/21 5:41:15 阅读更多 →

日新闻

统一内存+量化：锐龙AI Max PRO 400如何本地跑320B大模型

统一内存+量化：锐龙AI Max PRO 400如何本地跑320B大模型

这段时间硬件圈和AI圈都在传一个事：AMD锐龙AI Max PRO 400系列把最高192GB统一内存搬进了PC形态的产品里，按宣传口径，本地跑320B参数的大家伙不再是纸面概念。我第一反应倒不是“内存真大”，而是这话背后的含金量——它把过去只能…

2026/10/21 0:00:11 阅读更多 →
AI助手深度使用体验：对话质量、长文本处理与指令遵循如何留住用户

AI助手深度使用体验：对话质量、长文本处理与指令遵循如何留住用户

1. 从“封号重开”这个行为说起：用户到底在追求什么“封号重开”这四个字，放在任何产品语境里都带着一股决绝的味道。一个账号从零开始积累使用记录、调教偏好、沉淀工作流，背后是大量的时间和精力成本。正常情况下，没有人愿意主动…

2026/10/21 0:00:11 阅读更多 →
ROS中YOLOv3工程落地：通信同步、坐标变换与性能调优

ROS中YOLOv3工程落地：通信同步、坐标变换与性能调优

1. 为什么在ROS里硬刚YOLOv3不是“炫技”，而是工程落地的必经之路我第一次在某高校机器人实验室看到那台搭载Jetson TX2的移动底盘原地打转、反复识别错垃圾桶时，就意识到：单纯跑通darknet_ros demo和真正让YOLOv3在ROS里“干活”&#xff0c…

2026/10/21 0:00:11 阅读更多 →

周新闻

基于GMM的语音识别系统原理与MATLAB实现详解

基于GMM的语音识别系统原理与MATLAB实现详解

说到基于高斯混合模型（GMM）的语音识别系统，很多人第一反应就是一堆数学公式，觉得门槛很高。但如果你真的在MATLAB里把它落地跑通，会发现核心其实就是三件事：把声音变成特征向量，用GMM给每个类别…

2026/10/20 10:02:13 阅读更多 →
数字图像处理入门：反白、灰度化、调色板修改与导出txt实践

数字图像处理入门：反白、灰度化、调色板修改与导出txt实践

数字图像处理这四个字听起来挺唬人，但落到具体操作上，无非就是让计算机按你的想法“摆弄”像素。我在一个模拟项目X里用了一套特别经典的基础处理流程：对图像做反白、改调色板、彩色转灰度，最后把像素数据导出成txt文件。单看每一…

2026/10/20 20:43:59 阅读更多 →
机器人大脑技术盘点：具身智能的感知、决策与数据闭环

机器人大脑技术盘点：具身智能的感知、决策与数据闭环

如果你的信息流最近也天天刷到“机器人大脑”这个词，你会发现一个很有意思的现象：每个人说的“大脑”根本不是同一个东西。有人指的是大语言模型，有人指的是运动控制系统，还有人指的是能理解物理世界的端到端模型。在2026年这个时…

2026/10/21 4:27:17 阅读更多 →

月新闻

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/20 10:02:08 阅读更多 →
Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/20 9:50:17 阅读更多 →
黑夜航拍船只数据集训练YOLOV5模型全流程解析

黑夜航拍船只数据集训练YOLOV5模型全流程解析

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/20 9:50:45 阅读更多 →