（一）背景資料
“工欲善其事凌埂，必先利其器〔銎溃”
為幫助我們更好的理解華為HCNA/HCNP認(rèn)證課程的知識(shí)放接，更好的掌握華為ICT相關(guān)產(chǎn)品的配置與管理，華為提供了一款免費(fèi)的留特，界面友好纠脾，操作簡(jiǎn)單，具備極高仿真度的設(shè)備模擬器——eNSP蜕青，不僅可以模擬單臺(tái)設(shè)備的特性操作苟蹈，還能夠組網(wǎng)進(jìn)行實(shí)戰(zhàn)演練。
eNSP(Enterprise Network Simulation Platform)是圖形化網(wǎng)絡(luò)仿真平臺(tái)右核，該平臺(tái)通過(guò)對(duì)真實(shí)網(wǎng)絡(luò)設(shè)備的仿真模擬慧脱，幫助廣大ICT從業(yè)者和客戶(hù)快速熟悉華為數(shù)通系列產(chǎn)品，了解并掌握相關(guān)產(chǎn)品的操作和配置贺喝、提升對(duì)企業(yè)ICT網(wǎng)絡(luò)的規(guī)劃菱鸥、建設(shè)宗兼、運(yùn)維能力，從而幫助企業(yè)構(gòu)建更高效氮采，更優(yōu)質(zhì)的企業(yè)ICT網(wǎng)絡(luò)殷绍。
本次實(shí)驗(yàn)使用華為eNSP的版本是V100R002C00B510，實(shí)驗(yàn)內(nèi)容參考華為認(rèn)證課程HCNP-Security CISN的實(shí)驗(yàn)手冊(cè)鹊漠。
（二）實(shí)驗(yàn)?zāi)康?/h3>
- 掌握IPS地址文件編制主到；
- 掌握sftp server配置，上傳ISP文件躯概；
- 掌握防火墻使用多個(gè)IPS地址實(shí)現(xiàn)智能選路的配置登钥。
（三）實(shí)驗(yàn)條件
- 一臺(tái)CPU支持VT技術(shù)，內(nèi)存4GB以上的計(jì)算機(jī)楞陷；
- 安裝eNSP模擬器B510版怔鳖，導(dǎo)入U(xiǎn)SG6000V鏡像；
- 終端工具：SecuretyCRT固蛾，Putty结执，Psftp，XShell等艾凯。
（四）網(wǎng)絡(luò)拓樸圖
打開(kāi)ENSP軟件献幔，按如下拓樸圖創(chuàng)建實(shí)驗(yàn)環(huán)境，設(shè)置地址:
- Ctrl地址：192.168.0.0/24趾诗；
- LAN地址：192.168.10.0/24蜡感；
- ISP1地址：10.11.11.0/24；
- ISP2地址：10.22.22.0/24恃泪；
- ISP3地址：10.33.33.0/24郑兴；
實(shí)驗(yàn)3拓樸
（五）配置思路
- 使用文本編輯器編制IPS地址文件；
- 設(shè)置sftp服務(wù)贝乎，上傳IPS地址文件情连；
- 配置智能選路；
- 配置防火墻的接口地址览效，安全域却舀；
- 設(shè)置服務(wù)器、PC锤灿、交換機(jī)等設(shè)備的IP地址挽拔；
（六）配置步驟
(1) 編寫(xiě)ISP地址文件
使用文本編輯器編寫(xiě)每個(gè)IPS所使用的地址文件，以CVS文件保存：
CSV但校，Comma-Separated Values螃诅，逗號(hào)分隔值，有時(shí)也稱(chēng)為字符分隔值，因?yàn)榉指糇址部梢圆皇嵌禾?hào)术裸，其文件以純文本形式存儲(chǔ)表格數(shù)據(jù)（數(shù)字和文本）空执。
ISP地址文件
(2)配置防火墻SFTP服務(wù)
以下為創(chuàng)建帳戶(hù)sshadmin，密碼為 admin@123 穗椅，并配置可以sftp登錄的過(guò)程
<USG6000V1>system view //進(jìn)入系統(tǒng)配置視圖
Enter system view, return user view with Ctrl+Z.
[USG6000V1]sysname FW1 //修改防火墻的名稱(chēng)為FW1
[FW1]undo info-center enable //關(guān)閉信息提示
Info: Information center is disabled.
[FW1]aaa //進(jìn)入AAA視圖
[FW1-aaa]manager-user sshadmin //創(chuàng)建用戶(hù)sshadmin
[FW1-aaa-manager-user-sshadmin]service-type ssh //配置用戶(hù)服務(wù)類(lèi)型
[FW1-aaa-manager-user-sshadmin]password cipher admin@123 //配置用戶(hù)密碼
Info: You are advised to config on man-machine mode.
[FW1-aaa-manager-user-sshadmin]level 3 //配置用戶(hù)等級(jí)
[FW1-aaa-manager-user-sshadmin]quit //退出用戶(hù)配置視圖，返回AAA視圖
[FW1-aaa]quit //退出AAA視圖奶栖，返回系統(tǒng)視圖
[FW1]
[FW1]ssh user sshadmin //新建SSH用戶(hù)
Info: Succeeded in adding a new SSH user.
[FW1]ssh user sshadmin authentication-type password //配置SSH用戶(hù)的認(rèn)證方式
[FW1]ssh user sshadmin authorization-cmd aaa //配置SSH用戶(hù)按命令行授權(quán)
Info: Please make sure that the command line authorization method has been set for the user.
[FW1]ssh user sshadmin sftp-directory hda1: //配置SSH用戶(hù)的SFTP服務(wù)授權(quán)目錄
[FW1]ssh user sshadmin service-type all //配置SSH用戶(hù)的服務(wù)方式
[FW1]
配置sftp服務(wù)可用狀態(tài)
[FW1]sftp server enable
Info: The SFTP server is already started.
(3)上傳ISP地址文件到防火墻
通過(guò)SFTP匹表，上傳IPS地址文件到防火墻內(nèi)的ISP目錄下，為下一步的智能選路做準(zhǔn)備宣鄙。
以下為Cloud1的配置袍镀，用于連接sftp服務(wù)：
Cloud1的網(wǎng)絡(luò)配置
下載sftp客戶(hù)端程序psftp.exe，并在命令行狀態(tài)下打開(kāi)冻晤。
D:\Downloads>psftp.exe //在命令行狀態(tài)下運(yùn)行psftp.exe
psftp: no hostname specified; use "open host.name" to connect
psftp> open 192.168.0.1 //打開(kāi)防火墻IP
login as: sshadmin //輸入用戶(hù)
SSH server: User Authentication
Using keyboard-interactive authentication.
Password: //輸入密碼
Remote working directory is /
psftp> //成功登錄sftp服務(wù)器
psftp> cd isp //進(jìn)入服務(wù)器ISP目錄
Remote directory is now /isp
psftp> lcd d: //進(jìn)入客戶(hù)機(jī)D盤(pán)根目錄
New local directory is d:\
psftp> put isp1.csv //上傳自定義的ISP1地址文件
local:isp1.csv => remote:/isp/isp1.csv
psftp> put isp2.csv //上傳自定義的ISP2地址文件
local:isp2.csv => remote:/isp/isp2.csv
psftp> put isp3.csv //上傳自定義的ISP3地址文件
local:isp3.csv => remote:/isp/isp3.csv
psftp>
操作完成后苇羡，使用ls(或dir)查看上傳結(jié)果
查看SFTP上傳結(jié)果
(4)配置ISP智能選路、接口地址鼻弧、安全域
分別創(chuàng)建運(yùn)營(yíng)商名稱(chēng)isp1,isp2,isp3并關(guān)聯(lián)對(duì)應(yīng)的ISP地址文件
[FW1]
[FW1]isp name isp1 //創(chuàng)建ISP1
[FW1]isp name isp1 set filename isp1.csv //設(shè)置ISP1關(guān)聯(lián)地址文件isp1.csv
[FW1]isp name isp2 //創(chuàng)建ISP2
[FW1]isp name isp2 set filename isp2.csv //設(shè)置ISP2關(guān)聯(lián)地址文件isp2.csv
[FW1]isp name isp3 //創(chuàng)建ISP3
[FW1]isp name isp3 set filename isp3.csv //設(shè)置ISP3關(guān)聯(lián)地址文件isp3.csv
[FW1]
分別為運(yùn)營(yíng)商創(chuàng)建健康檢查規(guī)則
[FW1]
[FW1]healthcheck name isp1_health //創(chuàng)建名為isp1_health檢查規(guī)則
[FW1-healthcheck-isp1_health]destination 10.11.11.2 interface GigabitEthernet 1/0/1 protocol tcp-simple destination-port 10001
//定義服務(wù)器地址设江，接口，協(xié)議攘轩，端口
[FW1-healthcheck-isp1_health]quit
[FW1]
[FW1]healthcheck name isp2_health //創(chuàng)建名為isp2_health檢查規(guī)則
[FW1-healthcheck-isp2_health]destination 10.22.22.2 interface GigabitEthernet 1/0/2 protocol tcp-simple destination-port 10002
//定義服務(wù)器地址叉存，接口，協(xié)議度帮，端口
[FW1-healthcheck-isp2_health]quit
[FW1]
[FW1]healthcheck name isp3_health //創(chuàng)建名為isp3_health檢查規(guī)則
[FW1-healthcheck-isp3_health]destination 10.33.33.2 interface GigabitEthernet 1/0/3 protocol tcp-simple destination-port 10003
//定義服務(wù)器地址歼捏，接口，協(xié)議笨篷，端口
[FW1-healthcheck-isp3_health]quit
[FW1]
以下為配置防火墻的接口地址瞳秽，健康檢查規(guī)則，安全域：
[FW1]interface GigabitEthernet 1/0/0 //進(jìn)入接口配置視圖
[FW1-GigabitEthernet1/0/0]ip address 192.168.10.1 24 //配置接口地址
[FW1-GigabitEthernet1/0/0]quit //退出接口配置視圖率翅，返回系統(tǒng)視圖
[FW1]firewall zone trust //進(jìn)入安全域配置視圖
[FW1-zone-trust]add interface GigabitEthernet 1/0/0 //把接口加入到安全域
[FW1-zone-trust]quit //退出安全域配置視圖练俐，返回系統(tǒng)視圖
[FW1]ip route-static 192.168.10.0 255.255.255.0 192.168.10.254 //配置到Lan的靜態(tài)路由
[FW1]interface GigabitEthernet 1/0/1 //進(jìn)入接口配置視圖
[FW1-GigabitEthernet1/0/1]ip address 10.11.11.1 24 //配置接口地址
[FW1-GigabitEthernet1/0/1]gateway 10.11.11.254 //配置接口網(wǎng)關(guān)
[FW1-GigabitEthernet1/0/1]healthcheck isp1_health //啟用健康檢查規(guī)則isp1_health
[FW1-GigabitEthernet1/0/1]service-manage ping permit //允許ping
[FW1-GigabitEthernet1/0/1]quit //退出接口配置視圖，返回系統(tǒng)視圖
[FW1]interface GigabitEthernet 1/0/2 //進(jìn)入接口配置視圖
[FW1-GigabitEthernet1/0/2]ip address 10.22.22.1 24 //配置接口地址
[FW1-GigabitEthernet1/0/2]gateway 10.22.22.254 //配置接口網(wǎng)關(guān)
[FW1-GigabitEthernet1/0/2]healthcheck isp2_health //啟用健康檢查規(guī)則isp2_health
[FW1-GigabitEthernet1/0/2]service-manage ping permit //允許ping
[FW1-GigabitEthernet1/0/2]quit //退出接口配置視圖安聘，返回系統(tǒng)視圖
[FW1]interface GigabitEthernet 1/0/3 //進(jìn)入接口配置視圖
[FW1-GigabitEthernet1/0/3]ip address 10.33.33.1 24 //配置接口地址
[FW1-GigabitEthernet1/0/3]gateway 10.33.33.254 //配置接口網(wǎng)關(guān)
[FW1-GigabitEthernet1/0/3]healthcheck isp3_health //啟用健康檢查規(guī)則isp3_health
[FW1-GigabitEthernet1/0/3]service-manage ping permit //允許ping
[FW1-GigabitEthernet1/0/3]quit //退出接口配置視圖痰洒，返回系統(tǒng)視圖
[FW1]firewall zone untrust //進(jìn)入安全域配置視圖
[FW1-zone-untrust]add interface GigabitEthernet 1/0/1 //把接口加入到安全域
[FW1-zone-untrust]add interface GigabitEthernet 1/0/2 //把接口加入到安全域
[FW1-zone-untrust]add interface GigabitEthernet 1/0/3 //把接口加入到安全域
[FW1-zone-untrust]quit //退出安全域配置視圖，返回系統(tǒng)視圖
[FW1]
[FW1]security-policy //進(jìn)入安全策略配置視圖
[FW1-policy-security]rule name lan_wan //創(chuàng)建名為lan_wan的規(guī)則
[FW1-policy-security-rule-lan_wan]source-zone trust //設(shè)置源安全域
[FW1-policy-security-rule-lan_wan]destination-zone untrust //設(shè)置目標(biāo)安全域
[FW1-policy-security-rule-lan_wan]action permit //策略允許
[FW1-policy-security-rule-lan_wan]quit //退出規(guī)則配置視圖浴韭，返回安全策略配置視圖
[FW1-policy-security]quit //退出安全策略配置視圖丘喻，返回系統(tǒng)視圖
[FW1]
(5)配置ISP1、ISP2念颈、ISP3泉粉、LAN網(wǎng)絡(luò)
為更加清晰的顯示網(wǎng)絡(luò)鏈路的路徑選擇，同時(shí)也減輕防火墻的配置復(fù)雜度，所有網(wǎng)絡(luò)以交換機(jī)為網(wǎng)關(guān)嗡靡。
以下為ISP1所在的交換機(jī)LSW1的配置跺撼，以及Server1的配置：
The device is running!
<Huawei>system-view //進(jìn)入系統(tǒng)配置視圖
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW1 //修改交換機(jī)名為L(zhǎng)SW1
[LSW1]
[LSW1]undo info-center enable //關(guān)閉信息提示
Info: Information center is disabled.
[LSW1]interface Vlanif 1 //進(jìn)入vlan接口配置視圖
[LSW1-Vlanif1]ip address 10.11.11.254 24 //配置vlan的IP地址
[LSW1-Vlanif1]quit //退出vlan接口配置，返回系統(tǒng)配置視圖
[LSW1]
[LSW1]ip route-static 0.0.0.0 0.0.0.0 10.11.11.1 //配置交換機(jī)的默認(rèn)路由
[LSW1]quit //退出系統(tǒng)配置視圖讨彼，返回用戶(hù)視圖
<LSW1>save //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW1>
Server1的網(wǎng)絡(luò)配置
以下為ISP2所在的交換機(jī)LSW1的配置歉井，以及Server2的配置：
The device is running!
<Huawei>system-view //進(jìn)入系統(tǒng)配置視圖
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW2 //修改交換機(jī)名為L(zhǎng)SW2
[LSW2]
[LSW2]undo info-center enable //關(guān)閉信息提示
Info: Information center is disabled.
[LSW2]interface Vlanif 1 //進(jìn)入vlan接口配置視圖
[LSW2-Vlanif1]ip address 10.22.22.254 24 //配置vlan的IP地址
[LSW2-Vlanif1]quit //退出vlan接口配置，返回系統(tǒng)配置視圖
[LSW2]
[LSW2]ip route-static 0.0.0.0 0.0.0.0 10.22.22.1 //配置交換機(jī)的默認(rèn)路由
[LSW2]quit //退出系統(tǒng)配置視圖哈误，返回用戶(hù)視圖
<LSW2>save //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW2>
Server2的網(wǎng)絡(luò)配置
以下為ISP3所在的交換機(jī)LSW3的配置哩至，以及Server3的配置：
The device is running!
<Huawei>system-view //進(jìn)入系統(tǒng)配置視圖
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW3 //修改交換機(jī)名為L(zhǎng)SW3
[LSW3]
[LSW3]undo info-center enable //關(guān)閉信息提示
Info: Information center is disabled.
[LSW3]interface Vlanif 1 //進(jìn)入vlan接口配置視圖
[LSW3-Vlanif1]ip address 10.33.33.254 24 //配置vlan的IP地址
[LSW3-Vlanif1]quit //退出vlan接口配置，返回系統(tǒng)配置視圖
[LSW3]
[LSW3]ip route-static 0.0.0.0 0.0.0.0 10.33.33.1 //配置交換機(jī)的默認(rèn)路由
[LSW3]quit //退出系統(tǒng)配置視圖蜜自，返回用戶(hù)視圖
<LSW3>save //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW3>
Server3的網(wǎng)絡(luò)配置
以下為L(zhǎng)AN所在的交換機(jī)LSW4的配置菩貌，以及PC1的配置：
The device is running!
<Huawei>system-view //進(jìn)入系統(tǒng)配置視圖
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname LSW4 //修改交換機(jī)名為L(zhǎng)SW4
[LSW4]
[LSW4]undo info-center enable //關(guān)閉信息提示
Info: Information center is disabled.
[LSW4]interface Vlanif 1 //進(jìn)入vlan接口配置視圖
[LSW4-Vlanif1]ip address 192.168.10.254 24 //配置vlan的IP地址
[LSW4-Vlanif1]quit //退出vlan接口配置，返回系統(tǒng)配置視圖
[LSW4]
[LSW4]ip route-static 0.0.0.0 0.0.0.0 192.168.10.1 //配置交換機(jī)的默認(rèn)路由
[LSW4]quit //退出系統(tǒng)配置視圖重荠，返回用戶(hù)視圖
<LSW4>save //保存配置
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 0.
Save the configuration successfully.
<LSW4>
PC1的網(wǎng)絡(luò)配置
(6)通過(guò)抓包工具進(jìn)行選路測(cè)試
通過(guò)ENSP自帶的抓包工具箭阶，對(duì)防火墻的GE1/0/1,GE1/0/2,GE1/0/3進(jìn)行抓包測(cè)試
數(shù)據(jù)抓包工具
選擇抓包接口
用PC1 ping ISP3的服務(wù)器Server3地址10.33.33.2時(shí)，從FW1的GE1/0/1戈鲁，GE1/0/2接口沒(méi)有抓取到ICMP包仇参，說(shuō)明沒(méi)有PING數(shù)據(jù)從GE1/0/1，GE1/0/2通過(guò)婆殿，PING數(shù)據(jù)從GE1/0/3接口通過(guò)冈敛。
Ping Server3
抓包測(cè)試
（七）參考資料
華為模擬器eNSP軟件，
華為模擬器eNSP社區(qū)鸣皂，
HCNA-Security 華為認(rèn)證網(wǎng)絡(luò)安全工程師抓谴，
HCNP-Security 華為認(rèn)證網(wǎng)絡(luò)安全資深工程師，
HUAWEI USG6000V V500R001C10SPC100 典型配置案例寞缝，
HUAWEI USG6000V V500R001C10SPC100 管理員指南癌压，
HUAWEI USG6000V V500R001C10SPC100 命令參考 ，
華為ICT相關(guān)的英文簡(jiǎn)稱(chēng) 荆陆。
PS:
文檔由燉冬瓜用Markdown語(yǔ)言編寫(xiě)滩届，輸出PDF或HTML。
燉冬瓜 一枚混跡挨踢江湖十載有余的吃貨被啼，好吃懶做帜消，成功的從絲瓜進(jìn)階為冬瓜。
