企業(yè)允許職員上網(wǎng)，但出于生產(chǎn)力原因，經(jīng)常在防火墻上寫字。例如，職員在上班時間參觀特定購物中心，職員在上班時間不讓看電影等。

下面通一個小案例來看看華為防火墻USG6000在應(yīng)用控制的強大功能吧。

根據(jù)以上的圖，在ENSP中模擬如下圖

圖中trust區(qū)域中，采用的虛擬機win7系統(tǒng)，并安裝好QQ軟件和迅雷軟件，虛擬機win7網(wǎng)絡(luò)采用的VMnet1。具體配置如下圖

untrust區(qū)域配置如下圖，不明白這步的小伙伴們可以查閱這篇文章

環(huán)境已經(jīng)準備好了，來說一下，今天實現(xiàn)的效果吧。

1. 通過防火墻應(yīng)用控制禁止內(nèi)網(wǎng)用戶使用QQ。
2. 通過防火墻限制內(nèi)網(wǎng)用戶使用迅雷下載。

配置思路

1、配置接口IP地址，并把對應(yīng)的接口加入的對應(yīng)的安全區(qū)域

2、配置NAT,使內(nèi)網(wǎng)的用戶能正常上網(wǎng)

3、通過配置安全策略實現(xiàn)需求。

配置步驟

1、配置接口IP地址，并加入到安全區(qū)域中。

[FW1]interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0]ip address 192.168.227.254 24 [FW1]firewall zone trust [FW1-zone-trust]add interface GigabitEthernet 1/0/0 [FW1]interface GigabitEthernet 1/0/3 [FW1-GigabitEthernet1/0/3]ip address dhcp-alloc #配置該接口自動獲取IP地址 [FW1]firewall zone untrust [FW1-zone-untrust]add interface GigabitEthernet 1/0/3

2、配置NAT

[FW1]nat address-group natpool 1 [FW1-address-group-natpool]section 192.168.111.115 192.168.111.116 [FW1-policy-nat]rule name ToNAT [FW1-policy-nat-rule-ToNAT] source-address 192.168.227.0 24 [FW1-policy-nat-rule-ToNAT]destination-zone untrust [FW1-policy-nat-rule-ToNAT]action source-nat address-group natpool

3、配置安全策略，使內(nèi)網(wǎng)用戶能正常訪問互聯(lián)網(wǎng)

[FW1]security-policy [FW1-policy-security]rule name to_Internet [FW1-policy-security-rule-to_Internet]source-zone trust [FW1-policy-security-rule-to_Internet]source-address 192.168.227.0 24 [FW1-policy-security-rule-to_Internet]destination-zone untrust [FW1-policy-security-rule-to_Internet]action permit

配置到此，內(nèi)網(wǎng)的用戶能正常通過NAT上外網(wǎng)。

在配置防火墻的時，通常我們是先把安全策略放通全部，然后再根據(jù)需求逐步收窄放通的范圍。

應(yīng)用控制禁用QQ

華為USG6000系列防火墻內(nèi)置了很多應(yīng)用層的安全規(guī)則，可以根據(jù)自己的業(yè)務(wù)需求，進行放通或者禁止，這里我們選用禁用QQ。

新建一個規(guī)則名稱為forbiddenQQ，源安全區(qū)域選擇trust，源地址配置為192.168.227.0/24。具體配置如下圖

安全策略是有順序區(qū)別的，在剛開始的時候，我們創(chuàng)建了一個放通全部流量，而我們新建forbiddenQQ，在To_Internet規(guī)則之下。這樣的話forbiddenQQ就不起作用了。需要把forbiddenQQ移動到To_Internet規(guī)則之前，如下圖，

這樣內(nèi)網(wǎng)的用戶就不能使用QQ，可以看到 forbiddenQQ命中有數(shù)據(jù)，證明數(shù)據(jù)包匹配了這條規(guī)則

應(yīng)用控制限制P2P流量

根據(jù)上述的需要，新建一條限制P2P流量的規(guī)則，具體配置如下圖，為了演示，我這里限制最多60KB流量。

限制流量之前，利用迅雷下載的速度

限制流量之前，利用迅雷下載的速度

啟用限制流量之后，利用迅雷下載的速度

啟用限制流量之后，利用迅雷下載的速度