H3C防火墻系統升級步驟

下載3CDaemon的FTP的軟件、

第一步、打開3cdaemon的FTP的軟件，點擊——>“設置TFTP服務器”

第二步、點擊——>TFTP設置——>選擇需要升級的系統文件夾

第三步、系統文件名后綴一定要加上，否則上傳不了

<H3C>tftp 1.1.1.1 get  XXXX.ipe                   上傳完成后，執行
<H3C>boot-loader file slot1#flash:/XXXX.ipe all main         將系統設置為加載系統

第四步、文件上傳失敗

1.分析磁盤空間（dir檢查磁盤空間，發現剩余空間足夠存放升級版本文件）

2.分析軟件升級版本（檢查軟件升級版本文件是否損壞）

3.仔細分析系統的提示信息

H3C安全設備激活license、同時和.did文件做綁定、需要從設備中去下載.did文件

第一步、同時保證PC可以ping通安全設備（以上步驟就是放通各個區域）

第二步、tftp PC地址 put  /flash:/license/文件名.did（同時tftp必須打開）

問題、華三防火墻最新產品，對接口直連訪問是不允許的 無法ping通

第一步、定義區域（一般出廠就定義好了）
security-zone name Management（針對管理接口去定義）
security-zone name untrust（不信任區對應外部網絡）
security-zone name trust （信任區對應內部網絡）
security-zone name DMZ（非軍事區對應對外服務器）
security-zone name local（針對本地）

1、交換模式
interface Vlan-interface100
 ip address 192.168.30.1 255.255.255.0
undo shutdown
interface GigabitEthernet1/0/2
 port link-mode bridge
 port access vlan 100
2、路由模式
interface GigabitEthernet1/0/3
 port link-mode route
 ip address 192.168.40.1 255.255.255.0
undo shutdown
第二步、加入區域
security-zone name Trust
 import interface GigabitEthernet1/0/3 （路由模式加接口）
 import interface Vlan-interface100 （交換模式加vlan）
第三步、定義ACL
acl basic 2000
 rule 10 permit source any （這里可以詳細定義）
第四步、定義區域訪問規則
zone-pair security source Trust destination Any  
 packet-filter 2000
zone-pair security source untrust destination Any
 packet-filter 2000

zone-pair security source Local destination Any  放通Local區域到任何區域(如果不放通那么設備上就ping不同到任何區域的終端地址)

packet-filter 2000

如果設備上多個端口加入同一個安全域，那么還需要加一條下面命令，否則同一個端口下面的終端之間是不能互通的

security-zone intra-zone default permit  

H3C防火墻配置NAT內網訪問不了web服務器，外網可以訪問

[H3C-FW]interface GigabitEthernet5/0             內網口
[H3C-FW-GigabitEthernet5/0]nat hairpin enable 

zone-pair security source Trust destination Trust

packet-filter 2000

黑名單：根據報文的源IP地址進行過濾的一種方式
白名單：根據報文的源IP地址進行過濾，防止特定的IP地址被加入黑名單