华为网络管理配置实例

目录

组网需求

数据规划

配置思路

操作步骤

结果验证

配置脚本

---

管理员可以通过eSight网管系统对FW进行监控和管理，接收FW的告警。

组网需求

如图1所示，某企业在网络边界处部署了FW作为安全网关，并部署了eSight网管系统对网络设备进行集中管理。现需要使eSight能够监控和管理FW，接收FW的告警。

图1 通过eSight管理FW

数据规划

项目		数据	说明
FW	接口	接口号：GigabitEthernet 0/0/1 IP地址：1.1.1.1/24 安全区域：Untrust	连接外网的接口。 假设此接口连接Internet的下一跳地址为1.1.1.2。
		接口号：GigabitEthernet 0/0/2 IP地址：10.2.0.1/24 安全区域：DMZ	与eSight服务器通信的接口。
		接口号：GigabitEthernet 0/0/3 IP地址：10.3.0.1/24 安全区域：Trust	连接企业内部网络的接口。
	SNMP参数	安全用户组名：v3group 安全用户名：V3user 版本：v3 认证协议：HMAC_SHA 认证密码：Admin@123 加密协议：AES128 加密密码：Admin@1234	FW和eSight的SNMP参数保持一致。
eSight	IP地址	10.2.0.10/24	集中式部署在DMZ区域。
	SNMP参数	安全用户名：V3user 版本：v3 鉴权协议：HMAC_SHA 密码：Admin@123 私有协议：AES128 密码：Admin@1234	eSight的SNMP参数和FW保持一致。

配置思路

1. 使FW与eSight之间能够互通，配置FW接口GigabitEthernet 0/0/2的IP地址、将接口加入DMZ安全区域、并配置接口访问管理功能允许SNMP协议通过。

   如果不使用接口访问管理功能，需要配置相关安全策略。关闭接口访问管理前需要为远程管理协议配置相关安全策略，以免出现无法远程管理FW的情况。

2. 使eSight能够管理FW并接收FW的告警，配置FW的SNMP参数和Trap告警功能，在eSight上配置与FW一致的SNMP参数并添加FW。

本举例主要关注FW与eSight对接部分的配置，其余配置略去。请注意在实际环境中配置相应的路由以保证设备之间的路由可达。eSight网管侧其他的配置请参见对应的手册。

操作步骤

• 配置FW。
  1. 配置接口IP地址，将接口加入安全区域并配置接口访问管理功能允许SNMP协议通过。

     # 配置接口GE0/0/1的IP地址。<sysname> system-view
     [sysname] interface GigabitEthernet 0/0/1
     [sysname-GigabitEthernet0/0/1] ip address 1.1.1.1 24
     [sysname-GigabitEthernet0/0/1] quit
     # 配置接口GE0/0/2的IP地址并配置接口访问管理。[sysname] interface GigabitEthernet 0/0/2
     [sysname-GigabitEthernet0/0/2] ip address 10.2.0.1 24
     [sysname-GigabitEthernet0/0/2] service-manage snmp permit
     [sysname-GigabitEthernet0/0/2] quit
     # 配置接口GE0/0/3的IP地址。[sysname] interface GigabitEthernet 0/0/3
     [sysname-GigabitEthernet0/0/3] ip address 10.3.0.1 24
     [sysname-GigabitEthernet0/0/3] quit
     # 将接口GE0/0/1加入Untrust区域。[sysname] firewall zone untrust
     [sysname-zone-untrust] add interface GigabitEthernet 0/0/1
     [sysname-zone-untrust] quit
     # 将接口GE0/0/2加入DMZ区域。[sysname] firewall zone dmz
     [sysname-zone-dmz] add interface GigabitEthernet 0/0/2
     [sysname-zone-dmz] quit
     # 将接口GE0/0/3加入Trust区域。[sysname] firewall zone trust
     [sysname-zone-trust] add interface GigabitEthernet 0/0/3
     [sysname-zone-trust] quit

  2. 配置安全策略。

     # 在Trust和Untrust域间配置安全策略[sysname-policy-security] rule name trust_untrust_outbound
     [sysname-policy-security-trust_untrust_outbound] source-zone trust 
     [sysname-policy-security-trust_untrust_outbound] destination-zone untrust
     [sysname-policy-security-trust_untrust_outbound] source-address 10.3.0.0 mask 255.255.255.0
     [sysname-policy-security-trust_untrust_outbound] action permit
     [sysname-policy-security-trust_untrust_outbound] quit
     

  3. 配置路由。

     # 配置缺省路由到连接Internet的下一跳地址。[sysname] ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
     # 配置黑洞路由，防止产生路由环路。[sysname] ip route-static 1.1.1.10 32 NULL 0
     [sysname] ip route-static 1.1.1.11 32 NULL 0
     [sysname] ip route-static 1.1.1.12 32 NULL 0

  4. 配置FW的SNMP参数，并配置将FW产生的告警发送到eSight。

     [sysname] snmp-agent sys-info version v3
     [sysname] snmp-agent mib-view include mib2view iso
     [sysname] snmp-agent group v3 v3group privacy
     [sysname] snmp-agent usm-user v3 V3user authentication-mode sha
     Please configure the authentication password (8-64)                             
     Enter Password:                                                                 
     Confirm Password: 
     [sysname] snmp-agent usm-user v3 V3user privacy-mode aes128
     Please configure the privacy password (8-64)                                    
     Enter Password:                                                                 
     Confirm Password: 
     [sysname] snmp-agent usm-user v3 V3user group v3group
     [sysname] snmp-agent group v3 v3group privacy write-view mib2view notify-view mib2view
     [sysname] snmp-agent target-host trap address udp-domain 10.2.0.10 params securityname V3user v3 privacy private-netmanager
     [sysname] snmp-agent trap enable
     Warning: All switches of SNMP trap/notification will be open. Continue? [Y/N]:y

• 配置eSight。
  1. 创建SNMP协议模板。
     1. 选择“资源 > 资源管理 > 协议模板”。
     2. 单击“SNMP协议模板”页签下“创建”，按如下参数新建SNMP协议模板。

        模板名称	snmpv3_template
        SNMP协议版本	V3
        网元端口	161
        超时时间（秒）	3
        重发次数	3
        安全名	V3user
        鉴权协议	HMAC_SHA
        密码	Admin@123
        私有协议	AES_128
        密码	Admin@1234

        eSight侧的安全名、鉴权协议密码、私有协议密码分别和FW侧的安全名、认证密码、加密密码保持一致。

  2. 将FW添加到eSight中。
     1. 选择“资源 > 资源添加 > 单个添加”。
     2. 在“发现协议”中选择“SNMP协议”。
     3. 在“IP地址”中输入FW与eSight对接的IP地址10.2.0.1。
     4. 在“选择协议模板”中选择步骤1创建的协议模板“snmpv3_template”添加设备。
     5. 单击“确定”。

结果验证

将物理链路状态为Up的接口状态配置为Down[sysname] interface GigabitEthernet 0/0/4
[sysname-GigabitEthernet0/0/4] shutdown
在eSight中选择“监控 > 故障管理 > 当前告警”，可以查看到相应的告警信息。

配置脚本

                                                                               
sysname sysname               #                                                                               
interface GigabitEthernet0/0/1                                                  undo shutdown                                                               ip address 1.1.1.1 255.255.255.0                                             
#                                                                               
interface GigabitEthernet0/0/2                                                  undo shutdown                                                               ip address 10.2.0.1 255.255.255.0                                             service-manage snmp permit
#                                                                               
interface GigabitEthernet0/0/3                                                 undo shutdown                                                               ip address 10.3.0.1 255.255.255.0                                             
#                                                                               
firewall zone untrust                                                             set priority 5add interface GigabitEthernet0/0/1                                             
#                                                                               
firewall zone dmz                                                           set priority 50add interface GigabitEthernet0/0/2                                             
#                                                                               
firewall zone trust                                                               set priority 85add interface GigabitEthernet0/0/3                                            
#
security-policyrule name trust_untrust_outbound1source-zone trustdestination-zone Untrustsource-address 10.14.10.1 32destination-address 10.3.0.0 mask 255.255.255.0action permit  #                                                                                ip route-static 0.0.0.0 0.0.0.0 1.1.1.2                                                                                            ip route-static 1.1.1.10 255.255.255.255 NULL0                                                                                     ip route-static 1.1.1.11 255.255.255.255 NULL0ip route-static 1.1.1.12 255.255.255.255 NULL0
#                                                                               snmp-agent                                                                     snmp-agent local-engineid 000007DB7FFFFFFF000077D0                             snmp-agent sys-info version v3                                                 snmp-agent mib-view include mib2view isosnmp-agent group v3 v3group privacy                                            snmp-agent group v3 v3group privacy write-view mib2view notify-view mib2viewsnmp-agent target-host trap  address udp-domain 10.2.0.10 params securityname %$%$Lch*5Z>Q0:BIj9Nv<&^W(>5,%$%$ v3  privacy  private-netmanager                 snmp-agent usm-user v3 V3user authentication-mode sha cipher %^%#]lck/kEvSA'=g^WsIwEI~rf&=qHpDEhhB\3Dmt1(%^%#snmp-agent usm-user v3 V3user privacy-mode aes128 cipher %^%#Ow4n$dQvbD:^-Asnmp-agent usm-user v3 V3user group v3groupsnmp-agent trap enable                                                         
#                                                                                 
return