FW做出口网关组网场景

切换云管理模式

1. 参考下图中的连线和缺省配置通过HTTPS登录FW的Web界面。

2. 将运行模式切换为云管理模式。单击“面板 ＞ 系统信息 ＞ 云管理模式”后的“配置”，勾选“启用”，单击“确定”。执行此操作后，系统会提示清除设备的配置并重新启动。重启完毕，即切换到了云管理模式。

配置WAN口的IP地址

请根据网络服务商提供的信息选择接入Internet的方式。不同的接入Internet方式对应不同的参数。

1. 当FW采用以太接口接入Internet时，配置上网参数。图形以“静态IP”举例。
   表5-13 DHCP方式接入Internet参数配置表

   连接类型	参数	说明
   DHCP 说明： 上图中的选择、数据等信息仅供参考。	上网接口	上网接口作为DHCP客户端将自动尝试从网络服务商（DHCP服务器）处获取IP地址。

   表5-14 静态IP地址方式接入Internet参数配置表

   连接类型	参数	说明
   静态IP	接口名称	选择接入互联网的接口。
   	安全区域	选择“untrust”，将上网接口置于非信任区域。
   	连接类型	选择“静态IP”。
   	IP地址	上网接口的IP地址。 此参数由网络服务商提供，用点分十进制数表示（例如，1.1.1.1）。
   	默认网关	上网接口的默认网关的IP地址。内网用户访问互联网的报文都通过上网接口发送到默认网关，再由默认网关转发。 此参数由网络服务商提供，用点分十进制数表示（例如，1.1.1.254）。
   	首选DNS服务器	首选DNS服务器的IP地址。局域网的主机通常需要通过域名访问网站，因此需要为其指定DNS服务器地址。 此参数由网络服务商提供。
   	备用DNS服务器	备用DNS服务器的IP地址。当首选DNS服务器故障时，设备会访问备用DNS服务器解析域名。 此参数由网络服务商提供。

   表5-15 PPPoE方式接入Internet参数配置表

   连接类型	参数	说明
   PPPoE	接口名称	选择接入互联网的接口。
   	安全区域	选择“untrust”，将上网接口置于非信任区域。
   	连接类型	选择“PPPoE”。 说明： 上图中的选择、数据等信息仅供参考。
   	用户名	PPPoE方式接入时身份验证使用的用户名。 此参数由网络服务商提供。
   	密码	PPPoE方式接入时身份验证使用的密码。 此参数由网络服务商提供。
   	在线方式	一直在线：当您是包月用户或者按流量计费的用户时请选择此方式。 空闲自动断线（秒）：当您是按时计费的用户时请选择此方式。在“空闲自动断线（秒）”内如果没有流量通过，则断开互联网的访问。
   	自动获取IP地址	上网接口自动从网络服务商获取IP地址。
   	使用下面的IP地址	手工配置上网接口的IP地址。
   	IP地址	选中“使用下面的IP地址”后，“IP地址”取消置灰。 此参数由网络服务商提供。

2. 当FW采用LTE方式接入Internet时，配置上网参数。
   表5-16 LTE方式接入Internet参数配置表

   参数	说明
   接口名称	系统自动指定的4G LTE Cellular接口编号，不可以手动修改。
   别名	接口别名。
   接入点名称	APN（Access Point Name）来标识用户要访问的外部PDN网络，需要向当地运营商获取。
   用户名	需要接入外部PDN（Packet Data Network）网络用户的用户名。
   密码	需要接入外部PDN网络用户的密码。
   拨号串	呼叫对端的拨号串，可以为不包含空格、长度为1～30个字符的任意字符串。
   在线方式	4G LTE接入的在线方式分为以下两种： 一直在线。 空闲一段时间后自动断线。
   安全区域	将4G LTE Cellular接口加入指定安全区域。

配置FW注册到iMaster NCE-Campus

1. 单击“系统 > 管理员 > 设置”，单击“北向接口配置”模块中“Call-home主动注册”中的“新建”，填写FW注册到iMaster NCE-Campus的IP地址/URL地址和端口信息等。

   参数	参数说明	取值
   主机名称	iMaster NCE-Campus主机名，仅在FW内部使用。	字符串形式，区分大小写，不支持空格，长度范围为1~31个字符。
   IP地址/域名	iMaster NCE-Campus的IP地址/域名	IP地址：点分十进制格式。 域名：字符串形式，区分大小写，不支持空格，长度范围为1~64个字符。
   端口	iMaster NCE-Campus的端口号。	整数形式，取值范围为1~65535。
   源IP地址	向iMaster NCE-Campus发起连接的源IP地址。	点分十进制格式。
   虚拟路由器	表示虚拟系统名称。	必须是已经存在的虚拟系统。

2. 单击“确定”和“应用”，完成配置。

切换云管理模式

1. 通过Console方式登录FW设备。

   您可以在《华为安全产品缺省帐号与密码》（企业网、运营商）文档中获取各种缺省帐号与密码信息。获取该文档需要权限，如需升级权限，请查看网站帮助。为确保帐号安全，建议首次登录后修改缺省密码。

2. 执行命令system-view，进入系统视图。
3. 在系统视图下执行命令firewall run-mode cloud-manage，切换到云管理模式。执行此命令后，设备会提示清除设备的配置并重新启动。重启完毕，即切换到了云管理模式。

配置WAN口的IP地址

请根据网络服务商提供的信息选择接入Internet的方式。不同的接入Internet方式对应不同的参数。

采用DHCP方式接入Internet：

1. 在系统视图下执行命令interface interface-type interface-number，进入上行接口的接口视图。
2. 执行命令ip address dhcp-alloc，开启DHCP Client功能。

   缺省情况下，接口下DHCP Client功能处于关闭状态。

3. 执行命令save，保存配置。

采用静态IP地址方式接入Internet：

1. 在系统视图下执行命令interface interface-type interface-number，进入上行接口的接口视图。
2. 执行命令gateway ip-address，配置FW设备的默认网关，此处IP地址是运营商提供的地址。
3. 执行命令ip address ip-address { mask | mask-length }，配置FW设备的IP地址和子网掩码，此处IP地址是运营商分配的公网地址。
4. 将防火墙的上行接口加入安全区域。
   1. 执行命令quit，退回到系统视图。
   2. 执行命令firewall zone untrust，创建安全区域，并进入安全区域视图。
   3. 执行命令add interface interface-type interface-number，将FW的上行接口加入到安全区域。
   4. 执行命令quit，退回到系统视图。

   确保配置完成后可以在FW上Ping通iMaster NCE-Campus。

5. 执行命令save，保存配置。

采用PPPoE方式接入Internet：

1. 配置Dialer接口。
   1. （可选）在系统视图下执行命令dialer-rule rule-number { { ip | ipv6 } { deny | permit } | { acl | acl6 } acl-number }，配置拨号控制列表。
   2. 执行命令interface dialer number，创建Dialer接口并进入Dialer接口视图。
   3. 执行命令link-protocol ppp，配置接口封装的链路层协议为PPP。
   4. 配置验证方式。
      • 配置PAP验证方式

        执行命令ppp pap local-useruser-name password cipher password，配置本地被对端以PAP方式验证时，本地发送PAP用户名和口令。

      • 配置CHAP验证方式
        • 执行命令ppp chap user user-name，配置本地被对端以CHAP方式验证时的用户名。
        • 执行命令ppp chap password cipher password，配置本地被对端以CHAP方式验证时的密码。
   5. 执行命令dialer user username，配置拨号用户名。
   6. 执行命令dialer bundle number，指定Dialer接口使用的Dialer bundle。
   7. （可选）执行命令dialer-group group-number，配置Dialer接口的Dialer Group。

      dialer-group中的参数group-number和dialer-rule中的参数rule-number保持一致。

2. 在Dialer接口视图下配置Dialer接口的IP地址。
   • 配置Dialer接口的IPv4地址：
     • 直接配置IP地址：

       执行命令ip address ip-address { mask | mask-length }，配置Dialer接口的IP地址。

     • 配置由对端分配IP地址：

       执行命令ip address ppp-negotiate，配置本端接口接受PPP协商产生的由对端分配的IP地址。

   • 配置Dialer接口的IPv6地址：

     执行命令ipv6 address { ipv6-address prefix-length | ipv6-address/prefix-length }，配置接口的IPv6地址。

3. 配置接口上启用PPPoE Client功能。
   1. 执行命令quit，退回到系统视图。
   2. 执行命令interface interface-type interface-number，进入接口视图。
   3. 执行命令pppoe-client dial-bundle-number number [ no-hostuniq ] [ idle-timeout seconds [ queue-length packets ] ] [ ipv4 | ipv6 ]，指定PPPoE会话所对应的Dialer bundle。
   4. 执行命令quit，退回到系统视图。
   5. 执行命令ip route-static 0.0.0.0 0 { nexthop-address | interface-type interface-number } [ preference preference ]，配置到PPPoE Server的静态路由。

4. 将防火墙的上行接口加入安全区域。
   1. 执行命令firewall zone untrust，创建安全区域，并进入安全区域视图。
   2. 执行命令add interface dialer number，将Dialer接口加入到安全区域。
   3. 执行命令add interface interface-type interface-number，将启用PPPoE Client功能的接口上加入到安全区域。
   4. 执行命令quit，退回到系统视图。

5. 执行命令save，保存配置。

采用LTE方式接入Internet：

1. 配置选择PLMN。
   1. 在系统视图下执行命令interface cellular interface-number，进入LTE Cellular接口视图。
   2. 执行命令plmn search，搜索PLMN。
   3. 选择PLMN。
      • 执行命令plmn auto，配置采用自动方式选择PLMN。
      • 执行命令plmn select manual mcc mnc，配置采用手动方式选择PLMN。

      缺省情况下，设备采用自动方式选择PLMN。

2. 执行命令mode lte { auto | gsm-only | lte-only | wcdma-only }，配置LTE数据卡连接4G LTE网络的方式。

   缺省情况下，LTE数据卡连接4G LTE网络的方式为auto。

3. 配置APN模板。
   1. 执行命令quit，退回到系统视图。
   2. 创建APN模板。
      1. 执行命令apn profile profile-name，创建APN模板，并进入APN模板视图。

         缺省情况下，设备没有创建APN模板。

      2. 执行命令apn apn-name，配置APN。

         缺省情况下，设备没有在APN模板中配置APN。

         • apn-name的获取需要咨询当地网络运营商。
         • 配置APN后，APN会记录在LTE数据卡中，并会一直存在。如果APN值变化，需要重新配置。
      3. 执行命令quit，退回到系统视图。

4. 在LTE Cellular接口上绑定APN模板。
   1. 执行命令interface cellular interface-number，进入LTE Cellular接口视图。
   2. 执行命令apn-profile profile-name，配置LTE Cellular接口绑定APN模板。
   3. 执行命令quit，退回到系统视图。

5. 配置轮询DCC拨号连接。
   1. 配置拨号控制列表。

      执行命令dialer-rule dialer-number { acl acl-number | { ip | ipv6 } { deny | permit } }，配置某个拨号访问组对应的拨号访问控制列表，指定引发DCC呼叫的条件。

   2. 开启轮询DCC。
      1. 执行命令interface cellular interface-number，创建并进入LTE Cellular接口视图。
      2. 执行命令dialer enable-circular，开启轮询DCC功能。

         缺省情况下，接口上未开启轮询DCC功能。

      3. 执行命令dialer-group group-number，配置拨号接口的拨号访问组。

         缺省情况下，未配置拨号接口所属的拨号访问组。

   3. 获取IP地址，采用WWAN拨号方式：

      执行命令ip address negotiate，配置LTE Cellular接口动态获取IP地址。

   4. 执行命令dialer number dial-number [ autodial ]，配置呼叫一个对端的拨号串。

      拨号串由运营商提供，请向运营商获取。

   5. 执行命令quit，退回到系统视图。
   6. 执行命令ip route-static 0.0.0.0 0 { nexthop-address | interface-type interface-number } [ preference preference ]，配置缺省路由。

6. 认证PIN码。
   1. 执行命令interface cellular interface-number，进入LTE Cellular接口视图。
   2. 执行命令pin verification enable [ auto ]，开启LTE数据卡的PIN码认证功能。

      缺省情况下，PIN码认证功能处于关闭状态。执行本步骤，您需要输入PIN码，才能开启LTE数据卡的PIN码认证功能。

   3. 执行命令pin verify [ auto ]，对PIN码进行认证。

      执行本步骤，您需要输入PIN码，等待一段时间。当接口下出现“PIN has been verified successfully.”提示信息后，表明PIN码认证成功。

7. 执行命令save，保存配置。

配置FW注册到iMaster NCE-Campus

1. 在系统视图下执行命令api call-home host hostname { domain domain-name | ip ip-address } port port-number [ source-ip source-ip-address ] [ vpn-instance vpn-instance-name ] ，配置FW注册到iMaster NCE-Campus的IP地址/URL地址和端口信息等。
2. 执行命令api call-home connect [ host hostname ]，发起连接iMaster NCE-Campus。