1. 为什么选择EVE-NG搭建山石防火墙实验环境对于网络工程师和安全运维人员来说经常需要在实验环境中测试防火墙配置。传统方式需要购买物理设备不仅成本高而且部署周期长。EVE-NG模拟器的出现完美解决了这个问题它就像是一个虚拟的网络实验室可以模拟各种网络设备。我最早接触EVE-NG是在2018年当时为了测试山石防火墙的HA功能用这个模拟器搭建了完整的测试环境。相比其他模拟器EVE-NG有几个明显优势首先是资源占用低我的笔记本只有16G内存也能流畅运行其次是支持设备种类多从路由器、交换机到防火墙都能模拟最重要的是它的Web管理界面非常直观就像操作真实设备一样。山石防火墙作为国产安全设备的代表其Web管理界面设计得很人性化。但在真实设备上练习配置总担心误操作影响业务通过EVE-NG模拟器就能放心大胆地测试各种功能。记得有一次客户需要配置复杂的NAT规则我就是先在EVE-NG上反复测试确认无误后才在生产环境实施的。2. EVE-NG环境准备与拓扑搭建2.1 安装EVE-NG社区版建议直接从官网下载最新版本的EVE-NG社区版ISO镜像。安装过程很简单基本上就是一路Next。需要注意的是硬件配置要求至少4核CPU8GB内存运行山石防火墙建议16GB100GB硬盘空间安装完成后通过浏览器访问EVE-NG的Web界面默认地址是https://[服务器IP]。首次登录使用admin/eve这个账号密码记得第一时间修改密码。我就吃过亏有一次实验室的EVE-NG被同学用默认密码登录把我搭建的拓扑全删了。2.2 导入山石防火墙镜像山石防火墙的镜像文件需要单独获取通常是以.qcow2格式提供。将镜像上传到EVE-NG服务器的/opt/unetlab/addons/qemu目录下记得按设备类型创建子目录。比如我习惯把所有防火墙镜像都放在firewall目录里。上传完成后需要通过命令行修复权限/opt/unetlab/wrappers/unl_wrapper -a fixpermissions这个步骤很多新手会忽略导致后面添加设备时找不到镜像。我第一次用时在这个问题上卡了整整半天。2.3 创建基础网络拓扑在EVE-NG中新建一个实验建议命名为Hillstone-Lab这样容易识别。然后按照以下步骤操作从设备列表拖入山石防火墙节点添加一个Cloud节点这个很关键它是连接虚拟网络和物理网络的桥梁用连线工具将防火墙的eth0接口连接到Cloud这里有个细节要注意Cloud节点的类型要选Management这样才能通过本地电脑访问防火墙的Web界面。我有次选错了类型结果怎么都连不上Web界面排查了好久才发现问题。3. 山石防火墙初始化配置3.1 通过控制台登录防火墙启动拓扑后点击防火墙节点打开控制台界面。首次登录使用默认账号hillstone密码也是hillstone。系统会强制要求修改密码建议设置一个符合复杂度要求的密码比如Key-112233这样包含大小写字母和数字的组合。修改密码后我们需要配置基础网络# 进入配置模式 configure # 给eth0接口配置IP地址 set interface ethernet0/0 ip 192.168.100.131/24 # 设置默认网关 set interface ethernet0/0 gateway 192.168.100.2 # 提交配置 save这些命令看起来简单但顺序很重要。我有次先配了网关再配IP结果导致配置失败。3.2 验证网络连通性配置完成后可以通过show命令检查状态show interface ethernet0/0正常应该看到接口状态是upIP地址配置正确。然后ping一下网关测试连通性ping 192.168.100.2如果ping不通很可能是Cloud节点的连接有问题。这时候需要回到EVE-NG检查拓扑连线。3.3 开启Web管理功能山石防火墙默认可能没有开启HTTPS管理服务需要手动开启set admin manager-ip 0.0.0.0/0 set admin protocol https save这个步骤容易被忽略我有次所有配置都正确但就是打不开Web界面最后发现是忘了开启HTTPS服务。4. 访问Web管理界面及常见问题排查4.1 登录Web管理界面在浏览器中输入https://192.168.100.131注意必须是HTTPS协议。首次访问会提示安全风险这是因为使用了自签名证书点击继续访问即可。登录界面会要求输入用户名密码使用之前修改过的hillstone账号登录。成功后会看到一个功能丰富的管理界面左侧是菜单栏中间是仪表盘。我建议新手先花点时间熟悉界面布局了解各个功能模块的位置。4.2 基础安全配置进入Web界面后第一件事应该是完善安全配置在系统管理-管理员中修改默认密码在系统管理-访问控制中限制管理IP范围在系统配置-时间中配置NTP服务器这些配置在生产环境中尤为重要。我曾经遇到过因为没限制管理IP导致防火墙被扫描到并尝试暴力破解的情况。4.3 常见连接问题解决如果无法访问Web界面可以按照以下步骤排查在防火墙控制台执行show ip rou查看路由表确认192.168.100.131的路由存在在本地电脑ping 192.168.100.131测试连通性检查EVE-NG的Cloud节点配置是否正确确认防火墙的HTTPS服务已开启我整理了一个常见错误对照表现象可能原因解决方法连接超时防火墙未启动检查防火墙运行状态证书错误自签名证书浏览器添加例外403禁止访问管理IP限制检查访问控制列表密码错误密码复杂度不足通过控制台重置密码5. 进阶配置与实验建议5.1 多区域安全策略测试在EVE-NG中可以轻松构建复杂网络拓扑。比如添加一个模拟内网和一个模拟DMZ区域测试山石防火墙的多区域策略控制。具体步骤在EVE-NG中添加两个新的网络节点分别连接到防火墙的不同接口在Web界面中创建对应的安全区域配置区域间的访问策略这种实验对理解防火墙的工作原理很有帮助。我建议新手可以从允许ping开始测试逐步增加更复杂的规则。5.2 NAT规则配置实践山石防火墙的NAT功能非常强大在EVE-NG中可以安全地练习各种NAT配置源NATSNAT内网访问外网目的NATDNAT外网访问内网服务器双向NAT特殊场景使用配置时要注意规则的顺序防火墙是按照从上到下的顺序匹配规则的。我有次配置了20多条NAT规则因为顺序不对导致部分规则不生效。5.3 日志与监控功能Web界面提供了丰富的日志和监控功能建议在实验中重点关注实时流量监控会话表查看安全事件日志系统资源监控这些功能在实际运维中非常有用。通过分析日志可以了解防火墙的工作状态和安全状况。我在一次排查网络问题时就是通过分析防火墙日志找到了异常的连接请求。