当前位置: 首页 > news >正文

下一代防火墙混合模式部署

实验设备

1、 山石网科(hillstone)系列下一代防火墙(实训平台v1.0中hillstone设备)

2、 三层交换机一台(实训平台v1.0中cisco vios l2设备)

3、 二层交换机一台(实训平台v1.0中cisco iol switch设备)

4、 路由器一台,用来模拟web服务器(实训平台v1.0中cisco iol设备或者cisco vIOS

设备)

5、 vpc 一台 (实训平台v1.0中virtual pc设备)

6、 增加一个网络net:cloud0

实验拓扑图

实验目的

1. 了解NGAF有几种部署模式以及每种部署模式适用场景;

2. 能根据客户不同场景选择恰当的部署模式并独立完成部署配置。

实验需求、步骤及配置

vpc配置,指定vpc主机ip为192.168.10.1,网关为192.168.10.254:

VPCS> ip 192.168.10.1 255.255.255.0 192.168.10.254

VPCS> ip dns 114.114.114.114 指定dns服务器

接入层交换机IOL_SW的配置:

Switch(config)#vlan 10

Switch(config-vlan)#exit

Switch(config)#interface e0/0

Switch(config-if)#switchport mode access

Switch(config-if)#switchport access vlan 10

Switch(config-if)#exit

Switch(config)#interface e0/1

Switch(config-if)#switchport trunk encapsulation dot1q

Switch(config-if)#switchport mode trunk

核心/汇聚层交换机vIOS_SW配置

Switch(config)#vlan 10

Switch(config-vlan)#exit

Switch(config)#interface g0/0

Switch(config-if)#switchport trunk encapsulation dot1q

Switch(config-if)#switchport mode trunk

Switch(config-if)#exit

Switch(config)#ip routing 启动路由功能

Switch(config)#interface vlan10

Switch(config-if)#ip address 192.168.10.254 255.255.255.0

Switch(config-if)#no shut

Switch(config)#interface g0/1

Switch(config-if)#no switchport 改为三层接口

Switch(config-if)#no shutdown

Switch(config-if)#ip address 10.1.1.1 255.255.255.252

Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2 配置上网的缺省路由,下一跳为防火墙

接口e0/1 IP

下一代防火墙的配置:

 基本配置:修改e0/0口属性为管理口且采用http管理方式,默认启动DHCP。

login: hillstone //用户名和密码都为hillstone

(进入要设置新密码(min@123))

password:

SG-6000# conf

SG-6000(config)# interface e0/0

SG-6000(config-if-eth0/0)# manage http

SG-6000(config-if-eth0/0)# show interface 查看e0/0自动获得的IP地址,为管理IP

 接下来,在物理主机上,通过浏览器访问管理IP,使用图形化管理下一代防火墙:

创建安全区域,下一代防火墙默认已创建多个安全区域,如需自定义区域,可

以如图新建安全区域:

配置e0/2接口:绑定安全区域为L2二层安全区域(网桥模式)等:

配置e0/1接口:绑定安全区域为trust三层安全区域(路由模式)、IP地址等:

配置e0/0接口:修改绑定安全区域为L2-untrust二层安全区域(网桥模式)等:

注意:此时e0/0变为二层接口,之前的管理IP会被清除,需回到命令行配置vswitchif1接

口,作为网桥的管理接口及新管理IP,与公网区域及服务器区属于同一子网(vswitchif1同

时也作为路由模式的untrust区域接口,与E0/1接口成为路由模式的进\出接口。)

SG-6000#conf

SG-6000(config)# interface vswitchif1

SG-6000(config-if-vsw1)# zone untrust 绑定为三层untrust区域

SG-6000(config-if-vsw1)# ip address dhcp setroute 自动从网络net获取IP,并获得默认路由

SG-6000(config-if-vsw1)# no shutdown

SG-6000(config-if-vsw1)# manage http 开启http管理

SG-6000(config-if-vsw1)# show interface 查看vswitchif1自动获得的IP地址,为新管理IP

在物理主机上,通过浏览器访问新管理IP

为路由模式,配置路由,包括回程路由和缺省路由(通过vswitchif1接口dhcp

已经获得)

为路由模式,配置源NAT策略(即动态NAT),实现内网vpc上公网需求:

为路由模式,配置安全策略即包过滤策略(默认拒绝区域间访问),配置策略

让内网网段可以访问公网,即e0/1区域访问vswitchif1区域,而vswitchif1区域与公网、

服务器区同为一个三层untrust区。

接下来测试内网vpc主机是否可以上公网,如图代表ok:

至此,在混合模式部署的防火墙中,实现内网通过路由模式上公网,接下来实现公

网用户通过网桥模式与服务器区进行正常业务转发,此时公网与服务器仅通过一个网桥模式

进行互联,故防火墙无需路由配置和NAT配置,仅需配置安全策略,允许L2-untrust区域访

问L2-dmz区域:

完成服务器区配置,用路由器模拟一台开启TCP 80端口的web服务器:

Router(config)#interface e0/0

Router(config-if)#ip add 192.168.142.135 255.255.255.0 配置为vswitchif1同网段IP

Router(config-if)#no shut

Router(config)#no ip routing 关闭路由功能,模拟一台服务器主机

Router(config)#ip default-gateway 192.168.142.2 给主机配置默认网关,与防火墙中缺省

路由的下一跳一样。

Router(config)#ip name-server 114.114.114.114 给主机配置dns服务器

Router(config)#ip http server 开启80端口

为网桥模式,配置安全策略,让公网用户可以访问服务器区web服务:

接下来,在物理主机上,测试是否可以访问服务器web,如图:

或者直接浏览器访问测试: 

提示路由器http访问需要用户名,则代表服务访问OK。 

http://www.dtcms.com/a/273355.html

相关文章:

  • Jupyter介绍
  • MySQL事务实现原理
  • SpringCloud系列 - 分布式锁(八)
  • html页面,当鼠标移开A字标就隐藏颜色框
  • Spring Boot项目中大文件上传的优化策略与实践
  • 华为鸿蒙3.0 4.0完全关闭纯净模式的方法以及临时绕过纯净模式检测的方法
  • 接口(上篇)
  • 基于深度学习的自动调制识别网络(持续更新)
  • 亚洲牧原:活跃行业交流,延伸公益版图,市场拓展再结硕果
  • 布隆过滤器原理
  • 我的世界模组开发——机械动力的渲染(4)
  • java-io流
  • 对象序列化与反序列化
  • 【PyTorch】PyTorch 自动微分与完整手动实现对比
  • vue3 element plus table 使用固定列,滑动滚动会错位、固定列层级异常、滑动后固定列的内容看不到了
  • Java多线程 V1
  • AIStarter 3.2.0正式上线!高速下载+离线导入+一键卸载新功能详解【附完整使用教程】✅ 帖子正文(字数:约 400 字)
  • 静态路由综合实验
  • WiFi技术深度研究报告:从基础原理到组网应用与未来演进
  • python+django/flask基于微信小程序的农产品管理与销售APP系统
  • CTFshow-PWN-栈溢出(pwn62-pwn64)
  • JAVA面试宝典 -《新潮技术:协程与响应式编程实践》
  • 【Ubuntu】编译sentencepiece库
  • next.js打包后的前端资源如何进行部署和访问,为什么没有index.html
  • Vue响应式原理六:Vue3响应式原理
  • Java 17 新特性解析:密封类与模式匹配的完美协作
  • 01背包问题总结
  • 三维旋转沿轴分解
  • AWS ECS任务角色一致性检查与自动修复工具完全指南
  • LVGL学习笔记-----进度条控件(lv_bar)