新华三防火墙相关实验

最新推荐文章于 2025-03-27 14:24:29 发布

鼎新安全实验室

最新推荐文章于 2025-03-27 14:24:29 发布

阅读量3.6k

点赞数 19

分类专栏： HCL 文章标签：网络

本文链接：https://blog.youkuaiyun.com/dingxingaq/article/details/143666341

版权

HCL 专栏收录该内容

8 篇文章

订阅专栏

防火墙：内网用户通过防火墙访问外网

防火墙会对内网访问外网的流量进行安全监测，防火墙上的每一个接口都要对应的设置安全区

域。授信区域和非授信区域。

如果防火墙连接的还有内部的服务器，比如web服务器、ftp服务器，要被外部的互联网用户去访问，通常这个服务器我们会把它设置为DMZ区域。

防火墙有一个自身的区域，叫做local区域。还有管理区域。上图的pc2所连接的是内部区域，右边的是互联网区域。

要求：pc2去访问互联网的主机地址8.8.8.8

1、对防火墙接口进行受信区域和非授信区域的配置

2、因为是不同网段的通信，要进行路由设置，在防火墙上配置缺省路由

3、配置安全策略，放行trust区域到untrust区域

4、在防火墙上做nat地址转换，因为私网是不能到公网上去路由的，把源地址为私网的地址转换成公网接口的地址，这叫做easyip的方式（通过转换成100.0.0.1以后再去访问外网）

配置：

打开防火墙

F1090：intg1/0/0

ip address 192.168.10.254 24（用于pc2的网关）

quit

security-zone name Trust（设置安全区域为受信区域）

import intGigbitethernet 1/0/0（将接口加入到trust区域中）

quit

int g1/0/1

ip address 100.0.0.1 24（配置的是通往公网的ip地址quit

security-zone name Untrust

import int GigbitEthernet 1/0/1

quit

配置路由：

ip route-static 0.0.0.0 0 100.0.0.2（下一跳指向LSP的0/0口地址）放行trust区域到untrust区域之前先配置ISP

ISP：intg0/0

ip address 100.0.0.2 24

quit

int LoopBack0

ip address 8.8.8.8 24（主要用于模拟连接到运营商路由器设配上的一台主机）

quit

？：pc2ping192.168.10.254可以通吗

不行，虽然是同一网段，但是防火墙并没有对内网的主机实行trust到untrust区域的放行，安全策略没有配置，但是也可以通过设置ping权限来使其通

F1090：intg1/0/0

manage？（查看防火墙的管理权限）

ping有两种，inbound是入站方向是入防火墙，表示主机去ping防火墙可以通，outbound是出战方向，表示防火墙去ping主机可以通

manage ping inbound

manage ping outbound

这时就可以ping通了

创建安全策略：

security-policy ip（基于ip的安全策略）

rule name TtoU（设置规则的名称，表示Trust到Untrust）

source-zone trust（设置源安全区域，源安全区域就是trust区域）

destination-zone untrust（目的安全区域就是untrust区域）

source-ip-subnet 192.168.10.0（subnet表示子网）

配置服务：

如果希望配置所有服务就不需要输入命令了，如果配置指定服务，比如ping服务、http、https，使用命令：

service ping

service http

service https

display this查看配置哪几个服务

action pass（激活安全策略）

quit

私网要向公网地址访问就要做nat地址转换：

nat global-policy（进入nat全局策略配置）rulenameTtoU_nat

source-zone trust（源区域为trust区域）

destination-zone untrust

source-ip subnet 192.168.10.0 24（只有被设置nat地址转换的主机才可以访问外网）激活源地址（可以选择方式）：

action anat easy-ip（easy-ip的方式就是指把源地址转换成出接口的地址）

quit

display nat session brief（检查nat会话表）

pc2可以ping通外网的8.8.8.8地址了

防火墙：安全策略使得OSPF邻接关系建立

在两台防火墙之间做OSPF路由协议实现全网互通，红色区域是untrust，紫色和绿色区域是trust进入防火墙：

F10901：intg1/0/0

ip address 192.168.10.254 24

undo info-center enable

security-zone name Trust

import int GigbitEthernet 1/0/0

quit

int g1/0/1

ip address 10.1.1.124

quit

security-zone untrust

import intGigbitEthernet 1/0/1

quit

ospf 1 router-id 192.168.10.254

area1

network 192.168.10.0 0.0.0.255

quit

area0

network10.1.1.10.0.0.0

quit

===============================================================

F10902：int GigabitEthernet 1/0/1

ip address 10.1.1.2 24

quit

security-zone name untrust

import int Gigabitethernet 1/0/1

quit

intg1/0/0

ip address 192.168.20.254 24

quit

security-zone name trust

import int GigabitEthernet 1/0/0

quit

ospf 1

如果不配置router-id会自动从防火墙上的两个接口上选择一个ip做router-idarea0

network 10.1.1.2 0.0.0.0

quit

area2

network 192.168.20.0 0.0.0.255

quit

display ospf peer（查看是否能建立邻居关系）

发现两个防火墙建不了，因为要放行一个策略，使local区域可以访问untrust区域，untrust区域可以访问local区域

===============================================================

F10901：security-policy ip

rule name LtoU

source-zone local

destination-zone untrust

service ospf

action pass

quit

rule name UtoL

source-zone untrust

destination-zone local

service ospf

action pass

quit

F10902：security-policy ip

rule name LtoU

security-zone local

destination-zone untrust

service ospf

action pass

quit

rule name UtoL

source-zone untrust

destination-zone local

service ospf

action pass

quit

这样就建立了ospf邻居关系

查询ospf的routing：

此时pc5不能访问pc7

因为没有放行trust区域到untrust区域，同样也要放行untrust区域到trust区域，因为要回包

F10901：security-policy ip

rule name TtoU

source-zone trust

destination-zone untrust

source-ip-subnet 192.168.10.0 24

destination-ip-subnet 192.168.20.0 24

action pass

quit

rule name UtoT

source-zone untrust

destination-zone trust

source-ip-subnet 192.168.20.0 24

destination-ip-subnet 192.168.10.0 24

action pass

===============================================================

F10902：security-policy ip

rule name TtoU

source-zone trust

destination-zone untrust

source-ip-subnet 192.168.20.0 24

destination-ip-subnet 192.168.10.0 24

action pass

quit

rule name UtoT

source-zone untrust

destination-zone trust

source-ip-subnet 192.168.10.0 24

destination-ip-subnet 192.168.20.0 24

action pass

quit

pc5可以ping通pc7了，pc7也可以回访

防火墙：配置DHCP服务器自动为申请ip地址的主机分配地址

用admin用户名和密码登陆防火墙

F1090：int g1/0/0

 ip address 192.168.10.254 24

 将pc2规划为trust区域：

 security-zone name Trust

 import int GigbitEthernet 1/0/0

 quit

 配置dhcp服务器：

 dhcp enable

 dhcp server ip-pool pool10（配置ip地址池）

 配置pc的网关（直连的ip地址）：

 gateway-list 192.168.10.254

 network 192.168.10.0 mask 255.255.255.0（配置主机ip地址的范围）

 dns-list 8.8.8.8（设置pc的dns服务器列表）

====================================================

其他设置：

 比如禁止一些ip地址给主机使用：

 forbidden-ip-range 192.168.10.1 192.168.10.10（那么这些地址就排除在分配给主机使用的ip地址范围内了）

 配置租期：

 expired day 3（租期为3天，默认为1天）

 quit

 ====================================================

int g1/0/0

 dhcp select server（配置dhcp基于服务器的方式，也可以不写因为是默认的）

 dhcp server apply ip-pool pool10（把地址池应用到接口上）

 开启trust区域到防火墙local区域的安全策略：

 security-policy ip（配置安全策略，是基于ip的）

 rule name DHCP（配置策略名称）

 source-zone trust

 destination-zone local

 source-zone local

 destination-zone trust

 action pass

 打开pc2的dhcp，可以获取到地址

此时pc5不能访问pc7

因为没有放行trust区域到untrust区域，同样也要放行untrust区域到trust区域，因为要回包F10901：security-policyip

rulenameTtoUsource-zonetrustdestination-zoneuntrust

source-ip-subnet192.168.10.024destination-ip-subnet192.168.20.024actionpass

quit

rulenameUtoTsource-zoneuntrustdestination-zonetrust

source-ip-subnet192.168.20.024destination-ipsubnet192.168.10.024actionpass

F10902：security-policyiprulenameTtoUsource-zonetrustdestination-zoneuntrust

source-ip-subnet192.168.20.024destination-ip-subnet192.168.10.024actionpass

quit

rulenameUtoTsource-zoneuntrustdestination-zonetrust

source-ip-subnet192.168.10.024destination-ip-subnet192.168.20.024actionpass