eNSP防火墙实验2-防火墙虚拟系统vsys

简介

虚拟系统(Virtual System)是在一台物理设备上划分出的多台相互独立的逻辑设备
您可以从逻辑上将一台FW设备划分为多个虚拟系统。每个虚拟系统相当于一台真实的设备,有自己的接口、地址集、用户/组、路由表项以及策略,并可通过虚拟系统管理员进行配置和管理。

应用场景

企业内部网络通过FW的虚拟系统将网络隔离为研发部门、财经部门和行政部门。各部门之间可以根据权限互相访问,不同部门的管理员权限区分明确。企业内网用户可以根据不同部门的权限访问Internet的特定网站
在这里插入图片描述
企业A和企业B分别在云计算中心放置了服务器。FW作为云计算中心出口的安全网关,能够隔离不同企业的网络及流量,并根据需求进行安全防护
在这里插入图片描述

原理描述

虚拟系统

FW上存在两种类型的虚拟系统

  1. 根系统(public):根系统是FW上缺省存在的一个特殊的虚拟系统。即使虚拟系统功能未启用,根系统也依然存在。此时,管理员对FW进行配置等同于对根系统进行配置。启用虚拟系统功能后,根系统会继承先前FW上的配置
  2. 虚拟系统(VSYS):虚拟系统是在FW上划分出来的、独立运行的逻辑设备
    在这里插入图片描述
    为了实现每个虚拟系统的业务都能够做到正确转发、独立管理、相互隔离,FW主要实现了几个方面的虚拟化:
     资源虚拟化:每个虚拟系统都有独享的资源,包括接口、VLAN、策略和会话等。根系统管理员分配给每个虚拟系统,由各个虚拟系统自行管理和使用。
     配置虚拟化:每个虚拟系统都拥有独立的虚拟系统管理员和配置界面,每个虚拟系统管理员只能管理自己所属的虚拟系统。
     安全功能虚拟化:每个虚拟系统都可以配置独立的安全策略及其他安全功能,只有属于该虚拟系统的报文才会受到这些配置的影响。
     路由虚拟化:每个虚拟系统都拥有各自的路由表,相互独立隔离。目前仅支持静态路由的虚拟化。

虚拟系统与vpn实例

在这里插入图片描述
除了虚拟系统之外,FW还支持VPN实例(VPN Instance),两者都有隔离的作用,虚拟系统的主要作用是业务隔离和路由隔离(静态路由),VPN实例的主要作用是路由隔离。没有实现虚拟化的功能需要使用VPN实例来配置多实例功能,如动态路由、组播等。
FW上的VPN实例包括如下两种形态:
 创建虚拟系统时自动生成的VPN实例:创建虚拟系统时,会自动生成相同名字的VPN实例。
 管理员手动创建的VPN实例:管理员使用ip vpn-instance命令手动创建的VPN实例,该VPN实例主要用于MPLS场景中,作用是路由隔离。我们所说的用来进行路由隔离的VPN实例,指的就是管理员手动创建的VPN实例。

管理员

根据虚拟系统的类型,管理员分为根系统管理员和虚拟系统管理员在这里插入图片描述
 根系统管理员:启用虚拟系统功能后,设备上已有的管理员将成为根系统的管理员。管理员的登录方式、管理权限、认证方式等均保持不变。根系统管理员负责管理和维护设备、配置根系统的业务。只有具有虚拟系统管理权限的根系统管理员(本章节后续内容中提及的根系统管理员都是指此类管理员)才可以进行虚拟系统相关的配置,如创建、删除虚拟系统,为虚拟系统分配资源等。
 虚拟系统管理员:创建虚拟系统后,根系统管理员可以为虚拟系统创建一个或多个管理员。虚拟系统管理员的作用范围与根系统管理员有所不同:虚拟系统管理员只能进入其所属的虚拟系统的配置界面,能配置和查看的业务也仅限于该虚拟系统;根系统管理员可以进入所有虚拟系统的配置界面,如有需要,可以配置任何一个虚拟系统的业务。

虚拟接口

虚拟接口是创建虚拟系统时系统自动为其创建的一个逻辑接口,作为虚拟系统自身与其他虚拟系统之间通信的接口。虚拟接口的链路层和协议层始终是UP的。虚拟接口必须配置IP地址,并加入安全区域,否则无法正常工作。
虚拟接口名的格式为“Virtual-if+接口号”,根系统的虚拟接口名为Virtual-if0,其他虚拟系统的Virtual-if接口号从1开始,根据系统中接口号占用情况自动分配。
如图所示,各个虚拟系统以及根系统的虚拟接口之间默认通过一条“虚拟链路”连接。如果将虚拟系统、根系统都视为独立的设备,将虚拟接口视为设备之间通信的接口,通过将虚拟接口加入安全区域并按照配置一般设备间互访的思路配置路由和策略,就能实现虚拟系统和根系统的互访、虚拟系统之间的互访。
在这里插入图片描述

虚拟系统互访

按照互访角色划分,虚拟系统互访可分为虚拟系统与根系统互访和两个虚拟系统间互访两类

  1. 虚拟系统与根系统互访:报文在虚拟系统与根系统中都会按照防火墙转发流程进行处理。此种场景一般用于虚拟系统下的企业内网用户通过根系统下的公网接口访问Internet
    在这里插入图片描述
  2. 两个虚拟系统互访:FW的虚拟系统之间默认是互相隔离的,不同虚拟系统下的主机不能通信。如果两个虚拟系统下主机有通信的需求,就需要配置策略和路由,使不同虚拟系统能够互访。FW支持两种模式的两个虚拟系统间互访,分别为标准模式和扩展模式。
     标准模式:可以通过在两个虚拟系统间配置相关策略、路由等实现两个虚拟系统间直接互访同一报文最多只能进行两次转发流程处理,报文经过超过两个虚拟系统即会被丢弃。此种模式一般用于配置不同虚拟系统的内部网络之间两两互访,如图2中租户网络A中的客户端可以直接访问租户网络B中的服务器。
    在这里插入图片描述
     扩展模式:设备引入了共享虚拟系统(Shared-vsys)的概念,通过在FW中创建一个配置为扩展模式的共享虚拟系统作为路由中转,实现两个虚拟系统跨共享虚拟系统互访vsysa和vsysb之间的报文通过Shared-vsys转发,由于将FW配置为扩展模式,同一报文最多可以进行三次转发流程处理,报文从vsysa发出经过Shared-vsys转发到vsysb时不会被丢弃。同时,Shared-vsys可对外连接到某一局域网或云上,与网络A、网络B形成“总部-分支”或“云服务供应商-租户”的关系,网络A与网络B之间传递的报文将在其所属的网络或云内进行转发,实现与外网的隔离。
    在这里插入图片描述

引流表

在虚拟系统和根系统互访的场景中,虚拟系统和根系统都会按照防火墙转发流程对报文进行处理。针对互访的业务,虚拟系统和根系统都要配置策略、都会建立会话。这样,一方面增加了配置的复杂性,另一方面,每条连接都需要两条会话,业务量大时,会造成整机的会话资源紧张。通过配置引流表,可以解决上述问题。引流表中记录的是IP地址和虚拟系统的归属关系。

实验

拓扑图

在这里插入图片描述

配置

[FW1]interface  GigabitEthernet 0/0/0
[FW1-GigabitEthernet0/0/0]ip address  172.16.1.254 24
[FW1-GigabitEthernet0/0/0]quit
[FW1]firewall zone  trust
[FW1-zone-trust]add  interface  GigabitEthernet  1/0/0
#
创建资源类,把可以分配的资源定义好:
[FW1]vsys  enable              // 开启虚拟系统功能
[FW1]resource-class tech     // 创建资源类
[FW1-resource-class-tech]resource-item-limit bandwidth 5 entire
[FW1-resource-class-tech]resource-item-limit session reserved-number   5 maximum 10 // 最少创建5条会话,最多创建10条会话
#
创建虚拟系统
[FW1]vsys  name vsysa   // 创建虚拟系统,名字为vsysa
[FW1-vsys-vsysa]assign interface   GigabitEthernet 1/0/1 // 将接口分配给虚拟系统a(vsysa)
[FW1-vsys-vsysa]assign  resource-class tech  // 分配资源类
[FW1]vsys name vsysb
[FW1-vsys-vsysb] assign interface GigabitEthernet1/0/2
[FW1-vsys-vsysb] assign resource-class tech
[FW1]switch vsys vsysa   // 进入虚拟系统vsysa
<FW1-vsysa>
[FW1-vsysa]interface  GigabitEthernet 1/0/1
[FW1-vsysa-GigabitEthernet1/0/1]ip address  10.1.1.254 24
[FW1-vsysa]firewall zone  trust
[FW1-vsysa-zone-trust]add  interface  GigabitEthernet  1/0/1
[FW1-vsysa]firewall zone  dmz    // virtual-if接口一定要加入区域。
[FW1-vsysa-zone-dmz]add interface  Virtual-if  1
[FW1]switch  vsys  vsysb   // 进入虚拟系统vsysa
<FW1-vsysb>sys
[FW1-vsysb]interface  GigabitEthernet  1/0/2
[FW1-vsysb-GigabitEthernet1/0/2]ip address  192.168.1.254 24
[FW1-vsysb]firewall zone  trust
[FW1-vsysb-zone-trust]add  interface  GigabitEthernet  1/0/2
[FW1-vsysb]firewall zone  dmz
[FW1-vsysb-zone-dmz]add  interface  Virtual-if  2
[FW1]firewall zone dmz    // 进入根墙
[FW1-zone-dmz]add  interface  Virtual-if  0
现在希望PC1可以访问PC2,要求经过根墙进行中转。
注意:虚拟系统之间不能运行路由协议,建议使用静态路由。
[FW1-vsysa]ip route-static  192.168.1.0 24 public  
// vsyva收到一个目的地址是192.168.1.0的报文,从vitrual-if 1接口发送出去,下一跳是根桥的vitrual-if 0的接口
[FW1]ip route-static  192.168.1.0 24  vpn-instance  vsysb
[FW1]ip route-static   10.1.1.0    24  vpn-instance  vsysa
[FW1-vsysb]ip route-static  10.1.1.0 24 public
根系统不需要配置策略,因为是从virtual-if0接口进和出,在同一个接口不需要配置策略
[FW1-vsysa]security-policy   // vsysa上配置
[FW1-vsysa-policy-security]rule name  PC1-PC2
[FW1-vsysa-policy-security-rule-PC1-PC2]source-zone  trust 
[FW1-vsysa-policy-security-rule-PC1-PC2]destination-zone dmz
[FW1-vsysa-policy-security-rule-PC1-PC2]source-address 10.1.1.0 24
[FW1-vsysa-policy-security-rule-PC1-PC2]destination-address 192.168.1.0 24
[FW1-vsysa-policy-security-rule-PC1-PC2]service icmp
[FW1-vsysa-policy-security-rule-PC1-PC2]action  permit  
#
[FW1-vsysb]security-policy
[FW1-vsysb-policy-security]rule name  PC1-PC2
[FW1-vsysb-policy-security-rule-PC1-PC2]source-zone  dmz 
[FW1-vsysb-policy-security-rule-PC1-PC2]destination-zone trust 
[FW1-vsysb-policy-security-rule-PC1-PC2]source-address  10.1.1.0 24
[FW1-vsysb-policy-security-rule-PC1-PC2]destination-address 192.168.1.0 24
[FW1-vsysb-policy-security-rule-PC1-PC2]service icmp
[FW1-vsysb-policy-security-rule-PC1-PC2]action  permit 

验证

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

<think>好的,用户需要查找关于ENSP防火墙中IP-Link状态的配置和故障排除信息。首先,我要回忆一下之前提供的引用内容。引用[1]详细介绍了IP-Link的作用和工作原理,包括探测机制和状态转换条件。引用[2]提到了IP-Link与策略路由联动的配置步骤,而引用[3]讨论了VLAN间通信,可能和网络架构有关,但可能相关性较低。 用户的问题集中在ENSP防火墙的配置和故障排除,所以需要结合引用中的具体步骤。首先,配置IP-Link需要定义探测目标、间隔时间和超时阈值。根据引用[1],默认是三个周期15秒未响应则状态为Down,恢复时连续三个响应则Up。配置命令可能包括设置目的IP、源接口、探测间隔等。 接下来,联动策略路由的话,引用[2]提到在策略路由中定义源地址策略,导向主链路,并配置IP-Link监控。故障时切换备用链路,恢复后切回。这部分需要检查策略路由是否正确引用了IP-Link的状态。 故障排除方面,用户可能遇到IP-Link状态无法切换的问题。可能原因包括探测报文被拦截、目标不可达、配置错误等。需要检查防火墙规则是否允许ICMP或UDP探测报文通过,目标设备是否响应,以及物理链路是否正常。此外,查看日志和调试信息可以帮助确定问题所在。 还需要考虑网络拓扑是否正确,比如单臂路由或VLAN配置是否影响了探测报文的传输。引用[3]中的单臂路由可能涉及不同VLAN间的通信,如果IP-Link的源接口或目标接口位于不同VLAN,需要确保路由配置允许探测报文通过。 最后,确认IP-Link与联动机制(如策略路由、静态路由)的绑定是否正确,故障转移和恢复的触发条件是否满足。可能需要逐步验证每个配置步骤,使用诊断工具如ping或tracert来测试连通性,确保各环节正常工作。</think>### ENSP防火墙IP-Link状态配置与故障排查指南 #### 一、IP-Link基础配置步骤 1. **创建IP-Link检测组** ```shell ip-link check enable ip-link 1 destination 192.168.1.1 interface GigabitEthernet0/0/1 # 设置探测目标IP和源接口 ip-link 1 interval 5 # 修改探测间隔为5秒(默认5秒) ip-link 1 timeout 3 # 设置超时阈值为3次(默认3次) ``` - 状态判定规则:连续$3 \times 5$秒未收到响应则标记为Down,连续$3 \times 5$秒收到响应则恢复为Up[^1] 2. **联动策略路由配置** ```shell policy-based-route PBR permit node 10 # 创建策略路由 if-match acl 3000 # 匹配业务流量 apply ip-address next-hop 10.0.1.1 track ip-link 1 # 绑定IP-Link状态 ``` #### 二、常见故障排查流程 1. **状态持续Down** - 检查物理链路:`display interface GigabitEthernet0/0/1` - 验证探测可达性: ```shell ping -a 192.168.1.2 192.168.1.1 # 指定源IP测试 ``` - 查看日志信息:`display ip-link history 1` 2. **状态抖动(Up/Down频繁切换)** - 调整检测参数: ```shell ip-link 1 interval 10 # 延长探测间隔 ip-link 1 timeout 5 # 增加超时阈值 ``` - 检查网络质量: ```shell display ip-link statistics 1 # 查看丢包率 ``` 3. **联动失效** - 验证绑定关系: ```shell display policy-based-route PBR # 检查策略路由是否关联正确IP-Link ``` - 检查路由表更新: ```shell display ip routing-table protocol static # 查看静态路由状态 ``` #### 三、高级调试方法 1. **抓包分析**(在ENSP模拟器中): ```shell capture-packet interface GigabitEthernet0/0/1 # 抓取探测报文 ``` - 验证是否发送ICMP/UDP探测报文 - 检查响应报文是否被安全策略拦截[^2] 2. **诊断模式**: ```shell debugging ip-link all # 开启调试信息 terminal monitor # 实时查看状态变化 ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值