32、虚拟防火墙部署与配置全解析

虚拟防火墙部署与配置全解析

1. 虚拟防火墙部署场景概述

虚拟防火墙解决方案在需要多个防火墙来保护可信网络流量的部署中非常有用。常见的部署场景主要有以下两种：
- 采用非共享接口的虚拟防火墙
- 采用共享接口的虚拟防火墙

1.1 采用非共享接口的虚拟防火墙

有一家名为 SecureMe 的公司，其在芝加哥的办公室为两家小公司 Cubs 和 Bears 提供防火墙服务。由于该办公室的设备只有两个活动物理接口，因此需要创建子接口来满足这两个客户的需求。为了节省外部接口的公共地址，管理员使用了 255.255.255.248 的子网掩码。

1.1.1 安全需求

主体	安全需求
SecureMe	1. 允许来自 172.18.82.0/24 管理网络的 SSH 会话，使用位于 172.18.82.101 的 AAA 服务器。 2. 将所有系统生成的消息记录到位于 172.18.82.100 的 syslog 服务器。
Bears	1. 允许 192.168.10.0/24 子网的主机仅通过 HTTP 访问 198.133.219.25（www.cisco.com），阻止其他所有流量。 2. 使用接口 PAT 将源 IP 地址转换为 209.165.200.225。 3. 阻止并记录外部接口上的所有入站流