防火墙组网
Posted 坏坏-5
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了防火墙组网相关的知识,希望对你有一定的参考价值。
下一代防火墙组网简介
- NGAF的部署模式是由各个接口的属性所决定的
部署模式
- 路由模式:所有接口都是路由口
- 透明模式:所有接口都是透明口
- 虚拟网线模式:所有接口都是虚拟网线口
- 混合模式:AF上同时存在多种接口类型
- 旁路模式:所有接口都是镜像口
接口类型
根据接口属性分类
- 物理接口
- 与设备面板上的接口一一对应
- 根据网口数据转发的特性不同,可以选择路由、透明、虚拟网线和旁路镜像4种类型
- 路由口、透明口、虚拟网线口也可以设置WAN或非WAN属性
- 物理接口不能删除或新增,物理接口由硬件型号决定
- 子接口
- 用于做单臂路由实现三层通信
- 子接口是逻辑接口,只能在路由口下添加子接口
- VLAN接口
- 即通过配置VLAN,为VLAN配置IP地址
- 聚合接口
- 将多个以太网接口捆绑在一起,形成逻辑接口
- 负载均衡-Hash:按数据包源目的IP/MAC的Hash值均分
- 负载均衡-RR:直接按数据包轮转均分到每个接口
- 主备模式:取Eth最大号的主接口手法数据包,其余为备接口
- 最多支持4个物理口聚合
- 将多个以太网接口捆绑在一起,形成逻辑接口
物理口配置类型
- 路由口
- 需要给接口配置IP地址、网关,连接一个独立的网段,具备路由转发功能
- 实时检测接口的链路状态,以及多条外网线路的情况下,需要开启链路检测故障,以保证当其他线路故障时,流量可以自动切换到其他线路
- Eth0是固定的管理接口,不能修改接口类型,只能增加管理IP(10.251.251.251/24无法删除)
- 会改变现有的网路结构
- 透明口
- 二层接口,与交换机的工作模式一致,不支持路由转发,只能根据MAC地址表转发数据
- 需要配置接口类型(Access/Trunk)、VLAN信息
- 支持多进多出,不会改变现有的网络结构
- 虚拟网线口
- 二层接口,成对出现,不需要IP地址,不支持路由转发,转发数据时,从一个接口收到数帧,会从另一个接口发出,不检查MAC表,转发速度快
- 需要选择与该接口配对的另外一个接口,转发性能高于透明接口,适用于单进单出的网桥环境
- 仅支持单进单出,不会改变现有的网络结构
- 镜像口
- 用于做流量审计
- 配置需要监听的IP地址
接口工作区域
- 二层区域口:透明口、镜像口
- 三层区域口:路由口
- 虚拟网线区域口:虚拟网线口
区域
- 用于定义或归类接口
- 是本地逻辑安全区域的概念,是一个或多个接口所连接的网络
-
-
- 当不同区域之间发生数据流动时,会触发安全检查,实施相关的安全策略
- 同区域内部发生的数据流动是不存在风险的,不需要实施安全策略
- 同一个接口所连网络的所有网络设备属于同一个区域,一个区域中可以包含多个接口,一个接口只能属于一个区域
下一代防火墙组网方案
AF初始配置
- 创建区域,设置区域类型
- 配置接口,选择接口类型,并加入到相应的区域,做相关的配置
- 如果AF是互联网的出口设备,还需要配置SNAT,使内网用户可以访问互联网
- 如果内网有服务器需要发布到公网,需要配置DNAT
- 如果内网有三层的网络环境,则需要配置到达终端网段的路由
- 创建相关的放通网络的策略,默认情况下AF是禁止任何数据通过的
路由模式组网
- 适用NGAF替换现有防火墙,实现对内网用户和服务器的安全防护
- 配置过程
- 配置接口地址,并定义接口对应的区域
- 配置路由
- 配置代理上网
- 配置应用控制策略,放通内网用户上网权限
- 配置安全防护策略
透明模式组网
- 部署NGAF设备对内网用户进行安全防护,但是不改动现有的网络结构
- 配置过程
- 配置接口地址,并定义接口对应的区域
- 配置管理接口
- 配置路由
- 配置应用控制策略,放通内网用户上网权限
- 配置安全防护策略
混合模式组网
- 公司内网有服务器集群,服务器都配置了公网IP地址,发布到了公网,使所有用户直接通过公网IP地址进行访问。内网用户使用私有地址,通过NAT转换上网
- 使用混合模式组网
- 连接服务器和公网的接口IP地址是属于同一个网段,而防火墙的不同接口要属于不同的网段,所以使用透明接口
- 连接内网的接口需要配置网关,所以使用路由接口
旁路模式组网
- 使用NGAF来实现内网防护和对内网防护数据进行分析,要求不改动现有的网络环境
- 配置过程
- 配置镜像接口,定义接口对应的区域,并配置流量监听网络对象
- 配置管理接口
- 启用旁路reset功能,只有启用旁路Reset功能,NGAF才能对TCP的流量进行截断
- 配置安全防护策略
- 旁路模式支持的功能
- APT:僵尸网络
- PVS:实时漏洞分析
- WAF:Web应用防护
- IPS:入侵防护系统
- DLP:数据泄露防护
- 网站防篡改部分功能:客户端保护
策略路由
- 是路由的一种。普通路由只匹配目的IP、子网掩码和下一跳网关
- 策略路由可以弥补普通路由的不足,可以根据配置策略来匹配源、目的、协议、出口等、
- 在有多条外网线路的情况下,可以配置策略路由来灵活负载
- 策略路由分类
- 源地址策略路由——可指定内网哪些IP走指定线路出公网
- 多线路负载路由——可指定多条线路进行负载选路
- 注意事项
- AF路由的优先级
- VPN路由 > 静态路由 > 策略路由 > 默认路由
- 每一条外网线路都必须至少有一条策略与之对应
- 源地址策略路由可以通过直接填写路由的下一跳,来实现从设备的非WAN属性的接口转发数据
- 多线路负载路由选择的接口,必须要开启链路故障检测功能,才能实现线路故障自动切换
- 如果有多条策略路由,按照从上往下的顺序匹配,一旦匹配到某条策略路由后,不再向下匹配
- AF路由的优先级
- 策略路由是在转发平面,不修改路由的属性,通过转发策略影响数据的转发
- 路由策略是在控制平面,通过修改路由属性,来影响数据的转发
- 链路故障检测功能原理
- DNS解析:会每间隔一定的时间,向填写的DNS服务器请求解析一个域名,未得到回应的次数超过阈值,则判断线路故障
- Ping:向固定的IP地址执行Ping命令,未得到回应的次数超过阈值,则判断线路故障
以上内容均属原创,如有不详或错误,敬请指出。
本文作者:
坏坏
本文链接: http://t.csdn.cn/ZSzK4
版权声明: 本博客所有文章除特别声明外,均采用
CC BY-NC-SA 4.0 许可协议。转载请联系作者注明出处并附带本文链接!以上是关于防火墙组网的主要内容,如果未能解决你的问题,请参考以下文章