安全防御——二、ENSP防火墙实验学习

安全防御

  • 一、防火墙接口以及模式配置
    • 1、untrust区域
    • 2、trust区域
    • 3、DMZ区域
    • 4、接口对演示
  • 二、防火墙的策略
    • 1、定义与原理
    • 2、防火墙策略配置
      • 2.1 安全策略工作流程
      • 2.2 查询和创建会话
    • 3、实验策略配置
      • 3.1 trust-to-untrust
      • 3.2 trust-to-dmz
      • 3.3 untrust-to-dmz
  • 三、防火墙的区域

一、防火墙接口以及模式配置

我们使用实验进行讲解:
在这里插入图片描述

1、untrust区域

首先我们自行完成安全防御一,进入到如下界面:
在这里插入图片描述
这里我们的ENSP拓扑依旧是简单拓扑:
在这里插入图片描述
在这里呢,我们经常会发现时常超时,重连,虽然我们不建议配置永不超时,但是我们在实验界面就没那么多硬性要求:
我们可以通过如下命令配置永不超时:
首先我们进入到系统视图:

user-interface console 0
idle-timeout 0 0

在这里插入图片描述
这里会弹出一个警告,不用管。
好的,下面我们将这个拓扑图完善来供我们学习:
在这里插入图片描述
这里我们可以看到我们在这里预计划分三个区域:trust以及untrust、DMZ区域三个区域。
下面我们进入Web界面点击网络,查看网络板块内容:
在这里插入图片描述
这里我们可以看到有六个口,也可看到模式,防火墙既可以做交换也可以做路由,这里默认为路由,点进去我们也可看到:
在这里插入图片描述
这里我们可以修改接口模式类型,当我们修改为交换,那么这个口就会变成2层口。
在这里插入图片描述
这里我们也可看到有其他种类型,旁路检测以及接口对:
如果使用旁路检测,那么交换机就会像PC一样,挂在交换机旁边一样。比较少见。
接口对我们之后再讲,先将路由以及交换搞清楚。
下面我们继续完善拓扑,使其可以进行模拟访问:
在这里插入图片描述
我们将PC的网关以及Server网关都分别放在交换机SW1以及SW2上,剩下的我们直接做互联即可。
下面我们将网段进行规划:
在这里插入图片描述
对G1/0/0进行配置:
在这里插入图片描述
这里我们可以看到有很多选项,虚拟系统这里不要动,如果改为defult,那么它将会和之前那个口在一起了。
安全区域我们将它放在untrust,接口模式为路由,这里我们将IP地址改为100.1.1.1/24:
在这里插入图片描述
下面不用管,这里有个启动接口访问,我们将它点掉,这里是不允许访问的。
在这里插入图片描述
同时,我们也可看到接口带宽有入方向带宽以及出方向带宽两种。一般运营商会拉互联网线路,如果是20M,那就选入方向与出方向选择20M,推荐运营商给多少,放多少。企业级是一样的,拨号式不一样,这里我们进行做实验,就不写了。
在这里插入图片描述
这里我们可以看到已经配置完毕,下面我们对R1进行配置:

[r1]sys ISP
[ISP]int g0/0/0
[ISP-GigabitEthernet0/0/0]ip address 100.1.1.2 24
[ISP-GigabitEthernet0/0/0]quit
[ISP]

这里我们在R1旁边放一个服务器,真实一些:
在这里插入图片描述
并给服务器配置IP地址:
在这里插入图片描述
在这里插入图片描述
这里开启HTTP,随便挂一个目录。
再对R1进行网关接口配置:

[ISP]int g0/0/1
[ISP-GigabitEthernet0/0/1]ip address 200.1.1.1 24
[ISP-GigabitEthernet0/0/1]quit
[ISP]

这里我们已经将untrust配置完毕,我们进行测试:
在这里插入图片描述
我们可以看到是ping不通的,这里是因为我们未放行ping端口,下面我们将防火墙G1/0/0接口的ping打开:
在这里插入图片描述
在这里插入图片描述
好的,下面我们再进行测试:
在这里插入图片描述
我们可以看到现在是通了,下面我们还得写个路由出来,使untrust区域的服务器可以通信。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
配置下一跳以及出接口,点击确定。
在这里插入图片描述
这里即可生成一个静态路由,我们可以通过服务器来进行测试:
在这里插入图片描述

2、trust区域

下面我们整trust区域,回到接口进行配置:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里我们即可看到接口IP地址配置完毕。
紧接着我们配置SW1:

[sw1]vlan 2
[sw1-vlan2]quit
[sw1]int g0/0/1	
[sw1-GigabitEthernet0/0/1]port link-type access 
[sw1-GigabitEthernet0/0/1]port default vlan 2
[sw1-GigabitEthernet0/0/1]quit
[sw1]int vlan 2
[sw1-Vlanif2]ip add 10.1.255.1 24
[sw1-Vlanif2]quit
[sw1]vlan 3
[sw1-vlan3]quit
[sw1]int vlan 3
[sw1-Vlanif3]ip address 10.1.3.1 24
[sw1-Vlanif3]quit
[sw1]int g0/0/2	
[sw1-GigabitEthernet0/0/2]port link-type access 
[sw1-GigabitEthernet0/0/2]port default vlan 3
[sw1-GigabitEthernet0/0/2]quit
[sw1]

将PC放在VLAN3里面,并在SW1里面我们可以进行配置vlan3,来放置PC的网关,下面我们进行配置PC端IP地址。
在这里插入图片描述
下面我们进行测试trust区域,还是先放开ping:
在这里插入图片描述
使用SW1来ping防火墙:
在这里插入图片描述
使用PC测试的话,我们当然依旧的先想到需要防火墙来进行回包,所以我们依旧先做一个回包路由:
在这里插入图片描述
在这里插入图片描述
下面我们使用PC来ping:
在这里插入图片描述
这里就证明内网可以进行通信了。

3、DMZ区域

首先我们对DMZ区域进行规划,DMZ区域中服务器1的网关放在防火墙上,交换机有两个口,那么我们要做聚合:
在这里插入图片描述
这里我们先在防火墙上做聚合,登录防火墙Web界面(首先这里我们认识到应该给G1/0/2以及G1/0/3接口做聚合):
做聚合的话,那么接口肯定是交换口:
在这里插入图片描述
点击新建
在这里插入图片描述
对新建接口进行命名,这里自定义,以及选择类型为接口汇聚,选择接口模式为交换,并将2口与3口放入:
在这里插入图片描述
在这里插入图片描述
然后下面有一个接口类型,这里我们选择access与trunk在于:有几个网关以及vlan,这里如果只有一个网关,也就是一个vlan,那么我们选择access接口即可,这里我们更改拓扑,再添加一个服务器,搞两个网关,那么我们则需要用到trunk。
在这里插入图片描述
那么我们这里使用trunk:
在这里插入图片描述
这里有一个trunk vlan id,这里我们就添加一个vlan,10和11,也就是10-11:
在这里插入图片描述
然后我们点击确定,即可看到我们刚才创建的链路聚合:
在这里插入图片描述
但是这里并没有给它划入区域,因此:
在这里插入图片描述
在这里插入图片描述
我们将它划入DMZ区域,点击确定即可看到:
在这里插入图片描述
到这里我们在防火墙上配置聚合,下面我们在交换机上做链路聚合:

[sw2]sys DMZ
[DMZ]int Eth-Trunk 1
[DMZ-Eth-Trunk1]trunkport g0/0/1
[DMZ-Eth-Trunk1]trunkport g0/0/2
[DMZ-Eth-Trunk1]quit
[DMZ]int Eth-Trunk 1
[DMZ-Eth-Trunk1]port link-type trunk
[DMZ-Eth-Trunk1]port trunk allow-pass vlan 10 to 11
[DMZ-Eth-Trunk1]quit
[DMZ]vlan 11
[DMZ-vlan11]vlan 10
[DMZ-vlan10]quit
[DMZ]int g0/0/4
[DMZ-GigabitEthernet0/0/4]port link-type access 
[DMZ-GigabitEthernet0/0/4]port default vlan 10
[DMZ-GigabitEthernet0/0/4]int g0/0/3	
[DMZ-GigabitEthernet0/0/3]port link-type access 	
[DMZ-GigabitEthernet0/0/3]port default vlan 11
[DMZ-GigabitEthernet0/0/3]quit
[DMZ]

下面我们在防火墙上创建网关:
好的,首先我们来创建vlan10网关:
在这里插入图片描述
在这里插入图片描述
创建接口名称,选择接口类型为vlan接口,安全区域选择dmz区域,vlan ID选择10,IP地址使用10.1.10.1/24,同时开放ping放开:
在这里插入图片描述
在这里插入图片描述
下面我们创建vlan11网关:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里我们已经创建成功,下面我们给服务器配置IP地址来完成我们的测试:
在这里插入图片描述
在这里插入图片描述
下面我们进行测试:
在这里插入图片描述
在这里插入图片描述
好的,到这里我们已经将各个区域内部打通,下面我们将区域之间打通:

4、接口对演示

华为叫做接口对,有的厂商叫虚拟网线。
二层转发要查MAC表,接口对不要查,直接转发。
我们完善拓扑通过实验来演示:
在这里插入图片描述
下面我们到Web界面进行配置:
首先我们将4和5模式改为接口对:
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
之后我们来到接口对:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这样PC2流量只能去PC3。
接口对好处就是速度快,必须要做接口对的情况就是穿过防火墙做链路聚合。
以上实验不但用了路由模式,又用了交换模式,使用灵活。
旁路检测等于说把交换机功能废掉了,只用IPS也就是审计功能,等于说防火墙大部分功能废掉了,只能被动接收流量。

二、防火墙的策略

1、定义与原理

防火墙的基本作用是保护特定网络免受“不信任”的网络的攻击,但是同时还必须允许两个网络之间可以进行合法的通信。
安全策略是控制设备对流量转发以及对流量进行内容安全一体化检测的策略,作用就是对通过防火墙的数据流进行检验,符合安全策略的合法数据流才能通过防火墙。

2、防火墙策略配置

2.1 安全策略工作流程

在这里插入图片描述

2.2 查询和创建会话

在这里插入图片描述

3、实验策略配置

在这里插入图片描述

3.1 trust-to-untrust

下面我们登录Web界面防火墙配置,点到策略模块:
在这里插入图片描述
这里我们可以看到这里面有一条默认策略,就是拒绝所有。
接下来我们进行一块一块搞,首先trust要访问untrust:
在这里插入图片描述
这里我们添加了名称、源目的安全区域,源地址,这里新建了个地址组:
在这里插入图片描述
首先,以上配置已经足够我们实验使用,如果在生产环境下,需要根据项目需求,来具体划分区域,VLAN以及服务,应用,URL,时间段,内容安全等等。
在这里插入图片描述
这里我们trust-to-untrust策略就已经配置完毕了。
下面我们使用PC1进行访问测试:
在这里插入图片描述
这里我们可以看到未能访问,我们这里需要做一个回包路由:
ISP:

[ISP]ip route-static 0.0.0.0 0 100.1.1.1
[ISP]

首先,这里出现了一点问题,网段在地址组打错了,所以我们首先:
在这里插入图片描述
选择地址,地址组:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里我们成功修改了地址组里面的地址,这时我们可以在策略看是否完成更改:
在这里插入图片描述
我们可以看到已经自动更改,现在,我们添加路由来使PC访问untrust区域内部的服务器:
SW1:

[sw1]ip route-static 0.0.0.0 0 10.1.255.2
[sw1]

好的,下面我们来进行测试,使用PC来ping服务器:
在这里插入图片描述
同时,我们在Web界面也可看到:
在这里插入图片描述
命中5次,这里trust-to-untrust策略成功配置完成。

3.2 trust-to-dmz

首先我们在地址组内创建DMZ区域IP地址:
在这里插入图片描述
在这里插入图片描述
点击确认即可查看我们创建的地址组:
在这里插入图片描述
下面我们写策略:
在这里插入图片描述
在此次实验中我们需要配置策略名称,源目的地址,以及开启的服务,然后点击确认。
在这里插入图片描述
接下来我们来测试:
使用trust区域中的PC进行ping:
在这里插入图片描述
这里我们trust-to-dmz策略创建完毕,这里也可看到命中:
在这里插入图片描述

3.3 untrust-to-dmz

这里我们dmz有两个服务,我们让他访问一个就行,首先,我们创建DMZ可以供untrust区域访问的服务器IP地址:
在这里插入图片描述
点击新建地址:
在这里插入图片描述
这里我们供untrust区域访问服务器为10.1.10.2:
在这里插入图片描述
好的,下面我们来配置策略:
在这里插入图片描述
创建untrust-to-dmz策略名,源安全区域为untrust,目的安全区域为dmz,以及目的地址选择之前创建的地址,DMZ-10.1.10.2,服务开放icmp。
在这里插入图片描述
下面我们使用untrust服务器进行访问dmz区域:
首先我们ping开放的10.1.10.2:
在这里插入图片描述
下面我们ping未开放的10.1.11.2:
在这里插入图片描述
同时,在Web界面显示命中次数:
在这里插入图片描述
到这里我们就将策略全部设置完成。

三、防火墙的区域

区域就是防火墙研究流量管控不是接口,是区域。区域之间流量流动要求在防火墙上做放行策略。创建区域在上面实验中已经完全实践过了。
会话和包是有区别的,访问baidu之后一系列的包都是一个流,每个包属于流的一部分,会话追踪技术,防火墙可以将包所有流全部识别出来。
防火墙主要关注首包,首包来到防火墙后首先查看会话表,然后匹配安全策略,匹配,之后,创建会话。第二个包来了之后匹配会话然后放行。
会话表的一个计算是使用hash表进行计算,对包的三层四层进行hash,然后我们去比对会话表。
假设第二个包跑第一个包前面,那第二个包不可以创建会话表,由于来回路径不一致导致防火墙的丢包现象。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/130936.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

消息中间件-RabbitMQ介绍

一、基础知识 1. 什么是RabbitMQ RabbitMQ是2007年发布,是一个在AMQP(高级消息队列协议)基础上完成的,简称MQ全称为Message Queue, 消息队列(MQ)是一种应用程序对应用程序的通信方法,由Erlang(专门针对于大…

SPSS单因素方差分析

前言: 本专栏参考教材为《SPSS22.0从入门到精通》,由于软件版本原因,部分内容有所改变,为适应软件版本的变化,特此创作此专栏便于大家学习。本专栏使用软件为:SPSS25.0 本专栏所有的数据文件请点击此链接下…

Python基础入门例程39-NP39 字符串之间的比较(运算符)

最近的博文: Python基础入门例程38-NP38 牛牛的逻辑运算(运算符)-CSDN博客 Python基础入门例程37-NP37 不低于与不超过(运算符)-CSDN博客 Python基础入门例程36-NP36 谁的数字大(运算符)-CSD…

FPGA芯片内部结构

参考链接:FPGA的进阶之第二章FPGA芯片内部结构(2)

航模模拟器训练

固定翼吃灰很久忘记咋么操作 故这里发帖防止忘记 准备物品 航模遥控器 aux线 即两端都是耳机插头的线 解密狗 电脑 phoenixRC 航模模拟软件(【飞舜极创】凤凰5.0飞行模拟器 安装和设置方法_哔哩哔哩_bilibili) 链接:https://pan.baidu.com/s/1XL4ZWhMR7MQMxDPC7B…

PTA: 矩阵的乘法运算

矩阵的乘法运算 题目输入格式输出格式输入样例输出样例 代码 题目 线性代数中的矩阵可以表示为一个row*column的二维数组,当row和column均为1时,退化为一个数,当row为1时,为一个行向量,当column为1时&…

GraphQL入门与开源的GraphQL引擎Hasura体验

背景 Hasura 是一个开源的 GraphQL 引擎,它可以帮助开发人员快速构建和部署现代应用程序的后端。它提供了一个自动化的 GraphQL API ,可以直接连接到现有的数据库,并提供实时数据推送和订阅功能。 Hasura 团队总部位于印度。 下载安装 脚本…

简述多模态学习中,对齐、融合和表示

在多模态学习中,对齐、融合和表示是三个核心概念,它们相互关联,共同支持多模态数据的处理和分析。 对齐(Alignment) 对齐是多模态学习中的一个关键步骤,它涉及到如何在不同的数据模态之间发现和建立对应关…

分享86个工作总结PPT,总有一款适合您

分享86个工作总结PPT,总有一款适合您 PPT下载链接:https://pan.baidu.com/s/12aRTr5NKG5YTnMnwNbqOrQ?pwd8888 提取码:8888 Python采集代码下载链接:采集代码.zip - 蓝奏云 学习知识费力气,收集整理更不易。知…

顶层模块【FPGA】

1顶层模块: 不能像C语言的h文件那样,把io的定义放在其他文件。 在Verilog中,顶层模块是整个设计的最高层次,它包含了所有其他模块和子模块。 顶层模块定义了整个设计的输入和输出端口,以及各个子模块之间的连接方式。…

大数据毕业设计选题推荐-旅游景点游客数据分析-Hadoop-Spark-Hive

✨作者主页:IT毕设梦工厂✨ 个人简介:曾从事计算机专业培训教学,擅长Java、Python、微信小程序、Golang、安卓Android等项目实战。接项目定制开发、代码讲解、答辩教学、文档编写、降重等。 ☑文末获取源码☑ 精彩专栏推荐⬇⬇⬇ Java项目 Py…

使用vscode开发uniapp项目常用的辅助插件,提升开发效率

为什么不使用hbuilder开发呢?因为hbuilder对ts和vue3语法支持并不友好,而且代码提示不智能,也不能使用最近很流行的coplit和CodeGeex智能提示,所以就换掉hbulider,使用我们熟悉的vscode开发吧。 第一个:un…

【Linux】Linux+Nginx部署项目(负载均衡动静分离)

🥳🥳Welcome Huihuis Code World ! !🥳🥳 接下来看看由辉辉所写的关于Linux的相关操作吧 目录 🥳🥳Welcome Huihuis Code World ! !🥳🥳 一.Nginx负载均衡 1.什么是负载均衡 2.实…

【SpringBoot笔记42】SpringBoot集成knife4j生成接口文档

这篇文章,主要介绍SpringBoot如何集成knife4j及生成接口文档。 目录 一、knife4j接口文档生成器 1.1、接口文档工具介绍 1.2、引入依赖

设计模式-迭代子模式

迭代子模式是一种行为设计模式,它提供了一种访问和遍历聚合对象中各个元素的方法,而不需要暴露聚合对象的内部表示。迭代子模式将遍历聚合对象的责任交给了迭代子对象,从而实现了聚合对象和迭代子对象的解耦。 在Java中,迭…

我终于学会的前端技能——代码调试、打断点

在技术的世界里,要用魔法来打败魔法 说来惭愧我做前端已近三年了竟然还没有学会如何调试代码,也就是给自己的代码打上断点一步步看它的运行状态以达到理清代码运行逻辑、排查问题提升开发效率的目的。直到最近我才学会了这一技能,在这之前我用…

windows 安装oracle 21c启动监听报错

创建监听时一直提示各种端口被占用从1521,一直到1539都被占用,但是我执行netstat -ano 又没有看到端口被占用,开启监听的跟踪日志,从日志中看到如下信息: An unexpected error has been detected by HotSpot Virtual M…

单行自动横向滚动——css实现

效果 封装组件 <template><div ref"container" class"scroll-area"><divref"content":class"[isScroll ? scroll : no-scroll]":style"{ color: fontColor }">{{ content }}</div></div> &…

Android Studio的笔记--SerialPort串口通讯学习和使用

SerialPort串口通讯学习和使用 SerialPortandroid-serialport-api源码下载 Android-SerialPort-API源码下载readme版本 Android-SerialPort-Tool源码下载 Android-Serialport源码下载使用方法readme android中使用串口通信使用android-serialport-api方式第1种 链接第2种 导入S…

ZZ308 物联网应用与服务赛题第A套

2023年全国职业院校技能大赛 中职组 物联网应用与服务 任 务 书 &#xff08;A卷&#xff09; 赛位号&#xff1a;______________ 竞赛须知 一、注意事项 1.检查硬件设备、电脑设备是否正常。检查竞赛所需的各项设备、软件和竞赛材料等&#xff1b; 2.竞赛任务中所使用的…