防火墻交換模式配置

1、防火墻交換模式配置,,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),案例描述,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),2,需求陳述防火墻eth6接口和eth7接口配置為透明模式Eth6與eth7同屬一個(gè)虛擬橋接組，eth6屬于l2-trust安全域，eth7屬于l2-untrust安全域。允許網(wǎng)段A ping 網(wǎng)段B及訪問(wèn)網(wǎng)段B的WEB服務(wù)放行網(wǎng)段B至網(wǎng)段A的TCP9988端口為虛擬橋接組vs

2、witch1配置ip地址以便管理防火墻,,網(wǎng)段A:192.168.1.1 - 192.168.1.100,網(wǎng)段B:192.168.1.101 - 192.168.1.200,網(wǎng)絡(luò)拓?fù)?Eth6Zone:l2-trust,Eth7Zone:l2-untrust,Vswtichif1:192.168.1.254/24,配置步驟,接口配置配置虛擬交換機(jī)（vswitch）添加對(duì)象網(wǎng)絡(luò)對(duì)象服務(wù)對(duì)象配置安全策略,www.dcnet

3、works.com.cn,神州數(shù)碼網(wǎng)絡(luò),3,接口配置,將eth6接口加入二層安全域l2-trustDCFW-1800(config)# interface ethernet0/6DCFW-1800(config-if-eth0/6)# zone l2-trust添加管理主機(jī)DCFW-1800(config)# admin host any any,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),4,配置vswitch,

4、將l2-trust安全域綁定到vswitch1上DCFW-1800(config)# zone l2-trustDCFW-1800(config-zone-l2-tru~)# bind vswitch1配置vswitchif1接口DCFW-1800(config)# interface vswitchif1DCFW-1800(config-if-vsw1)# zone trustDCFW-1800(config-if-vsw

5、1)# ip address 192.168.1.254/24DCFW-1800(config-if-vsw1)# manage pingDCFW-1800(config-if-vsw1)# manage https完成上述配置后即可在網(wǎng)段A通過(guò)WEBUI使用vswitchif1接口IP進(jìn)行管理,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),5,外網(wǎng)口配置,通WEBUI登陸防火墻對(duì)eth7接口進(jìn)行配置將eth7接口

6、所屬安全域類型指定為“二層安全域”將eth7接口劃歸l2-untrust安全域,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),6,,,物理接口配置為二層安全域時(shí)無(wú)法配置IP地址,,對(duì)eth0/7接口進(jìn)行編輯,添加對(duì)象,為即將建立的安全策略定義地址對(duì)象和服務(wù)對(duì)象定義地址對(duì)象定義網(wǎng)段A (192.168.1.1 – 192.168.1.100)定義網(wǎng)段B (192.168.1.101 – 192.168.1.200)定

7、義服務(wù)對(duì)象為網(wǎng)段A訪問(wèn)網(wǎng)段B定義服務(wù)對(duì)象，其中包括ping和http為網(wǎng)段B訪問(wèn)網(wǎng)段A定義服務(wù)對(duì)象，其中只有TCP9988,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),7,定義地址對(duì)象,定義包含網(wǎng)段A的地址對(duì)象net_A在地址薄里“新建”地址對(duì)象,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),8,把地址對(duì)象與它所屬的vswitch相關(guān)聯(lián),由于對(duì)象不是整個(gè)網(wǎng)段所以使用IP范圍定義,,定義地址對(duì)象,定義包含網(wǎng)

8、段B的地址對(duì)象net_B在地址薄里“新建”地址對(duì)象,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),9,把地址對(duì)象與它所屬的vswitch相關(guān)聯(lián),由于對(duì)象不是整個(gè)網(wǎng)段所以使用IP范圍定義,,定義服務(wù)對(duì)象,為網(wǎng)段A訪問(wèn)網(wǎng)段B定義服務(wù)對(duì)象由于包含多個(gè)服務(wù)，這里定義了一個(gè)服務(wù)對(duì)象組,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),10,選中左側(cè)的服務(wù)對(duì)象推送到右側(cè)的成員組中,,,定義服務(wù)對(duì)象,為網(wǎng)段B訪問(wèn)網(wǎng)段A定義服務(wù)

9、對(duì)象由于“預(yù)定義”服務(wù)對(duì)象中不存在該服務(wù)，所以需要在“自定義”服務(wù)對(duì)象中手工定義,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),11,這里定義的服務(wù)對(duì)象是要訪問(wèn)的目的端口，如果端口號(hào)只有一個(gè)填寫(xiě)最小值即可,,,配置安全策略,添加網(wǎng)段A到網(wǎng)段B的策略在“安全”->“策略”中選擇好“源安全域”和“目的安全域”后，新建策略,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡(luò),12,,,源地址選擇網(wǎng)段A的地址對(duì)象,目