安全防御——二、ENSP防火墙实验学习

最新推荐文章于 2024-07-11 12:07:21 发布

教IT的小王A

最新推荐文章于 2024-07-11 12:07:21 发布

阅读量1.5k

点赞数 12

文章标签：安全学习服务器

本文链接：https://blog.csdn.net/A_991128a/article/details/137840480

版权

安全防御

一、防火墙接口以及模式配置
```
* 1、untrust区域
```
- 2、trust区域
- 3、DMZ区域
- 4、接口对演示
二、防火墙的策略
```
* 1、定义与原理
```
- 2、防火墙策略配置
- ```
  * 2.1 安全策略工作流程
```
  - 2.2 查询和创建会话
- 3、实验策略配置
- ```
  * 3.1 trust-to-untrust
```
  - 3.2 trust-to-dmz
  - 3.3 untrust-to-dmz
三、防火墙的区域

一、防火墙接口以及模式配置

我们使用实验进行讲解：
在这里插入图片描述

1、untrust区域

首先我们自行完成安全防御一，进入到如下界面：
在这里插入图片描述
这里我们的ENSP拓扑依旧是简单拓扑：

在这里呢，我们经常会发现时常超时，重连，虽然我们不建议配置永不超时，但是我们在实验界面就没那么多硬性要求：
我们可以通过如下命令配置永不超时：
首先我们进入到系统视图：

user-interface console 0
idle-timeout 0 0

在这里插入图片描述
这里会弹出一个警告，不用管。
好的，下面我们将这个拓扑图完善来供我们学习：

这里我们可以看到我们在这里预计划分三个区域：trust以及untrust、DMZ区域三个区域。
下面我们进入Web界面点击网络，查看网络板块内容：
在这里插入图片描述
这里我们可以看到有六个口，也可看到模式，防火墙既可以做交换也可以做路由，这里默认为路由，点进去我们也可看到：

这里我们可以修改接口模式类型，当我们修改为交换，那么这个口就会变成2层口。
在这里插入图片描述
这里我们也可看到有其他种类型，旁路检测以及接口对：
如果使用旁路检测，那么交换机就会像PC一样，挂在交换机旁边一样。比较少见。
接口对我们之后再讲，先将路由以及交换搞清楚。
下面我们继续完善拓扑，使其可以进行模拟访问：
在这里插入图片描述
我们将PC的网关以及Server网关都分别放在交换机SW1以及SW2上，剩下的我们直接做互联即可。
下面我们将网段进行规划：

对G1/0/0进行配置：

这里我们可以看到有很多选项，虚拟系统这里不要动，如果改为defult，那么它将会和之前那个口在一起了。
安全区域我们将它放在untrust，接口模式为路由，这里我们将IP地址改为100.1.1.1/24：
在这里插入图片描述
下面不用管，这里有个启动接口访问，我们将它点掉，这里是不允许访问的。

同时，我们也可看到接口带宽有入方向带宽以及出方向带宽两种。一般运营商会拉互联网线路，如果是20M，那就选入方向与出方向选择20M，推荐运营商给多少，放多少。企业级是一样的，拨号式不一样，这里我们进行做实验，就不写了。
在这里插入图片描述
这里我们可以看到已经配置完毕，下面我们对R1进行配置：

[r1]sys ISP
[ISP]int g0/0/0
[ISP-GigabitEthernet0/0/0]ip address 100.1.1.2 24
[ISP-GigabitEthernet0/0/0]quit
[ISP]

这里我们在R1旁边放一个服务器，真实一些：
在这里插入图片描述
并给服务器配置IP地址：

这里开启HTTP，随便挂一个目录。
再对R1进行网关接口配置：

[ISP]int g0/0/1
[ISP-GigabitEthernet0/0/1]ip address 200.1.1.1 24
[ISP-GigabitEthernet0/0/1]quit
[ISP]

这里我们已经将untrust配置完毕，我们进行测试：
在这里插入图片描述
我们可以看到是ping不通的，这里是因为我们未放行ping端口，下面我们将防火墙G1/0/0接口的ping打开：

好的，下面我们再进行测试：

我们可以看到现在是通了，下面我们还得写个路由出来，使untrust区域的服务器可以通信。
在这里插入图片描述

配置下一跳以及出接口，点击确定。

这里即可生成一个静态路由，我们可以通过服务器来进行测试：

2、trust区域

下面我们整trust区域，回到接口进行配置：
在这里插入图片描述

这里我们即可看到接口IP地址配置完毕。
紧接着我们配置SW1：

[sw1]vlan 2
[sw1-vlan2]quit
[sw1]int g0/0/1	
[sw1-GigabitEthernet0/0/1]port link-type access 
[sw1-GigabitEthernet0/0/1]port default vlan 2
[sw1-GigabitEthernet0/0/1]quit
[sw1]int vlan 2
[sw1-Vlanif2]ip add 10.1.255.1 24
[sw1-Vlanif2]quit
[sw1]vlan 3
[sw1-vlan3]quit
[sw1]int vlan 3
[sw1-Vlanif3]ip address 10.1.3.1 24
[sw1-Vlanif3]quit
[sw1]int g0/0/2	
[sw1-GigabitEthernet0/0/2]port link-type access 
[sw1-GigabitEthernet0/0/2]port default vlan 3
[sw1-GigabitEthernet0/0/2]quit
[sw1]

将PC放在VLAN3里面，并在SW1里面我们可以进行配置vlan3，来放置PC的网关，下面我们进行配置PC端IP地址。
在这里插入图片描述
下面我们进行测试trust区域，还是先放开ping：

使用SW1来ping防火墙：

使用PC测试的话，我们当然依旧的先想到需要防火墙来进行回包，所以我们依旧先做一个回包路由：

下面我们使用PC来ping：

这里就证明内网可以进行通信了。

3、DMZ区域

首先我们对DMZ区域进行规划，DMZ区域中服务器1的网关放在防火墙上，交换机有两个口，那么我们要做聚合：
在这里插入图片描述
这里我们先在防火墙上做聚合，登录防火墙Web界面（首先这里我们认识到应该给G1/0/2以及G1/0/3接口做聚合）：
做聚合的话，那么接口肯定是交换口：

点击新建

对新建接口进行命名，这里自定义，以及选择类型为接口汇聚，选择接口模式为交换，并将2口与3口放入：
在这里插入图片描述

然后下面有一个接口类型，这里我们选择access与trunk在于：有几个网关以及vlan，这里如果只有一个网关，也就是一个vlan，那么我们选择access接口即可，这里我们更改拓扑，再添加一个服务器，搞两个网关，那么我们则需要用到trunk。
在这里插入图片描述
那么我们这里使用trunk：

这里有一个trunk vlan id，这里我们就添加一个vlan，10和11，也就是10-11：

然后我们点击确定，即可看到我们刚才创建的链路聚合：

但是这里并没有给它划入区域，因此：

我们将它划入DMZ区域，点击确定即可看到：
在这里插入图片描述
到这里我们在防火墙上配置聚合，下面我们在交换机上做链路聚合：

[sw2]sys DMZ
[DMZ]int Eth-Trunk 1
[DMZ-Eth-Trunk1]trunkport g0/0/1
[DMZ-Eth-Trunk1]trunkport g0/0/2
[DMZ-Eth-Trunk1]quit
[DMZ]int Eth-Trunk 1
[DMZ-Eth-Trunk1]port link-type trunk
[DMZ-Eth-Trunk1]port trunk allow-pass vlan 10 to 11
[DMZ-Eth-Trunk1]quit
[DMZ]vlan 11
[DMZ-vlan11]vlan 10
[DMZ-vlan10]quit
[DMZ]int g0/0/4
[DMZ-GigabitEthernet0/0/4]port link-type access 
[DMZ-GigabitEthernet0/0/4]port default vlan 10
[DMZ-GigabitEthernet0/0/4]int g0/0/3	
[DMZ-GigabitEthernet0/0/3]port link-type access 	
[DMZ-GigabitEthernet0/0/3]port default vlan 11
[DMZ-GigabitEthernet0/0/3]quit
[DMZ]

下面我们在防火墙上创建网关：
好的，首先我们来创建vlan10网关：
在这里插入图片描述

创建接口名称，选择接口类型为vlan接口，安全区域选择dmz区域，vlan ID选择10，IP地址使用10.1.10.1/24，同时开放ping放开：

下面我们创建vlan11网关：

这里我们已经创建成功，下面我们给服务器配置IP地址来完成我们的测试：
在这里插入图片描述

下面我们进行测试：

好的，到这里我们已经将各个区域内部打通，下面我们将区域之间打通：

4、接口对演示

华为叫做接口对，有的厂商叫虚拟网线。
二层转发要查MAC表，接口对不要查，直接转发。
我们完善拓扑通过实验来演示：
在这里插入图片描述
下面我们到Web界面进行配置：
首先我们将4和5模式改为接口对：

在这里插入图片描述

之后我们来到接口对：

这样PC2流量只能去PC3。
接口对好处就是速度快，必须要做接口对的情况就是穿过防火墙做链路聚合。
以上实验不但用了路由模式，又用了交换模式，使用灵活。
旁路检测等于说把交换机功能废掉了，只用IPS也就是审计功能，等于说防火墙大部分功能废掉了，只能被动接收流量。

二、防火墙的策略

1、定义与原理

防火墙的基本作用是保护特定网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。
安全策略是控制设备对流量转发以及对流量进行内容安全一体化检测的策略，作用就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。

2、防火墙策略配置

2.1 安全策略工作流程

在这里插入图片描述

2.2 查询和创建会话

在这里插入图片描述

3、实验策略配置

在这里插入图片描述

3.1 trust-to-untrust

下面我们登录Web界面防火墙配置，点到策略模块：
在这里插入图片描述
这里我们可以看到这里面有一条默认策略，就是拒绝所有。
接下来我们进行一块一块搞，首先trust要访问untrust：

这里我们添加了名称、源目的安全区域，源地址，这里新建了个地址组：

首先，以上配置已经足够我们实验使用，如果在生产环境下，需要根据项目需求，来具体划分区域，VLAN以及服务，应用，URL，时间段，内容安全等等。
在这里插入图片描述
这里我们trust-to-untrust策略就已经配置完毕了。
下面我们使用PC1进行访问测试：

这里我们可以看到未能访问，我们这里需要做一个回包路由：
ISP：

[ISP]ip route-static 0.0.0.0 0 100.1.1.1
[ISP]

首先，这里出现了一点问题，网段在地址组打错了，所以我们首先：
在这里插入图片描述
选择地址，地址组：

这里我们成功修改了地址组里面的地址，这时我们可以在策略看是否完成更改：

我们可以看到已经自动更改，现在，我们添加路由来使PC访问untrust区域内部的服务器：
SW1：

[sw1]ip route-static 0.0.0.0 0 10.1.255.2
[sw1]

好的，下面我们来进行测试，使用PC来ping服务器：
在这里插入图片描述
同时，我们在Web界面也可看到：

命中5次，这里trust-to-untrust策略成功配置完成。

3.2 trust-to-dmz

首先我们在地址组内创建DMZ区域IP地址：
在这里插入图片描述

点击确认即可查看我们创建的地址组：

下面我们写策略：

在此次实验中我们需要配置策略名称，源目的地址，以及开启的服务，然后点击确认。

接下来我们来测试：
使用trust区域中的PC进行ping：
在这里插入图片描述
这里我们trust-to-dmz策略创建完毕，这里也可看到命中：

3.3 untrust-to-dmz

这里我们dmz有两个服务，我们让他访问一个就行，首先，我们创建DMZ可以供untrust区域访问的服务器IP地址：
在这里插入图片描述
点击新建地址：

这里我们供untrust区域访问服务器为10.1.10.2：

好的，下面我们来配置策略：

创建untrust-to-
dmz策略名，源安全区域为untrust，目的安全区域为dmz，以及目的地址选择之前创建的地址，DMZ-10.1.10.2，服务开放icmp。
在这里插入图片描述
下面我们使用untrust服务器进行访问dmz区域：
首先我们ping开放的10.1.10.2：

下面我们ping未开放的10.1.11.2：

同时，在Web界面显示命中次数：

到这里我们就将策略全部设置完成。

三、防火墙的区域

区域就是防火墙研究流量管控不是接口，是区域。区域之间流量流动要求在防火墙上做放行策略。创建区域在上面实验中已经完全实践过了。
会话和包是有区别的，访问baidu之后一系列的包都是一个流，每个包属于流的一部分，会话追踪技术，防火墙可以将包所有流全部识别出来。
防火墙主要关注首包，首包来到防火墙后首先查看会话表，然后匹配安全策略，匹配，之后，创建会话。第二个包来了之后匹配会话然后放行。
会话表的一个计算是使用hash表进行计算，对包的三层四层进行hash，然后我们去比对会话表。
假设第二个包跑第一个包前面，那第二个包不可以创建会话表，由于来回路径不一致导致防火墙的丢包现象。

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段