（1.1.1）防火墙6000V安全策略介绍与配置

最新推荐文章于 2024-04-07 17:56:42 发布
最新推荐文章于 2024-04-07 17:56:42 发布
阅读量866 收藏 3
点赞数
分类专栏： 网络安全 文章标签： 网络 服务器 运维 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/KSS_L/article/details/131425965
版权

常见网安设备介绍

安全管理

  • esight：“统一网络管理”面向企业一体化融合运维管理解决方案，实现交换机，路由器，视频监控，服务器，PON设备及服务操作系统虚拟资源的统一管理。

  • Log Center：“安全实践管理中心”<日志>归档——全面的安全业务分析
    Log Center是安全实践管理中心是一套功能领先的面向行业用户的统一安全管理平台。
    功能： 攻击事件类型排行，邮件过滤—(Anti—SPAM)、攻击事件趋势、入侵防御事件（IPS）

  • CIS： 是一台服务器做网络态势感知管理分析网络的一些趋势，是否受到攻击的大数据平台；

网络与应用安全------- <设备及其中安全功能>

  • FireHunter ： 安全沙箱 <做大数据安全>
    快速检测高级恶意文件
    沙箱6000 ----- 在虚拟环境中对网络中传输的文件进行检测，实现对未知恶意文件的检测。
    功能： 对APT攻击中恶意文件深度检测；沙箱识别APT攻击中的未知恶意文件。
    沙箱主要原理： 代码分析和虚拟执行可疑文件；分析未知文件的实际行为。
    检测文件类型： web网页：如检测JavaScript，flash，JavaAPPlet等；各种办公文档：如office，PDF，WPS；各种图片文件：如JPEG，PnP，jpg；各种加壳文件；

  • WAF： web服务器 <专业级web应用防火墙>
    WAF2000/5000 采用独创的行为状态链接技术有效应对资源链跨站请求伪造web特殊攻击，智能联动ms级锁定功能可有效降低入侵风险。

  • UMA: 统一运维管理 <堡垒机或跳板机> 做接入控制

  • Anti----DDOS: 专业DDOS防护 <主要面向企业>
    流量型攻击型防御系统

  • NGFW: 下一代防火墙 <控制流量>
    USG6000是面向大中型企业及下一代数据中心推出的万兆园区下一代防火墙 N6WF提供更简单高效的下一代安全防护，
    主要作用：
    用户感知（我知道你是谁）9种验证方式（portal认证：应对移动办公趋势策略随行） ；
    应用感知：（我知道你在干嘛）6000+应用识别面向业务管控，识别应用，识别应用风险；
    位置感知：（我知道你在哪）全球位置可视 流量地图 威胁地图位置不同策略不同。

  • vNGFW: 虚拟防火墙；
    作用： 应对虚拟化安全挑战
    USG6000v 是一款运行在标准服务器虚拟上的纯软件产品，面向云数据中心及NFV场景，提供面向软件化部署的虚拟网络安全防护。

  • NIP： 下一代入侵防御机

终端安全：

  • Agile controller： 准入控制；（网络访问控制解决方案）—— Agile controller — campus: 园区策略控制器采用控制全网的权限应用宽带，QOS，安全等多种策略保障用户自由移动与业务体验
    EMM Anyoffice： 准入控制软件
    eSight—ICT： 统一资源管理系统
    eSight支持多厂商设备系统视图资源拓扑，故障性能以及智能配置功能；
    UMA —— 统一运维审计系统：实现对所有运维过程的控制和记录审计。

防火墙主要组网应用

  1. 企业内网管控&隔离：精细化访问控制 IPS、AV、DLP、URL过滤、QOS管理。
  2. 数据中心隔离：高性能安全防护 IPS、AV、DLP、DDOS安全业务虚拟化。
  3. 互联网边界防护：精细化访问控制 IPS、AV、DLP、URL、DDOS、SPam。
  4. 企业分支互联网：VPN传输安全、WIFI上网、接入身份认证、IPS、AV、DLP、URL、SPam。
    注： 数据丢失防护（DLP）；防病毒网关（AV）；垃圾邮件（SPam）。

Int出口安全区：FW，IPS，抗DDOS，ASG，WAF，沙箱
注： 系统服务安全等级(ASG）；web应用防火墙(WAF)。

防火墙分类

  • 状态检测防火墙
    首包创建会话，后续报文匹配会话转发（基于IP单播 非应答报文都可以创建会话）
    开启状态检测和关闭状态检测的区别： 开启状态检测的情况下只有首包具备了创建会话能力，而 关闭状态检测 （非首包都可建会话）是所有的基于IP单播报文都可以创建会话包括后续报文。

  • 包过滤防火墙
    阻止一种类型的IP欺骗，即外部主机伪装内部主机的IP，对于外部主机伪装外部主机的IP欺骗却不可能阻止，而且它不能防止DNS欺骗。
    是在网络层中根据事先设置的安全访问策略(过滤规则) ,检查每一个数据包的源IP地址、目的IP地址以及IP分组头部的其他各种标志信息(如协议、服务类型等) , 确定是否允许该数据包通过。
    功能：对跨防火墙的网络互访进行控制，对设备本身的访问进行控制。保护特定网络免受 “不信任” 的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。
    安全策略的作用：就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。
    通过防火墙安全策略-可控制内网访问外网的权限、控制内网不同安全级别的子网间的访问权限等。同时也能够对设备本身的访问进行控制，例如限制哪些 IP 地址可以通过 Telnet 和 Web 等方式登录设备，控制网管服务器、NTP 服务器等与设备的互访等。

  • 代理防火墙
    通过一种代理（Proxy）技术参与到一个TCP连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。
    可以有效防止跨站脚本攻击(XSS)

防火墙区域

区域优先级范围 [1-100]
默认区域： trust 信任区域——安全级别85；UNtrust 不信任区域——安全级别5；DMZ非军事区域安全级别50；local本地区域——安全级别100。
*注：*不可使用相同zone安全级数

区域（zone）： 每个区域所连网络属一个区域，但一个区域包含多个接口，所有跨区域访问的都需要受安全策略控制，防火墙的物理接口都是local所以只能将接口所连的另一端网络加到zone。

安全策略（ACL）： （有条件---->有动作）
ACL五元组：[源IP、目的IP]、[源port、目的port]、[server]、[源zone、目的zone]
次： 应用、用户、时间段
动作action： default、deny

配置安全策略

USG6000策略配置（order）
默认账号：admin、密码：Admin@123 sys-view

设置空闲时间
user-interface console 0
idle-timeout 0  [保持次页面不会退出重新输入密码]

进入FW接口并添加接口地址
interface gigabltEhernet  接口号
ip address  IP地址+掩码

显示简要接口地址
display ip interface brief

创建区域
Firewalls zone name “区域名”
[进入创建的区域视图] set priority “优先级数1-100”

将接口所连的网络加到区域中去
[进入区域视图] Firewall zone “trust”（区域名）
[.... ......]add interface gigabitEthernet “设备网络接口号”

注：对各区域网络设置安全策略时需进入安全策略视图“security-policy”

[进入安全策略视图] rule name “策略名”
人为设置安全策略需考虑基本五个 “条件----->动作"
基本条件是：【源IP、目IP】、【源port、目port】、【源zone、目zone】、【service】、【对应用的控制】。
action是：对条件的控制是“deny”还是“permit”。

根据zone配置安全策略
[进入安全策略视图中 name] source-zone “trust”    源域 <域名可以根据用户实际情况变更>
[......................] destination-zone “trust”      目的域<到达的目的域也可以是其他域>
[......................] action permit“permit” 或 “deny”   动作
注：同zone中互访时先看策略，“策略中”没有限制则默认互访

注查看配置的策略是否其到作用 “策略命中率”：[普通视图] display security-policy rule all <命中率为0则没有生效>

在两域内根据网段设置策略
[安全策略视图name] source-zone trust
[...............] destination-zone  dmz
[...............] source-address 1.1.1.0 24
[...............] destination-address 2.2.2.0 24
[...............] service  ICMP  “限制这个网段中的ICMP服务消息或者不转发，<这个服务也可变成其他的例如：远程服务>”
[...............] action permit   “动作为允许通过转发”

注：这个网段中命中这个服务则允许转发
酷闪闪
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
邮件自动化工具 POPFile v1.1.1
11-08
POPFile是一套自动化的邮件分类工具，通过Web方式管理。经过设置后，它会在邮件抵达时加以扫瞄并按照任何你希望的方式加以过滤。你可以让它处理单纯的任务，比如过滤垃圾信，和分
USG6000V防火墙基础配置实验
qq_58187222的博客
03-17 1753
防火墙是一种计算机网络安全系统，可限制进出专用网络或专用网络内的互联网流量。此类软件防火墙或专用的软硬件防火墙的主要功能是选择性地阻止或允许数据包。防火墙通常用于帮助阻止恶意活动并防止专用网络内外的任何人进行未经授权的 Web 活动。防火墙可以被视为门控边界或网关，用于管理被允许和被禁止的 Web 活动在专用网络中的传播。该术语源于物理墙的概念，即在紧急救援人员将其扑灭之前用于减缓火势蔓延的屏障。而网络安全领域的防火墙用于 Web 流量管理，通常旨在减缓Web 威胁的传播。
华为USG6000v
最新发布
Jun_share
04-07 799
一个及或多个接口的集合默认的安全区域Trust --- 优先级85，一般连接内网Untrust --- 优先级5， 一般连接外网Dmz --- 优先级50，一般连接服务器、Local --- 优先级100，防火墙接口所在区的区域任何流量默认禁止，除了接口下的策略管理协议（6000v）每个安全区域都有一个唯一的安全级别，该数字没有实际意义，只有管理意义范围：1~100同一设备上，两个安全区域不允许配置相同的安全级别【1】包过滤技术（ACL）五元组。
网络设备安全配置：关键步骤与风险防范
JiYan_blue的博客
03-27 1232
本文从重要性、关键步骤、风险防范以及挑战与未来发展四个方面对网络设备安全配置进行了详细阐述。网络设备安全配置是确保网络系统安全稳定运行的基础性工作，对于保护企业数据安全、维护用户利益具有重要意义。通过明确安全需求、制定安全策略、实施安全配置以及验证和测试等关键步骤，可以构建有效的安全防护体系。同时，加强风险防范意识，采取定期更新补丁、限制物理访问、实时监控和审计等措施，可以有效降低安全风险。
ensp 防火墙 USG6000V
ianTok
10-11 5921
ensp
eNSP防火墙USG6000V使用Web界面登入教程
Arouroua的博客
11-28 6445
本文主要是华为ensp内防火墙访问web页面的教程！
结合实验详解USG6000V防火墙的相关配置(小白一定要看！！！)
m0_65463546的博客
03-13 8770
这两天跟着老师学习了网络安全防御之防火墙的配置，过程中不乏遇到了许多问题，例如访问https://ip:8443地址却没有提示继续进入的接口，或者是无法ping通防火墙测试端口等问题，希望接下来的分享能够帮助到大家！ 为了节省大家的时间，我把实验和具体问题分开罗列，大家根据个人需求查看即可！(这里建议初学的伙伴们还是跟着实验走一遍比较好！)
USG6000v防火墙的基本使用：制定安全策略让不同安全区域的设备进行访问
qq_68163788的博客
07-23 2077
USG600v防火墙是一款由esnp公司开发的虚拟化防火墙设备，旨在提供高级的网络安全保护和流量管理功能。高性能：USG600v防火墙采用先进的硬件和软件设计，具备强大的处理能力和高吞吐量，能够处理大量的网络流量，确保网络的稳定和高效运行。 综合安全防护：USG600v防火墙提供多种安全功能，包括入侵检测和防御系统（IDS/IPS）、网页过滤、反病毒防护、应用程序控制等，可以全面保护网络免受各种威胁和攻击。 VPN支持：USG600v防火墙支持虚拟专用网（VPN）连接，可以通过加密通道连接远程办公室
USG6000V防火墙WEB登录界面超详细配置过程
热门推荐
qq_54657366的博客
10-19 1万+
华为USG6000V实现WEB界面的详细配置过程
JYmusic音乐程序 v1.1.1
12-01
JYmusic音乐程序是一个以php+mysql进行开发的开源php在线音乐网站源码。
UKcms内容管理系统 v1.1.1
12-08
UKcms是一款基于PHP7和mysql技术，简洁、灵活、强大的网站内容管理系统。底层使用面向对象的轻量级PHP开发框架，采用惰性加载，及路由、配置和自动加载的缓存机 制，确保系统高效运
WSTMart多商户商城 v1.1.1
12-03
WSTMart多商户商城是一个以thinkphp5.0... Thinkphp因其优秀的架构设计、通俗易懂的教程以及超级强大的操作数据库而成为国内最流行的一款开源框架，而为API开发而生thinkphp 5的发布更是受到广大企业及开发者的欢迎，WS
云EC电商系统 v1.1.1
12-01
云EC电商系统（以下简称云EC）是由佛山市云迈电子商务有限公司自主开发的一套基于PHP+MYSQL的开源电商系统软件。云EC是开源的、的。
华为 USG 6000v防火墙基础配置
m0_64188996的博客
07-23 4015
4、电脑访问https://192.168.152.100 输入修改后的密码登录web页面。2、进入usg6000v命令行，输入密码Admin@123，并修改密码自定义密码。1、配置cloud添加端口，绑定信息选择虚拟网卡。3、开启服务策略并配置电脑虚拟网卡网段IP地址。5、修改接口的安全区域并配置ip地址。pc2无法ping通pc1。pc1可以ping通pc2。8、R1上完善回程路由。
旁挂式防火墙（USG6000V）实验
weixin_72910567的博客
06-09 2265
本实验通过配置旁挂式防火墙，实现了内网用户访问外网的安全过滤功能。通过配置策略路由，将内网用户访问外网的流量（回包）重定向到防火墙上，使流量经过防火墙的安全检测后再返回交换机。通过配置DHCP服务，为内网用户分配IP地址。通过配置安全策略，控制不同区域之间的流量访问权限。本实验加深了对旁挂式防火墙的理解和应用，提高了网络安全性。
HUAWEI---usg6000v防火墙实验
askerkiller的博客
01-26 405
需要配置环回IP，1.1.1.1/24 模拟外网众多IP。路由器AR2模拟ISP，接口需要配置IP，12.0.0.2/24， 21.0.0.2/24，2.办公区全天可以访问服务器区，其中，10.0.2.20可以访问FTP和HTTP服务器。1.生产区在工作时间可以访问服务器区，仅可以访问http服务器。默认策略为禁止流量通过，因此只需做需要放行的流量的策略即可。默认策略为不做NAT，因此只需为工作区做NAT即可达成目的。4.办公区设备可以访问公网，其他区域不行。
华为---USG6000V防火墙web基本配置示例
lehe99的专栏
12-26 2643
防火墙配置宗旨是人性本恶，进出防火墙的数据都要放行才能出入。是不是“好人”？要经过检查才知道。 终端配置IP及网关； 防火墙创建区域，区域添加相应端口； 防火墙端口配置IP地址、路由； 防火墙配置策略： trust-->untrust、trust-->dmz、dmz-->untrust 放行； 防火墙配置源转换，实现trust和dmz区域可以访问外网； 防火墙配置目标地址转换、配置策略，实现外网可以访问dmz区域服务器。
win64 openssl v1.1.1 下载
07-28
要下载Win64 OpenSSL v1.1.1，你可以按照以下步骤进行操作： 1. 打开你的互联网浏览器（如谷歌浏览器、火狐浏览器等）。 2. 在搜索引擎中输入"Win64 OpenSSL v1.1.1下载"，然后点击搜索按钮。 3. 浏览器将会列出一些相关的搜索结果，你可以选择点击其中一个可靠的下载来源，比如官方网站或者其他著名的软件下载网站。 4. 在下载页面上，寻找Win64 OpenSSL v1.1.1的下载链接，这通常是一个按钮或者文字链接。 5. 点击下载链接，开始下载Win64 OpenSSL v1.1.1的安装文件，这个文件通常是以.exe或者.msi结尾的。 6. 下载完成后，双击下载的安装文件，运行安装程序。 7. 安装程序将会询问一些安装选项，如安装路径、组件选择等。根据自己的需要进行选择，并且按照安装程序的指示完成安装。 8. 安装完成后，你就可以使用Win64 OpenSSL v1.1.1了。 请确保在下载和安装任何软件时使用可靠的来源，并且仔细阅读和理解安装程序提供的任何提示和指示。这样可以确保你从正确和安全的渠道下载并安装软件，同时还能避免意外的问题和安全风险。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值