什么是防火墙
防火墙是一种隔离(非授权用户在区域间)并过滤(对受保护网络有害流量或数据包)的设备。
包过滤防火墙----访问控制列表技术---三层技术
简单、速度快
检查的颗粒度粗
代理防火墙----中间人技术---应用层
降低包过滤颗粒度的一种做法,区域之间通信使用固定设备。
代理技术只能针对特定的应用来实现,应用间不能通用。
技术复杂,速度慢
能防御应用层威胁,内容威胁
什么是状态防火墙
在包过滤(ACL表)的基础上增加一个会话表,数据包需要查看会话表来实现匹配。
会话表可以用hash来处理形成定长值,使用CAM芯片处理,达到交换机的处理速度。
首包机制
细颗粒度
速度快
默认状态下只有首包(会话建立的第一个包非信息的第一个包)才能创建会话表
实验一
![](https://i-blog.csdnimg.cn/blog_migrate/6243c9ae8e8fd36b9f08f4be58442329.png)
在云上配备端口
![](https://i-blog.csdnimg.cn/blog_migrate/b98b90cc17be443081719a25b86d7239.png)
启动防火墙进入接口配置ip开启允许所有
![](https://i-blog.csdnimg.cn/blog_migrate/1c12b93ede9b0ca3ca8cb07dbd404547.png)
在浏览器输入169.254.83.1登录防火墙
配置防火墙接口g1/0/0和trust区域
![](https://i-blog.csdnimg.cn/blog_migrate/b7fe19100ccf143e7c660904bc82f313.png)
配置untrust区域和g1/0/1
![](https://i-blog.csdnimg.cn/blog_migrate/86505f610ea50c346d24872a3fb54095.png)
对用户设备完成基础ip配置
配置策略
![](https://i-blog.csdnimg.cn/blog_migrate/0f231b29bc6d46fcbf2270a6451d8a97.png)
测试策略
![](https://i-blog.csdnimg.cn/blog_migrate/92befb490e0809edc49065024280e930.png)
二层交换
修改一个同pc1相同的网段
![](https://i-blog.csdnimg.cn/blog_migrate/645c84275a589d42c05cf3241e74e287.png)
![](https://i-blog.csdnimg.cn/blog_migrate/f1b96e9a35681eb8bac8f7a4dce84762.png)
![](https://i-blog.csdnimg.cn/blog_migrate/4ed90b9cdf29b6372257594dac52e0e9.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d7d4b54f497ff83baa71d48e8709c057.png)
![](https://i-blog.csdnimg.cn/blog_migrate/c770d4166b3809b01258d656fd38f266.png)
配置接口对
![](https://i-blog.csdnimg.cn/blog_migrate/43f047ae102d8f9bfc708f3b942554e6.png)
![](https://i-blog.csdnimg.cn/blog_migrate/14c647699855bdf4e26538478c66a423.png)
![](https://i-blog.csdnimg.cn/blog_migrate/c310e37473ce8d853b12e41f6e516e3a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ff7ba531ee077df1195cc37d5cfdce65.png)
实验二
![](https://i-blog.csdnimg.cn/blog_migrate/02503c7bdf331675fb6c0b0d61fe0bbb.png)
配置防火墙
给r1配置ip
![](https://i-blog.csdnimg.cn/blog_migrate/a9ad665462885774ed7ce7863ab8850b.png)
配置sever1
![](https://i-blog.csdnimg.cn/blog_migrate/9673a107828d1d9a5ee73ec4c44bb23d.png)
在接口列表里面给GE1/0/0接口配置IP,启动访问管理选ping
![](https://i-blog.csdnimg.cn/blog_migrate/0ae67243fe34aafa933b873f5830ff61.png)
在防火墙GE1/0/0接口上写一条静态路由
![](https://i-blog.csdnimg.cn/blog_migrate/1d2554cd4b57fe1b87358c2011126816.png)
配置trust区
先给交换机LSW1接口配置划分VLAN2和VLAN3
vlan2 g0/0/1接口
![](https://i-blog.csdnimg.cn/blog_migrate/477579112f777ed3ea8471b30329d361.png)
vlan3 g0/0/2接口
![](https://i-blog.csdnimg.cn/blog_migrate/c898a08ec24f0f6c54cfd71e924f6e38.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d7c301be0f691e08b798bbc5ce44cac9.png)
PC1上
![](https://i-blog.csdnimg.cn/blog_migrate/827ec262370d65544b79dfb35e3ce42e.png)
防火墙上
![](https://i-blog.csdnimg.cn/blog_migrate/211879a6460c68a03c16ca3f0f3ed51c.png)
写一条到达10.1.2.0/24网段的路由
![](https://i-blog.csdnimg.cn/blog_migrate/0065d05527d41a41a01e9d3ed907c4b8.png)
最后用PC1ping防火墙的接口
![](https://i-blog.csdnimg.cn/blog_migrate/03d0df82fbf4eaae7800508fbdc90f90.png)
接口聚合
交换机上
![](https://i-blog.csdnimg.cn/blog_migrate/b330f6d419371133129c467ec01c7d6c.png)
![](https://i-blog.csdnimg.cn/blog_migrate/386fefe9a4819d53df8224d2643a84a7.png)
做接口汇聚
![](https://i-blog.csdnimg.cn/blog_migrate/2c9ed87e867935479228f0678c5ccb4a.png)
做两条vlan接口
![](https://i-blog.csdnimg.cn/blog_migrate/3174fe0fb702bbb522cd49187fcd21b2.png)
![](https://i-blog.csdnimg.cn/blog_migrate/5441aae099539be6ed334838f45777ce.png)
测试
![](https://i-blog.csdnimg.cn/blog_migrate/b09b595064099a5fb53157552995fd4a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b11b738b756b73649f8e877fb146f80c.png)
区域内部已经互通
配置防火墙策略
trust 到 untrust
![](https://i-blog.csdnimg.cn/blog_migrate/49b0694be8a66633506a2ae05a079164.png)
给路由器r1上写一条缺省,作为回包路由
![](https://i-blog.csdnimg.cn/blog_migrate/20d04960e59f5708bdbb894698266d98.png)
给交换机上写一条缺省
![](https://i-blog.csdnimg.cn/blog_migrate/f2f41f12cece13cf2425737b7f79ee1a.png)
PC1ping外网
![](https://i-blog.csdnimg.cn/blog_migrate/4f73a9648657955fb432215f83bb7036.png)
![](https://i-blog.csdnimg.cn/blog_migrate/598b64ea0261b8d73620de84cb8b7c85.png)
命中该条策略
trust 到 dmz
给dmz区建立地址组
写策略
![](https://i-blog.csdnimg.cn/blog_migrate/34d1e8b0d157b510047155ae9e787149.png)
![](https://i-blog.csdnimg.cn/blog_migrate/a582c1a673cb83a6cf79027d1b1ae233.png)
![](https://i-blog.csdnimg.cn/blog_migrate/a4f36b563f36b2dc567f59f14479cdbc.png)
untrust 到指定dmz
![](https://i-blog.csdnimg.cn/blog_migrate/21ef4819f3c34d52dc74b164e0b66b5e.png)
![](https://i-blog.csdnimg.cn/blog_migrate/53759dfc99577c81508f0b74e63a6c71.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d468e958dfd3aee298d2e1e77e337b4b.png)