拓扑图
实验需求
0)部署接口与安全区域
- 连接PC1,web-manager的接口位于trust区域
- Server1位于DMZ区域,连接AR1的接口部署为untrust区域
- 防火墙所有地址为.12
1)防火墙远程登录
- 部署SSH登录,实现通过公网能够登录防火墙
- 部署防火墙实现通过本机web方式登录防火墙
2)防火墙网络服务
- 配置FW-1作为DHCP服务器,对PC1分配地址
- 其中PC1的MAC地址为AABB-CC00-0001,总是获取10.1.12.10/24,DNS为150.1.1.10
- 配置FW-1作为PPPoE客户端,AR1作为PPPoE服务端
3)防火墙安全策略与ASPF
- 保障防火墙发起的任何连接都不受限
- 调整安全策略实现
- 除PC1以外,其他10.1.12.0/24网段内主机只能通过HTTP或FTP访问DMZ主机
- 采用地址组与服务组的方式实现
- 全局关闭ASPF,在特定区域激活ASPF
4)防火墙地址转换
- FW-1添加NAT地址池(155.1.121.11-155.1.121.20)
- 部署NAPT实现
- 内网10.1.12.0/24能够访问互联网
- 部署NAT-Server实现,公网用户Client1访问DMZ的服务器的FTP与HTTP服务
- 其中映射地址为155.1.121.10
- 对于内网主机能够通过155.1.121.10,访问DMZ服务器
- 安全策略精确到端口级
5)防火墙本地portal认证
- 对于PC1访问公网不受限
- 对于win主机访问互联网,需要通过本地Portal认证
- 登录账户(USER/huawei@123)
配置
0)部署接口与安全区域
- 连接PC1,web-manager的接口位于trust区域
- Server1位于DMZ区域,连接AR1的接口部署为untrust区域
- 防火墙所有地址为.12
FW的G1/0/0接口绑定dialer,目前无需配置地址
sysname FW1 # interface GigabitEthernet0/0/0 ip address 120.1.1.12 255.255.255.0 service-manage https permit service-manage ping permit # interface GigabitEthernet1/0/1 undo shutdown ip address 10.1.12.12 255.255.255.0 # interface GigabitEthernet1/0/2 undo shutdown ip address 10.0.0.12 255.255.255.0 # firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/1 # firewall zone dmz set priority 50 add interface GigabitEthernet1/0/2 #
1)防火墙远程登录
- 部署SSH登录,实现通过公网能够登录防火墙
- 部署防火墙实现通过本机web方式登录防火墙
注意:防火墙默认加密安全级别高较高,需要调整为aes128_cbc,不然无法成功ssh
web登录方式可修改默认端口号
由于拨号接口未配置,目前无法测试ssh
web-manager security version tlsv1 tlsv1.1 tlsv1.2 # 修改端口 web-manager security enable port 10443 # 修改超时时间 web-manager timeout 1440 #关闭配置向导 undo web-manager config-guide enable # # 创建用户 aaa manager-user USER password cipher huawei@123 service-type web ssh level 15 bind manager-user USER role system-admin # stelnet server enable ssh user USER ssh user USER authentication-type password ssh user USER service-type stelnet # 修改加密算法 ssh server cipher aes128_cbc # user-interface vty 0 4 authentication-mode aaa protocol inbound ssh # rsa local-key-pair create
桥接配置:
测试
目前只能测试web登录,ssh在PPPoE配置后测试
2)防火墙网络服务
- 配置FW-1作为DHCP服务器,对PC1分配地址
- 其中PC1的MAC地址为AABB-CC00-0001,总是获取10.1.12.10/24,DNS为150.1.1.10
- 配置FW-1作为PPPoE客户端,AR1作为PPPoE服务端
sysname AR1 # aaa local-user user password cipher huawei@123 local-user user service-type ppp # interface Virtual-Template1 ppp authentication-mode chap remote address 155.1.121.12 # 为对端分配IP地址时,不允许对端使用自行配置的IP地址 ppp ipcp remote-address forced ip address 155.1.121.1 255.255.255.0 # interface GigabitEthernet0/0/0 pppoe-server bind Virtual-Template 1 # interface GigabitEthernet0/0/1 ip address 155.1.1.1 255.255.255.0 # interface GigabitEthernet0/0/2 ip address 150.1.1.1 255.255.255.0 # # 第一次连接ssh需配置 ssh client first-time enable #
# 拨号规则,可选配置 dialer-rule 1 ip permit # dhcp enable # interface Dialer1 link-protocol ppp ppp chap user USER ppp chap password cipher huawei@123 ip address ppp-negotiate dialer user TEST dialer bundle 1 # dialer-group 数字需与dialer-rule一致 dialer-group 1 service-manage ssh permit # interface GigabitEthernet1/0/0 pppoe-client dial-bundle-number 1 # interface GigabitEthernet1/0/1 undo shutdown ip address 10.1.12.12 255.255.255.0 dhcp select interface dhcp server static-bind ip-address 10.1.12.10 mac-address aabb-cc00-0001 description PC1 dhcp server dns-list 150.1.1.10 # firewall zone untrust set priority 5 add interface Dialer1 # ip route-static 0.0.0.0 0.0.0.0 Dialer1 #
修改PC1的MAC地址
PC1获取到绑定的地址
FW1查看PPPoE状态
查看Dialer接口的IP地址
测试ssh,可以正常登录
3)防火墙安全策略与ASPF
- 保障防火墙发起的任何连接都不受限
-
- 调整安全策略实现
- 除PC1以外,其他10.1.12.0/24网段内主机只能通过HTTP或FTP访问DMZ主机
-
- 采用地址组与服务组的方式实现
- 全局关闭ASPF,在特定区域激活ASPF
-
- FTP为双通道协议,需开启ASPF
# 配置地址组和服务组 ip address-set PC1 type object description IP_10.1.12.10 address 0 10.1.12.10 mask 32 # ip address-set inside_net type group address 0 10.1.12.0 mask 24 # ip service-set http&ftp type group 0 service 0 service-set http service 1 service-set ftp # security-policy rule name local->any source-zone local action permit rule name trust->dmz source-zone trust destination-zone dmz source-address address-set inside_net source-address-exclude address-set PC1 service http&ftp action permit rule name PC1->dmz source-zone trust destination-zone dmz source-address address-set PC1 action permit # # 关闭ftp的全局ASPF undo firewall detect ftp # # 针对trust,dmz区域开启ftp的ASPF firewall interzone trust dmz detect ftp #
内网服务器配置
测试访问FTP与HTTP
4)防火墙地址转换
- FW-1添加NAT地址池(155.1.121.11-155.1.121.20)
- 部署NAPT实现
- 内网10.1.12.0/24能够访问互联网
-
- 配置安全策略
- 部署NAT-Server实现,公网用户Client1访问DMZ的服务器的FTP与HTTP服务
- 其中映射地址为155.1.121.10
-
- 注意no-reverse和unr-route两个参数的使用
-
-
- no-reverse:server-map不生成反向表项,可以使用一个映射地址做多个映射
- unr-route:下发UNR路由,防止路由环路,如果nat server的地址与出接口不在同一网段,一定要配置
-
-
- 配置安全策略
- 配置untrust与dmz区域的ASPF
- 对于内网主机能够通过155.1.121.10,访问DMZ服务器
- 安全策略精确到端口级
-
- 可以配置目的NAT,实际上由于匹配server-map表项,目的NAT可不必配置
nat server 0 protocol tcp global 155.1.121.10 www inside 10.0.0.10 www no-reverse unr-route nat server 1 protocol tcp global 155.1.121.10 ftp inside 10.0.0.10 ftp no-reverse unr-route # nat address-group nat_pool 0 mode pat section 0 155.1.121.11 155.1.121.20 # nat-policy rule name snat source-zone trust destination-zone untrust source-address address-set inside_net action source-nat address-group nat_pool # security-policy rule name trust->untrust source-zone trust destination-zone untrust source-address address-set inside_net action permit rule name untrust->dmz source-zone untrust destination-zone dmz service ftp service http action permit # firewall interzone untrust dmz detect ftp #
client1配置
公网服务器配置,配置为DNS服务器与HTTP服务器
查看server-map表项,未生成反向表项
查看防环路由
测试
内网PC访问互联网,ping域名可解析为IP地址,内网地址转换成155.1.121.18
公网用户访问内网服务器FTP与HTTP,正常访问
内网主机通过公网地址155.1.121.10访问DMZ的服务器
5)防火墙本地portal认证
- 对于PC1访问公网不受限
- 对于win主机访问互联网,需要通过本地Portal认证
- 登录账户(USER/huawei@123)
-
- 该账号不会保存,重新打开ensp后需要配置
- 配置安全策略,trust->local目的端口为8887
security-policy rule name trust->local source-zone trust destination-zone local service protocol tcp destination-port 8887 action permit #
通过web页面配置
可选配置,如认证后自动跳转页面,认证页面端口号
补充:命令行配置Portal认证
aaa domain default service-type internetaccess internet-access mode password reference user current-domain # auth-policy rule name Internet_access source-zone trust destination-zone untrust source-address address-set inside_net source-address-exclude address-set PC1 action auth # user-manage user auth_user password huawei@123 parent-group /default bind mode unidirectional multi-ip online enable #
测试
此时client2在未认证情况下,无法ping通公网服务器
PC1可以访问公网不受影响
为了测试Portal认证,使用了vmware的虚拟网卡(如果没有安装vmware,可创建环回网卡),桥接网卡配置(也可以自动获取到10.1.12.0网段的地址),使用真实的笔记本充当内网PC,系统Win10
禁用其他网卡,保证PC默认路由走桥接的网卡,查看路由命令route print -4(不禁用网卡的情况下,也可手动配置默认路由,保证跃点数最小)
未认证情况下,不可访问互联网
在浏览器中输入150.1.1.10,会跳转到认证页面,输入账号,密码登录
认证成功
ping www.baidu.com或访问150.1.1.10,均可访问
补充细节
如果AR1上配置G0/0/0接口地址,VT接口借用G0/0/0口地址,会发现内网访问公网不通,公网client访问内网服务器155.1.121.10的FTP,HTTP也无法正常访问
interface Virtual-Template1 undo ip add # interface GigabitEthernet0/0/0 ip address 155.1.121.1 255.255.255.0 # interface Virtual-Template1 ip address unnumbered interface GigabitEthernet0/0/0 #
内网主机无法访问公网
查看防火墙会话表,地址已进行转换
原因:AR1的路由表去往155.1.121.0/24的出接口为G0/0/0,没有通过VT接口,走物理接口,数据会封装成以太网2的格式,AR1会发送ARP请求155.1.121.18的MAC,FW1收到ARP请求,由于没有配置此IP,不会应答,由于没有MAC地址,AR1无法完成封装,丢包
解决:配置静态路由155.1.121.0/27出接口VT接口
ip route-static 155.1.121.0 27 Virtual-Template 1 #
返回的数据会通过VT接口封装为PPPoE的帧,发送回防火墙,匹配会话表,PC1正常访问互联网
区别在于手动配置VT接口的IP地址,直接会生成关于155.1.121.0/24的路由出接口为VT接口