防火墙虚拟系统——租户隔离

已于 2023-12-29 22:36:32 修改
阅读量1.1k 收藏 17
点赞数 21
文章标签： 网络
于 2023-12-29 17:45:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SSR_ZZ/article/details/135269135
版权

拓扑图

实验需求

  1. VLAN10,VLAN20业务隔离，可以访问server且流量经过自身的防火墙
  2. OSPF区域规划如上图
  3. VLAN10,VLAN20租户流量有互访的需求，需要经过各自的防火墙且路径最优

配置

基础配置

SW1配置：

  • VRF，隔离用户
  • 链路聚合
  • 相关vlan及vlanif
  • OSPF多VPN实例，使流量走自己的虚墙
sysname SW1
#
vlan batch 10 20 100 121 to 124
#
lacp priority 16384
#
ip vpn-instance VRF_A
 ipv4-family
#
ip vpn-instance VRF_B
 ipv4-family
#
interface Vlanif10
 ip binding vpn-instance VRF_A
 ip address 10.1.10.254 255.255.255.0
#
interface Vlanif20
 ip binding vpn-instance VRF_B
 ip address 10.1.20.254 255.255.255.0
#
interface Vlanif100
 ip address 10.1.100.254 255.255.255.0
#
interface Vlanif121
 ip binding vpn-instance VRF_A
 ip address 10.1.121.254 255.255.255.0
#
interface Vlanif122
 ip address 10.1.122.254 255.255.255.0
#
interface Vlanif123
 ip binding vpn-instance VRF_B
 ip address 10.1.123.254 255.255.255.0
#
interface Vlanif124
 ip address 10.1.124.254 255.255.255.0
#
interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 121 to 124
 mode lacp-static
 trunkport GigabitEthernet 0/0/10 0/0/11
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 100
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
#
ospf 10 router-id 10.1.121.254 vpn-instance VRF_A
 silent-interface Vlanif10
 area 0.0.0.1
  network 10.1.121.254 0.0.0.0
  network 10.1.10.254 0.0.0.0
#
ospf 20 router-id 10.1.123.254 vpn-instance VRF_B
 silent-interface Vlanif20
 area 0.0.0.2
  network 10.1.20.254 0.0.0.0
  network 10.1.123.254 0.0.0.0
#
ospf 100 router-id 10.1.100.100
 silent-interface Vlanif100
 area 0.0.0.0
  network 10.1.100.254 0.0.0.0
 area 0.0.0.1
  network 10.1.122.254 0.0.0.0
 area 0.0.0.2
  network 10.1.124.254 0.0.0.0
#

FW配置：

  • 开启虚拟系统
  • 配置将相应vlan分配到虚墙
  • 接口划到相应安全区域
  • OSPF
  • 安全策略local->any
sysname FW1
#
vlan batch 121 to 124
#
vsys enable
#
vsys name VRF_A 1
 assign vlan 121
 assign vlan 122
#
vsys name VRF_B 2
 assign vlan 123
 assign vlan 124
#
interface Vlanif121
 ip address 10.1.121.253 255.255.255.0
#
interface Vlanif122
 ip address 10.1.122.253 255.255.255.0
#
interface Vlanif123
 ip address 10.1.123.253 255.255.255.0
#
interface Vlanif124
 ip address 10.1.124.253 255.255.255.0
#
interface Eth-Trunk1
 portswitch
 port link-type trunk
 port trunk allow-pass vlan 121 to 124
 mode lacp-static
 trunkport GigabitEthernet 1/0/0 1/0/1
#
ospf 10 router-id 10.1.121.253 vpn-instance VRF_A
 area 0.0.0.1
  network 10.1.121.253 0.0.0.0
  network 10.1.122.253 0.0.0.0
#
ospf 20 router-id 10.1.123.253 vpn-instance VRF_B
 area 0.0.0.2
  network 10.1.123.253 0.0.0.0
  network 10.1.124.253 0.0.0.0
#
switch vsys VRF_A
#
sy
#
firewall zone trust
 add interface Vlanif121
#
firewall zone untrust
 add interface Vlanif122
#
security-policy
 rule name local->any
  source-zone local
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
firewall zone trust
 add interface Vlanif123
#
firewall zone untrust
 add interface Vlanif124
#
security-policy
 rule name local->any
  source-zone local
  action permit
#


 

FW1上查看OSPF邻居

FW1上查看路由

 SW1上查看OSPF邻居

SW1上查看public路由

SW1上VPN实例VRF_A的路由

SW1上VPN实例VRF_B的路由

OSPF邻居已正常建立，下面继续配置，使PC1和PC2可以访问Server

配置VLAN10和VLAN20的PC访问Server

FW1中到各自的虚墙配置安全策略

FW1：

switch vsys VRF_A
#
sy
#
security-policy
 rule name trust->untrust
  source-zone trust
  destination-zone untrust
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.100.1 mask 255.255.255.255
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
security-policy
 rule name trust->untrust
  source-zone trust
  destination-zone untrust
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.100.1 mask 255.255.255.255
  action permit
#

配置完了安全策略，先不急着测试访问Server，先看一下路由表（细心的小伙伴应该从上面的路由截图中发现了），VPN实例中并没有区域间的网段的路由。

以PC1所在的VRF_A举例，确实没有发现100网段的路由

按照正常的LSA传递，100网段的路由会由区域0中的1类和2类LSA计算，并以3类LSA传递给防火墙的虚拟系统VRF_A，然后在传递到交换机的VRF_A实例中，既然是这样，我们看一下防火墙和交换机的OSPF的LSDB中是否存在100网段的3类LSA。

从上图可以看出，我们想的没错，OSPF的LSDB中确实收到了100网段的3类LSA，但是并没有去计算路由，因为在FW和SW1上开启了VPN-Instance，从而触发了OSPF多实例下的3类LSA防环，只是将3类LSA放到了LSDB中，并未计算路由，因此，FW和SW1关闭VPN实例防环检测。

FW1、SW1：

ospf 10 
 vpn-instance-capability simple
#
ospf 20 
 vpn-instance-capability simple
#

关闭防环之后，再来查看路由表，发现有了100网段的路由

此时测试PC1 ping Server，可以访问

PC1 ping PC2，虽然有路由，但由于安全策略，不能访问，实现了隔离

PC2与Server、PC1的访问同理。

配置VLAN10与VLAN20的PC的互访

如果两个租户属于不同的公司，没有业务上的往来，通过VRF确实实现了租户的隔离。但是如果VRF_A和VRF_B两个实例是一个公司的两个不同业务，在不同VRF的大部分机器需要隔离，但某些服务器可能需要通信，该如何实现？

从上面PC1 ping PC2可以知道，虽然有路由，但是由于安全策略没有放行，流量到防火墙被丢弃

那么在虚墙上配置安全策略放行流量即可实现互访

FW1：

switch vsys VRF_A
#
sy
#
security-policy
 rule name trust->untrust
  destination-address 10.1.20.1 mask 255.255.255.255
  action permit
 rule name untrust->trust
  source-zone untrust
  destination-zone trust
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.10.1 mask 255.255.255.255
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
security-policy
 rule name trust->untrust
  destination-address 10.1.10.1 mask 255.255.255.255
 rule name untrust->trust
  source-zone untrust
  destination-zone trust
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.20.1 mask 255.255.255.255
  action permit
#

配置完安全策略后，测试PC1 ping PC2，可以通信

再查看下访问的路径

先开启FW的icmp的ttl超时响应

FW1：

icmp ttl-exceeded send 
#

pc1 tracert PC2，可以看到并非是最优路径

注：路由学习方向为数据流量的反方向

可以看到PC1访问PC2，流量经过虚墙VRF_A—>SW—>虚墙VRF_B到达PC2，但实际上的最优路径为虚墙VRF_A—>虚墙VRF_B到达PC2，无需绕行SW

看到这里，要实现PC互访的最优路径，可以配置静态路由达到虚拟系统的直接互访的目的

配置虚拟系统之间互访的路由，需要在根系统下配置

另一点需要把virtual-if1和virtual-if2接口加入到untrust安全区域中

FW1：

ip route-static vpn-instance VRF_A 10.1.20.1 32 vpn-instance VRF_B 
ip route-static vpn-instance VRF_B 10.1.10.1 32 vpn-instance VRF_A
#
switch vsys VRF_A
#
sy
#
firewall zone untrust
 add interface Virtual-if1
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
firewall zone untrust
 add interface Virtual-if2
#

查看路由表

再次PC1 tracert PC2，路径已切换到规划的最优路径

PC2 访问PC1同理。

补充

上面的实验实现最优路径，配置的是32位的主机路由，有的小伙伴会问，如果我配置成24位掩码的静态路由可不可以.....当然也是可以的，但是配置会稍微复杂一些。

我们先去掉之前的32位掩码的主机路由，重新配置24位掩码的静态路由

FW1：

undo ip route-static vpn-instance VRF_A 10.1.20.1 255.255.255.255 vpn-instance VRF_B
undo ip route-static vpn-instance VRF_B 10.1.10.1 255.255.255.255 vpn-instance VRF_A
#
ip route-static vpn-instance VRF_A 10.1.20.0 255.255.255.0 vpn-instance VRF_B
ip route-static vpn-instance VRF_B 10.1.10.0 255.255.255.0 vpn-instance VRF_A
#

再次查看路由表，20网段的路由并不是静态路由，而是OSPF路由

由于优先级OSPF为10，静态为60，所以静态路由为Inactive

以PC1访问PC2为例，看下20网段的路由是如何学习的（PC2访问PC1的路由同理）

看一下路由是如何学习的

从图中看出，要让静态路由加表，只要不让20网段的3类LSA传给虚墙VRF_A或不让其加入路由表即可

在SW1上过滤掉20网段的3类LSA

SW1：

ip ip-prefix net20 deny 10.1.20.0 24
ip ip-prefix net20 permit 0.0.0.0 0 less-equal 32
#
ospf 100 router-id 10.1.100.100
 area 0.0.0.1
  filter ip-prefix net20 import
#

查看路由，已经有OSPF变为静态

在查看LSDB中，已经没有了20网段的3类LSA，说明确实被过滤掉了

既然过滤掉了3类LSA，那么FW的LSDB中没有了20网段的3类LSA，也就是说FW传递给交换机的LSA中也没有20网段的3类LSA

查看交换机OSPF进程10的LSDB

那么交换机的路由表中也不会存在20网段的路由

我们还需要在防火墙上将配置的静态引入到OSPF中

FW1：

ospf 10 
 import-route static
#

再次查看交换机的路由表，20网段的路由以外部路由的形式出现

同理，我们需要让虚墙VRF_B中的路由表中加入配置的静态，此处我们在FW上禁止10.1.10.0/24的OSPF路由加表，从而让静态路由加表

FW1：

ip ip-prefix net10 index 10 deny 10.1.10.0 24
ip ip-prefix net10 index 20 permit 0.0.0.0 0 less-equal 32
#
ospf 20
 filter-policy ip-prefix net10 import
#

查看虚墙VRF_B的路由表，静态路由已经加表

由于并没有过滤掉3类LSA，只是阻止10网段路由加表，所以交换机的OSPF 20进程的LSDB中仍然有10网段的3类LSA，并且存在于路由表中

测试PC1 tracert PC2，路径达到最优

同理PC2 tracert PC1，路径达到最优

SSR_ZZ
关注
防火墙虚拟系统
jc1112323的博客
10-09 2180
虚拟防火墙就是可以将一台防火墙在逻辑上划分成多台虚拟的防火墙，每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备。
全网最系统、最清晰 深入微服务架构——Docker和K8s详解
spring_cgmx9880的博客
05-14 2740
写在前边 Docker是个伟大的项目，它彻底释放了虚拟化的威力，让应用的分发、部署和管理都变得前所未有的高效和轻松！ 如果你正在为以下问题困扰，就可以考虑使用Docker来对整个工程进行重构。 资源利用率问题 不同业务场景对资源的需求是不-样的，有CPU密集型、内存密集型、网络密集型，这就可能导致资源利用率不合理的问题。在大多数的企业中，我们经常能够看到服务器的资源闲置率非常高，而开发团队却经常面临无机器可用的情况。 混合部署交叉 影响对于线上服务，一台机器要混合部署多个服务，那么服务之间可能存在相互
防火墙的区域隔离
weixin_73134956的博客
02-12 1084
防火墙设置在DMZ区域和内部网络之间，对来自外部网络的访问进行控制和过滤，以避免攻击者直接访问内部网络。1. 内部区域：内部区域是组织内部的受信任网络，通常包括办公区域、内部员工使用的设备和资源等。防火墙可以根据策略规则，控制内部网络和外部网络之间的通信，阻止未经授权的访问和恶意攻击。防火墙可以根据安全策略规则，限制外部网络对内部网络的访问，阻止未经授权的访问和恶意攻击。防火墙的区域隔离是指将网络划分为不同的安全区域，并设置防火墙规则来控制和过滤各个区域之间的数据流。
mybatis多租户结构下，取消租户间的数据隔离
最新发布
kuangxiaochengdian的博客
09-12 862
在执行特定的业务场景中，取消租户间数据隔离的配置策略
防火墙技术基础篇：解析防火墙的网络隔离机制
qq_39241682的博客
05-20 1762
防火墙是一种网络安全系统，它根据定义的安全规则监控和控制进出网络的流量。通过构建一道防线，防火墙能够阻止未授权的网络访问，同时允许合法的数据流通。防火墙技术可以分为硬件防火墙和软件防火墙两大类，其中，硬件防火墙通常被部署在网络的入口处，而软件防火墙则可以安装在服务器或个人电脑上。
多租户系统数据隔离方案
08-04 1001
多租户系统是一种将多个客户的数据和应用程序分开的系统，每个客户被视为一个独立的租户，互不干扰。实现多租户系统的关键之一是确保数据的隔离。之前公司的产品是一个多租户的SAAS平台，是一个面向企业办公的平台，每个企业其实就相当于一个租户。实际使用中采用可 数据行+数据表 混合的数据隔离方案，大多数业务场景中是数据行级别，即所有的数据都在同一张表下，用租户ID来区分。少部分业务场景则是数据表级别，每个租户都有自己的数据表，表名使用租户ID做后缀区分。
多租户改造（字段隔离和表隔离混合模式）
crf_c的博客
09-27 3551
字段隔离为主，表隔离为辅实现多租户改造
Linux操作系统管理公共基础——积累
HEIKENZ的博客
06-09 4321
20170609 16:00 备注：本篇博文，借鉴新浪博客中用博文积累文学知识、英语词汇的好习惯的成功养成，这里同样是一篇知识积累型的博文，用于记录任何、各种关于Linux系统技术的新发现。这些技术多数比较零散，或者只是暂时不知道该怎样科学地、体系地分类，所有的这些琐碎、细小的技术发现都将记录存档到这里，随时更新。 20170609 16:00——16:25——16:34 关于环
AWS GWLB集成FortiGate防火墙
liuqianglong_liu的博客
10-31 683
AWS GWLB集成FortiGate防火墙
微隔离、漏扫、端点防护平台——网络安全新三样
蔷薇灵动
07-31 1846
“防火墙、入侵防御、病毒查杀（防毒墙，主机杀毒软件）”，这个网络安全老三样被大家所熟知，正如“老三样已经过时了”的观点为大家所熟知一样。那么问题来了，“老三样”为什么过时了？不用老三样，又应该用什么呢？ 退居二线的“老三样” 首先，我们还是要给这三位老同志发个终生成就奖。如果你仔细分析就会发现，防火墙管了网络层，入侵防御管了应用层，防毒墙管了数据或者说内容，这三位在网关的位置一站，还真就把那个时代绝大多数的网络安全问题给解决了。投资又少、部署又简单、效果又明显，如果实在没钱，只买这三样，基本就可以认为是
五分钟学后端技术：如何学习分布式系统和相关技术
Java技术江湖
03-29 1210
转载自https://www.cnblogs.com/wetest/p/6806506.html 和https://www.cnblogs.com/dudu0614/p/8821811.html 什么是分布式系统 分布式这一概念，一直都是后端工程师绕不过去的一个坎，今天，我们就一起来看看到底什么是分布式系统，又有哪些分布式技术世我们需要学习的。 根据百度百科的介绍，分布式系统（distribut...
真机实战之VLAN隔离，助力网络安全
weixin_43472459的博客
10-03 1394
单臂路由真机实战，我有激情 ，你有酒吗？
VLANIF配置
weixin_69884785的博客
09-22 3257
VLANIF配置（案例配置详细）
华为防火墙内网隔离同网段IP
callmeconquer的博客
01-26 1185
华为防火墙配置隔离同网段IP或者常规配置
华为防火墙虚拟系统实验
Ddfgxfgg的博客
10-26 2336
华为防火墙配置虚拟系统
华为路由交换——三层交换机与路由器之间链路实现交互
twocatfish的博客
06-09 1万+
交换机与路由器之间的链路连接的方法： 方法一：设置vlanif 和 静态路由 方法二：在交换机和路由器上运行ospf 拓扑图如下： 方法一配置命令： sw1 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 # inte...
silent-interface（OSPF）接口静默
热门推荐
WFlySky的博客
10-26 2万+
命令功能 silent-interface命令用来禁止接口接收和发送OSPF报文。 undo silent-interface命令用来恢复接口接收和发送OSPF报文。 缺省情况下，允许接口收发OSPF报文。 命令格式 silent-interface { all | interface-type interface-number } undo silent-interface { all | interface-type [ interface-number ] } 参数说明 参数 参数说明 取值
防火墙虚拟系统互访配置实例
永远是少年
07-29 2945
今天继续给大家介绍华为USG6000系列防火墙。本文主要是以华为eNSP模拟器，介绍了华为下一代防火墙虚拟系统之间互访的配置实例。 阅读本文，您需要有一定的华为防火墙基础知识，如果您对此还存在困惑，欢迎查阅我博客内的其他文章，相信您一定会有所收获。 文章链接： 防火墙虚拟化技术详解（上） 防火墙虚拟化技术详解（下） 防火墙虚拟系统资源分配配置实例 一、实验要求及拓扑 实验拓扑如上所示，要求为公司两个部门之间配置虚拟系统，并把相应接口划分为相应的虚拟系统。最后配置实现防火墙内虚拟系统之间的互访，实现公司的两
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值