防火墙虚拟系统——租户隔离

已于 2023-12-29 22:36:32 修改
阅读量1k 收藏 15
点赞数 21
文章标签： 网络
于 2023-12-29 17:45:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SSR_ZZ/article/details/135269135
版权

拓扑图

实验需求

  1. VLAN10,VLAN20业务隔离，可以访问server且流量经过自身的防火墙
  2. OSPF区域规划如上图
  3. VLAN10,VLAN20租户流量有互访的需求，需要经过各自的防火墙且路径最优

配置

基础配置

SW1配置：

  • VRF，隔离用户
  • 链路聚合
  • 相关vlan及vlanif
  • OSPF多VPN实例，使流量走自己的虚墙
sysname SW1
#
vlan batch 10 20 100 121 to 124
#
lacp priority 16384
#
ip vpn-instance VRF_A
 ipv4-family
#
ip vpn-instance VRF_B
 ipv4-family
#
interface Vlanif10
 ip binding vpn-instance VRF_A
 ip address 10.1.10.254 255.255.255.0
#
interface Vlanif20
 ip binding vpn-instance VRF_B
 ip address 10.1.20.254 255.255.255.0
#
interface Vlanif100
 ip address 10.1.100.254 255.255.255.0
#
interface Vlanif121
 ip binding vpn-instance VRF_A
 ip address 10.1.121.254 255.255.255.0
#
interface Vlanif122
 ip address 10.1.122.254 255.255.255.0
#
interface Vlanif123
 ip binding vpn-instance VRF_B
 ip address 10.1.123.254 255.255.255.0
#
interface Vlanif124
 ip address 10.1.124.254 255.255.255.0
#
interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 121 to 124
 mode lacp-static
 trunkport GigabitEthernet 0/0/10 0/0/11
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 100
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
#
ospf 10 router-id 10.1.121.254 vpn-instance VRF_A
 silent-interface Vlanif10
 area 0.0.0.1
  network 10.1.121.254 0.0.0.0
  network 10.1.10.254 0.0.0.0
#
ospf 20 router-id 10.1.123.254 vpn-instance VRF_B
 silent-interface Vlanif20
 area 0.0.0.2
  network 10.1.20.254 0.0.0.0
  network 10.1.123.254 0.0.0.0
#
ospf 100 router-id 10.1.100.100
 silent-interface Vlanif100
 area 0.0.0.0
  network 10.1.100.254 0.0.0.0
 area 0.0.0.1
  network 10.1.122.254 0.0.0.0
 area 0.0.0.2
  network 10.1.124.254 0.0.0.0
#

FW配置：

  • 开启虚拟系统
  • 配置将相应vlan分配到虚墙
  • 接口划到相应安全区域
  • OSPF
  • 安全策略local->any
sysname FW1
#
vlan batch 121 to 124
#
vsys enable
#
vsys name VRF_A 1
 assign vlan 121
 assign vlan 122
#
vsys name VRF_B 2
 assign vlan 123
 assign vlan 124
#
interface Vlanif121
 ip address 10.1.121.253 255.255.255.0
#
interface Vlanif122
 ip address 10.1.122.253 255.255.255.0
#
interface Vlanif123
 ip address 10.1.123.253 255.255.255.0
#
interface Vlanif124
 ip address 10.1.124.253 255.255.255.0
#
interface Eth-Trunk1
 portswitch
 port link-type trunk
 port trunk allow-pass vlan 121 to 124
 mode lacp-static
 trunkport GigabitEthernet 1/0/0 1/0/1
#
ospf 10 router-id 10.1.121.253 vpn-instance VRF_A
 area 0.0.0.1
  network 10.1.121.253 0.0.0.0
  network 10.1.122.253 0.0.0.0
#
ospf 20 router-id 10.1.123.253 vpn-instance VRF_B
 area 0.0.0.2
  network 10.1.123.253 0.0.0.0
  network 10.1.124.253 0.0.0.0
#
switch vsys VRF_A
#
sy
#
firewall zone trust
 add interface Vlanif121
#
firewall zone untrust
 add interface Vlanif122
#
security-policy
 rule name local->any
  source-zone local
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
firewall zone trust
 add interface Vlanif123
#
firewall zone untrust
 add interface Vlanif124
#
security-policy
 rule name local->any
  source-zone local
  action permit
#


 

FW1上查看OSPF邻居

FW1上查看路由

 SW1上查看OSPF邻居

SW1上查看public路由

SW1上VPN实例VRF_A的路由

SW1上VPN实例VRF_B的路由

OSPF邻居已正常建立，下面继续配置，使PC1和PC2可以访问Server

配置VLAN10和VLAN20的PC访问Server

FW1中到各自的虚墙配置安全策略

FW1：

switch vsys VRF_A
#
sy
#
security-policy
 rule name trust->untrust
  source-zone trust
  destination-zone untrust
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.100.1 mask 255.255.255.255
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
security-policy
 rule name trust->untrust
  source-zone trust
  destination-zone untrust
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.100.1 mask 255.255.255.255
  action permit
#

配置完了安全策略，先不急着测试访问Server，先看一下路由表（细心的小伙伴应该从上面的路由截图中发现了），VPN实例中并没有区域间的网段的路由。

以PC1所在的VRF_A举例，确实没有发现100网段的路由

按照正常的LSA传递，100网段的路由会由区域0中的1类和2类LSA计算，并以3类LSA传递给防火墙的虚拟系统VRF_A，然后在传递到交换机的VRF_A实例中，既然是这样，我们看一下防火墙和交换机的OSPF的LSDB中是否存在100网段的3类LSA。

从上图可以看出，我们想的没错，OSPF的LSDB中确实收到了100网段的3类LSA，但是并没有去计算路由，因为在FW和SW1上开启了VPN-Instance，从而触发了OSPF多实例下的3类LSA防环，只是将3类LSA放到了LSDB中，并未计算路由，因此，FW和SW1关闭VPN实例防环检测。

FW1、SW1：

ospf 10 
 vpn-instance-capability simple
#
ospf 20 
 vpn-instance-capability simple
#

关闭防环之后，再来查看路由表，发现有了100网段的路由

此时测试PC1 ping Server，可以访问

PC1 ping PC2，虽然有路由，但由于安全策略，不能访问，实现了隔离

PC2与Server、PC1的访问同理。

配置VLAN10与VLAN20的PC的互访

如果两个租户属于不同的公司，没有业务上的往来，通过VRF确实实现了租户的隔离。但是如果VRF_A和VRF_B两个实例是一个公司的两个不同业务，在不同VRF的大部分机器需要隔离，但某些服务器可能需要通信，该如何实现？

从上面PC1 ping PC2可以知道，虽然有路由，但是由于安全策略没有放行，流量到防火墙被丢弃

那么在虚墙上配置安全策略放行流量即可实现互访

FW1：

switch vsys VRF_A
#
sy
#
security-policy
 rule name trust->untrust
  destination-address 10.1.20.1 mask 255.255.255.255
  action permit
 rule name untrust->trust
  source-zone untrust
  destination-zone trust
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.10.1 mask 255.255.255.255
  action permit
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
security-policy
 rule name trust->untrust
  destination-address 10.1.10.1 mask 255.255.255.255
 rule name untrust->trust
  source-zone untrust
  destination-zone trust
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.20.1 mask 255.255.255.255
  action permit
#

配置完安全策略后，测试PC1 ping PC2，可以通信

再查看下访问的路径

先开启FW的icmp的ttl超时响应

FW1：

icmp ttl-exceeded send 
#

pc1 tracert PC2，可以看到并非是最优路径

注：路由学习方向为数据流量的反方向

可以看到PC1访问PC2，流量经过虚墙VRF_A—>SW—>虚墙VRF_B到达PC2，但实际上的最优路径为虚墙VRF_A—>虚墙VRF_B到达PC2，无需绕行SW

看到这里，要实现PC互访的最优路径，可以配置静态路由达到虚拟系统的直接互访的目的

配置虚拟系统之间互访的路由，需要在根系统下配置

另一点需要把virtual-if1和virtual-if2接口加入到untrust安全区域中

FW1：

ip route-static vpn-instance VRF_A 10.1.20.1 32 vpn-instance VRF_B 
ip route-static vpn-instance VRF_B 10.1.10.1 32 vpn-instance VRF_A
#
switch vsys VRF_A
#
sy
#
firewall zone untrust
 add interface Virtual-if1
#
return
#
sy
#
switch vsys VRF_B
#
sy
#
firewall zone untrust
 add interface Virtual-if2
#

查看路由表

再次PC1 tracert PC2，路径已切换到规划的最优路径

PC2 访问PC1同理。

补充

上面的实验实现最优路径，配置的是32位的主机路由，有的小伙伴会问，如果我配置成24位掩码的静态路由可不可以.....当然也是可以的，但是配置会稍微复杂一些。

我们先去掉之前的32位掩码的主机路由，重新配置24位掩码的静态路由

FW1：

undo ip route-static vpn-instance VRF_A 10.1.20.1 255.255.255.255 vpn-instance VRF_B
undo ip route-static vpn-instance VRF_B 10.1.10.1 255.255.255.255 vpn-instance VRF_A
#
ip route-static vpn-instance VRF_A 10.1.20.0 255.255.255.0 vpn-instance VRF_B
ip route-static vpn-instance VRF_B 10.1.10.0 255.255.255.0 vpn-instance VRF_A
#

再次查看路由表，20网段的路由并不是静态路由，而是OSPF路由

由于优先级OSPF为10，静态为60，所以静态路由为Inactive

以PC1访问PC2为例，看下20网段的路由是如何学习的（PC2访问PC1的路由同理）

看一下路由是如何学习的

从图中看出，要让静态路由加表，只要不让20网段的3类LSA传给虚墙VRF_A或不让其加入路由表即可

在SW1上过滤掉20网段的3类LSA

SW1：

ip ip-prefix net20 deny 10.1.20.0 24
ip ip-prefix net20 permit 0.0.0.0 0 less-equal 32
#
ospf 100 router-id 10.1.100.100
 area 0.0.0.1
  filter ip-prefix net20 import
#

查看路由，已经有OSPF变为静态

在查看LSDB中，已经没有了20网段的3类LSA，说明确实被过滤掉了

既然过滤掉了3类LSA，那么FW的LSDB中没有了20网段的3类LSA，也就是说FW传递给交换机的LSA中也没有20网段的3类LSA

查看交换机OSPF进程10的LSDB

那么交换机的路由表中也不会存在20网段的路由

我们还需要在防火墙上将配置的静态引入到OSPF中

FW1：

ospf 10 
 import-route static
#

再次查看交换机的路由表，20网段的路由以外部路由的形式出现

同理，我们需要让虚墙VRF_B中的路由表中加入配置的静态，此处我们在FW上禁止10.1.10.0/24的OSPF路由加表，从而让静态路由加表

FW1：

ip ip-prefix net10 index 10 deny 10.1.10.0 24
ip ip-prefix net10 index 20 permit 0.0.0.0 0 less-equal 32
#
ospf 20
 filter-policy ip-prefix net10 import
#

查看虚墙VRF_B的路由表，静态路由已经加表

由于并没有过滤掉3类LSA，只是阻止10网段路由加表，所以交换机的OSPF 20进程的LSDB中仍然有10网段的3类LSA，并且存在于路由表中

测试PC1 tracert PC2，路径达到最优

同理PC2 tracert PC1，路径达到最优

SSR_ZZ
关注
  • 21
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
基于mybatis-plus实现多租户级别的数据隔离
04-07
基于idea+maven创建工程； 采用mysql+mybatis-plus+druid实现； 解包配置数据库后，即可运行示例；
基于L-DHT的多租户虚拟域隔离构建方法
01-13
针对云环境下多租户数据的安全隔离的问题，提出了一种基于 L-DHT 的多租户虚拟域隔离构建方法。首先，通过设计一种基于标签 Hash 映射的多租户隔离映射算法，构建了租户资源的均衡映射机制，实现对租户资源的分布式管理；然后，针对映射到同一存储节点上租户数据间的安全隔离与访问，基于谓词加密机制，通过安全标签和租户数据的有效绑定，给出了一种基于标签谓词加密的租户数据隔离存储算法；最后，通过设计多维度的租户数据隔离控制规则，利用对安全标签的解析与认证，层次化地构建起租户间相互独立、逻辑、安全的虚拟域。安全性分析表明，所提方法构建了相互间安全无干扰的租户虚拟域。仿真实验结果表明，映射算法能够更好地实现负载的动态平衡，并通过数据检索效率与访问安全性的对比分析，验证了租户访问数据的安全性与高效性。
防火墙学习7---虚拟系统之间互访
最新发布
weixin_48030849的博客
05-17 554
虚拟系统之间的互访分为直接互访和间接互访。1.直接互访：报文先进入虚拟系统vsysa，虚拟系统vsysa按照防火墙转发流程对报文进行处理。然后报文进入虚拟系统vsysb，虚拟系统vsysb再次按照防火墙转发流程对报文进行处理。具体过程如下。(1)客户端向服务器发起连接;(2)首包到达FW后，基于接口分流，被送入虚拟系统vsysa。vsysa按照防火墙转发流程对报文进行处理，包括匹配黑名单、查找路由、做NAT、匹配安全策略等等。如果vsysa不允许转发报文，则丢弃报文，流程结束；
云计算租户隔离：给小白的科普文
01-20
租户隔离不是指隔离租户这些现实中的人，而是特指租户登录云端后，其操作行为和数据对于其他已登录云端的租户来说是不可见的。换句话说就是，每个租户都感觉不到他人的存在，似乎就是自己一个人在操作计算机。 租户隔离存在以下两个方面的隔离： 租户行为隔离。 租户数据隔离，数据隔离比行为隔离更重要。 租户行为隔离 租户行为隔离是指一个租户操作计算机的行为，其他租户感知不到。 租户操作计算机的行为是通过消耗的计算资源（内存、硬盘、CPU 和网络）体现出来的，换句话说，一个租户消耗计算资源的变动不会引起其他租户计算资源的可感知变动，感知不到的变动除外。 例如，租户甲内存配额是 4GB，但是他最多也就使用了 2
IonicProject:ionic租户管理系统
03-11
IonicProject:ionic租户管理系统
基于虚拟化技术的多租户应用系统性能隔离算法研究
02-27
基于虚拟化技术的多租户应用系统性能隔离算法研究，思路很新颖，不错
华为防火墙虚拟系统间互访
wenhe0119的博客
10-21 2983
华为防火墙虚拟系统间互访配置
华为防火墙虚拟系统实验
Ddfgxfgg的博客
10-26 2111
华为防火墙配置虚拟系统
华为路由交换——三层交换机与路由器之间链路实现交互
twocatfish的博客
06-09 1万+
交换机与路由器之间的链路连接的方法： 方法一：设置vlanif 和 静态路由 方法二：在交换机和路由器上运行ospf 拓扑图如下： 方法一配置命令： sw1 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 # inte...
防火墙三层旁路部署（VRF）
August0821的博客
01-25 857
需求：核心创建VRF用于隔离网关，使网关之间无法互相通信。内网防火墙与核心互联接口配置子接口，vlan以及地址与核心的VRF相对应。通过设备管理地址，核心与内网防火墙建立OSPF邻居。核心VRF配置默认路由指向隔离防火墙子接口，隔离防火墙配置指向业务网段的路由，下一跳为核心的VRF互联地址。隔离防火墙引入静态路由，核心学习到VRF中的业务网段。实现流量经过隔离防火墙后返回核心，在隔离防火墙通过策略管控内网流量走向。
华为防火墙配置虚拟防火墙举例(路由模式)
11-19
本文详细描述了华为防火墙路由模式下配置虚拟防火墙的用途和配置命令及命令的用途
一种云计算下的租户安全隔离方法.pdf
11-01
该方法通过租户间隔离步骤和租户内部隔离步骤，实现了多个租户之间的安全隔离和每个租户内部的安全隔离。 知识点1：云计算下的租户安全隔离需求 云计算环境中，多个租户共享同一个云平台，这将导致租户之间的安全...
DevOps 场景下落地 K8s 的困难分析
Tommy Xiao
10-28 520
Kubernetes 是用于自动部署，扩展和管理容器化应用程序的开源系统，一般被 DevOps 团队用来解决在 CI/CD（也就是持续集成、持续发布）场景下遇到的工具链没法统一，构建过程没法标准化等痛点。DevOps 团队在落地 Kubernetes 的过程中发现，在安装、发布、网络、存储、业务滚动升级等多个环节都会遇到一些不可预期的问题，并且官方的参考资料并没有确定性的方案来解决。很多 DevO...
操作系统——内存管理
庄小焱
09-04 941
摘要 主要是讲解操作系统的内存的管理技术和虚拟内存技术的实现原理。 内存管理基本的概念 内存也可称为主存，不管硬盘多大、里面存放了多少程序和数据，只要程序运行或者数据要进行计算处理，就必须先将它们装入内存。 内存的速度还有逻辑上内存和系统的连接方式和结构 Cache高速缓存 Cache 中存放了内存中的一部分数据，CPU 在访问内存时要先访问 Cache，若 Cache 中有需要的数据就直接从 Cache 中取出，若没有则需要从内存中读取数据，并同时把这块数据放入 Cache 中..
信息系统项目管理师——第2章信息技术发展（二）
吴代庄的博客
04-09 1400
简述当前信息技术面临的挑战与未来发展趋势，如信息安全、数据隐私、人工智能伦理等议题。
防火墙入侵与检测 day06 防火墙虚拟系统
果子哥丶的博客
05-28 1185
虚拟系统简介、 虚拟系统实现原理（ 虚拟系统分流方式、 虚拟系统互访原理）、 虚拟系统配置部署、 *额外知识：GRE隧道传输
silent-interface（OSPF）接口静默
热门推荐
WFlySky的博客
10-26 2万+
命令功能 silent-interface命令用来禁止接口接收和发送OSPF报文。 undo silent-interface命令用来恢复接口接收和发送OSPF报文。 缺省情况下，允许接口收发OSPF报文。 命令格式 silent-interface { all | interface-type interface-number } undo silent-interface { all | interface-type [ interface-number ] } 参数说明 参数 参数说明 取值
防火墙虚拟系统互访配置实例
永远是少年
07-29 2742
今天继续给大家介绍华为USG6000系列防火墙。本文主要是以华为eNSP模拟器，介绍了华为下一代防火墙虚拟系统之间互访的配置实例。 阅读本文，您需要有一定的华为防火墙基础知识，如果您对此还存在困惑，欢迎查阅我博客内的其他文章，相信您一定会有所收获。 文章链接： 防火墙虚拟化技术详解（上） 防火墙虚拟化技术详解（下） 防火墙虚拟系统资源分配配置实例 一、实验要求及拓扑 实验拓扑如上所示，要求为公司两个部门之间配置虚拟系统，并把相应接口划分为相应的虚拟系统。最后配置实现防火墙内虚拟系统之间的互访，实现公司的两
springboot 实现redis 多租户隔离
11-02
在 Spring Boot 中实现 Redis 多租户隔离可以通过以下步骤实现： 1. 配置 RedisTemplate Bean，指定 Redis 连接工厂和序列化方式。 2. 创建一个 RedisKeyGenerator 类，用于生成 Redis Key，可以根据租户信息生成...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值