防火墙综合实验

最新推荐文章于 2024-08-07 22:12:43 发布
最新推荐文章于 2024-08-07 22:12:43 发布
阅读量735 收藏 15
点赞数 10
文章标签： 网络 运维 安全 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/earthtoearth/article/details/140850535
版权

一、实验目的及拓扑

实验目的：

1、内网设立两台防火墙实现双机热备

2、防火墙设置二个虚拟系统，VRF_A对应PC1和服务器，VRF_B对应PC2，虚拟防火墙内部实现对服务器的访问

3、PC1访问外网通过防火墙1，PC2访问外网通过防火墙2

4、将服务器向外网通过NAT SERVER进行地址映射，使外网能够访问内网服务器

5、在防火墙VRF_A虚墙上设置超级用户后设置相应功能

二、基础配置

（一）交换网络配置

1、在交换机1和交换机2之间设立trunk链路trunk12包含g/0/21和g/0/22，设置为trunk接口并允许所有VLAN通过

[S1-Eth-Trunk12]dis th
#
interface Eth-Trunk12
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
 stp edged-port disable
 mode lacp-static

 trunkport g0/0/21

 trunkport g0/0/22
#

2、将交换机1的g/0/23和交换机2的g/0/24设置为trunk接口并允许所有VLAN通过

3、将交换机3的g/0/23和g/0/24设置为trunk接口并允许所有VLAN通过

port-group group-member g0/0/23 g0/0/24
port link-type trunk

port trunk allow-pass vlan all

4、将交换机3的g/0/1、g/0/2、g/0/3口设置为access接口并设置VLAN为10、20、100

5、将交换机1和交换机2的g/0/12端口设置为两台防火墙之间的心跳线，将VLAN设置为254，端口类型为access

6、在交换机1、交换机2和交换机3分别优化相应的stp配置

[S2-mst-region]dis th
#
stp region-configuration
 region-name MST
 revision-level 1
 instance 1 vlan 10 100
 instance 2 vlan 20
 active region-configuration
#

[S1]stp instance 1 root primary 

[S1]stp instance 2 root secondary 

[S2]stp instance 1 root secondary 

[S2]stp instance 2 root primary 

[S1]port-group group-member g0/0/23 Eth-Trunk 12

[S1-port-group]stp edged-port disable

[S1]stp edged-port default 

[S3]port-group group-member g0/0/23 g0/0/24

[S3-port-group]stp edged-port disable 

[S3]stp edged-port default

7、在交换机1和交换机2的g0/0/1口设置面向外网路由器R1的vlanif端口121和131

[S1-GigabitEthernet0/0/1]dis th
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 121
#

[S2-GigabitEthernet0/0/1]dis th
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 131
#

三、详细配置

（一）防火墙双机热备配置

1、将g1/0/2和对应的交换机端口作为心跳线

[FW1-GigabitEthernet1/0/2]ip add 10.0.0.12 24

[FW1]firewall zone dmz
[FW1-zone-dmz]add int g1/0/2

[FW1]hrp interface G1/0/2 remote 10.0.0.13

[FW1]hrp enable

HRP_S[FW1]hrp mirror session enable

HRP_M[FW1]dis hrp state
2024-08-02 02:00:20.100 
 Role: active, peer: active
 Running priority: 45000, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 2 minutes
 Last state change information: 2024-08-02 1:57:49 HRP core state changed, old_s
tate = abnormal(active), new_state = normal, local_priority = 45000, peer_priori
ty = 45000.

2、在防火墙1（master）上设置eth-trunk1并将0号口和1号口加入其中，设置端口模式为lacp、端口类型为trunk。在防火墙上设置VLAN10/20/100，并使能后将其分配至对应的虚拟系统

HRP_M[FW1-Eth-Trunk1]dis th
#
interface Eth-Trunk1
 portswitch
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
 mode lacp-static
#

HRP_M[FW1]vlan batch 10 20 100

HRP_M[FW1]vlan 10

HRP_M[FW1]vsys name VRF_A

HRP_M[FW1-vsys-VRF_A]dis th
#
vsys name VRF_A 1
 assign vlan 10
 assign vlan 100
#

HRP_M[FW1]vsys name VRF_B

HRP_M[FW1-vsys-VRF_B]DIS TH
#
vsys name VRF_B 2
 assign vlan 20
#

在防火墙2上配置

HRP_S[FW2]hrp standby config enable

HRP_S[FW2]dis ip vpn-instance interface 
2024-08-02 07:36:59.830 
 Total VPN-Instances configured      : 3

 VPN-Instance Name and ID : VRF_A, 1
  Interface Number : 3 
  Interface list : Virtual-if1, 
                   Vlanif10, 
                   Vlanif100

 VPN-Instance Name and ID : VRF_B, 2
  Interface Number : 2 
  Interface list : Virtual-if2, 
                   Vlanif20

 VPN-Instance Name and ID : default, 21
  Interface Number : 1 
  Interface list : GigabitEthernet0/0/0

（二）设置虚拟系统VRF_A和VRF_B，将相应的子接口加入其中并设置地址和区域

HRP_M[FW1]vsys name VRF_A

HRP_M[FW1-vsys-VRF_A]dis th
#
vsys name VRF_A 1
 assign vlan 10
 assign vlan 100
#

HRP_M[FW1]vsys name VRF_B
HRP_M[FW1-vsys-VRF_B]DIS TH
#
vsys name VRF_B 2
 assign vlan 20
#

HRP_M[FW1]dis ip vpn-instance interface 
2024-08-02 08:30:08.160 
 Total VPN-Instances configured      : 3

 VPN-Instance Name and ID : VRF_A, 1
  Interface Number : 3 
  Interface list : Virtual-if1, 
                   Vlanif10, 
                   Vlanif100

 VPN-Instance Name and ID : VRF_B, 2
  Interface Number : 2 
  Interface list : Virtual-if2, 
                   Vlanif20

 VPN-Instance Name and ID : default, 21
  Interface Number : 1 
  Interface list : GigabitEthernet0/0/0

HRP_M[FW1]switch vsys VRF_A
HRP_M<FW1-VRF_A>DIS zone 
2024-08-02 08:33:39.910 
vpn-instance VRF_A local
 priority is 100
 interface of the zone is (0):
#
vpn-instance VRF_A trust
 priority is 85
 interface of the zone is (1):
    Vlanif10
#
vpn-instance VRF_A untrust
 priority is 5
 interface of the zone is (1):
    Virtual-if1
#
vpn-instance VRF_A dmz
 priority is 50
 interface of the zone is (1):
    Vlanif100
#

HRP_M[FW1]switch vsys VRF_B
HRP_M<FW1-VRF_B>DIS zone 
2024-08-02 08:34:41.640 
vpn-instance VRF_B local
 priority is 100
 interface of the zone is (0):
#
vpn-instance VRF_B trust
 priority is 85
 interface of the zone is (1):
    Vlanif20
#
vpn-instance VRF_B untrust
 priority is 5
 interface of the zone is (1):
    Virtual-if2
#
vpn-instance VRF_B dmz
 priority is 50
 interface of the zone is (0):
#

（三）在vlanif口上配置VRRP并实现相互备份

HRP_M[FW1-Vlanif10]dis th
#
interface Vlanif10
 ip binding vpn-instance VRF_A
 ip address 10.1.10.12 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.10.254 active
#

HRP_S[FW2-Vlanif10]dis th
#
interface Vlanif10
 ip binding vpn-instance VRF_A
 ip address 10.1.10.13 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.10.254 standby
#

HRP_M[FW1-Vlanif20]dis th
#
interface Vlanif20
 ip binding vpn-instance VRF_B
 ip address 10.1.20.12 255.255.255.0
 vrrp vrid 2 virtual-ip 10.1.20.254 standby
#

HRP_S[FW2-Vlanif20]dis th
#
interface Vlanif20
 ip binding vpn-instance VRF_B
 ip address 10.1.20.13 255.255.255.0
 vrrp vrid 2 virtual-ip 10.1.20.254 active
#

HRP_M[FW1-Vlanif100]dis th
#
interface Vlanif100
 ip binding vpn-instance VRF_A
 ip address 10.1.100.12 255.255.255.0
 vrrp vrid 3 virtual-ip 10.1.100.254 active
#

HRP_S[FW2-Vlanif100]dis th
#
interface Vlanif100
 ip binding vpn-instance VRF_A
 ip address 10.1.100.13 255.255.255.0
 vrrp vrid 3 virtual-ip 10.1.100.254 standby
#

（四）配置虚拟防火墙之间互访，实现PC之间和服务器之间互访

1、在防火墙根系统设置如下静态路由

#
ip route-static 10.1.10.0 255.255.255.0 vpn-instance VRF_A
ip route-static 10.1.20.0 255.255.255.0 vpn-instance VRF_B
ip route-static vpn-instance VRF_A 10.1.20.0 255.255.255.0 vpn-instance VRF_B
ip route-static vpn-instance VRF_B 10.1.10.0 255.255.255.0 vpn-instance VRF_A
ip route-static vpn-instance VRF_B 10.1.100.0 255.255.255.0 vpn-instance VRF_A
#

2、分别在虚拟系统设置静态路由

HRP_M[FW1-VRF_A]IP route-static 0.0.0.0 0 public 

HRP_M[FW1-VRF_B]ip route-static 0.0.0.0 0 public 

3、分别在虚拟系统设置安全策略

HRP_M[FW1-VRF_A-policy-security]dis th
#
security-policy
 rule name LOCAL_TO_ANY
  source-zone local
  action permit
 rule name IN_TO_DMZ
  source-zone trust
  destination-zone dmz
  source-address 10.1.10.0 mask 255.255.255.0
  destination-address 10.1.100.0 mask 255.255.255.0
  service protocol icmp
  service protocol tcp destination-port 21
  service protocol tcp destination-port 80
  action permit
 rule name IN_TO_OUT
  source-zone trust
  destination-zone untrust
  source-address 10.1.10.0 mask 255.255.255.0
  action permit
 rule name OUT_TO_DMZ
  source-zone untrust
  destination-zone dmz
  destination-address 10.1.100.0 mask 255.255.255.0
  action permit
#

HRP_M[FW1-VRF_B-policy-security]dis th
#
security-policy
 rule name LOCAL_TO_ANY
  source-zone local
  action permit
 rule name IN_TO_OUT
  source-zone trust
  destination-zone untrust
  source-address 10.1.20.0 mask 255.255.255.0
  action permit
#

（五）访问外网并设置NAT转换

1、将两个防火墙的vlanif121及vlanif131口加入UNtrust区域，并设置IP地址与R1互联

2、在防火墙1上设置端口区域

HRP_M[FW1-zone-trust]dis th
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface Virtual-if0
#

3、设置NAT，使PC1和PC2访问外网是分别使用防火墙1和防火墙2的外网端口地址

HRP_M[FW1-policy-nat]dis th
2024-08-05 06:17:33.300 
#
nat-policy
 rule name EASY_IP
  source-zone trust
  destination-zone untrust
  source-address 10.1.0.0 mask 255.255.0.0
  action source-nat easy-ip
#

（六）设置相应的路由使外网能够访问虚拟墙A上dmz区域的服务器，设置NAT SERVER服务，设置安全策略

1、路由

HRP_M[FW1]ip route-static 10.1.0.0 16 vpn-instance VRF_A

HRP_S[FW2]ip route-static 10.1.0.0 16 vpn-instance VRF_A

2、NAT SERVER

#
 nat server 0 protocol tcp global 155.1.131.10 www inside 10.1.100.100 www no-re
verse unr-route
 nat server 1 protocol tcp global 155.1.121.10 www inside 10.1.100.100 www no-re
verse unr-route
#

3、安全策略

HRP_M[FW1-policy-security]dis th
2024-08-05 06:31:31.900 
#
security-policy
 default action permit
 rule name IN_TO_OUT
  source-zone trust
  destination-zone untrust
  source-address 10.1.0.0 mask 255.255.0.0
  action permit
 rule name OUT_TO_IN
  source-zone untrust
  destination-zone trust
  destination-address 10.1.0.10 mask 255.255.255.255
  service protocol tcp destination-port 80
  action permit
#

（七）在虚拟系统VRF_A上新建用户并进行相应的功能设置

HRP_M[FW1-VRF_A]aaa

HRP_M[FW1-VRF_A-aaa]manager-user QUW@@VRF_A (+B)

HRP_M[FW1-VRF_A-aaa-manager-user-QUW@@VRF_A]password cipher Huawei@123 (+B)

HRP_M[FW1-VRF_A-aaa-manager-user-QUW@@VRF_A]service-type web (+B)

HRP_M[FW1-VRF_A-aaa]bind manager-user QUW@@VRF_A role system-admin  (+B)

1、反病毒设置

下载模板修改后再导入

修改安全策略

2、URL地址过滤

修改安全策略

3、入侵防御配置

四、结果验证

1、虚拟系统间互访

位于VRF_A虚拟系统的PC1和服务器之间可以互访

PC>ping 10.1.100.100

Ping 10.1.100.100: 32 data bytes, Press Ctrl_C to break
From 10.1.100.100: bytes=32 seq=1 ttl=254 time=140 ms

位于VRF_B虚拟系统的PC2和位于VRF_A虚拟系统的服务器之间可以互访

PC>ping 10.1.100.100

Ping 10.1.100.100: 32 data bytes, Press Ctrl_C to break
From 10.1.100.100: bytes=32 seq=1 ttl=253 time=94 ms
From 10.1.100.100: bytes=32 seq=2 ttl=253 time=125 ms

2、内网访问外网

位于VRF_A虚拟系统的PC1通过VRF_A虚拟系统和防火墙1的根系统接口155.1.121.12访问外网

PC>tracert 150.1.1.1

traceroute to 150.1.1.1, 8 hops max
(ICMP), press Ctrl+C to stop
 1  10.1.10.12   47 ms  93 ms  78 ms
 2    *  *  *
 3  150.1.1.1   94 ms  110 ms  125 ms

位于VRF_A虚拟系统的PC1通过VRF_B虚拟系统和防火墙2的根系统接口155.1.131.13访问外网

PC>tracert 150.1.1.1

traceroute to 150.1.1.1, 8 hops max
(ICMP), press Ctrl+C to stop
 1  10.1.20.13   63 ms  78 ms  62 ms
 2    *  *  *
 3  150.1.1.1   110 ms  94 ms  125 ms

3、外网不同的映射地址访问内网服务器

HRP_M<FW1-VRF_A>dis firewall session table 
2024-08-05 06:53:05.550 
 Current Total Sessions : 1
 http  VPN: VRF_A --> VRF_A  155.1.1.10:2056 --> 10.1.100.100:80

4、虚拟防火墙上相关功能设置

earthtoearth
关注
  • 10
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
入侵检测防火墙综合实验报告
11-01
使用锐捷网络做的防火墙实验，这是实验报告，我自己做的，大家多多指教
CCNA综合实验
08-18
### CCNA综合实验知识点解析 #### 一、CCNA认证简介 CCNA（Cisco Certified Network Associate）是由全球知名网络设备供应商思科系统公司推出的认证体系之一。CCNA认证旨在证明获得该认证的专业人士具备安装、配置...
华为防火墙综合实验
super_tool_man的博客
02-19 489
从图中可以看到要求1.办公区设备可以通过电信链路和移动链路上网（多对多的NAT,并且需要保留一个公网IP不能用来转换）2.分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区的http服务器3.分公司内部的客户端可以通过公网地址访问到内部的服务器4.FW1和FW3组成主备模式的双机热备5.办公区上网用户限制流量不超过60M，其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M6.销售部保证email应用在办公时间至少可以使用10M的宽带，每人至少1M。
华为USG5500防火墙配置实验一.pdf
11-18
华为USG5500防火墙配置实验一.pdf
HUAWEI 防火墙 综合配置案例.zip
11-23
2021年HUAWEI 防火墙 综合配置案例.内容丰富
西电操作系统综合实验报告
07-23
西电操作系统综合实验旨在通过实践操作加深学生对操作系统原理的理解，提高其在实际环境中解决问题的能力。这份实验报告将涵盖多个关键知识点，包括进程管理、内存管理、文件系统以及设备管理等。 一、进程管理 在...
J031_使用TCP协议支持与多个客户端同时通信
lzn20161229的博客
08-03 446
使用TCP协议支持与多个客户端同时通信。
如何计算UDP校验和
ZhongUncle的博客
08-07 617
在了解 UDP 校验和的时候，发现资料很少，如果看教材的话，一定看到过下面这两张图，但是又看不懂，加上解释之后也难懂：本文先说具体怎么算的，再说一些细节，过程中顺带解释一下这两个图（第一张图是布局情况，第二张图是解释如何计算的）。
【Vulnhub系列】Vulnhub Connect-The-Dots 靶场渗透（原创）
Lusen的博客
08-02 601
Vulnhub系列Connect-The-Dots靶场做题记录
linux防火墙相关命令
九品神元师
08-01 311
【代码】linux防火墙相关命令。
Linux shell编程学习笔记68： curl 命令行网络数据传输工具 选项数量雷人（上）
Purpleendurer@CSDN
08-04 1013
在网络时代，有经常需要在网络上传输数据，时我们需要通过网络下载文件，为了满足这种时代需要，Linux提供了众多网络命令，我们今天先研究curl命令。例如，我们可以使用curl从 URL 下载文件，或将文件上传到服务器。
开发android app用于移远模块读写IMEI 模组EC200DEULA-D08-SNNDA 支持socket连接读写IMEI
chenhao0568的专栏
08-07 196
发送{“function”: “write_imei”,“imei”: “860004050179648”}响应{“message”: “success”,“imei”: “860004050179648”}当结果正常时message为success,否则message给出英文具体原因,其它参数可能为空。发送{“function”: “read_imei”}响应{“message”: “success”}前面本地5902 转发到 后面设备为5902。PC与终端APP之间 json通信协议。
OSPF小实验
最新发布
sgdhshshhs的博客
08-07 278
【代码】OSPF小实验。
网络安全入门教程（非常详细）从零基础入门到精通_网路安全 教程
2401_85023708的博客
08-03 886
1.入行网络安全这是一条坚持的道路，三分钟的热情可以放弃往下看了。2.多练多想，不要离开了教程什么都不会了，最好看完教程自己独立完成技术方面的开发。3.有时多百度，我们往往都遇不到好心的大神，谁会无聊天天给你做解答。4.遇到实在搞不懂的，可以先放放，以后再来解决。先科普划分一下级别（全部按小白基础，会写个表格word就行的这种）**1级：脚本小子；难度：无，**达到“黑客新闻”的部分水准（一分钱买iphone、黑掉母校官网挂女神照片什么的）网络安全工程师；
杭州等保测评的基础概念
weixin_62641226的博客
08-07 59
该系统共划分为五个等级，每个等级都有不同的安全需求，目的是针对不同敏感程度的信息建立相应的防护机制。在杭州这块“土地”上，“等保”测评既是防范数据泄漏和黑客攻击的“挡箭牌”，也是对企业信用的“试金石”，推动营商环境的优化，助力“数字经济”的繁荣发展。🚀等级保护测评，又称“等保测评”，是杭州这座创新型城市建设的一道重要基础，它既是一个合规要求，也是数字生态系统的捍卫者。借着“智慧城市”的东风，让我们一起揭开“等保测评”的神秘面纱，为建设一个更安全、更可靠的数字化社会作出贡献。
堡垒机简单介绍
凡尘
08-05 485
堡垒机是一种用于控制和管理网络安全的重要工具，它在一个特定的网络环境下，为了保障网络和数据不受入侵和破坏，运用各种技术手段监控对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便于集中报警、及时处理及审计定责。登录功能：提供安全的远程访问接口。账号管理：实现对所有服务器、网络设备、安全设备等账号的集中管理。身份认证：对访问内部网络的用户进行身份验证。资源授权：基于用户、目标设备、时间、协议类型等要素实现细粒度的操作授权。访问控制。
48天笔试训练错题——day43
ミカミミミ博客
08-07 725
48天笔试训练错题——day43.
接口测试学习笔记1
weixin_53666393的博客
08-03 925
同时也像白盒测试那样，检查程序的代码，但这种检查不像白盒测试那样详细、完整，一般只对程序模块之间的调用、核心代码进行检查，在集成测试时经常采用，一般也是程序员大量采用。现在企业说的接口测试，一般指的是Web接口测试或Http接口测试，主要指的是基于B/S架构的接口测试（B/S架构主要基于HTTP 超文本传输协议，所以也叫HTTP接口测试）对请求对象（网页、文件、图片...）进行的操作，就是一些命令，程序员在编程的时候使用，在接口文档中会指明，测试人员测试接口的时候，按照说明选择正确的方法。
enspnat防火墙综合实验
05-20
Enspnat防火墙是一种网络安全设备，用于保护企业网络不受来自网络外部的攻击。综合实验可以帮助您深入了解Enspnat防火墙的配置和管理。 以下是Enspnat防火墙综合实验的步骤： 1. 确定实验目标：在实验前，您需要明确实验目标。例如，您可以选择了解Enspnat防火墙的基本配置和管理，或者了解如何配置防火墙以保护企业网络免受攻击。 2. 准备实验环境：在进行实验之前，您需要准备一个实验环境，包括Enspnat防火墙和一些测试设备。您可以使用虚拟机或物理设备来模拟网络环境。 3. 配置防火墙：一旦准备好实验环境，您可以开始配置Enspnat防火墙。您可以使用命令行界面或Web界面进行配置。 4. 测试防火墙：一旦完成防火墙的配置，您可以进行一些测试，以确保防火墙可以保护企业网络免受攻击。例如，您可以使用端口扫描工具测试防火墙的端口过滤功能。 5. 优化防火墙：如果您发现防火墙存在一些问题，您可以进行一些优化来提高防火墙的效率和保护能力。例如，您可以添加更多的规则来防止特定类型的攻击。 6. 总结实验：在实验结束时，您可以总结您的实验结果，并记录下您所学到的知识和经验。 通过进行Enspnat防火墙综合实验，您可以获得关于网络安全的更多知识，并掌握Enspnat防火墙的配置和管理技能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值