2022-06-23 VGMP-OSPF-域间安全策略-NAT策略

已于 2022-08-10 14:24:56 修改
阅读量817 收藏 2
点赞数 1
分类专栏： 数通基础 文章标签： 网络 运维
于 2022-07-02 17:47:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_58489132/article/details/125550124
版权

本文章仅供学习和参考！

欢迎交流~

一、实验拓扑图：

二、实验配置：

1. 配置防火墙：

（1）配置FW1

 
修改设备名称
sysname FW1
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 192.168.100.1 255.255.0.0
interface GigabitEthernet0/0/1
 ip address 10.1.13.1 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 10.88.12.1 255.255.255.0
 
 
添加安全区域
firewall zone trust
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet0/0/1
 
 
配置OSPF
ospf 1 router-id 123.1.1.1
 area 0.0.0.0
  network 10.1.13.1 0.0.0.0
  network 192.168.100.1 0.0.0.0
 
 
配置VRRP
interface GigabitEthernet0/0/0	
 vrrp vrid 10 virtual-ip 192.168.10.254 16 master
 vrrp vrid 20 virtual-ip 192.168.20.254 16 slave
 vrrp vrid 30 virtual-ip 192.168.30.254 16 master
 vrrp virtual-mac enable
 
 
防止来回路径不一致
进行会话快速备份功能
根据VGMP状态调整OSPF Cost值功能
指定心跳口
启用双击热备
undo firewall session link-state check
hrp mirror session enable
hrp ospf-cost adjust-enable
hrp interface GigabitEthernet0/0/5
hrp enable

（2）配置FW2

 
修改设备名称
sysname FW2
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 192.168.100.2 255.255.0.0
interface GigabitEthernet0/0/1
 ip address 10.1.24.2 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 10.88.12.2 255.255.255.0
 
 
添加安全区域
firewall zone trust
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet0/0/1
 
 
配置OSPF
ospf 1 router-id 123.2.2.2
 area 0.0.0.0
  network 10.1.24.2 0.0.0.0
  network 192.168.100.2 0.0.0.0
 
 
配置VRRP
interface GigabitEthernet0/0/0	
 vrrp vrid 10 virtual-ip 192.168.10.254 16 slave
 vrrp vrid 20 virtual-ip 192.168.20.254 16 master
 vrrp vrid 30 virtual-ip 192.168.30.254 16 slave
 vrrp virtual-mac enable
 
 
防止来回路径不一致
进行会话快速备份功能
根据VGMP状态调整OSPF Cost值功能
指定心跳口
启用双击热备
undo firewall session link-state check
hrp mirror session enable
hrp ospf-cost adjust-enable
hrp interface GigabitEthernet0/0/5
hrp enable

（3）配置FW5

 
修改设备名称
sysname FW5
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.5.5.1 255.255.255.0
interface GigabitEthernet0/0/1
 ip address 10.1.35.5 255.255.255.0
interface GigabitEthernet0/0/2
 ip address 10.1.45.5 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 202.103.56.5 255.255.255.0
 
 
添加信任区域
firewall zone trust
 add interface GigabitEthernet0/0/1
 add interface GigabitEthernet0/0/2
 
 
添加不信任区域
firewall zone untrust
 add interface GigabitEthernet0/0/5
 
 
添加非军事化区域
firewall zone dmz
 add interface GigabitEthernet0/0/0
 
 
配置OSPF
ospf 1 router-id 123.5.5.5
 default-route-advertise always
 area 0.0.0.0
  network 10.5.5.1 0.0.0.0
  network 10.1.35.5 0.0.0.0
  network 10.1.45.5 0.0.0.0
 
 
配置默认路由 / 公网路由可达
ip route-static 0.0.0.0 0.0.0.0 202.103.56.6
 
 
防止来回路径不一致
undo firewall session link-state check


配置区域间的安全策略：trust到dmz
policy interzone trust dmz outbound
 policy 1
  action permit


配置区域间的安全策略：untrust到dmz
policy interzone dmz untrust inbound
 policy 1
  action permit
  policy service service-set ftp
  policy service service-set http
  policy service service-set https
  policy destination 10.5.5.100 0
  policy destination 10.5.5.101 0


配置区域间的安全策略：untrust到trust
policy interzone trust untrust inbound
 policy 1
  action permit
  policy service service-set ssh
  policy service service-set telnet
  policy destination 10.1.45.4 0


配置区域间的安全策略：trust到untrust
policy interzone trust untrust outbound
 policy 1
  action permit


配置NAPT（内网到公网转换的地址池）：
nat address-group 7 202.103.56.100 202.103.56.120


配置NAT策略-NAPT方式：trust到untrust（192.168.10.0/24和192.168.30.0/24用户）
nat-policy interzone trust untrust outbound
 policy 1
  action source-nat
  policy source 192.168.10.0 0.0.0.255
  policy source 192.168.30.0 0.0.0.255
  address-group 7


配置NAT策略-easy ip方式：trust到untrust（192.168.20.0/24用户）
nat-policy interzone trust untrust outbound
 policy 2
  action source-nat
  policy source 192.168.20.0 0.0.0.255
  easy-ip GigabitEthernet0/0/5


配置nat server，内网服务器向公网提供FTP、HTTP、HTTPs服务：
nat server protocol tcp global 202.103.56.99 8003 inside 10.5.5.100 80
nat server protocol tcp global 202.103.56.99 443 inside 10.5.5.100 443
nat server protocol tcp global 202.103.56.99 21 inside 10.5.5.100 21
nat server protocol tcp global 202.103.56.99 20 inside 10.5.5.100 20


配置nat server，内网设备向公网提供telnet和SSH服务：
nat server protocol tcp global 202.103.56.88  23 inside 10.1.45.4 23
nat server protocol tcp global 202.103.56.88  22 inside 10.1.45.4 22


配置区域间的安全策略：local到untrust
policy interzone local untrust outbound
 policy 1
  action permit


配置感兴趣流
acl number 3000
 rule 5 permit ip source 192.168.0.0 0.0.255.255 destination 172.16.99.0 0.0.0.2


配置Ipsec 安全提议
ipsec proposal ipsec2tiyi1
 encapsulation-mode tunnel
 esp authentication-algorithm sha1
 esp encryption-algorithm aes 192


配置IKE安全提议，认证方式=预共享密钥pre-share，认证算法使用aes-cbc 192，DH group=2，完整性算法使用hmac-sha1-96
ike proposal 10
 authentication-method pre-share
 encryption-algorithm aes-cbc 192
 dh group2
 integrity-algorithm hmac-sha1-96


配置IKE peer，IKE peer name=5，预共享密钥密码pre-shared-key=Admin@123，对端IP地址=202.103.78.8
ike peer 5
 ike-proposal 10
 pre-shared-key Admin@123
 remote-address 202.103.78.8


配置IPsec策略组，IPsec策略名=celue1，序号=5，使用Internet安全关联密钥管理协议(isakmp)，把感兴趣流量、IPsec安全提议、ike-peer进行关联
ipsec policy celue1 5 isakmp
 security acl 3000
 proposal ipsec2tiyi1
 ike-peer 5


接口下调用Ipsec 安全策略
interface GigabitEthernet0/0/5
 ipsec policy celue1


配置静态明细路由通往分支172.16.99.0/24
ip route-static 172.16.99.0 255.255.255.0 202.103.56.6


配置静态明细路由引入到OSPF中
ospf 1
 import-route static

（4）配置FW8

 
修改设备名称
sysname FW8
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 172.16.99.1 255.255.0.0
interface GigabitEthernet0/0/2
 ip address 202.103.78.8 255.255.255.0
 
 
添加不安全区域
firewall zone untrust
 add interface GigabitEthernet0/0/2


配置默认路由 / 公网路由可达
ip route-static 0.0.0.0 0.0.0.0 202.103.78.7


配置区域间的安全策略：trust到untrust
policy interzone trust untrust outbound
 policy 1
  policy source 172.16.99.0 0.0.0.255
  action permit


配置NAT策略-easy ip方式：trust到untrust（172.16.99.0/24用户）
nat-policy interzone trust untrust outbound
 policy 1
  action source-nat
  policy source 172.16.99.0 0.0.0.255
  easy-ip GigabitEthernet0/0/2


分支防火墙FW8配置SYN Flood、UDP Flood和ICMP Flood攻击防范功能，并限制每条会话允许通过的ICMP报文最大速率为5包/秒：
firewall defend syn-flood enable
firewall defend udp-flood enable
firewall defend icmp-flood enable
firewall defend icmp-flood base-session max-rate 5


配置区域间的安全策略：local到untrust
policy interzone local untrust outbound
 policy 1
  action permit


配置感兴趣流
acl number 3000
 rule 5 permit ip source 172.16.99.0 0.0.0.255 destination 192.168.0.0 0.0.255.255


配置Ipsec 安全提议
ipsec proposal ipsec2tiyi1
 encapsulation-mode tunnel
 esp authentication-algorithm sha1
 esp encryption-algorithm aes 192


配置IKE安全提议，认证方式=预共享密钥pre-share，认证算法使用aes-cbc 192，DH group=2，完整性算法使用hmac-sha1-96
ike proposal 10
 authentication-method pre-share
 encryption-algorithm aes-cbc 192
 dh group2
 integrity-algorithm hmac-sha1-96


配置IKE peer，IKE peer name=5，预共享密钥密码pre-shared-key=Admin@123，对端IP地址=202.103.56.5
ike peer 5
 ike-proposal 10
 pre-shared-key Admin@123
 remote-address 202.103.56.5


配置IPsec策略组，IPsec策略名=celue1，序号=5，使用Internet安全关联密钥管理协议(isakmp)，把感兴趣流量、IPsec安全提议、ike-peer进行关联
ipsec policy celue1 3 isakmp
 security acl 3000
 proposal ipsec2tiyi1
 ike-peer 5


接口下调用Ipsec 安全策略
interface GigabitEthernet0/0/2
 ipsec policy celue1


配置静态明细路由通往分支172.16.99.0/24
ip route-static 172.16.99.0 255.255.255.0 202.103.56.6


配置静态明细路由引入到OSPF中
ip route-static 192.168.0.0 255.255.0.0 202.103.78.7

2. 配置路由器：

（1）配置R3

 
修改设备名称
sysname R3
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.1.35.3 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 10.1.13.3 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 10.1.34.3 255.255.255.0 
 
 
配置OSPF
ospf 1 router-id 123.3.3.3 
 area 0.0.0.0 
  network 10.1.13.3 0.0.0.0 
  network 10.1.34.3 0.0.0.0 
  network 10.1.35.3 0.0.0.0

（2）配置R4

 
修改设备名称
sysname R4
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.1.45.4 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 10.1.24.4 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 10.1.34.4 255.255.255.0 
 
 
配置OSPF
ospf 1 router-id 123.4.4.4 
 area 0.0.0.0 
  network 10.1.24.4 0.0.0.0 
  network 10.1.34.4 0.0.0.0 
  network 10.1.45.4 0.0.0.0 
 

配置telnet功能: 其中密码=telnet123，用户权限级别=3
telnet server enable
user-interface vty  0 4 
 set authentication  password cipher telnet123
 user privilege level 3

（3）配置ISP6

 
修改设备名称
sysname ISP6
 
 
配置IP
interface GigabitEthernet0/0/1
 ip address 202.103.67.6 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 202.103.56.6 255.255.255.0 
 
 
配置OSPF
ospf 200 router-id 123.6.6.6 
 default-route-advertise always
 area 0.0.0.0 
  network 202.103.67.6 0.0.0.0 
 
 
配置默认路由
ip route-static 0.0.0.0 0.0.0.0 202.103.56.5

（4）配置ISP7

 
修改设备名称
sysname ISP7
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 200.1.1.1 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 202.103.67.7 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 100.1.1.1 255.255.255.0 
interface GigabitEthernet2/0/0
 ip address 202.103.78.7 255.255.255.0
 
 
配置OSPF
ospf 200 router-id 123.7.7.7 
 area 0.0.0.0 
  network 100.1.1.1 0.0.0.0 
  network 200.1.1.1 0.0.0.0 
  network 202.103.67.7 0.0.0.0 
  network 202.103.78.7 0.0.0.0

3. 配置服务器：

4. 配置终端设备：

 

夕阳的街道
关注
专栏目录
域安全策略
qq_42681332的博客
05-11 990
​ 除 manager 组合 IT 组 所有用户限制访问 c 盘； 用户禁止运行 run.exe； 移除关机和重启按钮； 移除桌面垃圾桶按钮； 禁止使用 cmd 和 bat 脚本； 所有用户的 IE 浏览器首页设置为 https://www.chinaskills.cn； 禁止客户端电脑显示首次登陆动画； ​
AR路由器域间安全策略与ACL配合使用，实现网络访问控制
A soul tortured by desire
01-22 1516
实验内容 实验拓扑图如上所示，本实验模拟一个简单的公司网络，基本组成：一台FTP server，一台Web server，一台HR部门的终端PC，一台SALES部门的终端PC，一台IT部门的终端PC，一台路由器和一台交换机。为了满足公司的安全需求，要求在AR上对部门之间的互访，一级用户对服务器的访问进行控制。另外，只允许SW1的vlanif 1接口的IP地址作为源地址远程登录到AR1，以实现对AR1的远程控制和管理。 实验目的： 1、掌握域间安全策略配置； 2、掌握ACL在安全策略中的应用； 3、..
H3C NGFW防火墙——从域间策略到安全策略
01-08
H3C NGFW防火墙——从域间策略到安全策略，非常好的华三防火墙安全配置视频，网上很少有
防御保护---防火墙(安全策略、NAT策略实验)
M372109150的博客
01-25 1902
此次实验主要是以web界面的形式来配置防火墙，所以在上图中防火墙与cloud连接（不需要交换机也可），为了在web界面管理防火墙，web界面相对来说比较友好，可以直观的看出各种配置及条目。1.生产区在工作时间内可以访问服务器区，仅可以访问http服务器； 2.办公区全天可以访问服务器区，其中10.0.2.20可以访问FTP服务器和HTTP服务器，10.0.2.10仅可以ping通10.0.3.10 3.办公区在访问服务器区时采用匿名认证的方式进行上网行为管理 4.办公设备可以访问公网，但是其他区域不行。
华为防火墙同区域策略配置及说明
最新发布
zhanglongquan的博客
08-09 634
1、防火墙不同安全区域不同接口之间的数据访问时受防火墙的安全策略及优先级管控。2、防火墙不同安全区域之间要进行访问时、默认拒绝。
域用户安全策略
六月生的博客
04-25 807
域策略通常指的是域安全策略（Domain Security Policy），也称为组策略（Group Policy）或域组策略（Domain Group Policy）。域安全策略是在Windows域环境中使用的一种集中管理和应用安全设置的方法。域安全策略可以用来定义和强制执行一系列安全设置，包括密码策略、账户锁定策略、用户权限、网络访问控制等。通过配置域安全策略，管理员可以确保所有域成员计算机和用户都遵循相同的安全标准，并提供对域内资源的保护和访问控制。
使用eNSP配置防火墙USG6000v双机热备（VGMP+HRP+OSPF+NAT）
有谁需要地图吗？
02-28 9052
前言 本实验使用华为模拟器eNSP中USG6000v完成实验。USG6000v是虚拟防火墙。 实验拓扑 配置过程 一、导入设备包 由于USG6000v模拟器需要导入设备包才能使用，所以需要在华为企业专网下载USG6000v的设备包才能使用，根据自己eNSP的版本下载对应版本的设备包，推荐使用eNSP500或eNSP510。比如我的eNSP版本是510，那么需要进入该链接：eNSP各版本下载链接进行设备包的下载。 下载设备包需要一个华为账户...
华为HCIE-Security培训视频汇总集【共6期90集】.rar
09-15
5_安全策略技术-流量处理流程 6_安全策略-来回路径不一致 7_智能策略调优 8_防火墙路由基础_静态路由多出口 9_防火墙路由基础_ospf_bgp 10_防火墙路由基础_智能选路_策略路由_案例分析 11_防火墙NAT原理介绍....
HCIE-Security Day11：双机热备，从VRRP到VGMP
小梁的博客
02-13 2155
通过VGMP协议和HRP协议实现防火墙之间主备切换，会话表项和配置命令的同步。
3-防火墙高可靠性
qianlai22的博客
04-01 2703
1.IP-Link技术 IP-link定义 IP-Link是指FW通过向指定的目的IP周期性地发送探测报文并等待应答，来判断链路是否发生故障。 FW发送探测报文后，在三个探测周期（默认为15s）内未收到响应报文，则认为当前链路发生故障，IP-Link的状态变为Down。随后，FW会进行IP-Link Down相关的后续操作，例如双机热备主备切换等。 当链路从故障中恢复，FW能连续地收到3个响应报文，则认为链路故障已经消除，IP-Link的状态变为Up。也就是说，链路故障恢复后，IP-Link
HCIE-Security Day13：防火墙双机热备实验（一）防火墙直路部署，上下行连接交换机
小梁的博客
02-15 2345
实验一：防火墙直路部署，上下行连接交换机 需求和拓扑 企业的两台FW的业务接口都工作在三层，上下行分别连接二层交换机。上行交换机连接运营商的接入点，运营商为企业分配的IP地址为1.1.1.1。现在希望两台FW以主备备份方式工作。正常情况下，流量通过FW_A转发。当FW_A出现故障时，流量通过FW_B转发，保证业务不中断。 操作步骤 1、配置接口地址和安全区域 注意心跳线要加入同一安全区域，内网设备的默认网关地址是vrrp备份组2的虚拟ip地址。 2、配置路由 ...
配置域内NAT举例
03-06
配置域内NAT举例，让你一看就会的配置实例
域间路由的安全性增强机制-FRA(快速路由证明)
代码改变世界，keep coding。
07-10 1088
FRA实现了一种高效安全快速的防御劫持域间路由机制，并实现了和BGPSec相同等级的安全性。首先，FRA建立在RPKI的安全基石之上，融合了ROA的前缀鉴定技术，并利用关键路径段证书算法CSA和受抑制路径填充算法SPP，实现了对AS路径的高效防护。其次，对于路径鉴定，FRA 首先通过图1中对AS 路径中每个相邻AS三元组进行签名，实现对可用路径的鉴定，攻击者通过拼接可信关键路径段可以构造出未被其它
防火墙域间双向NAT，域内双向NAT与双机热备实验
m0_68498873的博客
08-08 1302
USG6000V1-GigabitEthernet1/0/1]service-manage all permit 保存主防火墙配置。
NAT，域间双向NAT和域内双向NAT,双机热备思维导图及试验
weixin_71008408的博客
07-26 327
在NAT中server2先不管先配置pc，server，及防火墙端口上的ipPC1 IP10.1.1.3/24 网关10.1.1.1/24server3 IP10.1.1.2/24 网关10.1.1.1/24PC2 IP200.1.1.2/24 网关200.1.1.1/24Client IP200.1.1.3/24 网关200.1.1.1/24。
防火墙基本配置（nat，域间规则）
weixin_33755557的博客
07-13 668
拓扑图配置代码fw1（防火墙配置：）--------------------------sysint g0/0/1ip address 10.0.0.2 24int g0/0/2ip address 192.168.100.254 24int g0/0/3ip add 200.0.10.1 24quit(将端口加入相应区域)firewall zone trustadd in...
当安全策略遇上OSPF
weixin_34148508的博客
11-21 619
在安全策略初体验一篇中，强叔提到，路由协议一般是不受安全策略控制的，防火墙直接允许路由协议的报文通过。强叔还提到，这和具体产品实现有关，不同型号的产品会有差异。大家看完帖子后感觉有点语焉不详，纷纷向强叔咨询这个问题。今天，强叔就使用华为防火墙USG9000（软件版本为V300R001）来实际验证一把，看一看当安全策略遇上OSPF路由协议时，会发生什么事情。需要说明一点，本篇验...
【网络设备】H3C FW V7：安全域与域间策略
Fanqie_tomato的博客
12-31 4845
1 几个概念 安全域 逻辑概念，用于管理安全防护设备上安全需求相同的多个接口。 默认安全域 首次创建安全域、域间策略时，系统默认创建Local、Trust、DMZ、Management、Untrust、WAN和LAN。 默认安全域不能被删除 域间策略 基于安全域，实现对报文流的检查。根据检查结果，对报文执行相应安全控制动作。 安全域间实例 指定域间策略 需要检测业务流的 源安全域和目的安全域。
安全防御（二）--- 防火墙域间双向NAT、域内双向NAT、基于VRRP的双机热备
weixin_58299245的博客
09-13 4544
防火墙域间双向NAT、域内双向NAT、基于VRRP的双机热备
华为路由器：OSPF与IS-IS协议互引防环策略
例如，当两个协议互相引入路由但未设置适当的引入策略，或者引入策略配置不当，都可能导致路由信息在OSPF和IS-IS域之间来回传播，形成环路。 错误配置示例部分，文档列举了两种常见问题：一是双方在互引时未配置...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值