2022-06-23 VGMP-OSPF-域间安全策略-NAT策略

已于 2022-08-10 14:24:56 修改
阅读量769 收藏 1
点赞数 1
分类专栏： 数通基础 文章标签： 网络 运维
于 2022-07-02 17:47:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_58489132/article/details/125550124
版权

本文章仅供学习和参考！

欢迎交流~

一、实验拓扑图：

二、实验配置：

1. 配置防火墙：

（1）配置FW1

 
修改设备名称
sysname FW1
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 192.168.100.1 255.255.0.0
interface GigabitEthernet0/0/1
 ip address 10.1.13.1 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 10.88.12.1 255.255.255.0
 
 
添加安全区域
firewall zone trust
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet0/0/1
 
 
配置OSPF
ospf 1 router-id 123.1.1.1
 area 0.0.0.0
  network 10.1.13.1 0.0.0.0
  network 192.168.100.1 0.0.0.0
 
 
配置VRRP
interface GigabitEthernet0/0/0	
 vrrp vrid 10 virtual-ip 192.168.10.254 16 master
 vrrp vrid 20 virtual-ip 192.168.20.254 16 slave
 vrrp vrid 30 virtual-ip 192.168.30.254 16 master
 vrrp virtual-mac enable
 
 
防止来回路径不一致
进行会话快速备份功能
根据VGMP状态调整OSPF Cost值功能
指定心跳口
启用双击热备
undo firewall session link-state check
hrp mirror session enable
hrp ospf-cost adjust-enable
hrp interface GigabitEthernet0/0/5
hrp enable

（2）配置FW2

 
修改设备名称
sysname FW2
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 192.168.100.2 255.255.0.0
interface GigabitEthernet0/0/1
 ip address 10.1.24.2 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 10.88.12.2 255.255.255.0
 
 
添加安全区域
firewall zone trust
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet0/0/1
 
 
配置OSPF
ospf 1 router-id 123.2.2.2
 area 0.0.0.0
  network 10.1.24.2 0.0.0.0
  network 192.168.100.2 0.0.0.0
 
 
配置VRRP
interface GigabitEthernet0/0/0	
 vrrp vrid 10 virtual-ip 192.168.10.254 16 slave
 vrrp vrid 20 virtual-ip 192.168.20.254 16 master
 vrrp vrid 30 virtual-ip 192.168.30.254 16 slave
 vrrp virtual-mac enable
 
 
防止来回路径不一致
进行会话快速备份功能
根据VGMP状态调整OSPF Cost值功能
指定心跳口
启用双击热备
undo firewall session link-state check
hrp mirror session enable
hrp ospf-cost adjust-enable
hrp interface GigabitEthernet0/0/5
hrp enable

（3）配置FW5

 
修改设备名称
sysname FW5
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.5.5.1 255.255.255.0
interface GigabitEthernet0/0/1
 ip address 10.1.35.5 255.255.255.0
interface GigabitEthernet0/0/2
 ip address 10.1.45.5 255.255.255.0
interface GigabitEthernet0/0/5
 ip address 202.103.56.5 255.255.255.0
 
 
添加信任区域
firewall zone trust
 add interface GigabitEthernet0/0/1
 add interface GigabitEthernet0/0/2
 
 
添加不信任区域
firewall zone untrust
 add interface GigabitEthernet0/0/5
 
 
添加非军事化区域
firewall zone dmz
 add interface GigabitEthernet0/0/0
 
 
配置OSPF
ospf 1 router-id 123.5.5.5
 default-route-advertise always
 area 0.0.0.0
  network 10.5.5.1 0.0.0.0
  network 10.1.35.5 0.0.0.0
  network 10.1.45.5 0.0.0.0
 
 
配置默认路由 / 公网路由可达
ip route-static 0.0.0.0 0.0.0.0 202.103.56.6
 
 
防止来回路径不一致
undo firewall session link-state check


配置区域间的安全策略：trust到dmz
policy interzone trust dmz outbound
 policy 1
  action permit


配置区域间的安全策略：untrust到dmz
policy interzone dmz untrust inbound
 policy 1
  action permit
  policy service service-set ftp
  policy service service-set http
  policy service service-set https
  policy destination 10.5.5.100 0
  policy destination 10.5.5.101 0


配置区域间的安全策略：untrust到trust
policy interzone trust untrust inbound
 policy 1
  action permit
  policy service service-set ssh
  policy service service-set telnet
  policy destination 10.1.45.4 0


配置区域间的安全策略：trust到untrust
policy interzone trust untrust outbound
 policy 1
  action permit


配置NAPT（内网到公网转换的地址池）：
nat address-group 7 202.103.56.100 202.103.56.120


配置NAT策略-NAPT方式：trust到untrust（192.168.10.0/24和192.168.30.0/24用户）
nat-policy interzone trust untrust outbound
 policy 1
  action source-nat
  policy source 192.168.10.0 0.0.0.255
  policy source 192.168.30.0 0.0.0.255
  address-group 7


配置NAT策略-easy ip方式：trust到untrust（192.168.20.0/24用户）
nat-policy interzone trust untrust outbound
 policy 2
  action source-nat
  policy source 192.168.20.0 0.0.0.255
  easy-ip GigabitEthernet0/0/5


配置nat server，内网服务器向公网提供FTP、HTTP、HTTPs服务：
nat server protocol tcp global 202.103.56.99 8003 inside 10.5.5.100 80
nat server protocol tcp global 202.103.56.99 443 inside 10.5.5.100 443
nat server protocol tcp global 202.103.56.99 21 inside 10.5.5.100 21
nat server protocol tcp global 202.103.56.99 20 inside 10.5.5.100 20


配置nat server，内网设备向公网提供telnet和SSH服务：
nat server protocol tcp global 202.103.56.88  23 inside 10.1.45.4 23
nat server protocol tcp global 202.103.56.88  22 inside 10.1.45.4 22


配置区域间的安全策略：local到untrust
policy interzone local untrust outbound
 policy 1
  action permit


配置感兴趣流
acl number 3000
 rule 5 permit ip source 192.168.0.0 0.0.255.255 destination 172.16.99.0 0.0.0.2


配置Ipsec 安全提议
ipsec proposal ipsec2tiyi1
 encapsulation-mode tunnel
 esp authentication-algorithm sha1
 esp encryption-algorithm aes 192


配置IKE安全提议，认证方式=预共享密钥pre-share，认证算法使用aes-cbc 192，DH group=2，完整性算法使用hmac-sha1-96
ike proposal 10
 authentication-method pre-share
 encryption-algorithm aes-cbc 192
 dh group2
 integrity-algorithm hmac-sha1-96


配置IKE peer，IKE peer name=5，预共享密钥密码pre-shared-key=Admin@123，对端IP地址=202.103.78.8
ike peer 5
 ike-proposal 10
 pre-shared-key Admin@123
 remote-address 202.103.78.8


配置IPsec策略组，IPsec策略名=celue1，序号=5，使用Internet安全关联密钥管理协议(isakmp)，把感兴趣流量、IPsec安全提议、ike-peer进行关联
ipsec policy celue1 5 isakmp
 security acl 3000
 proposal ipsec2tiyi1
 ike-peer 5


接口下调用Ipsec 安全策略
interface GigabitEthernet0/0/5
 ipsec policy celue1


配置静态明细路由通往分支172.16.99.0/24
ip route-static 172.16.99.0 255.255.255.0 202.103.56.6


配置静态明细路由引入到OSPF中
ospf 1
 import-route static

（4）配置FW8

 
修改设备名称
sysname FW8
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 172.16.99.1 255.255.0.0
interface GigabitEthernet0/0/2
 ip address 202.103.78.8 255.255.255.0
 
 
添加不安全区域
firewall zone untrust
 add interface GigabitEthernet0/0/2


配置默认路由 / 公网路由可达
ip route-static 0.0.0.0 0.0.0.0 202.103.78.7


配置区域间的安全策略：trust到untrust
policy interzone trust untrust outbound
 policy 1
  policy source 172.16.99.0 0.0.0.255
  action permit


配置NAT策略-easy ip方式：trust到untrust（172.16.99.0/24用户）
nat-policy interzone trust untrust outbound
 policy 1
  action source-nat
  policy source 172.16.99.0 0.0.0.255
  easy-ip GigabitEthernet0/0/2


分支防火墙FW8配置SYN Flood、UDP Flood和ICMP Flood攻击防范功能，并限制每条会话允许通过的ICMP报文最大速率为5包/秒：
firewall defend syn-flood enable
firewall defend udp-flood enable
firewall defend icmp-flood enable
firewall defend icmp-flood base-session max-rate 5


配置区域间的安全策略：local到untrust
policy interzone local untrust outbound
 policy 1
  action permit


配置感兴趣流
acl number 3000
 rule 5 permit ip source 172.16.99.0 0.0.0.255 destination 192.168.0.0 0.0.255.255


配置Ipsec 安全提议
ipsec proposal ipsec2tiyi1
 encapsulation-mode tunnel
 esp authentication-algorithm sha1
 esp encryption-algorithm aes 192


配置IKE安全提议，认证方式=预共享密钥pre-share，认证算法使用aes-cbc 192，DH group=2，完整性算法使用hmac-sha1-96
ike proposal 10
 authentication-method pre-share
 encryption-algorithm aes-cbc 192
 dh group2
 integrity-algorithm hmac-sha1-96


配置IKE peer，IKE peer name=5，预共享密钥密码pre-shared-key=Admin@123，对端IP地址=202.103.56.5
ike peer 5
 ike-proposal 10
 pre-shared-key Admin@123
 remote-address 202.103.56.5


配置IPsec策略组，IPsec策略名=celue1，序号=5，使用Internet安全关联密钥管理协议(isakmp)，把感兴趣流量、IPsec安全提议、ike-peer进行关联
ipsec policy celue1 3 isakmp
 security acl 3000
 proposal ipsec2tiyi1
 ike-peer 5


接口下调用Ipsec 安全策略
interface GigabitEthernet0/0/2
 ipsec policy celue1


配置静态明细路由通往分支172.16.99.0/24
ip route-static 172.16.99.0 255.255.255.0 202.103.56.6


配置静态明细路由引入到OSPF中
ip route-static 192.168.0.0 255.255.0.0 202.103.78.7

2. 配置路由器：

（1）配置R3

 
修改设备名称
sysname R3
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.1.35.3 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 10.1.13.3 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 10.1.34.3 255.255.255.0 
 
 
配置OSPF
ospf 1 router-id 123.3.3.3 
 area 0.0.0.0 
  network 10.1.13.3 0.0.0.0 
  network 10.1.34.3 0.0.0.0 
  network 10.1.35.3 0.0.0.0

（2）配置R4

 
修改设备名称
sysname R4
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 10.1.45.4 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 10.1.24.4 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 10.1.34.4 255.255.255.0 
 
 
配置OSPF
ospf 1 router-id 123.4.4.4 
 area 0.0.0.0 
  network 10.1.24.4 0.0.0.0 
  network 10.1.34.4 0.0.0.0 
  network 10.1.45.4 0.0.0.0 
 

配置telnet功能: 其中密码=telnet123，用户权限级别=3
telnet server enable
user-interface vty  0 4 
 set authentication  password cipher telnet123
 user privilege level 3

（3）配置ISP6

 
修改设备名称
sysname ISP6
 
 
配置IP
interface GigabitEthernet0/0/1
 ip address 202.103.67.6 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 202.103.56.6 255.255.255.0 
 
 
配置OSPF
ospf 200 router-id 123.6.6.6 
 default-route-advertise always
 area 0.0.0.0 
  network 202.103.67.6 0.0.0.0 
 
 
配置默认路由
ip route-static 0.0.0.0 0.0.0.0 202.103.56.5

（4）配置ISP7

 
修改设备名称
sysname ISP7
 
 
配置IP
interface GigabitEthernet0/0/0
 ip address 200.1.1.1 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 202.103.67.7 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 100.1.1.1 255.255.255.0 
interface GigabitEthernet2/0/0
 ip address 202.103.78.7 255.255.255.0
 
 
配置OSPF
ospf 200 router-id 123.7.7.7 
 area 0.0.0.0 
  network 100.1.1.1 0.0.0.0 
  network 200.1.1.1 0.0.0.0 
  network 202.103.67.7 0.0.0.0 
  network 202.103.78.7 0.0.0.0

3. 配置服务器：

4. 配置终端设备：

 

夕阳的街道
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
域安全策略
qq_42681332的博客
05-11 841
​ 除 manager 组合 IT 组 所有用户限制访问 c 盘； 用户禁止运行 run.exe； 移除关机和重启按钮； 移除桌面垃圾桶按钮； 禁止使用 cmd 和 bat 脚本； 所有用户的 IE 浏览器首页设置为 https://www.chinaskills.cn； 禁止客户端电脑显示首次登陆动画； ​
网络安全技术-(OSPF NAT ACL FR VLAN间路由)校园网设计与配置工程实例.mp3
07-05
网络安全技术-(OSPF NAT ACL FR VLAN间路由)校园网设计与配置工程实例.mp3
计算机网络教案12-OSPF和路由器.docx
12-14
计算机网络教案12-OSPF和路由器.docx
华为（OSPF）
j2669283004的博客
11-09 2536
一、OSPF OSPF协议是一种典型的链路状态（Link-state）的路由协议，一般用于同一个路由域内。在这里，路由域是指一个自治系统（Autonomous System），即AS。 1.1、OSPF概念 OSPF是链路状态路由协议 OSPF的组播地址：224.0.0.5 一DRothar，224.0.0.6一DR/BDR ，IP协议——89（协议号） OSPF的度量值为COST：COST=10^8/BW （BW：带宽） OSPF所属IP协议，协议号 89 生成OSPF多区域的...
华为防火墙双机热备-VGMP
qq_32044265的博客
07-20 4725
VGMP协议是华为公司的私有协议。VGMP协议中定义了VGMP组，FW基于VGMP组实现设备主备状态管理。 每台FW都有一个VGMP组，用户不能删除这个VGMP组，也不能再创建其他的VGMP组。VGMP组有优先级和状态两个属性。VGMP组优先级决定了VGMP组的状态。 FW能根据VGMP组的状态调整VRRP备份组状态、动态路由（OSPF、OSPFv3和BGP）的开销值、VLAN的状态以及接口的状态（镜像模式），从而实现主备备份或负载分担模式的双机热备。.........
华为防火墙笔记-安全策略
weixin_46622350的博客
12-04 4431
文章整理自《华为防火墙技术漫谈》 安全策略初体验 规则是实施安全控制的“安检员”，它在防火墙转发报文的过程中扮演着重要角色，只有规则允许通过，报文才能在安全区域之间流动，否则报文将被丢弃。规则在防火墙上的具体体现就是“安全策略”。 这里还要特意说明一下安全策略中的条件，可分为多个字段，如源地址、目的地址、源端口、目的端口等，这些字段之间是“与”的关系，也就是说，只有报文中的信息和所有字段都匹配上，才算是命中了这条策略。如果同一个字段中有多个匹配项，同时有两个源地址或三个目的地址，那么这些...
华为防火墙配置（双机热备）
1风天云月的博客
12-10 1万+
​ 目录 前言 一、双机热备概述 1、双机热备介绍 2、双机热备的要求 （1）硬件要求 （2）软件要求 （3）License要求 3、心跳线 4、心跳线和心跳接口的配置 5、心跳线和心跳接口的配置注意事项 6、双机热备工作模式 （1）主备备份模式 （2）负载分担模式 7、VGMP组 8、VGMP组的状态 二、双机热备配置 1、案例 2、配置过程 （1）USG1 （2）USG2 （3）AR1 （4）SW1 3、测试 （1）PC1 （2）PC2 结
VGMP对vrrp的控制
qq_47529104的博客
03-22 2524
概述 传统的vrrp主要靠的认为的配置设备的优先级来控制哪一端作为主要的传输设备，在一台设备上可能出现多个vrrp组，而且vrrp的固定线路的传输并不能很好的适应网络中变化的场景，所以vrrp这种组与组之间独立，与线路实际情况独立的协议在动态变化的网络上会出现诸多问题。 VGMP的对vrrp的控制 为了解决上面的问题，VGMP就出来了。VGMP有四种状态： initialize：这个是没有开启VGMP的时候的状态 active：当防火墙为active的时候，它上面的所有vrrp组都是maste
防火墙域间双向NAT，域内双向NAT与双机热备实验
m0_68498873的博客
08-08 1053
USG6000V1-GigabitEthernet1/0/1]service-manage all permit 保存主防火墙配置。
华为防火墙之NAT学习
weixin_54111663的博客
03-21 1421
通过ASPF功能可以对这些协议的应用层数据进行解析，识别这些协议协商出来的端口号，从而自动为其开放相应的访问规则，解决这些协议不能正常转发的问题。出接口地址（Easy-IP）因其转换方式非常简单，所以也称为Easy-IP，和NAPT一样，既转换源IP地址，又转换源端口，区别是出接口地址方式转换后的地址只能是NAT设备外网接口所配置的IP地址，属于多对一转换，可以节约IP地址，主要适用于没有额外的公网地址可用，内部上网用户非常多的场景下，直接通过外网接口本身的IP地址作为转换目标。
OSPF-路由引入实验.doc
04-19
OSPF-路由引入实验
OSPF接口优先级选DR-p366.pptx
11-17
OSPF接口优先级选DR-p366.pptx
网络安全技术-EIGRP和OSPF如何传递默认路由配置实验.mp3
07-05
网络安全技术-EIGRP和OSPF如何传递默认路由配置实验.mp3
防火墙双机热备之VGMP详解
Mario_Ti的博客
01-05 1462
本文将收录防火墙双机热备合集专栏，此文主要是讲解一下防火墙双机热备VGMP的详解以及常见的组网，让大家学习配置双机热备不同的组网类型的不同方法。
防火墙双机热备三大协议（VRRP-VGMP-HRP）原理
热门推荐
曹世宏的博客
03-30 2万+
防火墙双机热备技术 双机热备概述： 为什么需要要双机热备？ 解决单点故障，实现业务的平滑过渡（会话表需要同步的） 双机热备的两种部署方式： 主备方式 负载分担分时。 防火墙双机热备产生的原因，详细内容可参考：防火墙双机热备技术 三大协议框架： VRRP------虚拟路由冗余协议 VGMP------VRRP组管理协议（华为私有） HRP--------华为冗余协议（华为私有） ...
防火墙技术基础篇：认识安全策略、安全区域、域间转发及报文转发流程
qq_39241682的博客
04-24 840
简单通俗的讲，防火墙设备最基本的用途就是定义数据如何转发，靠什么定义呢？最基本的就是安全策略，当流量来到防火墙之后首先要报文匹配安全策略，先检查这个报文是否符合第一条安全策略的条件，如果符合就按照安全策略定义的规则动作执行，动作有permit和deny，也就是允许转发和不允许转发。如果第一条安全策略没有命中，那么继续匹配其他的安全策略。如果匹配完所有的安全策略都没有命中，那么将执行默认的安全策略动作（deny）。
防火墙技术之安全策略
大河之犬的博客
09-21 8592
安全策略基于安全区域的域间关系来呈现，其内容包括两个组成部分。条件。检查报文的依据，防火墙将报文中携带的信息与条件逐一对比，以此来判断报文是否匹配。动作。对匹配了条件的报文执行的动作，包括允许通过（permit）或拒绝通过（deny），一条策略中只能有一个动作。安全策略之间是存在顺序的，防火墙在两个安全区域之间转发报文时，会按照从上到下的顺序逐条查找域间存在的安全策略。如果报文命中了某一条安全策略，就会执行该安全策略中的动作，或允许通过或拒绝通过，不会再继续向下查找；
防火墙的安全区域及安全策略、NAT 配置
Qconfig100的博客
10-18 2305
公司总部的网络分成了三个区域，包括内部区域（Trust）、外部区域（Untrust）和服务器区域（DMZ）。你设计通过防火墙来实现对数据的控制，确保公司内部网络安全，并通过DMZ区域对外网提供服务。并且需要将DMZ区域中的一台服务器（IP地址为10.0.3.3）提供的Telnet服务和FTP服务发布出去，对外公开的地址为10.0.10.254/24。
TPM 是什么？如何查看电脑的 TPM？
最新发布
qq_57728300的博客
06-03 1231
或许还有人不知道什么是 TPM，本文带大家了解 TPM 是什么以及如何查看电脑的 TPM。
ospf-5-ADJCHG
11-03
OSPF-5-ADJCHG是指OSPF邻居状态发生变化时的系统日志消息。其中的数字5表示该消息的严重程度为通知级别。当OSPF邻居状态从LOADING变为FULL时，会触发该消息的显示。在引用中，该消息显示了OSPF进程10中邻居2.2.2.2在...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值