解决方案-防火墙云平台-手把手教渗透笔记

解决方案-防火墙云平台-手把手教渗透笔记

项目背景

随着社交媒体、移动支付、在线娱乐在生活中的日渐深入和渗透，云端产品及服务已成为人们生活里不可或缺的部分。作为云计算时代必备的安全服务之一，云防火墙可以帮助企业或组织实现对云环境中网络流量的全面监控和防御，保障各类云端业务的正常运行和安全性。

因此，对于需要在云平台上部署业务的企业或组织来说，选择适合自己的云防火墙产品尤其重要。

部署环境

某集团公司顺应云端安全建设需求的趋势，计划在移动云部署云防火墙，以实现：

∷提供云上互联网边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等

∷支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张需求

∷以极简应用让用户快速灵活应对威胁

为实现上述需求，该集团公司选用了太一星晨云防火墙为网关，并使之与分支设备通过隧道三层互通，实现了对服务器入侵检测、防病毒等全系列的安全防护。

但是，在使用的过程中，当地方CPE设备与云防火墙建立隧道，并且云服务器网关指向防火墙VLAN IP后，却发现地方客户端无法通过隧道访问到云端服务器地址。

这是为什么呢？

分析问题

太一工程师通过云端防火墙抓包发现地方客户端访问过来的流量没有被转发：

然后，防火墙ping服务器不通，且无法学到mac地址：

又使用服务器ping云防火墙，依然无法ping通，并且通过在云防火墙debug，发现云服务器发出的arp报文云防火墙并没有收到：

随后，太一工程师尝试将云防火墙与服务器互联接口改为3层物理接口，这时，服务器可以通云防火墙了，但云防火墙转发的地方客户端流量服务器依然无法收到：

继续尝试将云防火墙与服务器互联接口改为untag的vlan模式，现象与打标签的vlan模式一样——服务器与云防火墙依然互相学不到mac：

解决问题

通过与移动云客服交流了解到，因为考虑到安全问题，用户会对同一虚拟私有云（VPC）下的同网段做限制。如果要使手动配置的vlan ip互通或是同网段设备配置一个网关，则需要在云端上对应接口将“源目的地址检查”去除。

将服务器侧和防火墙侧的“源目的地址检查”都去除后，地方客户端就能够与云服务器互通且业务恢复正常。

/ 篇末小结/

由此可知，与物理环境部署相比，虽然设备的配置并没有改变，但云环境自身的配置也会影响业务的处理流程。

随着越来越多的政府、企业将业务部署在云端，安全问题也从数据中心转向云端环境，太一星晨以其扎实的技术基础，持续助力云端安全建设。

~

网络安全学习，我们一起交流

~