防火墻交換模式配置

1、防火墻交換模式配置,,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,案例描述,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,2,需求陳述防火墻eth6接口和eth7接口配置為透明模式Eth6與eth7同屬一個虛擬橋接組，eth6屬于l2-trust安全域，eth7屬于l2-untrust安全域。允許網(wǎng)段A ping 網(wǎng)段B及訪問網(wǎng)段B的WEB服務放行網(wǎng)段B至網(wǎng)段A的TCP9988端口為虛擬橋接組vs

2、witch1配置ip地址以便管理防火墻,,網(wǎng)段A:192.168.1.1 - 192.168.1.100,網(wǎng)段B:192.168.1.101 - 192.168.1.200,網(wǎng)絡拓撲,Eth6Zone:l2-trust,Eth7Zone:l2-untrust,Vswtichif1:192.168.1.254/24,配置步驟,接口配置配置虛擬交換機（vswitch）添加對象網(wǎng)絡對象服務對象配置安全策略,www.dcnet

3、works.com.cn,神州數(shù)碼網(wǎng)絡,3,接口配置,將eth6接口加入二層安全域l2-trustDCFW-1800(config)# interface ethernet0/6DCFW-1800(config-if-eth0/6)# zone l2-trust添加管理主機DCFW-1800(config)# admin host any any,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,4,配置vswitch,

4、將l2-trust安全域綁定到vswitch1上DCFW-1800(config)# zone l2-trustDCFW-1800(config-zone-l2-tru~)# bind vswitch1配置vswitchif1接口DCFW-1800(config)# interface vswitchif1DCFW-1800(config-if-vsw1)# zone trustDCFW-1800(config-if-vsw

5、1)# ip address 192.168.1.254/24DCFW-1800(config-if-vsw1)# manage pingDCFW-1800(config-if-vsw1)# manage https完成上述配置后即可在網(wǎng)段A通過WEBUI使用vswitchif1接口IP進行管理,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,5,外網(wǎng)口配置,通WEBUI登陸防火墻對eth7接口進行配置將eth7接口

6、所屬安全域類型指定為“二層安全域”將eth7接口劃歸l2-untrust安全域,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,6,,,物理接口配置為二層安全域時無法配置IP地址,,對eth0/7接口進行編輯,添加對象,為即將建立的安全策略定義地址對象和服務對象定義地址對象定義網(wǎng)段A (192.168.1.1 – 192.168.1.100)定義網(wǎng)段B (192.168.1.101 – 192.168.1.200)定

7、義服務對象為網(wǎng)段A訪問網(wǎng)段B定義服務對象，其中包括ping和http為網(wǎng)段B訪問網(wǎng)段A定義服務對象，其中只有TCP9988,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,7,定義地址對象,定義包含網(wǎng)段A的地址對象net_A在地址薄里“新建”地址對象,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,8,把地址對象與它所屬的vswitch相關聯(lián),由于對象不是整個網(wǎng)段所以使用IP范圍定義,,定義地址對象,定義包含網(wǎng)

8、段B的地址對象net_B在地址薄里“新建”地址對象,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,9,把地址對象與它所屬的vswitch相關聯(lián),由于對象不是整個網(wǎng)段所以使用IP范圍定義,,定義服務對象,為網(wǎng)段A訪問網(wǎng)段B定義服務對象由于包含多個服務，這里定義了一個服務對象組,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,10,選中左側的服務對象推送到右側的成員組中,,,定義服務對象,為網(wǎng)段B訪問網(wǎng)段A定義服務

9、對象由于“預定義”服務對象中不存在該服務，所以需要在“自定義”服務對象中手工定義,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,11,這里定義的服務對象是要訪問的目的端口，如果端口號只有一個填寫最小值即可,,,配置安全策略,添加網(wǎng)段A到網(wǎng)段B的策略在“安全”->“策略”中選擇好“源安全域”和“目的安全域”后，新建策略,www.dcnetworks.com.cn,神州數(shù)碼網(wǎng)絡,12,,,源地址選擇網(wǎng)段A的地址對象,目