1.5，透明模式

1、透明模式,,,什么是透明模式?,Netscreen 防火墻的接口在第二層的網(wǎng)橋模式或者是第二層的交換模式下進(jìn)行工作。Learning, Flooding, Forwarding, Filtering通過安全策略讓風(fēng)火墻對(duì)第二層的安全區(qū)之間的數(shù)據(jù)包進(jìn)行流量的訪問控制。,10.1.0.0/16,,,E1,E3,zoneV1-Trust,zoneV1-DMZ,zoneV1-Untrust,E2,Layer 2 Frame Forwa

2、rding (Bridging/Switching),透明模式的功能Learning (based on Source MAC address)Forward/Flood/Filter (based on Destination MAC address)Loop prevention (Spanning Tree protocol),MAC Address Table,00c0.01cd.5120 [E1][E8] 0

3、0e0.01ab.cd10,,,,,,,,,,V1-Untrust,,透明模式的工作,由于沒有使用到網(wǎng)絡(luò)的第三層，因此，透明模式能夠讓防火墻更加快速的部署。不需要定義拓?fù)浣Y(jié)構(gòu)增加安全性在netscreen 的二層工作模式下可以使用VPNZone 概念的提出，可以提供比基于路由的ACL更加安全的訪問控制,10.1.0.0/16,B,B,D,,,,,A,B,10.100.1.0/16,10.200.1.0/16,,,Layer-2

4、安全區(qū),預(yù)先定義的 “V1” zonesV1-TrustV1-UntrustV1-DMZ用戶定義的安全區(qū)Layer-2 (L2) 區(qū)用戶在定義安全區(qū)的時(shí)候必須以 “L2-”開頭。,透明模式中的接口,在ScreenOS 5.0 沒有定義任何接口是屬于透明模式把一個(gè)接口放到第二層的安全區(qū)中因此二層的接口的域必須是以 “V1-” or “L2-”開頭的。所有接口在v1或者是L2 安全區(qū)，是具有相同廣播域的第二層防火墻的成員。

5、,,Int e1,Zone L2-private,,Int e2,Zone L2-public,10.1.0.0/16,,,,VLAN1 接口,在VLAN 區(qū)中是第三層邏輯接口該接口可以配置一個(gè)IP 地址，用來管理netscreen 防火墻。支持管理IP地址所有物理接口都可以接受arp 請(qǐng)求。,,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,,,,V1-Untrust,VLAN1 is a

6、 logical interface which is accessible fromany transparent zone,VLAN1 interface: 1.1.1.210/24,,E1,E3,E2,A,B,C,,,,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,,,,V1-Untrust,VLAN1 interface: 1.1.1.210/24,,E1,E3,E2,A,B,C,管

7、理行為,VLAN1 will inherit management options from zone membership of physical interfaces,,X,,,,VLAN1 interface: 1.1.1.210/24,透明模式的配置,建立2層的安全區(qū) (在沒有使用缺省安全區(qū)的情況下)分配接口給2層安全區(qū)為VLAN1 配置管理地址3a. 配置IP 地址3b. 選擇廣播的方法3c. 配置管理服務(wù)(可選

8、項(xiàng)) 配置每個(gè)安全區(qū)的管理服務(wù)在不同的安全區(qū)之間配置策略,Step 1: 配置2層安全區(qū),Network > Zones > New,,,set zone name L2 Example:ns208-> set zone name L2-Demo L2 1,Step 2: 分配接口到安全區(qū),Network > Interfaces (Edit),set interface zone ns208->

9、; set interface e3 zone L2-Demo,,Step 3a: 配置VLAN1 的IP 地址,Network > Interfaces > Edit (VLAN1),Use for Interface IP when terminating VPNs,Use Manage-IP as destination address of PING, telnet, Web UI, etc.,set interfa

10、ce vlan1 ip /ns208-> set int vlan1 ip 1.1.7.1/24,set interface vlan1 manage-ip ns208-> set int vlan1 manage-ip 1.1.7.100/24,Step 3b: 選擇廣播的方法,Flooding (default)如果MAC表中沒有，原數(shù)據(jù)包將向所有的接口進(jìn)行廣播——除了流入數(shù)據(jù)包的接口。ARP/Trace-Rou

11、te如果MAC表中沒有, ARP 或 traceroute 將向所有的接口進(jìn)行廣播——除了流入數(shù)據(jù)包的接口。,Network > Interfaces > Edit (VLAN1),set vlan1 broadcast arp,set vlan1 broadcast flood,Step 3c: 配置VLAN1 的服務(wù),允許所有的管理服務(wù)Web UI, Telnet, SSH, SNMP, SSL, NS-Global

12、Pro (nsmgmt)選擇指定的管理服務(wù),Network > Interfaces > Edit (VLAN1),set interface vlan1 managens208-> set int vlan1 manage,set interface vlan1 manage []ns208-> set int vlan1 manage webns208-> set int vlan1 ma

13、nage sslns208-> set int vlan1 manage nsmgmt,Step 4: 在每個(gè)安全區(qū)中配置不同的管理服務(wù),Network > Zones> Edit (V1-Trust),set zone manage []ns208-> set zone v1-dmz manage web,透明模式的檢查工具,Get interfaceGet ARPGet mac-learnGet

14、session,Get interface ,ns208-> get interface ethernet1Interface ethernet1: number 0, if_info 0, if_index 0, mode xparent, port vlan 1, sess token 9 link up, phy-link up/half-duplex vsys Root, zone V1-Trust, vr

15、trust-vr *ip 0.0.0.0/0 mac 0010.db22.23f0 ping enabled, telnet enabled, SSH enabled, SNMP enabled web enabled, ident-reset disabled, SSL enabled, nsmgmt enabled webauth disabled DHCP-Relay disabled bandwidt

16、h: physical 100000kbps, configured 0kbps, current 0kbps total configured gbw 0kbps, total allocated gbw 0kbpsns208->,Get arp,ns208-> get arpIP Mac VR/Interface State

17、 Age Retry PakQue3.4.5.6 abc3241244dc trust-vr/v1-trust STS 0 01.1.7.250 00065bd2ff42 trust-vr/v1-trust VLD 1151 0 0ARP Entry Number 2/1024, No Free Entry

18、Count: 0Arp always-on-dest: disabledns208->,Note: Although it says “interface”, in transparent mode the zone name is displayed,Get mac-learn,學(xué)習(xí)Associates a MAC address with an outgoing interfaceDetermines how rece

19、ived frames are forwarded in Layer-2Also known as Bridge Table or L2 Forwarding Table靜態(tài)ARP 影射MAC address to outgoing port association can be manually configured via the CLI,set mac ,ns208-> get mac-learnlink down

20、 clear mac learn table: enableTotal 3, Create 9, Ageout 6Flood 1, BCast 150, ReLearn 1, NoFree 0, Error 0, Drop 0 ethernet2: 0004.7648.aa3c 56ethernet1: 0010.db13.e441 44ethernet3

21、: 0010.db15.6bc4 59,Get session,ns208-> get sessionalloc 2/max 128000, alloc failed 0id 43/s**,vsys 0,flag 00000090/00/00,policy 1,time 1 17(01):192.168.1.5/27129->192.168.1.10/768,1,00b0d06c3f39,vlan 0,tu

22、n 0,vsd 0 19(00):192.168.1.5/27129192.168.1.10/768,1,00b0d06c3f39,vlan 0,tun 0,vsd 0 19(00):192.168.1.5/27385<-192.168.1.10/768,1,0010db2b1622,vlan 0,tun 0,vsd 0Total 2 sessions shown,ICMP Sequence #,ICMP Identifie