防火墙互联技术

53 阅读 0 评论 35 点赞

我是靠谱客的博主个性啤酒，最近开发中收集的这篇文章主要介绍防火墙互联技术，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

一.防火墙支持的接口种类：
物理接口：三层以太网接口、二层以太网接口
逻辑接口：
VT接口、Dialer接口—pppoe
Tunnel接口、NULL接口----VPN
VLAN接口
以太网子接口
Eth-Trunk接口、Loopback接口

二、Eth-Trunk：以太链路聚合
1.简介：链路聚合接口将多个物理接口捆绑成一个逻辑接口，提高传输带宽，
捆绑在一起的每个物理接口称为成员接口
2. 优点：提高链路带宽、可靠性、负载分担
3. 模式：手工负载分担、静态LACP
1）手工负载分担模式-----默认模式
所有的链路都需要参加转发
2）静态LACP模式----可以选择活动链路
链路聚合存在活动接口和非活动接口两种。转发数据的接口称为活动接口，而不
转发数据的接口称为非活动接口。只有当前活动接口出现故障时，非活动接口才
可以转变为活动接口。
LACP采用M:N的工作模式，即M条活动链路，N条备份链路，当有活动链路故障时，从N条备份链路中选取优先级最高的链路成为活动链路，接口LACP优先级值越小，优先级越高。
活动链路与非活动链路切换：
静态LACP模式链路聚合组两端设备中任何一端检测到以下事件，都会触发聚合组的链路切换：
链路Down事件。
以太网OAM检测到链路失效。
LACP协议发现链路故障。
接口不可用。
在使能了LACP抢占前提下，更改备份接口的优先级高于当前活动接口的优先级。
当满足上述切换条件其中之一时，按照如下步骤进行切换：
关闭故障链路。
从N条备份链路中选择优先级最高的链路接替活动链路中的故障链路。
优先级最高的备份链路转为活动状态并转发数据，完切换。

配置：
交换机：
1.配置Eth-Trunk
interface Eth-Trunk1
port link-type trunk
mode lacp-static
2.将接口加入Eth-Trunk
法1：
[SW-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/2 //将接口加入到Eth中
法2：
[SW]inter g0/0/2
[SW-GigabitEthernet0/0/2]eth-trunk 1
防火墙：
1.配置Eth-Trunk
interface Eth-Trunk1
mode lacp-static

interface Eth-Trunk1.10
vlan-type dot1q 10
ip address 10.1.1.1 255.255.255.0

interface Eth-Trunk1.20
vlan-type dot1q 20
ip address 20.1.1.1 255.255.255.0

.接口加入Eth-Trunk
interface GigabitEthernet1/0/1
eth-trunk 1
3.查看
dis eth-trunk 1
2019-07-26 10:02:45.960
Eth-Trunk1’s state information is:
Local:
LAG ID: 1 WorkingMode: STATIC
Preempt Delay: Disabled Hash arithmetic: According to flow
System Priority: 32768 System ID: 00e0-fc4e-7804
Least Active-linknumber: 1 Max Active-linknumber: 8
Operate status: up Number Of Up Port In Trunk: 2

ActorPortName Status PortType PortPri PortNo PortKey PortState Weight
GigabitEthernet1/0/1 Selected 1GE 32768 1 305 10111100 1
GigabitEthernet1/0/0 Selected 1GE 32768 2 305 10111100 1

ActorPortName SysPri SystemID PortPri PortNo PortKey PortState
GigabitEthernet1/0/1 32768 4c1f-cc94-0b81 32768 3 305 10111100
GigabitEthernet1/0/0 32768 4c1f-cc94-0b81 32768 2 305 10111100
三、Vlanif接口
1.创建vlan
[USG6000V1]vlan batch
[USG6000V1]vlan batch 10 20
2.接口改成二层接口
interface GigabitEthernet1/0/1
portswitch //接口变为二层
port link-type access
port default vlan 10
3.配置vlanif接口
interface Vlanif10
ip address 10.1.1.1 255.255.255.0
4.将接口划入到安全区域
firewall zone trust
add interface Vlanif10
add interface Vlanif20
5.检查测试

华为防火墙默认在同一个ZONE内不需要安全策略

四、路由

静态路由：
配置静态路由可以在路由选择中实施非常精确的控制，但是当网络发生变化或故障时，
管理员需要重新进行手工配置
1）静态路由指定出接口或下一跳：
指定出接口场景：PPP、PPPoE
指定下一跳地址场景：NBMA接口、以太网接口、Virtual-template

对于点到点接口，指定发送接口即隐含指定了下一跳地址，这时认为与该接口相
连的对端接口地址就是路由的下一跳地址。
对于NBMA接口，它支持点到多点网络，这时除了配置IP路由外，还需在链路层
建立二次路由，即IP地址到链路层地址的映射。这种情况下应配置下一跳IP地址。
对于以太网接口，因为以太网接口是广播类型的接口，这会导致出现多个下一跳，
无法唯一确定下一跳，因此必须指定下一跳地址。
对于Virtual-template接口，因为Virtual-template接口下可以关联多个虚拟访问接
口（Virtual Access Interface），这都会导致出现多个下一跳，无法唯一确定下一
跳，因此必须指定下一跳地址。
2）多出口：防火墙通过多个接口连接到Internet或其他网络，多个接口之间形成主备备
份或负载分担关系，从而提高业务的可靠性。
前提条件：存在多条等价路由

3）多出口支持的模式：主备模式、负载分担模式
（1）主备模式：通过接口配置standby、接口配置优先级
（2）负载分担模式：均衡负载分担、溢出式负载分担
A. 均衡负载分担：默认逐流转发，有两种方式：百分比负载分担、HASH方式负载分担
a.按百分比负载分担：也称为按权重负载分担，接口上设置的负载分担百分比越大，
该接口承担的流量就越大，逐包和逐流方式都支持
b.按分担方式负载分担：按照选择的Hash方式进行负载分担，可以选择源IP地址、源
端口、目的IP地址和目的端口四个元素中的一个或者多个进行Hash值计算。
然后根据这个值选择一个接口传输流量，默认采用逐流转发方式
B. 溢出式：默认逐包转发（逐包会出现来回路径不一致的情况），存在主从接口，正
常时主接口转发流量，只有当主接口超出一定阈值时，由从接口转发流量
4）逐流与逐包转发
A.逐流转发：
 逐流转发以流为单位，同一条数据流的报文从同一个接口转发，不同的数据流
根据一定的算法选择接口。
 逐流转发能保证包顺序，但不能保证带宽利用率。
B.逐包转发：
 逐包转发以报文为单位，轮询选择接口。同一条数据流的报文不一定从同一个
接口转发。
 逐包转发能保证带宽利用率，但不能保证包的顺序
配置：
1.基本配置：IP zone nat 路由
2.配置均衡式负载分担
3.检查

1.基本配置
静态路由配置：
ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
ip route-static 0.0.0.0 0.0.0.0 2.1.1.2
配置zone：
rule name trust_untrust
source-zone trust
destination-zone untrust
service icmp
action permit
rule name dmz_untrust
source-zone dmz
destination-zone untrust
service icmp
action permit
配置NAT策略：
rule name source_nat
source-zone dmz
source-zone trust
destination-zone untrust
action source-nat easy-ip
将接口加入安全区域：
firewall zone trust
add interface GigabitEthernet0/0/0
add interface Vlanif10

firewall zone untrust
add interface GigabitEthernet1/0/2
add interface GigabitEthernet1/0/3

firewall zone dmz
add interface Vlanif20

2.动态路由：防火墙不监控组播报文，但是单播报文需要放行安全策略
1）接口配置IP地址
2）将接口划分到相应zone
3）配置OPSF
ospf 1 router-id 4.4.4.4
area 0.0.0.0
network 10.1.2.0 0.0.0.255
network 10.1.3.0 0.0.0.255
network 10.2.2.0 0.0.0.255
network 10.2.3.0 0.0.0.255
4）配置安全策略
rule name ospf
source-zone local
source-zone untrust
destination-zone local
destination-zone untrust
service ospf
action permit
5）检测

3.策略路由：策略路由是在路由表已经产生的情况下，不按照先有的路由表进行转发，而是根据用户指定的策略进行路由选择的机制。策略路由没有替代路由表，而是优于路由表生效，为某些特殊业务指定转发方向。
1）策略路由可以用于多出口场景：
进行基于用户的选路
基于协议、应用选路
策略路由智能选路不能和IP欺骗攻击防范功能或URPF（UnicastReversePath Forwarding，单播逆向路径转发）功能一起使用。如果开启IP欺骗攻击防范功能或URPF
功能，可能导致NGFW丢弃报文。
2）策略路由过程：
（1）匹配条件
出接口源安全区域用户应用地址时间段
（2）动作
做策略：单出口、多出口
不做策略
（3）下一跳和出接口
防火墙不允许被trace
3）单出口策略路由配置：
（1）基本配置
（2）配置策略路由
（3）配置追踪机制（跟ip-link联动）
（4）放行IP-link安全策略
Ip-link，发送单播报文追踪上行链路，默认防火墙不放行，需要放行策略
策略路由失效时，匹配路由表
（5）配置联动静态路由
（6）检查测试
命令：
配置策略路由：
policy-based-route
rule name pbr
source-zone dmz
source-zone trust
destination-address 200.200.200.200 mask 255.255.255.255
track ip-link ip-link
action pbr next-hop 1.2.1.2
配置ip-link
ip-link check enable
ip-link name ip-link
destination 1.2.1.2 mode icmp
放行ip-link安全策略：
rule name ip-link
source-zone local
destination-zone untrust
source-address 1.2.1.0 mask 255.255.255.0
destination-address 1.2.1.0 mask 255.255.255.0
service icmp
action permit
联动静态路由：
ip route-static 0.0.0.0 0.0.0.0 1.2.1.2 track ip-link ip-link
检查：
[FW]dis ip-link name ip-link
2019-07-29 08:45:22.590
Name Member State Up/Down/Init
ip-link 1 up 1 0 0

[FW]dis policy-based-route rule all
2019-07-29 08:45:42.270
Total:3

rule id rule name state action hits

1 pbr enable pbr 4
0 default enable no-pbr 154
-------------------------------------------------------------------------------**

四、多出口选路：
智能选路：就近路由、策略路由、缺省路由
就近路由：匹配明细路由
策略路由：配置策略路由
全局选路：匹配缺省路由
智能选路功能包括策略路由智能选路和全局智能选路，两种智能选路功能可以同时使用，不会产生冲突，因为两个选路过程存在先后顺序
NGFW进行流量转发时，查询路由的先后顺序为策略路由、明细路由、缺省路由
策略路由智能选路发生在流量命中策略路由时，如果多个出接口则需要进行选路
全局智能选路发生中流量命中缺省路由时，如果有多个缺省路由则需要进行选路

智能选路实现方式：
链路带宽：根据接口带宽大小，按照比例转发，可以设置过载保护值，超过过载保护值，
该接口停止转发，其他接口转发，如果都超过过载保护值按照原来的带宽比例转发
链路权重：基于带宽，延迟，费用等因素，赋予不同的权重值，按照权重值转发，超过过
载保护值，该接口停止转发，其他接口转发，如果都超过，按照带宽比例进行转发
链路优先级：当每条链路之间的带宽、延迟、费用的差距较大时使用
主备方式-----不设置过载保护
负载分担-----设置过载保护
链路质量：丢包率、时延、时延抖动等综合考虑

1.就近选路（ISP选路）：当路由表中存在明细路由和默认路由时，会优先匹配明细路由，
就近选路就是批量创建静态明细路由，从而实现报文向特定的ISP进行转发
配置：
web配置流程：
1）网络–智能选路–运营商地址库—导入
2）网络–接口–链路接口–新建–启用运营商路由、缺省路由、健康链路检查
3）对象–健康检查–新建–追踪下一跳
4）策略–安全策略–放行健康检查的策略
命令行配置流程：
1）自定义ISP配置
2）配置健康检查—要放行安全策略
3）接口调用
4）测试检查
命令：
1）ISP配置
isp name isp1 set filename ISP1.csv linkif-group 63
isp name isp2 set filename ISP2.csv linkif-group 62
2）启动健康检查
healthcheck enable
healthcheck name health_link1
destination 1.1.1.2 protocol icmp
healthcheck name health_link2
destination 1.2.1.2 protocol icmp
放行安全策略：
security-policy
rule name health_link1
source-zone local
destination-zone untrust
source-address 1.1.1.0 mask 255.255.255.0
destination-address 1.1.1.0 mask 255.255.255.0
action permit
rule name health_link2
source-zone local
destination-zone untrust
source-address 1.2.1.0 mask 255.255.255.0
destination-address 1.2.1.0 mask 255.255.255.0
action permit
3）接口调用
link-interface 0 name isp1
interface GigabitEthernet1/0/3 next-hop 1.1.1.2
healthcheck health_link1
isp isp1 route enable //启用运营商路由，生成明细路由

link-interface 1 name isp2
interface GigabitEthernet1/0/0 next-hop 1.2.1.2
healthcheck health_link2
isp isp2 route enable

4）检测
查看健康检测
dis healthcheck
2019-07-30 09:29:52.330
Current Total Healthcheck Number : 2
Name Member State Up/Down/Init
health_link1 1 up 1 0 0
health_link2 1 up 1 0 0
查看isp配置
dis isp all
2019-07-30 09:32:38.110
isp information(total number: 2)
isp name: isp1
file name: ISP1.csv
next-hop: GigabitEthernet1/0/3, 1.1.1.2
status: enable

  isp name: isp2
 file name: ISP2.csv
  next-hop: GigabitEthernet1/0/0, 1.2.1.2
    status: enable

查看路由表
[FW]dis ip routing-table
Destination/Mask Proto Pre Cost Flags NextHop Interface

    0.0.0.0/0   Unr     70   0           D   1.1.1.2         GigabitEthernet1/0/3
                       Unr     70   0           D   1.2.1.2         GigabitEthernet1/0/0
  100.100.100.100/32  Unr     70   0           D   1.1.1.2         GigabitEthernet1/0/3
  200.200.200.200/32  Unr     70   0           D   1.2.1.2         GigabitEthernet1/0/0

配置网关，会产生缺省路由

2.策略路由选路
在一个策略路由规则中，可以包含多个匹配条件，各匹配条件之间是与的关系，必须同时满足所有匹配条件，才可以执行后续转发动作。
1）策略路由功能：
（1）将报文发送到指定的下一跳设备
（2）从指定出接口发送报文
（3）利用智能选路功能，从多个出接口中选择出一个出接口发送报文
（4）把报文发送到指定的虚拟系统
web界面配置：
网络–接口–多出口–接口带宽
网络–链路接口–新建
网络–路由–智能选路–策略路由–新建–选择多出口选项
命令行配置：
policy-based-route
rule name pbr 2
source-zone dmz
source-zone trust
destination-address 200.200.200.200 mask 255.255.255.255
action pbr multi-linkif
mode proportion-of-weight
add linkif global1
add linkif global2

3）全局智能选路：当策略路由，明细路由都无法匹配时，按照默认路由进行转发，全局
、智能智能选路就是匹配默认路由
web界面配置：
网络–接口–多出口–接口带宽
网络–链路接口–新建
网络–路由–智能选路–全局选路策略–配置–选择选路方式
命令行配置：
1）接口设置带宽及阈值
interface GigabitEthernet1/0/0
undo shutdown
ip address 1.2.1.1 255.255.255.0
gateway 1.2.1.2
bandwidth ingress 100 threshold 90
bandwidth egress 100 threshold 90

interface GigabitEthernet1/0/3
undo shutdown
ip address 1.1.1.1 255.255.255.0
gateway 1.1.1.2
bandwidth ingress 100 threshold 90
bandwidth egress 100 threshold 90
2）配置链路接口
link-interface 0 name global1
interface GigabitEthernet1/0/3 next-hop 1.1.1.2
healthcheck health_link1

link-interface 1 name global2
interface GigabitEthernet1/0/0 next-hop 1.2.1.2
healthcheck health_link2
3）配置健康检测
healthcheck enable
healthcheck name health_link1
destination 1.1.1.2 protocol icmp
healthcheck name health_link2
destination 1.2.1.2 protocol icmp
4）设置权重选路
multi-linkif
mode proportion-of-weight
add linkif global1 weight 4 --权重设为4
add linkif global2 --默认权重为1

[FW-multi-linkif]mode ?
priority-of-link-quality Indicate link selection based on link quality priorities //链路质量
priority-of-userdefine Indicate link selection based on used-defined priorities //优先级
proportion-of-bandwidth Indicate load balancing based on interface bandwidths //带宽
proportion-of-weight Indicate load balancing based on interface weights //权重

五：DNS
1.DNS—配置DNS，防火墙本身可以做域名解析
2.DNS代理
DNS透明代理：主要跟智能选路结合使用，单独使用没有意义，当没有内部DNS时使用
DNS透明代理功能可以修改部分DNS请求报文的目的地址，将其修改为其他ISP内的DNS服务器地址