網絡運維|防火墻基于IP的轉發策略
2020-05-26 16:54 作者：艾銻無限 瀏覽量：
大家好，我是一枚從事IT外包的網絡安全運維工程師，今天和大家分享的是網絡安全設備維護相關的內容，想要學習防火墻必須會配置轉發策略。簡單網絡安全運維，從防火墻學起,一步一步學成網絡安全運維大神。
網絡維護是一種日常維護，包括網絡設備管理(如計算機，服務器)、操作系統維護(系統打補丁，系統升級)、網絡安全(病毒防范)等。+
北京艾銻無限科技發展有限公司為您免費提供給您大量真實有效的北京網絡維護服務，北京網絡維護信息查詢，同時您可以免費資訊北京網絡維護，北京網絡維護服務，北京網絡維護信息。專業的北京網絡維護信息就在北京艾銻無限+
+
北京網絡維護全北京朝陽豐臺北京周邊海淀、大興、昌平、門頭溝、通州、西城區、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網絡維護信息
基于IP地址的轉發策略
介紹最基本的通過IP地址控制訪問權限的舉例。組網需求
在某企業中允許192.168.5.0/24網段的用戶訪問Internet，但是在此網段中192.168.5.2、192.168.5.3和192.168.5.6的這幾臺PC對安全性要求較高，不允許上網，如圖7-3所示。并且要求對用戶所訪問的網站進行控制，不允許訪問P2P類網站。
圖7-3 基于IP地址的域間轉發策略
配置思路
1. 轉發策略規劃。需求是需要允許192.168.5.0/24這個大范圍的網段通過，然后拒絕這個范圍內的幾個特殊IP。這樣需要配置2條轉發策略，由于策略的匹配順序默認與配置順序一致，因此必須先配置拒絕特殊IP通過的轉發策略，然后再配置允許整個網段通過的轉發策略。如果配置反了，幾個特殊的IP就會先匹配上大范圍的策略通過防火墻了，不會再繼續匹配下邊的特殊策略了。
2. 地址組規劃和配置。
需求中是通過IP地址控制訪問權限，那么需要在轉發策略中指定IP地址作為匹配條件。對于連續的地址段可以在策略中直接配置，但是對于零散的地址建議配置為地址組，對地址組進行統一控制，而且也方便被其他策略復用。所以在本例中可以將幾個特殊的IP地址配置成一個地址組。
地址組配置的菜單路徑為：“防火墻 > 地址 > 地址組”。
3. 配置Web過濾策略，限制可以訪問的網站。
配置Web過濾前首先應該啟用UTM功能。啟用UTM功能的菜單路徑為：“UTM > 基本配置 > 基本配置”。
Web過濾策略配置的菜單路徑為：選擇“UTM > Web過濾”。
4. 轉發策略配置。
轉發策略配置的菜單路徑為：“防火墻 > 安全策略 > 轉發策略”。
說明：
· 本例只給出轉發策略的配置步驟，實際內網訪問Internet還需要配置NAT，注意配置轉發策略時指定的源IP地址是NAT轉換前的實際內網IP地址。
· 內網PC上需要配置網關，本例中網關為接口(1)，即GigabitEthernet 0/0/2的接口IP地址。
· USG上需要在“路由 > 靜態 > 靜態路由”中配置缺省路由。
· 如果局域網使用二層接口卡的LAN口接入，需要將物理口加入VLAN并配置Vlanif。此時需要將Vlanif接口加入Trust域并配置轉發策略。
操作步驟
1. 配置接口基本參數。a. 選擇“網絡 > 接口 > 接口”。
b. 在“接口列表”中單擊GE0/0/2對應的。
c. 配置接口GigabitEthernet 0/0/2。
配置參數如下：
· 安全區域：trust
· 模式：路由
· 連接類型：靜態IP
· IP地址：192.168.5.1
· 子網掩碼：255.255.255.0
d. 單擊“應用”。
e. 重復上述步驟配置接口GigabitEthernet 0/0/3。
配置參數如下：
· 安全區域：untrust
· 模式：路由
· 連接類型：靜態IP
· IP地址：1.1.1.1
· 子網掩碼：255.255.255.0
2. 配置名稱為deny_ip的地址組，將幾個不允許上網的IP地址加入地址組。
a. 選擇“防火墻 > 地址 > 地址組”。
b. 在“地址組列表”中單擊，進入“新建地址組”界面。
c. 配置地址組的名稱和描述信息。
配置參數如下：
· 名稱：deny_ip
· 描述：特殊內網用戶的IP集合，對安全性要求較高，不允許訪問Internet。
d. 單擊“配置IP地址”右側的，將IP地址192.168.5.2/32加入地址組。
重復該步驟將IP地址192.168.5.3/32和192.168.5.6/32加入地址組，如圖7-4所示。
圖7-4 配置地址組
說明：
使用此功能需要使用License。
如果只需要限制是否可以上網，進行簡單的包過濾，此步驟可以忽略。
a. 啟用UTM功能。
. 選擇“UTM > 基本配置 > 基本配置”，查看“UTM功能”右側的“啟用”復選框是否已經選中，如未選中，則選中該復選框，然后單擊“應用”。
i. 在彈出的對話框中選擇“保存配置并重啟”，單擊“確定”重啟設備。啟用/禁用UTM功能需要重啟設備后才能生效。
a. 配置DNS，用來解析安全服務中心（sec.huawei.com）的域名。
i. 選擇“網絡 > DNS > DNS”。
ii. 在左側輸入IP地址202.118.66.6。
iii. 單擊將202.118.66.6加入服務器列表。
b. 配置URL過濾器。
i. 選擇“UTM > Web過濾 > URL過濾器”。
ii. 單擊。
iii. 配置該URL過濾器的名稱為filter_deny_p2p。
iv. 單擊“應用”。
v. 配置URL過濾器filter_deny_p2p的相關參數如下：
· 默認動作：允許
· 只選中“啟用預定義分類過濾”復選框
· 單擊“分類名稱”P2P對應，將P2P分類的處理動作切換為阻斷
vi. 單擊“應用”。
c. 配置Web過濾策略。
i. 選擇“UTM > Web過濾 > 策略”。
ii. 在“Web過濾基本配置”界面中選中“URL過濾”的“啟用”復選框。
iii. 配置“Web推送內容”為“對不起，您無權訪問P2P類網站。”。
iv. 單擊“應用”。
v. 在“Web策略列表”中單擊。
vi. 配置策略名稱為deny_p2p。
vii. 單擊“應用”。
viii. 在“URL過濾器”右側的下拉框中選擇filter_deny_p2p。
ix. 單擊“應用”。
1. 配置拒絕特殊地址組deny_ip內IP地址訪問Internet的轉發策略。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 選擇“轉發策略”頁簽。
c. 在“轉發策略列表”中單擊。
該轉發策略的具體參數配置如圖7-5所示。
圖7-5 配置阻止地址組deny_ip訪問Internet的轉發策略
2. 配置允許192.168.5.0/24網段訪問Internet的轉發策略，并引用Web過濾策略。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 選擇“轉發策略”頁簽。
c. 在“轉發策略列表”中單擊。
該轉發策略的具體參數配置如圖7-6所示。
圖7-6 配置允許192.168.5.0/24網段訪問Internet的轉發策略
說明：
缺省情況下，Trust-Untrust域間出方向的缺省包過濾策略為deny，如果之前已經配置了permit請注意配置此步驟。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 選擇“轉發策略”頁簽。
c. 在“轉發策略列表”中單擊“trust->untrust”下面“默認”對應的
。“trust->untrust”默認轉發策略的配置如圖7-7所示。
圖7-7 配置“trust->untrust”默認轉發策略為deny
結果驗證
1. 驗證192.168.5.2、192.168.5.3和192.168.5.6這3臺PC訪問Internet是否被拒絕。如果能訪問說明配置錯誤，請檢查轉發策略地址匹配條件是否配置正確、策略配置順序是否正確。如果先配置了允許整個網段訪問Internet的轉發策略，這幾個IP地址就不會匹配到拒絕訪問Internet的策略了。2. 驗證192.168.5.0/24中的其他IP地址是否可以正常訪問Internet。
3. 驗證可以上網的IP地址訪問P2P類網站是否被拒絕。
以上文章由北京艾銻無限科技發展有限公司整理
相關文章
IT電腦維護外包
關閉