防火墙以透明模式部署到路由器和三层交换机之间
浅谈防火墙配置中路由模式和透明模式的区别与应用
浅谈防火墙配置中路由模式和透明模式的区别与应用作者：黄安祥来源：《消费导刊》2018年第17期所谓防火墙，指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。
是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。
防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。
该计算机流入流出的所有网络通信和数据包均要经过此防火墙。
在网络中，“防火墙”，是指一种将内部网和公众访问网分开的方法，它实际上是一种隔离技术。
防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。
路由器和防火墙和相比，都属于网关设备，可以支持网络的各种应用，在差异性上有设计思路和实现方式的不同。
Router是作为一种“网络连通手段”，保证网络互连互通为主；Firewall 是作为一种“网络隔离手段”，隔离网络异常数据为主。
Router：能正确转发包的设备是路由器：Firewall：能正确丢包的设备是防火墙。
一、防火墙配置里的工作模式一般硬件防火墙有路由模式、网桥模式、混合模式，路由模式连接不同网段，防火墙有实际的地址，网桥模式即透明模式，连接相同网段，防火墙没有地址，内网用户看不到防火墙的存在，隐蔽性较好，混合模式即在网络拓扑里同时用到了路由和网桥模式，网桥模式也叫透明模式，是指防火墙的功能类型于交换机，进行二层转发，英文有transparent（透明）和bridge 两种叫法，但transparent的说法更加贴切，因为上面有多个端口，而网桥则是典型的只有2个端口。
路由模式是指防火墙的功能类型于路由器，提供路由转发功能，大多时候也会使用NAT功能，进行报文的三层转发。
防火墙透明模式配置(二层模式)
实验V3防火墙透明模式（二层模式）一、实验目的了解并熟悉H3C Secpath V3防火墙的两种二层模式配置二、场景描述用户在内网有两个网段，在交换机上划分了两个VLAN，在路由器上设置单臂路由，内网用户DHCP获取IP地址，DHCP服务器为MSR路由器。
为了安全，用户现在在内网交换机和路由器之间增加了一个F1000-S防火墙，为了不改变网络架构，用户要求将防火墙配置成二层模式。
三、拓扑图四、配置步骤基本配置1. 基本配置：设备命名，先不将防火墙加入网络，保证内网运行正常2. 将防火墙加入到网络中，进行防火墙的基本配置3. 将防火墙转换成二层模式，保证内网运行正常防火墙的配置：一、基本配置：1、设备命名，防火墙数据放通，接口加入区域systemsys F1000-Sfirewall packet-filter enable //开通防火墙的包过滤功能firewall packet-filter default permit //包过滤的默认规则为permitfirewall zone trust //内网口加入trustadd interface g1/0quitfirewall zone untrust //外网口加入untrustadd interface g2/0quit2、将防火墙转换成二层模式：bridge enable //启用桥接模式bridge 1 enable //建立一个桥组int bridge-template 1 //设置管理地址ip address 192.168.1.100 255.255.255.0quitint g1/0 //将接口加入桥组bridge-set 1quitint g2/0bridge-set 1quitfirewall zone trust //将桥模板加入区域add interface bridge-template 1quitip route 0.0.0.0 0.0.0.0 192.168.1.1 //管理IP的路由3、放通DHCP报文bridge 1 firewall unknown-mac flood //未知MAC洪泛1.1 五、查看和测试：使用dis cu 查看防火墙的配置使用dis ver 查看防火墙的软件版本1、在内网PC机上获取IP地址，能否获取到？2、获取IP地址后，PC能否Ping通网关，能否上公网？3、内网PC机能否管理F1000-S1.2 六、实验思考：1、当需要管理F1000-S防火墙时，我们需要登录bridge-template接口，请考虑这个时候对内网S3100交换机有什么特殊要求？1.3 附：老版本的二层模式配置：firewall mode transparent （配置为透明模式）firewall system-ip 192.168.1.254 255.255.255.0 （这是防火墙的管理IP地址）interface Ethernet2/0（进入WAN口）promiscuous （配置为透明传输）quitinterface Ethernet1/0 （进入LAN口）promiscuous （配置为透明传输）quitfirewall packet-filter default permit （配置防火墙默认规则）firewall unknown-mac flood （未知MAC泛洪）。
防火墙透明模式典型配置举例
防火墙透明模式典型配置举例防火墙透明模式是一种常见的网络安全配置，它允许防火墙在网络上作为透明的桥接设备，无需修改网络设备的IP地址和配置，对所有网络流量进行过滤和监控。
本文将以一个典型的企业网络环境为例，详细介绍防火墙透明模式的配置。
1.网络拓扑假设企业网络中有一个内部局域网（LAN）和一个外部网络（WAN），分别连接到防火墙的两个接口。
内部局域网的网段为192.168.0.0/24，防火墙的局域网接口IP地址为192.168.0.1；外部网络的网段为202.100.100.0/24，防火墙的广域网接口IP地址为202.100.100.1、防火墙的透明模式设置在两个接口之间。
2.配置步骤（1）配置局域网接口IP地址：登录防火墙管理界面，在网络设置中找到局域网接口，设置IP地址为192.168.0.1，子网掩码为255.255.255.0。
这样，防火墙就可以与内部网络通信。
（2）配置广域网接口IP地址：同样在网络设置中找到广域网接口，设置IP地址为202.100.100.1，子网掩码为255.255.255.0。
这样，防火墙就可以与外部网络通信。
（3）配置透明模式：在防火墙的透明模式设置中，将局域网接口和广域网接口进行桥接。
在桥接配置中，选择透明模式，并将局域网接口和广域网接口绑定在一个桥接组中。
（4）配置ACL（访问控制列表）：通过ACL可以定义防火墙的过滤规则，控制允许和禁止的流量。
例如，可以设置允许内部网络对外访问的规则，禁止特定IP地址的访问规则等。
在防火墙管理界面的策略设置中，创建相应的ACL规则。
（5）配置NAT（网络地址转换）：NAT可以将内部网络的私有IP地址映射为公共IP地址，实现内部网络对外部网络的访问。
在防火墙的NAT设置中，配置相应的NAT规则。
（6）配置日志功能：在防火墙中启用日志功能，记录所有的网络流量和安全事件。
可以将日志信息发送到指定的日志服务器，方便网络管理员进行监控和分析。
透明模式防火墙
透明模式防火墙在防火墙系统7.0及其后续版本中，引入了用安全网桥模式作为二层设备来部署安全设备的方法，以此提供从第2层到第7层的丰富防火墙服务。
在透明模式下，安全设备会以"额外添加设备（bump in the wire ）"的形式存在，而不会被计算进路由的跳数中。
因此也就不需要对IP网络（第3层地址方案）重新进行设计。
安全设备的内部接口和外部接口连接在同一个网络（IP子网）中。
如果这个内部接口和外部接口连接在同一台交换机上的话，就要把它们放在不同的二层网络中（可以给这两个接口分配不同的VLAN号，或者用不同的交换机连接它们）。
这样做可以从本质上把网络分成两个二层网段，安全设备位于这两个网段之间充当网桥，而网络的第3层结构则没有发生变化。
客户只能被连接到两台相互分离的交换机之一（而无法以任何方式与另一台相连）。
图6-3对此作出了进一步的说明。
即使防火墙处于网桥模式中，仍然需要对其配置ACL来对穿越防火墙的三层流量实施控制和放行。
但ARP流量除外，它不需要使用ACL来匹配，因为它可以用防火墙的ARP监控功能（ARP inspection）进行控制。
透明模式不能为穿越设备的流量提供IP路由功能，因为它处于网桥模式中。
静态路由是用来为这台设备始发流量服务的，不适用于穿越这台设备的流量。
不过，只要防火墙的ACL 有相应的匹配条目，那么IP路由协议数据包是可以通过这个防火墙的。
OSPF、RIP、EIGRP、BGP都可以穿越透明模式的防火墙建立临接关系。
当防火墙运行在透明模式时，它仍然对数据进行状态化监控和应用层检测，它也仍然可以实现所有普通防火墙的功能，比如NA T。
配置NA T可以在防火墙系统8.0及后续版本中实现，在此之前的版本中，则不支持在透明模式下实现NA T的功能。
出站数据包要从哪个接口转发出去是通过防火墙查询MAC地址，而不是路由表实现的。
透明模式下的防火墙只有一个IP地址必须配置，那就是管理IP。
防火墙的透明模式和透明代理服务器教程电脑资料
防火墙的透明模式和透明代理服务器教程电脑资料防火墙在计算机网络安全中扮演着非常重要的角色。
它可以帮助监控和管理网络流量，保护计算机网络免受恶意攻击和未经授权的访问。
而防火墙的透明模式和透明代理服务器是其中两个重要的概念。
本文将详细解释防火墙的透明模式和透明代理服务器的原理，并介绍它们的设置和配置。
一、透明模式防火墙的透明模式是指在网络中拦截和过滤数据包时，对网络用户和应用程序来说是不可察觉的。
换句话说，透明模式下的防火墙不会对数据包进行任何的修改或干预。
它像一个“隐形”的墙壁，无论数据包是进入还是离开网络，都会被透明模式的防火墙检查和过滤。
在透明模式下，防火墙通常被部署为一个网桥。
这意味着它有两个网络接口，一个连接到内部网络，一个连接到外部网络。
防火墙会监听通过它的数据包流量，并根据预设的策略来判断是否允许或拒绝数据包通过。
用户和应用程序在没有任何感知的情况下，可以自由地发送和接收数据。
透明模式的防火墙通常还具备一些高级功能，如入侵检测系统（Intrusion Detection System，IDS）和虚拟专用网（Virtual Private Network，VPN）功能等。
它们能够帮助检测和防范网络攻击、黑客入侵等安全威胁。
二、透明代理服务器透明代理服务器（Transparent Proxy Server）是一种在网络通信中起到中间人角色的服务器。
在用户和目标服务器之间建立连接时，所有的请求和响应都需要经过透明代理服务器。
用户认为它们直接与目标服务器通信，而不知道自己实际上是在与代理服务器通信。
透明代理服务器通常用于网络缓存、访问控制、流量管理等用途。
它可以帮助优化网络通信，并提高网络性能。
同时，透明代理服务器还可以过滤和检测网络流量，防止恶意攻击、病毒传播和未经授权的访问。
设置和配置透明代理服务器通常需要以下几个步骤：1. 选择和安装合适的代理服务器软件。
常见的透明代理服务器软件有Squid、Nginx和Apache等。
防火墙透明工作模式的配置
4.2 防火墙透明工作模式的配置前置知识:防火墙的透明工作模式，相当于防火墙端口工作于透明网桥模式，即防火墙的各个端口所连接的计算机均处于同一IP子网中，但不同接口之间的计算机的访问要受安全规则的制约。
因此这对内部网络中需要对某些计算机采取强化控制措施时是很用的。
这是对网络变动最少的接入控制方法，广泛应用于原来网络的安全升级中，而原有的拓扑只要稍加改动即可。
实验目的1.了解什么是防火的透明工作模式2.掌握防火墙透明工作模式的配置方法，并在防火墙中设置简单规则以实现对外部设备访问的控制实验器材1.DCFW-1800S-K/VPN防火墙一台2.交叉网线两根3.PC机两台实验拓扑及规划试验步骤1.给防火墙LAN(if1)接口设置IP地址及添加管理机地址在命令行方式下利用admin用户登录到防火墙，执行如下操作：# ifconfig if1 192.168.100.100/24# ifconfig if1 192.168.100.100/24# adminhost add 192.168.100.101# apply# save做了如上修改之后，修改本地计算机的“测试”网卡地址为“192.168.100.101”，并启动浏览器、用admin用户登录到防火墙。
2. 进入网桥设置主界面选择“首页”|“系统”|“网桥设置”命令，如图1所示：图1 网桥设置界面3．启用网桥单击图1中“网桥设备”中的“bridge0”右边的“修改”按钮，进入如图2所示的界面，选中“修改网桥设置”选项卡，随后选中“启用”复选框，以启用网桥。
图2 启用网桥设置4．向网桥中添加接口选中“网桥bridege0接口设置”选项卡，如图3所示。
图3启用网桥设置单击“新增”按钮，将if0和if1接口加入bridge0，完成后的界面如图4所示。
图4 向bridge0中加入接口而后选“修改网桥设置”选项卡，回到图25所示界面，单击“确定”按钮，回到主界面，如图5所示，为使设置生效，依次单击“应用”和“保存”按钮。
防火墙透明或路由模式的更改
防火墙透明或路由模式的更改
一、登陆防火墙 (1)
1. 查看防火墙端口IP: show system interface (1)
2. 登陆防火墙的计算机的IP地址要和防火墙网口的IP地址在同一网段 (2)
二、更改防火墙模式 (3)
一、登陆防火墙
1. 查看防火墙端口IP: show system interface
2. 登陆防火墙的计算机的IP地址要和防火墙网口的IP地址在同一网段例：防火墙网口的IP地址为：192.168.30.1
计算机的IP地址可设为：192.168.30.100
登陆防火墙在IE里输入：https://192.168.30.1
用户名：administrator
密码：administrator
二、更改防火墙模式
Transparent为透明模式
注:UTM目前只支持透明和路由模式,不支持混合模式
UTM的透明模式为纯透明模式,不能做NA T,不做路由
切换到透明模式后,防火墙将恢复出厂配置,重启
防火墙的默认管理地址更改为:10.10.10.1/24,管理主机ip配置为同一网段即可。
透明网桥模式防火墙配置
透明网桥模式防火墙配置透明网桥模式是一种常用于防火墙配置的网络架构。
它能够提供更高的灵活性和可配置性，并且可以无缝地集成到现有的网络环境中。
在这种模式下，防火墙实际上是一个透明的设备，不需要对网络中的其他设备进行任何的配置更改。
下面是一个基于透明网桥模式的防火墙配置的示例，重点介绍了一些重要的配置步骤和注意事项。
1.网络拓扑规划：首先需要规划网络拓扑，确定防火墙的位置和连接方式。
在透明网桥模式下，防火墙通常被放置在内部网络和外部网络之间的物理链路上，作为网络流量的桥接点。
2.配置防火墙：根据网络拓扑规划，为防火墙配置IP地址和其他必要的网络参数。
确保防火墙的固件和软件是最新的，并配置相关的安全策略。
3.物理连接：将防火墙的内部接口和外部接口分别连接到内部网络和外部网络上的交换机或路由器。
确保连接线路正常并且连接稳定。
4.IP地址分配：为防火墙的内部接口和外部接口分别分配独立的IP地址。
确保内部和外部接口的IP地址是在不同的网络段中，并且与已有设备的IP地址不冲突。
5.配置透明网桥：在防火墙上配置透明网桥，并指定内部接口和外部接口。
透明网桥将内部网络和外部网络桥接起来，实现数据的透明传输。
配置透明网桥时需要注意避免造成网络环路。
6.安全策略配置：配置防火墙的安全策略，包括访问控制列表（ACL）、入侵检测和防御系统（IDS/IPS）等。
根据实际需求和网络环境，制定和实施相应的安全策略，确保网络安全。
7.流量监控和日志记录：配置防火墙的流量监控和日志记录功能，可以实时和事后审计网络流量，并及时发现和处理潜在的安全威胁。
8.测试和优化：在配置完成后，进行测试验证防火墙的功能和性能。
通过对网络流量和安全策略的实际测试，发现和解决可能存在的问题，并进行必要的优化。
透明网桥模式的防火墙配置需要在网络规划、物理连接、IP地址分配、透明网桥配置、安全策略配置、流量监控、日志记录以及测试和优化等方面进行细致的配置和调整。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
H3C防火墙F1060透明模式部署到路由器和三层核心交换机之间如图，给路由器R1配置管理地址为192.168.33.1，三层核心交换机SW1管理地址为192.168.33.254，且开启DHCP服务，为PC1和PC2提供IP地址；防火墙F1以透明模式部署到路由器R1和三层交换机SW1之间。
下面是各个设备的配置过程。
一．首先我们配置三层交换机和与三层交换机相连的接入交换机，配置步骤如下：1.启动三层核心交换机SW1，接着启动命令行终端：<H3C>sysSystem View: return to User View with Ctrl+Z.[H3C]vlan 31 to 33[H3C]dhcp enable 开启DHCP服务[H3C]dhcp server ip-pool vlan31pool 创建DHCP地址池并命名[H3C-dhcp-pool-vlan31pool]network 192.168.31.0 mask 255.255.255.0 设置DCHP地址池[H3C-dhcp-pool-vlan31pool]gateway-list 192.168.31.254 设置网关地址[H3C-dhcp-pool-vlan31pool]dns-list 114.114.114.114 180.76.76.76 设置DNS地址[H3C-dhcp-pool-vlan31pool]quit[H3C]dhcp server ip-pool vlan32pool[H3C-dhcp-pool-vlan32pool]network 192.168.32.0 mask 255.255.255.0[H3C-dhcp-pool-vlan32pool]gateway-list 192.168.32.254[H3C-dhcp-pool-vlan32pool]dns-list 114.114.114.114 180.78.76.76[H3C-dhcp-pool-vlan32pool]quit[H3C]int vlan 31[H3C-Vlan-interface31]ip address 192.168.31.254 24[H3C-Vlan-interface31]dhcp select server 设置DHCP模式为server[H3C-Vlan-interface31]dhcp server apply ip-pool vlan31pool 指定应用的地址池[H3C-Vlan-interface31]quit[H3C]int vlan 32[H3C-Vlan-interface32]ip address 192.168.32.254 24[H3C-Vlan-interface32]dhcp select server[H3C-Vlan-interface32]dhcp server apply ip-pool vlan32pool[H3C-Vlan-interface32]quit[H3C]int g1/0/3[H3C-GigabitEthernet1/0/3]port link-type access[H3C-GigabitEthernet1/0/3]port access vlan 33[H3C-GigabitEthernet1/0/3]quit[H3C]int vlan 33[H3C-Vlan-interface33]ip address 192.168.33.254 24[H3C-Vlan-interface33]quit[H3C]int g1/0/1[H3C-GigabitEthernet1/0/1]port link-type trunk[H3C-GigabitEthernet1/0/1]port trunk permit vlan all[H3C-GigabitEthernet1/0/1]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/1]quit[H3C]int g1/0/2[H3C-GigabitEthernet1/0/2]port link-type trunk[H3C-GigabitEthernet1/0/2]port trunk permit vlan all[H3C-GigabitEthernet1/0/2]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/2]quit在三层交换机SW1上建立用户admin，并设置密码，用作远程登陆和web登陆。
[H3C]user-inter vty 0 4[H3C-line-vty0-4]authentication-mode scheme[H3C-line-vty0-4]quit[H3C]local-user admin class manageNew local user added.[H3C-luser-manage-admin]password simple hxjhpd#1122[H3C-luser-manage-admin]service-type telnet http https ssh[H3C-luser-manage-admin]authorization-attribute user-role level-15[H3C-luser-manage-admin]quit[H3C]telnet server enable 开启telnet服务开启telnet服务会提示Telnet is insecure because it transmits data in plaintext form.意思是告诉你telnet是不安全的，因为以明文形式传输数据。
但是不影响telnet的使用。
[H3C]ip http enable 开启web服务当中的http协议[H3C]ip https enable 开启web服务当中的https协议[H3C]save 保存三层交换机配置。
2.启动接入交换机SW2,接着启动命令行终端：<H3C>sysSystem View: return to User View with Ctrl+Z.[H3C]vlan 31 to 33[H3C]int vlan 33[H3C-Vlan-interface33]ip address 192.168.33.252 24[H3C-Vlan-interface33]quit[H3C]int g1/0/1[H3C-GigabitEthernet1/0/1]port link-type trunk[H3C-GigabitEthernet1/0/1]port trunk permit vlan all[H3C-GigabitEthernet1/0/1]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/1]quit[H3C]int g1/0/2[H3C-GigabitEthernet1/0/2]port link-type access[H3C-GigabitEthernet1/0/2]port access vlan 31[H3C-GigabitEthernet1/0/2]quit我们测试接入交换机SW2此时能否ping通三层交换机上的各个VLAN的管理IP：可以看到此时接入交换机SW2只能ping通三层交换机上的vlan33的管理地址，其他vlan31和vlan32的管理地址无法ping通。
这个会导致到时候如果要远程登陆接入交换机SW2进行维护无法登陆，vlan31和vlan32所在的网段的PC无法登陆接入交换机SW2的管理地址192.168.33.253的。
不信，我们此时启动PC1，PC1先进行配置，打开DHCP，接口管理启用；然后打开命令行终端，进行ping接入交换机SW2的管理地址试试：要想vlan31的PC1可以ping通接入交换机上SW2的管理地址，我们需要在接入交换机SW2上添加一条静态路由：[H3C]ip route-static 0.0.0.0 0.0.0.0 192.168.33.254此时再在PC1上尝试去ping接入交换机SW2的管理地址，此时可以ping通了。
给SW2配置一个远程登陆密码，用作telnet使用，telnet时使用密码认证即可：[H3C]user-int vty 0 4[H3C-line-vty0-4]user-role level-15[H3C-line-vty0-4]set authen password simple jhjmm#1122[H3C-line-vty0-4]protocol inbound telnet[H3C-line-vty0-4]quit[H3C]telnet server enable顺便保存接入交换机SW2的配置：[H3C]save3.启动接入交换机SW3,接着启动命令行终端：<H3C>sysSystem View: return to User View with Ctrl+Z.[H3C]vlan 31 to 33[H3C]int vlan 33[H3C-Vlan-interface33]ip address 192.168.33.253 24[H3C-Vlan-interface33]quit[H3C]int g1/0/1[H3C-GigabitEthernet1/0/1]port link-type trunk[H3C-GigabitEthernet1/0/1]port trunk permit vlan all[H3C-GigabitEthernet1/0/1]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/1]quit[H3C]int g1/0/2[H3C-GigabitEthernet1/0/2]port link-type access[H3C-GigabitEthernet1/0/2]port access vlan 32[H3C-GigabitEthernet1/0/2]quit我们测试接入交换机SW3此时能否ping通三层交换机上的各个VLAN的管理IP：可以看到此时接入交换机SW3只能ping通三层交换机上的vlan33的管理地址，其他vlan31和vlan32的管理地址无法ping通。
这个会导致到时候如果要远程登陆接入交换机SW3进行维护无法登陆，vlan31和vlan32所在的网段的PC无法登陆接入交换机SW3的管理地址192.168.33.253的。