防火墙典型配置举例
H3C SecPath系列防火墙典型配置案例集-6W100-SecPath系列防火墙IPSec典型配置举例
SecPath系列防火墙IPSec典型配置举例关键词：IKE、IPSec摘要：本章首先介绍了IKE和IPSec的基本概念，随后说明了防火墙的配置方法，最后给出两种典型应用的举例。
缩略语：缩略语英文全名中文解释IKE Internet Key Exchange 因特网密钥交换Security IP网络安全协议IPsec IP目录1 特性简介 (3)1.1 IPSec基本概念 (3)1.1.1 SA (3)1.1.2 封装模式 (3)2 应用场合 (4)3 配置指南 (4)3.1 配置概述 (4)3.2 配置ACL (6)3.3 配置IKE (6)3.3.1 配置IKE全局参数 (6)3.3.2 配置IKE安全提议 (7)3.3.3 配置IKE对等体 (8)3.4 IPSec安全提议 (10)3.5 配置安全策略模板 (12)3.6 配置安全策略 (14)3.7 应用安全策略组 (16)4 配置举例一：基本应用 (17)4.1 组网需求 (17)4.2 使用版本 (18)4.3 配置步骤 (18)4.4 配置结果验证 (27)4.4.1 查看IPSec安全联盟 (27)4.4.2 查看报文统计 (27)5 配置举例二：与NAT结合 (27)5.1 组网需求 (27)5.2 配置说明 (28)5.3 配置步骤 (28)5.4 配置验证结果 (34)5.4.1 查看IPSec安全联盟 (34)5.4.2 查看报文统计 (35)6 注意事项 (35)7 相关资料 (35)7.1 相关协议和标准 (35)7.2 其它相关资料 (36)1 特性简介IPsec（IP Security）协议族是IETF制定的一系列协议，它为IP数据报提供了高质量的、可互操作的、基于密码学的安全性。
特定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。
IPsec通过AH（Authentication Header，认证头）和ESP（Encapsulating Security Payload，封装安全载荷）这两个安全协议来实现上述目标，并且还可以通过IKE（Internet Key Exchange，因特网密钥交换协议）为IPsec提供自动协商交换密钥、建立和维护安全联盟的服务，以简化IPsec 的使用和管理。
防火墙透明模式典型配置举例
防火墙透明模式典型配置举例防火墙透明模式是一种常见的网络安全配置，它允许防火墙在网络上作为透明的桥接设备，无需修改网络设备的IP地址和配置，对所有网络流量进行过滤和监控。
本文将以一个典型的企业网络环境为例，详细介绍防火墙透明模式的配置。
1.网络拓扑假设企业网络中有一个内部局域网（LAN）和一个外部网络（WAN），分别连接到防火墙的两个接口。
内部局域网的网段为192.168.0.0/24，防火墙的局域网接口IP地址为192.168.0.1；外部网络的网段为202.100.100.0/24，防火墙的广域网接口IP地址为202.100.100.1、防火墙的透明模式设置在两个接口之间。
2.配置步骤（1）配置局域网接口IP地址：登录防火墙管理界面，在网络设置中找到局域网接口，设置IP地址为192.168.0.1，子网掩码为255.255.255.0。
这样，防火墙就可以与内部网络通信。
（2）配置广域网接口IP地址：同样在网络设置中找到广域网接口，设置IP地址为202.100.100.1，子网掩码为255.255.255.0。
这样，防火墙就可以与外部网络通信。
（3）配置透明模式：在防火墙的透明模式设置中，将局域网接口和广域网接口进行桥接。
在桥接配置中，选择透明模式，并将局域网接口和广域网接口绑定在一个桥接组中。
（4）配置ACL（访问控制列表）：通过ACL可以定义防火墙的过滤规则，控制允许和禁止的流量。
例如，可以设置允许内部网络对外访问的规则，禁止特定IP地址的访问规则等。
在防火墙管理界面的策略设置中，创建相应的ACL规则。
（5）配置NAT（网络地址转换）：NAT可以将内部网络的私有IP地址映射为公共IP地址，实现内部网络对外部网络的访问。
在防火墙的NAT设置中，配置相应的NAT规则。
（6）配置日志功能：在防火墙中启用日志功能，记录所有的网络流量和安全事件。
可以将日志信息发送到指定的日志服务器，方便网络管理员进行监控和分析。
H3C防火墙典型配置举例
SecBlade防火墙插卡配置管理典型配置举例关键词：配置管理，备份摘要：配置管理模块主要用于对SecBlade防火墙插卡进行配置保存（加密和非加密）、备份、配置恢复和恢复出厂配置，用户可以在web页面方便地对设备的配置进行维护和管理。
缩略语：缩略语英文全名中文解释- - -目录1 特性简介 (3)2 应用场合 (3)3 注意事项 (3)4 配置举例 (3)4.1 组网需求 (3)4.2 配置思路 (3)4.3 使用版本 (4)4.4 配置步骤 (4)4.4.1 基本配置 (4)4.4.2 配置管理 (4)4.5 验证结果 (6)4.5.1 配置保存 (6)4.5.2 配置备份 (7)4.5.3 配置恢复 (7)4.5.4 恢复出厂配置 (7)4.5.5 软件升级 (7)4.5.6 设备重启 (7)1 特性简介配置管理页面包含“配置保存”、“配置备份”、“配置恢复”和“恢复出厂配置”四个页签。
配置保存可以加密保存配置，如果将配置信息备份下来，打开文件查看时，看到的是密文显示。
在此页面可以对当前的配置信息进行配置备份和备份恢复。
软件升级和系统重启可以让用户通过web页面对设备进行管理和操作。
2 应用场合用于设备的日常维护，当配置修改后，可以保存配置以免设备断电配置信息丢失。
也可以将配置信息备份下来，用于日后的配置恢复。
如果想清空配置信息时，可以恢复出厂配置。
3 注意事项(1) 软件升级时，尽量在流量少的时候操作，以免影响用户正常使用。
(2) 备份或恢复时请将startup.cfg和system.xml一起备份和恢复。
4 配置举例4.1 组网需求本配置举例中，设备使用的是Secblade II防火墙插卡。
本典型配置举例同样适合Secblade LB插卡。
图1配置管理组网图4.2 配置思路GE0/1所在的局域网（内网）接口配置地址为192.168.252.98/22，加入ManageMent域，使GE0/1成为管理口。
【8A版】SecPath-防火墙双机热备典型配置
SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (28)4.3.7 动态路由模式组网 (33)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
交换机路由防火墙配置实例
在网络中，防火墙、交换机和路由器通常是网络安全的重要组成部分。
以下是一个简单的示例，演示如何配置一个具有防火墙功能的路由器和交换机。
请注意，实际配置可能会根据您的网络架构和设备型号而有所不同。
设备列表：路由器：使用Cisco设备作为示例，实际上可以是其他厂商的路由器。
路由器IP地址：192.168.1.1交换机：同样，使用Cisco设备作为示例。
交换机IP地址：192.168.1.2防火墙规则：允许内部网络向外部网络发出的通信。
阻止外部网络对内部网络的未经请求的通信。
配置示例：1. 配置路由器：Router(config)# interface GigabitEthernet0/0Router(config-if)# ip address 192.168.1.1 255.255.255.0Router(config-if)# no shutdownRouter(config)# interface GigabitEthernet0/1Router(config-if)# ip address [外部IP地址] [外部子网掩码]Router(config-if)# no shutdownRouter(config)# ip route 0.0.0.0 0.0.0.0 [外部网关]2. 配置防火墙规则：Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 anyRouter(config)# access-list 101 deny ip any 192.168.1.0 0.0.0.255Router(config)# access-list 101 permit ip any anyRouter(config)# interface GigabitEthernet0/1Router(config-if)# ip access-group 101 in3. 配置交换机：Switch(config)# interface Vlan1Switch(config-if)# ip address 192.168.1.2 255.255.255.0Switch(config-if)# no shutdown配置说明：路由器通过两个接口连接内部网络（192.168.1.0/24）和外部网络。
配置防火墙混合模式(典型配置案例)
如何配置防火墙混合工作模式案例一：＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋注：缺省访问权限都允许的情况下，完成如下的配置即可具体的访问控制配置过程参考访问控制操作篇此环境中由路由器完成NAT（源地址转换）功能以实现共享上网＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋〖配置相应网口的工作模式以及IP地址〗TopsecOS# network interface eth0 no switchportTopsecOS# network interface eth0 ip add 192.168.7.165 mask 255.255.255.0 TopsecOS# network interface eth0 no shutdownTopsecOS# network interface eth1 switchportTopsecOS# network interface eth1 switchport mode accessTopsecOS# network interface eth1 switchport access-vlan 1TopsecOS# network interface eth1 no shutdownTopsecOS# network interface eth2 switchportTopsecOS# network interface eth2 switchport mode accessTopsecOS# network interface eth2 switchport access-vlan 1TopsecOS# network interface eth2 no shutdown配置完毕TopsecOS# network interface vlan.1 no shutdown配置完毕〖配置缺省路由〗TopsecOS# network route add dst 0.0.0.0/0 gw 192.168.7.1建议在此不要选择连接端口，让系统自动选择即可〖简单的配置各个网口区域的缺省策略后即可正常通讯〗TopsecOS# define area add name area_eth0 attribute 'eth0 ' access on TopsecOS# define area add name area_eth1 attribute 'eth1 ' access on TopsecOS# define area add name area_eth2 attribute 'eth2 ' access on++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++案例二：＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋注：缺省访问权限都允许的情况下，完成如下的配置即可具体的访问控制配置过程参考访问控制操作篇＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋〖配置相应网口的工作模式以及IP地址〗TopsecOS# network interface eth0 no switchportTopsecOS# network interface eth0 ip add 192.168.7.165 mask 255.255.255.0 TopsecOS# network interface eth0 no shutdownTopsecOS# network interface eth1 switchportTopsecOS# network interface eth1 switchport mode TrunkTopsecOS# network interface eth1 switchport trunk encapsulation dot1q TopsecOS# network interface eth1 switchport trunk native-vlan 1 TopsecOS# network interface eth1 switchport access-vlan 10TopsecOS# network interface eth1 switchport trunk allowed-vlan 1-1000 TopsecOS# network interface eth1 no shutdownTopsecOS# network interface eth2 switchportTopsecOS# network interface eth2 switchport mode accessTopsecOS# network interface eth2 switchport trunk encapsulation dot1q TopsecOS# network interface eth2 switchport trunk native-vlan 1 TopsecOS# network interface eth2 switchport access-vlan 30TopsecOS# network interface eth2 switchport trunk allowed-vlan 1-1000 TopsecOS# network interface eth2 no shutdownTopsecOS# network route add dst 0.0.0.0/0 gw 192.168.7.1〖简单的配置各个网口区域的缺省策略后即可正常通讯〗TopsecOS# define area add name area_eth0 attribute 'eth0 ' access on TopsecOS# define area add name area_eth1 attribute 'eth1 ' access on TopsecOS# define area add name area_eth2 attribute 'eth2 ' access on。
防火墙透明模式典型配置举例
2006-01-21
版权所有，侵权必究
第i页
防火墙透明模式特性典型配置指导
正文
关键词：透明模式（transparent-mode）
以太网帧头过滤（ethernet-frame-filter）
TCP代理（tcp-proxy）
摘 要：本文简单描述防火墙透明模式的特点，详细描述了防火墙透明模式的配置方法，以及在 透明模式下几个典型模块的应用配置，给出了防火墙透明模式基本配置方案
配置防火墙允许通过的报 文类型
3.2.2 配置以太网帧头过滤规则
以太网帧头过滤规则主要配置如下：
1） 配置访问控制列表4000～4999
2） 配置过滤规则
3） 在接口应用以太网帧头过滤规则
操作视图
操作命令
操作说明
系统视图 [Quidway]acl number acl-number
创建acl规则
[Quidway-acl-ethernetframe-4000] rule [ rule-id ] { deny | ACL视图 permit } [ type type-code type-mask | lsap lsap-code lsap-mask ] 增加过滤规则
配置透明模式系统地址
系统视图 [Quidway]firewall arp-learning enable
配置防火墙arp学习功能
系统视图 [Quidway]firewall transparent-mode aging-time seconds
配置mac表项老化时间
系统视图
[Quidway]firewall transparent-mode transmit {ipx|dlsw|bpdu}
深信服防火墙路由接口配置案例
深信服防火墙路由接口配置案例路由接口的典型应用环境是将SANGFOR NGAF 设备以路由模式部署在公网出口，代理内网上网，像一个路由器一样部署在网络中，如下图所示：配置案例：某用户网络是跨三层的环境，购买NGAF 设备打算部署在公网出口，代理内网用户上网，公网线路是光纤接入固定分配IP 的。
第一步：通过管理口(ETH0) 的默认IP 登录设备。
管理口的默认IP 是10.251.251.251/24 ，在计算机上配置一个相同网段的IP 地址，通过https://10.251.251.251 登录设备。
第二步：配置外网接口，通过『网络』→『接口/区域』，点击需要设置成外网接口的接口，如eth2，出现以下页面：接口[类型]选择路由。
[基本属性]可以设置是否为WAN 口和允许PING。
如果是WAN 口，是否与IPSEC VPN 出口线路匹配。
连接上行链路的接口需要勾选WAN 口。
[区域]选择接口eth2 所属的区域。
区域需要提前设置，本例将ETH2 划入WAN 区域，对于区域的设置请参考章节3.3.1.5 区域设置。
选择配置IPv4 地址：[连接类型]包括静态IP、DHCP、ADSL 拨号三种，根据该线路的特征进行配置，如果选择静态IP，需要填写好IP 地址/掩码以及下一跳网关；如果该接口是DHCP 自动获得地址，则设置DHCP；如果线路是ADSL 拨号，则配置好拨号所需的用户名、密码和其他拨号参数。
静态IP 地址可以填写成“IP/掩码”和“IP/掩码-HA”两种形式，后一种形式表示同步网口配置时，不同步IP 地址，“IP/掩码-HA”的形式适用于NGAF 设备双机部署的环境。
本案例中外网接口连接的是静态IP 的光纤线路，所以选择静态IP，并且配置ISP 提供给该光纤线路的公网IP 地址和下一跳网关。
[线路带宽]设置公网链路的上下行带宽。
点击可以修改带宽单位，包括KB/s，MB/s，GB/s。
[链路故障检测]用于检测链路的好坏。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
外部网络只有特定用户可以访问内部服务器 内部网络只有特定主机可以访问外部网络
在本例中，假定外部特定用户的 IP 地址为 202.39.2.3。 2. 组网图
FTP服务器 129.38.1.1 Telnet服务器 129.38.1.2 WWW服务器 129.38.1.3
129.38.1.5
公司内部特定 PC 129.38.1.4
[Quidway] acl 101
[Quidway-acl-101] rule deny ip source any destination any
# 配置规则允许特定主机访问外部网，允许内部服务器访问外部网。
[Quidway-acl-101] rule permit ip source 129.38.1.4 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.1 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.2 0 destination any [Quidway-acl-101] rule permit ip source 129.38.1.3 0 destination any
202.38.160.1 广域网
公司外部特定 PC
图1-1 防火墙配置的组网图
3. 配置步骤 # 打开防火墙功能。
[Quidway] firewall enable
# 设置防火墙缺省过滤方式为允许包通过。
[ 配置访问规则禁止所有包通过。
# 将规则 102 作用于从接口 Serial0 进入的包。
[Quidway-Serial0] firewall packet-filter 102 inbound
# 配置规则允许特定用户从外部网访问内部服务器。
[Quidway] acl 102 [Quidway-acl-102] rule permit tcp source 202.39.2.3 0 destination 202.38.160.1 0
# 配置规则允许特定用户从外部网取得数据（只允许端口大于 1024 的 包）。
[Quidway-acl-102] rule permit tcp source any destination
202.38.160.1 0.0.0.0 destination-port greater-than 1024
# 将规则 101 作用于从接口 Ethernet0 进入的包。
[Quidway-Ethernet0] firewall packet-filter 101 inbound
1.1 防火墙典型配置举例
1. 组网需求 该公司通过一台 Quidway 路由器的接口 Serial 0 访问 Internet， 公司内部 对外提供 WWW、FTP 和 Telnet 服务，公司内部子网为 129.38.1.0，其 中，内部 FTP 服务器地址为 129.38.1.1，内部 Telnet 服务器地址为 129.38.1.2，内部 WWW 服务器地址为 129.38.1.3，公司对外地址为 202.38.160.1。在路由器上配置了地址转换，这样内部 PC 机可以访问 Internet，外部 PC 可以访问内部服务器。通过配置防火墙，希望实现以 下要求：