华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

这篇具有很好参考价值的文章主要介绍了华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

华为防火墙综合案例

实验拓扑

华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

实验要求
  1. 如图所示,总计四个网络(成都总公司、绵阳分公司、Internet、出差在外员工所处的某酒店网络)
  2. IP地址已经规划完成
    • 成都总公司CE1交换机为三层交换机连接了两个vlan,内网客户端直接通过二层交换机连接出口防火墙
    • 绵阳分公司一个网络直接和出口防火墙连接
    • Internet使用一台路由器进行模拟公网
    • 酒店就一个网络直接连接出口路由器
  3. 上网需求
    • 成都总公司所有主机(包括服务器)访问Internet在FW1上做SNAT
    • 绵阳分公司主机访问Internet在FW2上做SNAT
    • 酒店主机访问Internet在AR2上做SNAT
  4. 服务器发布需求
    • 成都总公司server1的HTTP服务发布到公网使所有公网用户可以直接访问
  5. VPN需求
    • 成都总公司FW3作为VPN设备和绵阳分公司FW2防火墙设备建立IPSec隧道,使绵阳公司主机通过VPN访问到server2上的FTP服务
    • 成都总公司FW3作为VPN设备创建SSL VPN,使出差在外的员工(酒店主机)可以接入从而访问到公司内部资源
  6. 攻击模拟
    • 使用公网主机对成都总公司服务器发起ICMP Flood攻击,在FW1上配置防护,查看防护情况
实验步骤

1、防火墙web页面管理配置

  • cloud2作为管理防火墙客户机,添加3个接口直接管理3台防火墙,防火墙默认管理接口G0/0/0口IP为192.168.0.1,需要修改其他两台防火墙管理IP

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    #FW1配置
    Username:admin												#默认用户名
    Password:Admin@123											#默认密码
    The password needs to be changed. Change now? [Y/N]: y
    Please enter old password:Admin@123 						#老密码
    Please enter new password:p-0p-0p-0 						#新密码
    Please confirm new password:p-0p-0p-0 						#确认新密码
    <USG6000V1>sys
    [USG6000V1]sysname chengduFW
    [chengduFW]int g0/0/0
    [chengduFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式
    
    #FW2配置
    Username:admin												#默认用户名
    Password:Admin@123											#默认密码
    The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
    Please enter old password:Admin@123 						#老密码
    Please enter new password:p-0p-0p-0 						#新密码
    Please confirm new password:p-0p-0p-0 						#确认新密码
    <USG6000V1>sys
    [USG6000V1]sysname mianyangFW
    [mianyangFW]int g0/0/0
    [mianyangFW-GigabitEthernet0/0/0]ip add 192.168.0.2 24			#修改管理IP
    [mianyangFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式
    
    #FW3配置
    Username:admin												#默认用户名
    Password:Admin@123											#默认密码
    The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
    Please enter old password:Admin@123 						#老密码
    Please enter new password:p-0p-0p-0 						#新密码
    Please confirm new password:p-0p-0p-0 						#确认新密码
    <USG6000V1>sys
    [USG6000V1]sysname chengduVPN
    [chengduVPN]int g0/0/0
    [chengduVPN-GigabitEthernet0/0/0]ip add 192.168.0.3 24			#修改管理IP
    [chengduVPN-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式
    
  • 登录防火墙web页面

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

2、各接口IP地址配置

  • CE1交换机配置(创建vlan并配置三层交换)

    [~HUAWEI]vlan batch 10 20
    [*HUAWEI]interface Vlanif10
    [*HUAWEI-Vlanif10]ip address 192.168.10.254 255.255.255.0
    [*HUAWEI-Vlanif10]interface Vlanif20
    [*HUAWEI-Vlanif20]ip address 192.168.20.254 255.255.255.0
    [*HUAWEI-Vlanif20]interface GE1/0/0
    [*HUAWEI-GE1/0/0]undo portswitch
    [*HUAWEI-GE1/0/0]undo shutdown
    [*HUAWEI-GE1/0/0]ip address 172.16.1.1 255.255.255.0
    [*HUAWEI-GE1/0/0]interface GE1/0/1
    [*HUAWEI-GE1/0/1]undo shutdown
    [*HUAWEI-GE1/0/1]port default vlan 10
    [*HUAWEI-GE1/0/1]interface GE1/0/2
    [*HUAWEI-GE1/0/2]undo shutdown
    [*HUAWEI-GE1/0/2]port default vlan 10
    [*HUAWEI-GE1/0/2]interface GE1/0/3
    [*HUAWEI-GE1/0/3]undo shutdown
    [*HUAWEI-GE1/0/3]port default vlan 20
    [*HUAWEI-GE1/0/3]commit
    
  • AR1配置(配置接口IP地址)

    [Huawei]interface GigabitEthernet0/0/0
    [Huawei-GigabitEthernet0/0/0]ip address 23.34.45.2 255.255.255.0 
    [Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
    [Huawei-GigabitEthernet0/0/1]ip address 23.34.50.2 255.255.255.0 
    [Huawei-GigabitEthernet0/0/1]interface GigabitEthernet0/0/2
    [Huawei-GigabitEthernet0/0/2]ip address 23.34.60.2 255.255.255.0 
    
  • AR2配置(配置接口IP地址并在g0/0/0口上开启接口dhcp)

    [Huawei]dhcp enable
    [Huawei]interface GigabitEthernet0/0/0
    [Huawei-GigabitEthernet0/0/0]ip address 10.10.1.254 255.255.255.0 
    [Huawei-GigabitEthernet0/0/0]dhcp select interface
    [Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
    [Huawei-GigabitEthernet0/0/1]ip address 23.34.60.1 255.255.255.0 
    
  • 防火墙配置(接口IP及网关配置)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

3、上网要求(SNAT)

  • 成都总公司上网

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    #CE1的出口路由
    [~HUAWEI]ip route-static 0.0.0.0 0 172.16.1.2
    [*HUAWEI]commit
    

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 绵阳公司上网(SNAT)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 酒店上网(SNAT)

    #AR2配置
    [Huawei]ip route-static 0.0.0.0 0 23.34.60.2
    [Huawei]acl 2000
    [Huawei-acl-basic-2000]rule permit
    [Huawei-acl-basic-2000]int g0/0/1
    [Huawei-GigabitEthernet0/0/1]nat outbound 2000
    

4、服务器发布需求

  • 成都server1的http服务进行发布

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

5、IPSec VPN需求(FW3和FW2建立IPSec VPN隧道)

  • 在FW1上映射UDP:500UDP:4500(IKE sa使用的端口)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 在FW3上新建IPSec策略

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • FW2上新建IPSec策略

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 查看建立成功

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 在CE1上配置路由,将绵阳公司主机访问server2的回包流量引入VPN设备

    [~HUAWEI]ip route-static 192.168.100.0 24 192.168.20.100
    [*HUAWEI]commit 
    
  • 使用绵阳公司主机访问server2的FTP服务

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

6、SSL VPN需求(FW3作为SSL VPN设备为出差在外员工提供服务)

  • 创建ssl vpn(需要在命令行创建)

    [chengduVPN]v-gateway sslvpn1 192.168.20.100 private woniuxy.com	
    #sslvpn1           		指定vpn名字
    #192.168.30.150       	指定vpnIP
    #private				指定域名
    
  • 网关配置

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 开启网络扩展(使连接上的主机可以使用网络扩展功能)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 创建对应用户并添加到对应角色并授予对应权限

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 使用出差在外员工主机(酒店客户机)验证

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 在CE1上添加路由,使用酒店主机访问酒店内部资源

    [~HUAWEI]ip route-static 10.10.10.0 24 192.168.20.100
    [*HUAWEI]commit 
    

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

7、安全防护配置

  • 成都FW1上配置超大ICMP报文控制,超过500字节的ICMP报文直接丢弃

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)

  • 验证效果

    华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)文章来源地址https://www.toymoban.com/news/detail-465692.html

到了这里,关于华为防火墙综合案例(IPSec、SSL、NAT、ACL、安全防护)的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 华为防火墙IPSec详解与配置实验

    GRE是明文传输,IPSec是加密传输 1.常见的加密算法 (1)对称加密 加密解密用同一个密钥 (2)非对称加密 在加密和解密中使用两个不同的密钥,私钥用来保护数据,公钥由同一系统的人公用,用来检验信息及其发送者的真实性和身份,公钥加密私钥解密,私钥加密公钥解密

    2023年04月12日
    浏览(45)
  • 华为防火墙IPsec点对点配置解析

    主机直连的接口为trust区域,防火墙之间互联的接口为untrust区域 ike proposal xx //首先创建ike proposal xx 这一步的作用就是创建协商ike SA的时候使用的相关安全套件,默认防火墙就会设置了一些默认的安全套件的组合。这一步设置的内容就是用于IKE SA的协商,IPsec双方使用协商好的

    2024年02月05日
    浏览(44)
  • 华为防火墙地址转换技术(NAT)

    281、NAT理论 私网地址不能再公网上路由,NAT的功能主要就是将私网地址在往外转发的过程中,将私网地址转换成为公网地址; 282、PAT:端口多路复用,可以将多个私网地址转换成为一个公网IP地址上网 283、工作原理:私网地址想要出外网,会将自己的源IP地址、目的IP地址、

    2024年02月06日
    浏览(42)
  • 神州数码防火墙(DCN)NAT SSL-VPN配置

    SNAT,全称Source Network Address Translation,即源网络地址转换,是一种网络地址转换技术。其主要功能是将IP数据包的源地址转换成另外一个地址。在某些方案中,如虚拟机或计算实例需要与Internet建立出站连接时,可以使用SNAT。具体的操作过程是通过公共负载均衡器的前端IP为后

    2024年03月12日
    浏览(52)
  • 华为防火墙nat(easy-ip)实验

    目的:         掌握在防火墙上配置源NAT的方法,使内网用户可以通过NAT技术访问外网资源,节省公网IP地址,增强网络安全性。 需求: 办公网内网(trust)可以访问生产服务器(dmz)和外网client2(untrust)。 client2可以访问生产服务器,但不可以访问办公网。 生产服务器不能

    2024年02月09日
    浏览(40)
  • 华为防火墙SSL VPN隧道连接实验配置

    用于远程访问VPN,工作在应用层与传输层之间 SSL VPN是以SSL协议为安全基础的VPN远程接入技术,移动办公人员(在SSL VPN中被称为远程用户)使用SSL VPN可以安全、方便的接入企业内网,访问企业内网资源,提高工作效率。 SSL与IPSec、L2TP的区别: 1.IPSec、L2TP缺点:远程用户终端

    2024年02月12日
    浏览(43)
  • 华为防火墙USG6000V---内网访问外网---外网访问内网服务器(NAT服务器)示例配置

      目录 一、配置要求  二、配置步骤 1. ping通防火墙接口IP地址的条件 2. 内网ping通外网终端的条件 3. 内网ping通DMZ(内网服务器)的条件 三、命令解析 内网可以ping通防火墙; 内网可以访问外网; 外网可以访问内网服务器。 1. ping通防火墙接口IP地址的条件 配置接口IP地址;

    2024年02月04日
    浏览(50)
  • 防火墙Ipsec vpn的配置

    拓补图 1.  IP地址的配置,略 2. 路由的配置 [FW1]ip route-static  0.0.0.0 0 100.1.1.1 [FW2]ip route-static 0.0.0.0 0 100.1.2.1 3. 防火墙划分区域 [FW1]firewall zone trust  [FW1-zone-trust]add interface  g1/0/0 [FW1-zone-trust]add interface g1/0/2 [FW1]firewall zone  untrust [FW1-zone-untrust]add interface  g1/0/1 [FW2]firewall zone  

    2024年02月08日
    浏览(35)
  • 【防火墙】防火墙NAT Server的配置

    介绍公网用户通过NAT Server访问内部服务器的配置举例。 组网需求 某公司在网络边界处部署了FW作为安全网关。为了使私网Web服务器和FTP服务器能够对外提供服务,需要在FW上配置NAT Server功能。除了公网接口的IP地址外,公司还向ISP申请了一个IP地址(1.1.1.10)作为内网服务器

    2024年02月10日
    浏览(53)
  • 防火墙NAT

    1.防火墙支持那些NAT技术,主要应用场景是什么? 防火墙NAT技术简介: NAT是一种地址转换技术,可以将IPv4报文头种的地址转换为另一个地址。通常情况下,利用NAT技术将IPV4报文头中的私网地址转换为公网地址,可以实现位于私网的多个用户使用少量的公司地址同时访问Int

    2024年02月05日
    浏览(56)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包