1. Toy模板网首页
  2. > Toy博客

华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

9月前 作者：残败的年轻。。 分类：Toy博客 阅读(47) 违法举报

这篇具有很好参考价值的文章主要介绍了华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

华为防火墙综合案例

实验拓扑

华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

实验要求
  1. 如图所示，总计四个网络（成都总公司、绵阳分公司、Internet、出差在外员工所处的某酒店网络）
  2. IP地址已经规划完成
    • 成都总公司CE1交换机为三层交换机连接了两个vlan，内网客户端直接通过二层交换机连接出口防火墙
    • 绵阳分公司一个网络直接和出口防火墙连接
    • Internet使用一台路由器进行模拟公网
    • 酒店就一个网络直接连接出口路由器
  3. 上网需求
    • 成都总公司所有主机（包括服务器）访问Internet在FW1上做SNAT
    • 绵阳分公司主机访问Internet在FW2上做SNAT
    • 酒店主机访问Internet在AR2上做SNAT
  4. 服务器发布需求
    • 成都总公司server1的HTTP服务发布到公网使所有公网用户可以直接访问
  5. VPN需求
    • 成都总公司FW3作为VPN设备和绵阳分公司FW2防火墙设备建立IPSec隧道，使绵阳公司主机通过VPN访问到server2上的FTP服务
    • 成都总公司FW3作为VPN设备创建SSL VPN，使出差在外的员工（酒店主机）可以接入从而访问到公司内部资源
  6. 攻击模拟
    • 使用公网主机对成都总公司服务器发起ICMP Flood攻击，在FW1上配置防护，查看防护情况
实验步骤

1、防火墙web页面管理配置

  • cloud2作为管理防火墙客户机，添加3个接口直接管理3台防火墙，防火墙默认管理接口G0/0/0口IP为192.168.0.1，需要修改其他两台防火墙管理IP

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    #FW1配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname chengduFW
[chengduFW]int g0/0/0
[chengduFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式

#FW2配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname mianyangFW
[mianyangFW]int g0/0/0
[mianyangFW-GigabitEthernet0/0/0]ip add 192.168.0.2 24			#修改管理IP
[mianyangFW-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式

#FW3配置
Username:admin												#默认用户名
Password:Admin@123											#默认密码
The password needs to be changed. Change now? [Y/N]: y		#同意修改密码
Please enter old password:Admin@123 						#老密码
Please enter new password:p-0p-0p-0 						#新密码
Please confirm new password:p-0p-0p-0 						#确认新密码
<USG6000V1>sys
[USG6000V1]sysname chengduVPN
[chengduVPN]int g0/0/0
[chengduVPN-GigabitEthernet0/0/0]ip add 192.168.0.3 24			#修改管理IP
[chengduVPN-GigabitEthernet0/0/0]service-manage all permit		#配置允许所有管理方式

  • 登录防火墙web页面

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

2、各接口IP地址配置

  • CE1交换机配置（创建vlan并配置三层交换）

    [~HUAWEI]vlan batch 10 20
[*HUAWEI]interface Vlanif10
[*HUAWEI-Vlanif10]ip address 192.168.10.254 255.255.255.0
[*HUAWEI-Vlanif10]interface Vlanif20
[*HUAWEI-Vlanif20]ip address 192.168.20.254 255.255.255.0
[*HUAWEI-Vlanif20]interface GE1/0/0
[*HUAWEI-GE1/0/0]undo portswitch
[*HUAWEI-GE1/0/0]undo shutdown
[*HUAWEI-GE1/0/0]ip address 172.16.1.1 255.255.255.0
[*HUAWEI-GE1/0/0]interface GE1/0/1
[*HUAWEI-GE1/0/1]undo shutdown
[*HUAWEI-GE1/0/1]port default vlan 10
[*HUAWEI-GE1/0/1]interface GE1/0/2
[*HUAWEI-GE1/0/2]undo shutdown
[*HUAWEI-GE1/0/2]port default vlan 10
[*HUAWEI-GE1/0/2]interface GE1/0/3
[*HUAWEI-GE1/0/3]undo shutdown
[*HUAWEI-GE1/0/3]port default vlan 20
[*HUAWEI-GE1/0/3]commit

  • AR1配置（配置接口IP地址）

    [Huawei]interface GigabitEthernet0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 23.34.45.2 255.255.255.0 
[Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 23.34.50.2 255.255.255.0 
[Huawei-GigabitEthernet0/0/1]interface GigabitEthernet0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 23.34.60.2 255.255.255.0

  • AR2配置（配置接口IP地址并在g0/0/0口上开启接口dhcp）

    [Huawei]dhcp enable
[Huawei]interface GigabitEthernet0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.10.1.254 255.255.255.0 
[Huawei-GigabitEthernet0/0/0]dhcp select interface
[Huawei-GigabitEthernet0/0/0]interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 23.34.60.1 255.255.255.0

  • 防火墙配置（接口IP及网关配置）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

3、上网要求（SNAT）

  • 成都总公司上网

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    #CE1的出口路由
[~HUAWEI]ip route-static 0.0.0.0 0 172.16.1.2
[*HUAWEI]commit

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 绵阳公司上网（SNAT）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 酒店上网（SNAT）

    #AR2配置
[Huawei]ip route-static 0.0.0.0 0 23.34.60.2
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit
[Huawei-acl-basic-2000]int g0/0/1
[Huawei-GigabitEthernet0/0/1]nat outbound 2000

4、服务器发布需求

  • 成都server1的http服务进行发布

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

5、IPSec VPN需求（FW3和FW2建立IPSec VPN隧道）

  • 在FW1上映射UDP:500和UDP:4500（IKE sa使用的端口）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 在FW3上新建IPSec策略

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • FW2上新建IPSec策略

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 查看建立成功

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 在CE1上配置路由，将绵阳公司主机访问server2的回包流量引入VPN设备

    [~HUAWEI]ip route-static 192.168.100.0 24 192.168.20.100
[*HUAWEI]commit

  • 使用绵阳公司主机访问server2的FTP服务

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

6、SSL VPN需求（FW3作为SSL VPN设备为出差在外员工提供服务）

  • 创建ssl vpn（需要在命令行创建）

    [chengduVPN]v-gateway sslvpn1 192.168.20.100 private woniuxy.com	
#sslvpn1           		指定vpn名字
#192.168.30.150       	指定vpnIP
#private				指定域名

  • 网关配置

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 开启网络扩展（使连接上的主机可以使用网络扩展功能）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 创建对应用户并添加到对应角色并授予对应权限

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 使用出差在外员工主机（酒店客户机）验证

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 在CE1上添加路由，使用酒店主机访问酒店内部资源

    [~HUAWEI]ip route-static 10.10.10.0 24 192.168.20.100
[*HUAWEI]commit

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

7、安全防护配置

  • 成都FW1上配置超大ICMP报文控制，超过500字节的ICMP报文直接丢弃

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）

  • 验证效果

    华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）文章来源地址https://www.toymoban.com/news/detail-465692.html

到了这里，关于华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处： 如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：
领支付宝红包 赞助服务器费用

相关文章

  • 【华为_安全】防火墙IPsec双机实验

    【华为_安全】防火墙IPsec双机实验

    学习华为防火墙IPsec双机实验记录 ensp拓扑链接：拓扑 防火墙登录账号都为admin 密码为Huawei@123 总部： 两台防火墙 采用双机部署，分别连接到ISP1、ISP2 总部两台防火墙的 ISP1 出口是 G0/0/3，连接 ISP2 的出口是 G0/0/5，缺省情况下，流量走 FW1 的 G0/0/3 接口 两台防火墙 作为内网用

    2024年02月04日
    浏览(41)
  • 华为防火墙IPsec点对点配置解析

    华为防火墙IPsec点对点配置解析

    主机直连的接口为trust区域，防火墙之间互联的接口为untrust区域 ike proposal xx //首先创建ike proposal xx 这一步的作用就是创建协商ike SA的时候使用的相关安全套件，默认防火墙就会设置了一些默认的安全套件的组合。这一步设置的内容就是用于IKE SA的协商，IPsec双方使用协商好的

    2024年02月05日
    浏览(44)
  • 华为防火墙地址转换技术（NAT）

    华为防火墙地址转换技术（NAT）

    281、NAT理论 私网地址不能再公网上路由，NAT的功能主要就是将私网地址在往外转发的过程中，将私网地址转换成为公网地址； 282、PAT：端口多路复用，可以将多个私网地址转换成为一个公网IP地址上网 283、工作原理：私网地址想要出外网，会将自己的源IP地址、目的IP地址、

    2024年02月06日
    浏览(42)
  • 神州数码防火墙(DCN)NAT SSL-VPN配置

    神州数码防火墙(DCN)NAT SSL-VPN配置

    SNAT，全称Source Network Address Translation，即源网络地址转换，是一种网络地址转换技术。其主要功能是将IP数据包的源地址转换成另外一个地址。在某些方案中，如虚拟机或计算实例需要与Internet建立出站连接时，可以使用SNAT。具体的操作过程是通过公共负载均衡器的前端IP为后

    2024年03月12日
    浏览(54)
  • 华为防火墙nat(easy-ip)实验

    华为防火墙nat(easy-ip)实验

    目的：         掌握在防火墙上配置源NAT的方法，使内网用户可以通过NAT技术访问外网资源，节省公网IP地址，增强网络安全性。 需求： 办公网内网（trust)可以访问生产服务器（dmz)和外网client2（untrust)。 client2可以访问生产服务器，但不可以访问办公网。 生产服务器不能

    2024年02月09日
    浏览(40)
  • 华为防火墙SSL VPN隧道连接实验配置

    华为防火墙SSL VPN隧道连接实验配置

    用于远程访问VPN，工作在应用层与传输层之间 SSL VPN是以SSL协议为安全基础的VPN远程接入技术，移动办公人员（在SSL VPN中被称为远程用户）使用SSL VPN可以安全、方便的接入企业内网，访问企业内网资源，提高工作效率。 SSL与IPSec、L2TP的区别： 1.IPSec、L2TP缺点：远程用户终端

    2024年02月12日
    浏览(44)
  • 华为防火墙USG6000V---内网访问外网---外网访问内网服务器（NAT服务器）示例配置

    华为防火墙USG6000V---内网访问外网---外网访问内网服务器（NAT服务器）示例配置

      目录 一、配置要求  二、配置步骤 1. ping通防火墙接口IP地址的条件 2. 内网ping通外网终端的条件 3. 内网ping通DMZ（内网服务器）的条件 三、命令解析 内网可以ping通防火墙； 内网可以访问外网； 外网可以访问内网服务器。 1. ping通防火墙接口IP地址的条件 配置接口IP地址；

    2024年02月04日
    浏览(50)
  • 防火墙Ipsec vpn的配置

    防火墙Ipsec vpn的配置

    拓补图 1.  IP地址的配置，略 2. 路由的配置 [FW1]ip route-static  0.0.0.0 0 100.1.1.1 [FW2]ip route-static 0.0.0.0 0 100.1.2.1 3. 防火墙划分区域 [FW1]firewall zone trust  [FW1-zone-trust]add interface  g1/0/0 [FW1-zone-trust]add interface g1/0/2 [FW1]firewall zone  untrust [FW1-zone-untrust]add interface  g1/0/1 [FW2]firewall zone  

    2024年02月08日
    浏览(35)
  • 【防火墙】防火墙NAT Server的配置

    【防火墙】防火墙NAT Server的配置

    介绍公网用户通过NAT Server访问内部服务器的配置举例。 组网需求 某公司在网络边界处部署了FW作为安全网关。为了使私网Web服务器和FTP服务器能够对外提供服务，需要在FW上配置NAT Server功能。除了公网接口的IP地址外，公司还向ISP申请了一个IP地址（1.1.1.10）作为内网服务器

    2024年02月10日
    浏览(54)
  • 防火墙NAT

    防火墙NAT

    1.防火墙支持那些NAT技术，主要应用场景是什么？ 防火墙NAT技术简介： NAT是一种地址转换技术，可以将IPv4报文头种的地址转换为另一个地址。通常情况下，利用NAT技术将IPV4报文头中的私网地址转换为公网地址，可以实现位于私网的多个用户使用少量的公司地址同时访问Int

    2024年02月05日
    浏览(57)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包，优惠每天领

二维码1

领取红包

二维码2

领红包