網(wǎng)絡(luò)運(yùn)維|防火墻基于服務(wù)的轉(zhuǎn)發(fā)策略

2020-05-29 17:16 作者：艾銻無(wú)限 瀏覽量：

大家好，我是一枚從事IT外包的網(wǎng)絡(luò)安全運(yùn)維工程師，今天和大家分享的是網(wǎng)絡(luò)安全設(shè)備維護(hù)相關(guān)的內(nèi)容，想要學(xué)習(xí)防火墻必須會(huì)配置轉(zhuǎn)發(fā)策略。簡(jiǎn)單網(wǎng)絡(luò)安全設(shè)備維護(hù)，從防火墻學(xué)起,一步一步學(xué)成網(wǎng)絡(luò)安全設(shè)備維護(hù)大神。

網(wǎng)絡(luò)維護(hù)是一種日常維護(hù)，包括網(wǎng)絡(luò)設(shè)備管理(如計(jì)算機(jī)，服務(wù)器)、操作系統(tǒng)維護(hù)(系統(tǒng)打補(bǔ)丁，系統(tǒng)升級(jí))、網(wǎng)絡(luò)安全(病毒防范)等。+

北京艾銻無(wú)限科技發(fā)展有限公司為您免費(fèi)提供給您大量真實(shí)有效的北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維護(hù)信息查詢，同時(shí)您可以免費(fèi)資訊北京網(wǎng)絡(luò)維護(hù)，北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維護(hù)信息。專業(yè)的北京網(wǎng)絡(luò)維護(hù)信息就在北京艾銻無(wú)限+
+

北京網(wǎng)絡(luò)維護(hù)全北京朝陽(yáng)豐臺(tái)北京周邊海淀、大興、昌平、門頭溝、通州、西城區(qū)、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網(wǎng)絡(luò)維護(hù)信息

基于服務(wù)的轉(zhuǎn)發(fā)策略

介紹通過(guò)服務(wù)（基于端口的協(xié)議）控制訪問(wèn)權(quán)限的舉例。

組網(wǎng)需求

某企業(yè)對(duì)外提供Web服務(wù)和FTP服務(wù)，其中Web服務(wù)使用非知名的8080端口，如圖7-18所示。需要限制外網(wǎng)只能訪問(wèn)服務(wù)器所在的區(qū)域（DMZ）中的Web服務(wù)器和FTP服務(wù)器。

圖  基于協(xié)議的轉(zhuǎn)發(fā)策略 

項(xiàng)目	數(shù)據(jù)	說(shuō)明
（1）	接口號(hào)：GigabitEthernet 0/0/2 IP地址：192.168.5.1/24	與內(nèi)網(wǎng)連接的設(shè)備接口。
（2）	接口號(hào)：GigabitEthernet 0/0/3 IP地址：1.1.1.1/24	與外網(wǎng)連接的設(shè)備接口。
FTP服務(wù)器	IP地址：192.168.5.3/24 端口：21	–
Web服務(wù)器	IP地址：192.168.5.2/24 端口：8080	–

配置思路

本例需要限制外網(wǎng)只能訪問(wèn)Web服務(wù)器和FTP服務(wù)器，也就是需要限制服務(wù)（協(xié)議）類型，可以通過(guò)在轉(zhuǎn)發(fā)策略中引用服務(wù)的方式配置轉(zhuǎn)發(fā)策略。服務(wù)包括預(yù)定義服務(wù)、自定義服務(wù)和服務(wù)組。

1. FTP服務(wù)器直接使用知名端口21提供FTP服務(wù)。Web服務(wù)器由于使用非知名端口8080提供Web服務(wù)，需要配置自定義服務(wù)實(shí)現(xiàn)非知名端口與知名端口的映射，使用戶能夠直接通過(guò)知名端口對(duì)Web服務(wù)器訪問(wèn)。

自定義服務(wù)配置的菜單路徑為：“防火墻 > 服務(wù) > 自定義服務(wù)”。

2. 配置外網(wǎng)訪問(wèn)服務(wù)器的轉(zhuǎn)發(fā)策略，并在其中引用服務(wù)集。

轉(zhuǎn)發(fā)策略配置的菜單路徑為：“防火墻 > 安全策略 > 轉(zhuǎn)發(fā)策略”。

說(shuō)明：

· 本例只給出轉(zhuǎn)發(fā)策略的配置步驟，實(shí)際網(wǎng)絡(luò)中還需要配置NAT Server使外網(wǎng)通過(guò)公網(wǎng)地址訪問(wèn)服務(wù)器，注意轉(zhuǎn)發(fā)策略的目的IP地址是NAT Server轉(zhuǎn)換后的服務(wù)器實(shí)際私網(wǎng)IP地址和提供服務(wù)的端口。

· USG上需要在“路由 > 靜態(tài) > 靜態(tài)路由”中配置缺省路由。

· 如果局域網(wǎng)使用二層接口卡的LAN口接入，需要將物理口加入VLAN并配置Vlanif。此時(shí)需要將Vlanif接口加入DMZ域并配置轉(zhuǎn)發(fā)策略。

操作步驟

1. 配置接口基本參數(shù)。

a. 選擇“網(wǎng)絡(luò) > 接口 > 接口”。

b. 在“接口列表”中單擊GE0/0/2對(duì)應(yīng)的。

c. 配置接口GigabitEthernet 0/0/2。

配置參數(shù)如下：

· 安全區(qū)域：dmz

· 模式：路由

· 連接類型：靜態(tài)IP

· IP地址：192.168.5.1

· 子網(wǎng)掩碼：255.255.255.0

d. 單擊“應(yīng)用”。

e. 重復(fù)上述步驟配置接口GigabitEthernet 0/0/3。

配置參數(shù)如下：

· 安全區(qū)域：untrust

· 模式：路由

· 連接類型：靜態(tài)IP

· IP地址：1.1.1.1

· 子網(wǎng)掩碼：255.255.255.0

2. 配置名稱為http_8080的自定義服務(wù)，指定目的端口為8080。

a. 選擇“防火墻 > 服務(wù) > 自定義服務(wù)”。

b. 在“自定義服務(wù)列表”中單擊。

http_8080自定義服務(wù)的參數(shù)配置如圖7-19所示。

圖7-19  配置http_8080自定義服務(wù) 


c. 單擊“應(yīng)用”。

3. 配置允許外網(wǎng)訪問(wèn)FTP服務(wù)器和Web服務(wù)器的轉(zhuǎn)發(fā)策略，并引用服務(wù)。

a. 選擇“防火墻 > 安全策略 > 轉(zhuǎn)發(fā)策略”。

b. 選擇“轉(zhuǎn)發(fā)策略”頁(yè)簽。

c. 在“轉(zhuǎn)發(fā)策略列表”中單擊。

該轉(zhuǎn)發(fā)策略的具體參數(shù)配置如圖7-20所示。

圖7-20  配置外網(wǎng)允許訪問(wèn)FTP服務(wù)器的轉(zhuǎn)發(fā)策略 


d. 單擊“應(yīng)用”。

e. 重復(fù)3.a～3.d，配置外網(wǎng)允許訪問(wèn)Web服務(wù)器的轉(zhuǎn)發(fā)策略。

該轉(zhuǎn)發(fā)策略的具體參數(shù)配置如圖7-21所示。

圖7-21  配置外網(wǎng)允許訪問(wèn)Web服務(wù)器的轉(zhuǎn)發(fā)策略 



4. （可選）配置Untrust-DMZ域間入方向的缺省包過(guò)濾策略為deny。

 說(shuō)明：

缺省情況下，Untrust-DMZ域間入方向的缺省包過(guò)濾策略為deny，如果之前已經(jīng)配置了permit請(qǐng)注意配置此步驟。

a. 選擇“防火墻 > 安全策略 > 轉(zhuǎn)發(fā)策略”。

b. 選擇“轉(zhuǎn)發(fā)策略”頁(yè)簽。

c. 在“轉(zhuǎn)發(fā)策略列表”中單擊“untrust->dmz”下面“默認(rèn)”對(duì)應(yīng)的。

“untrust->dmz”默認(rèn)轉(zhuǎn)發(fā)策略的配置如圖7-22所示。

圖7-22  配置Untrust-DMZ域間入方向的缺省包過(guò)濾策略為deny 


d. 單擊“應(yīng)用”。

5. （可選）配置ASPF。

 說(shuō)明：

缺省情況下，設(shè)備僅開啟ftp、pptp以及rtsp協(xié)議的ASPF功能。如果DMZ安全區(qū)域與Untrust安全區(qū)域的域間FTP協(xié)議ASPF未開啟，請(qǐng)進(jìn)入命令行視圖執(zhí)行如下操作：

[USG] firewall interzone dmz untrust

[USG-interzone-dmz-untrust] detect ftp

[USG-interzone-dmz-untrust] quit

結(jié)果驗(yàn)證

驗(yàn)證外網(wǎng)是否只能訪問(wèn)FTP和Web服務(wù)器，如果不能訪問(wèn)說(shuō)明配置錯(cuò)誤，請(qǐng)檢查配置過(guò)程。

以上文章由北京艾銻無(wú)限科技發(fā)展有限公司整理