HC13031041 防火墙高级技术实验手册Word文档下载推荐.docx
- 文档编号:17664372
- 上传时间:2022-12-08
- 格式:DOCX
- 页数:112
- 大小:1.67MB
HC13031041 防火墙高级技术实验手册Word文档下载推荐.docx
《HC13031041 防火墙高级技术实验手册Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《HC13031041 防火墙高级技术实验手册Word文档下载推荐.docx(112页珍藏版)》请在冰豆网上搜索。
<
NGFW_A>
system-view
[NGFW_A]interfaceGigabitEthernet1/0/1
[NGFW_A-GigabitEthernet1/0/1]ipaddress10.2.0.124
[NGFW_A-GigabitEthernet1/0/1]quit
[NGFW_A]interfaceGigabitEthernet1/0/3
[NGFW_A-GigabitEthernet1/0/3]ipaddress10.3.0.124
[NGFW_A-GigabitEthernet1/0/3]quit
[NGFW_A]interfaceGigabitEthernet1/0/7
[NGFW_A-GigabitEthernet1/0/7]ipaddress10.10.0.124
[NGFW_A-GigabitEthernet1/0/7]quit
将各接口加入相应的安全区域。
[NGFW_A]firewallzonetrust
[NGFW_A-zone-trust]addinterfaceGigabitEthernet1/0/3
[NGFW_A-zone-trust]quit
[NGFW_A]firewallzonedmz
[NGFW_A-zone-dmz]addinterfaceGigabitEthernet1/0/7
[NGFW_A-zone-dmz]quit
[NGFW_A]firewallzoneuntrust
[NGFW_A-zone-untrust]addinterfaceGigabitEthernet1/0/1
[NGFW_A-zone-untrust]quit
配置一条缺省路由,下一跳为1.1.1.10。
[NGFW_A]iproute-static0.0.0.00.0.0.01.1.1.10
Step2在NGFW_A上配置VRRP备份组。
在上行业务接口GE1/0/1上配置VRRP备份组1,并将其加入状态为Active的VGMP组。
需要注意的是如果接口的IP地址与VRRP备份组地址不在同一网段,则配置VRRP备份组地址时需要指定掩码。
[NGFW_A-GigabitEthernet1/0/1]vrrpvrid1virtual-ip1.1.1.124active
在上行业务接口GE1/0/3上配置VRRP备份组2,并将其加入状态为Active的VGMP组。
[NGFW_A-GigabitEthernet1/0/3]vrrpvrid2virtual-ip10.3.0.3active
Step3在NGFW_A上指定心跳口并启用双机热备功能。
[NGFW_A]hrpinterfaceGigabitEthernet1/0/7
[NGFW_A]hrpenable
Step4完成NGFW_B的配置,建立双机热备状态。
NGFW_B和上述NGFW_A的配置基本相同,不同之处在于:
1.NGFW_B各接口的IP地址与NGFW_A各接口的IP地址不相同。
2.NGFW_B的业务接口GigabitEthernet1/0/1和GigabitEthernet1/0/3的VRRP备份组需要加入状态为Standby的VGMP组。
Step5在NGFW_A上配置安全策略。
双机热备状态成功建立后,NGFW_A的安全策略配置会自动备份到NGFW_B上。
配置安全策略,允许内网用户访问Internet。
HRP_A[NGFW_A]security-policy
HRP_A[NGFW_A-policy-security]rulenametrust_to_untrust
HRP_A[NGFW_A-policy-security-rule-trust_to_untrust]source-zonetrust
HRP_A[NGFW_A-policy-security-rule-trust_to_untrust]destination-zoneuntrust
HRP_A[NGFW_A-policy-security-rule-trust_to_untrust]actionpermit
Step6在NGFW_A上配置NAT策略。
双机热备状态成功建立后,NGFW_A的NAT策略配置会自动备份到NGFW_B上。
配置NAT策略,当内网用户访问Internet时,将源地址由10.3.0.0/16网段转换为地址池中的地址(1.1.1.2-1.1.1.5)。
HRP_A[NGFW_A]nataddress-groupgroup1
HRP_A[NGFW_A-nat-address-group-group1]section01.1.1.21.1.1.5
HRP_A[NGFW_A-nat-address-group-group1]quit
HRP_A[NGFW_A]nat-policy
HRP_A[NGFW_A-policy-nat]rulenamepolicy_nat1
HRP_A[NGFW_A-policy-nat-rule-policy_nat1]source-zonetrust
HRP_A[NGFW_A-policy-nat-rule-policy_nat1]destination-zoneuntrust
HRP_A[NGFW_A-policy-nat-rule-policy_nat1]source-address10.3.0.016
HRP_A[NGFW_A-policy-nat-rule-policy_nat1]actionnataddress-groupgroup1
Step7配置Switch和PC。
分别将两台Switch的三个接口加入同一个VLAN,具体配置命令请参考交换机的相关文档。
在内网的PC上将VRRP备份组2的地址10.3.0.3设置为默认网关。
实验步骤(Web)
Step8在NGFW_A上配置接口。
1)选择“网络>
接口”。
2)单击GE1/0/1,按如下参数配置。
3)单击“确定”。
4)参考上述步骤按如下参数配置GE1/0/3接口。
5)参考上述步骤按如下参数配置GE1/0/7接口。
Step9在NGFW_A上配置缺省路由。
路由>
静态路由”。
2)单击“新建”,按如下参数配置。
3)单击“确定”。
Step10在NGFW_A上配置双机热备功能。
1)选择“系统>
高可靠性>
双机热备”。
2)单击“配置”。
3)选中“启用”前的复选框后,按如下参数配置。
4)单击“确定”。
Step11在NGFW_B上配置接口。
NGFW_B与NGFW_A的接口配置方法相同,只是IP地址不同。
您可以按照“实验拓扑图”配置NGFW_B的各接口,具体过程略。
Step12在NGFW_B上配置缺省路由。
NGFW_B与NGFW_A的缺省路由配置相同。
Step13在NGFW_B上配置双机热备功能。
Step14在NGFW_A上配置安全策略。
1)选择“策略>
安全策略”。
Step15在NGFW_A上配置NAT策略。
NAT策略>
NAT地址池”。
4)选择“策略>
源NAT”。
5)单击“新建”,按如下参数配置。
6)单击“确定”。
Step16配置Switch和PC。
验证结果
命令行验证步骤:
1、在NGFW_A上执行displayvrrp命令,检查VRRP组内接口的状态信息,显示以下信息表示VRRP组建立成功。
HRP_A<
disvrrp
GigabitEthernet1/0/1|VirtualRouter1
VRRPGroup:
Active
state:
VirtualIP:
1.1.1.1
VirtualMAC:
0000-5e00-0101
PrimaryIP:
10.2.0.1
PriorityRun:
120
PriorityConfig:
100
ActivePriority:
Preempt:
YESDelayTime:
0
AdvertisementTimer:
1
AuthType:
NONE
CheckTTL:
YES
GigabitEthernet1/0/3|VirtualRouter2
10.3.0.3
0000-5e00-0102
10.3.0.1
2、在NGFW_A上执行displayhrpstate命令,检查当前VGMP组的状态,显示以下信息表示双机热备建立成功。
dishrpstate
Thefirewall'
sconfigstateis:
ACTIVE
Currentstateofvirtualroutersconfiguredasactive:
GigabitEthernet1/0/1vrid1:
active
GigabitEthernet1/0/3vrid2:
3、Router位于Untrust区域。
在Trust区域的PC端能够ping通Untrust区域的Router。
分别在NGFW_A和NGFW_B上检查会话。
displayfirewallsessiontable
16:
19:
422013/06/08
CurrentTotalSessions:
IcmpVPN:
public-->
public10.3.0.10:
0[1.1.1.2:
10298]-->
1.1.1.10:
2048
HRP_S<
NGFW_B>
03:
192013/06/08
icmpVPN:
public-->
publicRemote10.3.0.10:
2048
可以看出NGFW_B上存在带有Remote标记的会话,表示配置双机热备功能后,会话备份成功。
4、在PC上执行ping1.1.1.10–t,然后将NGFW_A防火墙GE1/0/1接口网线拨出,观察防火墙状态切换及ping包丢包情况;
再将NGFW_A防火墙GE1/0/1接口网线恢复,观察防火墙状态切换及ping包丢包情况。
Web验证步骤:
1、选择“系统>
双机热备”,查看双机热备的运行情况。
正常情况下,NGFW_A的“当前运行模式”为“主备备份”,“当前运行角色”为“主用”;
NGFW_B的“当前运行模式”为“主备备份”,“当前运行角色”为“备用”。
这说明流量通过NGFW_A转发。
当NGFW_A出现故障时,NGFW_A的“当前运行模式”为“主备备份”,“当前运行角色”为“备用”;
NGFW_B的“当前运行模式”为“主备备份”,“当前运行角色”为“主用”。
这说明流量通过NGFW_B转发。
2、在Trust区域的PC端能够ping通Untrust区域的Router。
分别在NGFW_A和NGFW_B上检查会话(选择“监控>
会话表”),确认会话是否备份成功。
1.2业务接口工作在三层,上下行连接交换机的负载分担组网实验
上行交换机连接运营商的接入点,运营商为企业分配的IP地址为1.1.1.1-1.1.1.8。
现在希望两台NGFW以负载分担方式工作。
正常情况下,NGFW_A和NGFW_B共同转发流量。
当其中一台NGFW出现故障时,另外一台NGFW转发全部业务,保证业务不中断。
[NGFW_A-GigabitEthernet1/0/1]ipaddress1.1.1.124
为了实现负载分担组网需要在每个业务接口上配置两个VRRP备份组,一个加入状态为Active的VGMP组,一个加入状态为Standby的VGMP组。
在上行业务接口GE1/0/1上配置VRRP备份组1,并将其加入状态为Active的VGMP组;
配置VRRP备份组2,并将其加入状态为Standby的VGMP组。
[NGFW_A-GigabitEthernet1/0/1]vrrpvrid1virtual-ip1.1.1.324active
[NGFW_A-GigabitEthernet1/0/1]vrrpvrid2virtual-ip1.1.1.424standby
在下行业务接口GE1/0/3上配置VRRP备份组3,并将其加入状态为Active的VGMP组;
配置VRRP备份组4,并将其加入状态为Standby的VGMP组。
[NGFW_A-GigabitEthernet1/0/3]vrrpvrid3virtual-ip10.3.0.3active
[NGFW_A-GigabitEthernet1/0/3]vrrpvrid4virtual-ip10.3.0.4standby
Step4在NGFW_B上完成网络基本配置。
NGFW_B的网络基本配置方法与NGFW_A相同,只是NGFW_B各接口的IP地址与NGFW_A不同。
因此配置过程略,IP地址请参见实验拓扑图。
Step5在NGFW_B上配置VRRP备份组。
为了实现负载分担组网,NGFW_B上的VRRP备份组加入的VGMP组配置需要与NGFW_A互为镜像。
即对于相同的VRRP备份组,如果在NGFW_A上加入了状态为Active的VGMP组,那么在NGFW_B上就需要加入状态为Standby的VGMP组。
在上行业务接口GE1/0/1上配置VRRP备份组1,并将其加入状态为Standby的VGMP组;
配置VRRP备份组2,并将其加入状态为Active的VGMP组。
[NGFW_B]interfaceGigabitEthernet1/0/1
[NGFW_B-GigabitEthernet1/0/1]vrrpvrid1virtual-ip1.1.1.324standby
[NGFW_B-GigabitEthernet1/0/1]vrrpvrid2virtual-ip1.1.1.424active
[NGFW_B-GigabitEthernet1/0/1]quit
在下行业务接口GE1/0/3上配置VRRP备份组3,并将其加入状态为Standby的VGMP组;
配置VRRP备份组4,并将其加入状态为Active的VGMP组。
[NGFW_B]interfaceGigabitEthernet1/0/3
[NGFW_B-GigabitEthernet1/0/3]vrrpvrid3virtual-ip10.3.0.3standby
[NGFW_B-GigabitEthernet1/0/3]vrrpvrid4virtual-ip10.3.0.4active
[NGFW_B-GigabitEthernet1/0/3]quit
Step6在NGFW_B上指定心跳口并启用双机热备功能。
[NGFW_B]hrpinterfaceGigabitEthernet1/0/7
[NGFW_B]hrpenable
Step7在NGFW_A上配置安全策略。
Step8在NGFW_A上配置NAT策略。
配置NAT策略,当内网用户访问Internet时,将源地址由10.3.0.0/16网段转换为NAT地址池中的地址(1.1.1.5-1.1.1.8)。
HRP_A[NGFW_A-nat-address-group-group1]section01.1.1.51.1.1.8
HRP_A[NGFW_A-policy-nat
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- HC13031041 防火墙高级技术实验手册 防火墙 高级 技术 实验 手册
![提示](https://static.bdocx.com/images/bang_tan.gif)