华为 NGFW安全插板技术白皮书VPNWord文档下载推荐.docx
- 文档编号:18398803
- 上传时间:2022-12-16
- 格式:DOCX
- 页数:23
- 大小:619.99KB
华为 NGFW安全插板技术白皮书VPNWord文档下载推荐.docx
《华为 NGFW安全插板技术白皮书VPNWord文档下载推荐.docx》由会员分享,可在线阅读,更多相关《华为 NGFW安全插板技术白皮书VPNWord文档下载推荐.docx(23页珍藏版)》请在冰豆网上搜索。
网址:
客户服务邮箱:
ask_FW_MKT@
客户服务电话:
4008302118
目录
1.技术背景5
2.概念及原理10
2.1.IPsec隧道化概念10
2.2.IPSec隧道化原理11
2.3.IPSec板间热备概念11
2.4.IPSec双板热备原理12
2.5.IPSec负载分担概念13
2.6.IPSec负载分担原理13
2.7.DSVPN概念14
2.8.DSVPN原理15
2.9.IPSecQOS概念18
2.10.IPSecQOS原理19
2.11.SSLVPN概念和原理20
3.运营与部署21
3.1.IPSec隧道化组网模式21
3.2.IPSec双板热备组网模式21
3.3.IPSec负载分担组网模式22
3.4.DSVPN组网模式24
3.5.IPSecQOS组网模式28
华为S交换机NGFW防火墙插板
关键词:
NGFW插板、VPN、IPSec、IKE
摘要:
本文详细介绍了S交换机NGFW防火墙插板IPSecVPN和SSLVPN的技术特点、工作原理等。
名称缩写
完整拼写
中文解释
NGFW
NextGenerationFirewall
下一代防火墙
VPN
VirtualPrivateNetwork
虚拟私有网
IPSEC
IPSecurity
IP安全
IKE
InternetKeyExchange
Internet密钥交换
1.
技术背景
随着网络,尤其是网络经济的发展,企业日益扩张,客户分布日益广泛,合作伙伴日益增多,这种情况促使了企业的效益日益增长,另一方面也越来越凸现传统企业网的功能缺陷:
传统企业网基于固定物理地点的专线连接方式已难以适应现代企业的需求。
于是企业对于自身的网络建设提出了更高的需求,主要表现在网络的灵活性、安全性、经济性、扩展性等方面。
在这样的背景下,VPN以其独具特色的优势赢得了越来越多的企业的青睐,令企业可以较少地关注网络的运行与维护,而更多地致力于企业的商业目标的实现。
VPN是随着Internet的广泛应用而迅速发展起来的一种新技术,用于在公共网络上构建私有专用虚拟网络。
“虚拟”主要指这种网络是一种逻辑上的网络。
VPN用于用户和企业网络之间的安全接入或企业分部之间的安全连接,保证经济、安全、有效地进行网络互联。
VPN的基本原理是利用隧道技术,把VPN的报文封装在隧道中,利用VPN骨干网建立专用的数据传输通道,实现报文的透明传输。
隧道技术使用一种协议封装另外一种协议报文,而封装协议本身也可以被其他封装协议所封装或承载。
VPN具有以下两个基本特征:
专用:
对于VPN用户,使用VPN与使用传统网络没有区别。
VPN与底层承载网络之间保持资源独立,即VPN资源不被网络中非该VPN的用户所使用;
VPN能够提供足够的安全保证,确保VPN内部信息部受外部侵扰。
虚拟:
VPN用户内部的通信是通过公共网络进行的,而这个公共网络同时也可以被其他非VPN用户使用,VPN用户获得的只是一个逻辑意义上的专网。
这个公共网络称为VPN骨干网。
华为S交换机NGFW防火墙插板(以下简称NGFW插板)当前支持以下几种VPN:
1、IPSecVPN
IPSec(IPSecurity)是IETF制定的一系列协议,提供了一种建立和管理安全隧道的方式,通过对咬传输的数据报文提供认证和加密服务来防止数据在网络内或通过公网传输时被非法查看或篡改,相当于为位于不同地域的用户创建了一条安全的通信隧道。
2、L2TPVPN
PPP协议定义了一种封装技术,可以在二层点到点链路上传输多种协议数据包,这时,用户与NAS之间运行PPP,二层链路端点与PPP会话点在相同硬件设备上。
L2TP协议提供了对PPP链路层数据帧的隧道(Tunnel)传输支持,允许二层链路端点和PPP会话点驻留在不同设备上,并采用包交换技术进行信息交互,从而扩展了PPP模型。
3、GREVPN
通用路由封装GRE(GenericRoutingEncapsulation)用来对某些网络层协议如IPX(InternetPacketExchange)的报文进行封装,使这些被封装的报文能够再另一网络层协议(如IP)中传输。
GRE可以作为VPN的第三层隧道协议,为VPN数据提供透明传输通道。
为防止攻击,可以在GRE封装的基础上,再使用IPSec协议加密。
即使用IP的安全机制来保护GRE头及其负载。
4、SSLVPN
SSL(SecureSocketsLayer)VPN无需安装客户端,用户只要使用HTTPS的Web浏览器,可以方便地建立标准安全通道访问远程应用,因此大幅度减轻VPN系统管理面负担。
SSLVPN适用于下述情况:
a、企业需要通过Web远程接入互联网。
b、客户端与目标服务器之间有防火墙,允许HTTPS数据包通过,但不允许IKE或IPSec数据包通过。
c、需要精细访问控制能力的场合。
华为NGFW插板提供的IPSec(IPSecurity)安全机制,为通讯双方提供访问控制、无连接完整性、数据来源认证、反重放、加密以及对数据流分类加密等服务。
通过AH(AuthenticationHeader)和ESP(EncapsulatingSecurityPayload)这两个安全协议来实现对IP数据报或上层协议的保护。
IPSec提供以下几种网络安全服务:
私有性-IPSec在传输数据包之前将其加密.以保证数据的私有性;
完整性-IPSec在目的地要验证数据包,以保证该数据包在传输过程中没有被修改;
真实性-IPSec端点要验证所有受IPSec保护的数据包;
防重放-IPSec防止了数据包被捕捉并重新投放到网上,即目的地会拒绝老的或重复的数据包,它通过报文的序列号实现。
华为NGFW插板可以采用IPSECVPN的方式实现分支机构和企业总部VPN网关建立VPN隧道,同时可获得内网IP,实现安全的传输,保证企业信息安全。
IPSec提供了两个主板之间、两个安全网关之间或主板和安全网关之间的数据保护。
在两个端点之间可以建立多个安全联盟,并结合访问控制列表(access-list),IPSec可以对不同的数据流实施不同的保护策略,达到不同的保护效果。
IPSec的安全联盟可以通过手工配置的方式建立,但是当网络中结点增多时,手工配置将非常困难,而且难以保证安全性。
这时就要使用IKE自动地进行安全联盟建立与密钥交换的过程。
华为NGFW插板IPSECVPN功能还提供基于公钥基础设施PKI(PublicKeyInfrastructure)框架的证书认证机制。
NGFW插板在支持IPSec基本功能的基础上还支持如下几个新特性:
1、IPSec隧道化:
在华为NGFW插板中,还支持IPSec隧道化,IPSec隧道化提供了一种简单的IPSec隧道端点的实现方式。
IPSec策略不用和具体的物理接口有任何绑定关系,将IPSec策略应用到Tunnel逻辑接口上,并且通过静态路由的方式将需要IPSec保护的报文引导到Tunnel接口进行IPSec处理。
任何普通接口收到的报文都可以被引导到Tunnel接口,来实现在该IPSec隧道端点进行IPSec处理。
经IPSec处理后的报文,通过路由来选择物理出接口,可以实现出接口的链路备份。
所以,如果原来封装报文的物理出接口down掉,可以通过切换路由,使得加封装报文从另一个物理接口发送出去,以避免IPSec隧道中途断掉。
2、IPSec双板热备:
在现网应用中,为了防止某一台防火墙由于特殊原因down掉而导致IPSec业务的中断,就需要采用IPSec双板热备,将两台设备进行双板热备配置,可以将IPSec的配置信息、隧道建立信息等从主设备备份到备用设备上来保证当主设备断开后隧道也不会拆除,提高网络的可靠性。
3、IPSec负载分担:
IPSec主备模式的双板热备,虽然提高IPSecVPN业务的稳定性和可靠性,能够保证在主用设备出现故障时,由备份设备平滑的接管工作。
但这种双板热备的工作模式,在同一时间只能有一台设备处于工作状态,另一台设备只能处于备份状态,无法承担业务,这就造成了一定程度的资源浪费。
由于两台设备同一时间只能有一台承担业务,也造成了IPSec双板热备支持场景的缺失。
IPSec负载分担特性场景中,两台设备同时处理业务,当其中一台设备发生故障时,另外一台设备会立即承担其业务,保证原来通过这台设备的业务不会中断。
IPSec负载分担就是IPSec主备方式双板热备的基础上,提高设备的利用率,并进一步完善IPSecVPN双板热备应用场景而设计的一套方案。
4、DSVPN
目前越来越多的企业使用Hub-Spoke(中心-分支)网络模型通过在企业总部和各个分支机构之间建立VPN(VirtualPrivateNetwork)隧道来连接企业总部和各个分支机构,其中部署在总部的设备作为Hub节点,部署在分支机构的设备作为Spoke节点。
在传统的Hub-Spoke网络模型中,数据流量主要在分支和中心的设备之间传输,如果分支A和分支B之间需要通信的话,在网络传输路径如下:
数据报文在一个分支设备A上进行VPN加封装,封装后报文通过A和中心节点设备之间的VPN隧道发送给中心节点设备;
中心节点设备收到VPN封装的报文先进行VPN解封装,然后再对内层报文进行VPN加封装,封装后报文通过中心节点设备和分支设备B之间的VPN隧道发送给分支设备B;
分支设备B收到VPN封装后的报文后,对报文进行解封装,然后对内层报文进行转发处理。
如上所述,传统的Hub-Spoke网络模型中,分支和分支之间的通信需要进行两次加解封装操作且都需要中心节点中转使传输路径变长,这样会加大分支和分支之间的网络时延,加重中心节点的负担;
NGFW插板要在Hub-Spoke网络模型的基础上实现了分支设备之间直接建立VPN隧道,使分支和分支之间的通信不通过中心设备进行中转,直接通信,有效减轻中心设备的负担,并减小网络时延。
由于部署在分支机构的Spoke节点通常采用动态IP地址接入公网网络,因此要在Spoke-Spoke之间建立VPN隧道进行直接通信,需要实现Spoke节点动态获取建立VPN隧道的另一个Spoke节点的公网IP地址。
为此,DSVPN采用NHRP(NextHopResolutionProtocol,下一跳地址解析协议)来维护、分发DVPN网络中的公网IP信息。
5、IPSecQOS
传统的网络服务采用尽力而为的策略,无区分的处理所有报文,对分组转发的延迟、抖动、丢包和可靠性等需求不提供任何承诺和保证。
随着网络技术的飞速发展和业务的逐渐多样化,新业务对网络的服务能力提出了更高的要求。
这些新业务有一个共同特点,即对带宽、延迟、延迟抖动等传输性能有着特殊的需求。
比如电视会议、视频点播需要高带宽、低延迟和低延迟抖动的保证。
事物处理、Telnet等关键任务虽然不一定要求高带宽,但非常重视低延迟,在拥塞发生时要求优先获得处理。
新业务的不断涌现对IP网络的服务能力提出了更高的要求,用户已不再满足于能够简单地将报文发送到目的地,而是还希望在投递过程中得到更好的服务诸如支持为用户提供专用带宽、减少报文的丢失率、管理和避免网络拥塞、调控网络的流量、设置报文的优先级等。
IPSec在实际应用中也迫切的需要进行QOS的处理,来为某些特殊业务提供优先进入IPSec隧道等功能。
在进行IPSec封装之前,对报文进行QOS处理,根据报文的QOS处理结果将报文进行IPSec封装再进行发送。
2.概念及原理
2.1.IPsec隧道化概念
目前,IPSec策略配置和报文的出入接口都在物理口。
如果某条物理链路出现问题,那么IPSec隧道就会被中断。
从图1中可以看到,与NetworkA相连的防火墙与Internet有2个接入点,并与NetworkB相连的防火墙建立IPSec隧道,当与NetworkA相连的防火墙某一个接入点断开时,可以通过路由来选择另外一个出接口,保证业务不中断。
1IPSec隧道化应用场景
IPSec隧道化有以下优点:
1、简化配置
通过配置路由可以将任何物理接口的报文引导到Tunnel接口进行IPSec处理,简化了IPSec策略的配置,并且使IPSec配置不会受到网络规划的影响,增强了网络规划的可扩展性。
2、业务应用更灵活
IPSec隧道化在实施过程中明确地区分出“加密前”和“加密后”两个阶段,用户可以根据不同的组网需求灵活选择其它业务(例如QoS)实施的阶段。
3、增强了链路可靠性
通过配置路由,IPSec隧道化可以实现出接口链路的备份,增强了链路的可靠性。
2.2.IPSec隧道化原理
NGFW插板除了支持直接在物理接口应用IPSec安全策略外还支持在虚拟隧道接口上应用IPSec安全策略(也就是IPSec隧道化)。
IPSec隧道化提供了一种简单的IPSec隧道端点的实现方式,IPSec策略根具体的物理接口没有任何绑定关系,将IPSec策略应用到Tunnel逻辑接口上,并通过路由来选择出接口,使得IPSec隧道跟物理口不再强相关,通过路由配置来控制对哪些流量进行加密,从而使的ipsec策略的使用变的更加的方便灵活。
并能为IPSec链路备份提供方便有效的解决方案。
2.3.IPSec板间热备概念
在现网环境中,NGFW插板一般作为网络出口,并与对端建立IPSec隧道进行通信,当NGFW插板出现异常等情况时,会导致IPSec隧道断掉,业务中断。
采用双板热备份方式组网,可以保证当一块插板发生意外故障的时候,另外一块能够自动接替所有的工作,而用户感觉不到异常。
IPSec双板热备可以是在一台S交换机中的两块插板,也可以是两块插板分布在两台交换机中。
这两块防火墙插板中只有一块在进行工作,当发生意外故障的时候由另外一台防火墙接替工作。
主防火墙板配置信息可以通过心跳口发送到备防火墙板,同时主防火墙板生成的SA等信息也通过心跳口发送到备用防火墙板,从而保证主备防火墙板IPSec信息的一致性,在主备倒换后业务能够平滑的从主防火墙板切换到备防火墙板。
2.4.IPSec双板热备原理
2IPSec双板热备基本流程图
图2是IPSec双板热备主备板基本流程图,在IPSec双板热备系统下,将设备配置信息、状态信息及IKE安全联盟、IPSec安全联盟信息备份到备板。
确保备板切换为主板时,能正常处理IPSec业务。
IPSec双板热备系统根据备份对象的特性分为3种不同的备份方式,这三种备份方式为:
实时备份、批量备份、定时备份。
1、实时备份,顾名思义,就是对象一产生就会备份到备板上去。
如IKESA、IPSecSA等信息,在主板上一生成这些SA,就会备份到备板上去,这样在主备倒换时能够保证业务不中断。
2、批量备份,则是当备板出现异常重新启动等情况下,主板需要将所有IPSec的相关信息备份给备板,这时就需要进行批量备份。
3、定时备份,则与上两种备份方式不同,对于诸如防重放序号等信息的备份,如果采用实时备份则会导致备份报文过多,堵塞心跳口,从而导致备份报文丢失、心跳超时等情况的出现。
所以对这些信息采用定时备份方式,组装好备份报文后不立刻发送,而是等到定时器超时或缓存满后发送一次。
2.5.IPSec负载分担概念
IPSec负载分担特性是IPSec双板热备的增强,使IPSec业务组网的可靠行和灵活行得到进一步提高。
根据不同的应用场景,主要有下面三种不同工作模式:
1、双隧道冗余备份模式
2、IPSec负载分担模式(tunnel结合OSPF)
3、IPSec负载分担模式(结合VRRP)
下面介绍这三中模式。
2.6.IPSec负载分担原理
1、双隧道冗余备份模式:
NGFW插板支持一种双隧道应用,分支与有双板热备关系的两台防火墙为同一业务建立两条隧道,两台防火墙同时处理业务。
当一条隧道因某种原因失效后,可以马上切换到另一条隧道,而使业务不受影响。
在这种模式下面两台设备的IPSec是独立工作的,相互之间不备份IPSec信息。
2、IPSec负载分担模式(Tunnel结合OSPF):
OSPF(OpenShortestPathFirst)是开放式最短路径优先协议,是一个基于链路状态的内部网关协议。
可以通过OSPF发布路由的方式来实现流量的分流,与IPSec负载分担结合,实现IPSec业务的负载分担,IPSec信息相互备份,一台设备异常后,所有业务流量都切换到另一台设备,保证业务正常。
3、IPSec负载分担模式(结合VRRP):
VRRP(VirtualRouterRedundancyProtocol)是虚拟路由器冗余协议,其作为一种容错协议,适用于支持组播和广播的局域网。
VRRP的工作机制是把几个路由器组成一个虚拟路由器,即一个VRRP组,提供统一的虚拟IP地址和虚拟MAC地址,并通过优先级方式选出主用路由器。
只有主用路由器才会接收并转发以虚拟IP地址为下一跳的报文,备用路由器则处于监控状态,用于保证有且只有一个设备处于主用状态并转发用户报文。
这样在VRRP组中只要有一个设备为主用状态,就可以保证链接不中断。
VRRP协议同样适用于不同设备的多个接口。
可以通过将IPSec负载分担的两台设备不同的接口加入不同的VRRP组来实现流量的分流,从而实现IPSec业务的负载分担。
IPSec信息相互备份,一台设备异常后,所有业务流量都切换到另一台设备,保证业务正常。
2.7.DSVPN概念
在DSVPN场景下,有如下几个概念:
DSVPN节点:
●NHS:
NHRPServer,在DVPN网络中提供NHRP服务的节点,处理NHC发送的请求信息,负责维护、管理网络中的公网IP信息;
●NHC:
NHRPClient,负责向NHS注册自己的TunnelIP、公网IP信息,发送和处理NHRP地址解析请求以动态的获取其它NHC的公网IP信息;
●Hub节点:
DSVPN网络中的中心节点,通常是企业总部的网关设备,拥有一个固定的公网IP地址,是路由信息交换的中心,在NHRP协议中担任NHS角色;
●Spoke节点:
DDVPN网络中的分支节点,通常是企业分支机构的网关设备,公网IP地址可以是固定的也可以是动态获取的,在NHRP协议中担任NHC角色;
DSVPN网络拓扑:
●Hub和Spoke节点都有一个支持P2MPGRE的Tunnel口以及一个事先规划好的TunnelIP,要求网络中的TunnelIP在同一网段内;
●Hub和Spoke都连接着一个或多个事先规划的内网;
●Spoke和Hub、Spoke和Spoke之间是公网,需要通过GRE或者GREOverIPSec建立VPN隧道,使得Spoke和Hub、Spoke和Spoke之间的内部网络实现互联;
●Hub和Spoke节点都需要支持MGRE、NHRP以及IPSec,支持网络中的节点两两之间动态建立VPN隧道,实现网络节点全网格(Full-Mesh)互联;
DSVPNVPN隧道:
●Hub-SpokeVPN隧道:
Hub节点和Spoke节点之间建立的VPN隧道;
Spoke节点启动后,根据配置的Hub节点的信息(PublicIP或者DNS域名、IPSec协商参数等),向Hub节点协商建立Hub-SpokeVPN隧道;
Hub-SpokeVPN隧道需要长期保持;
Spoke-SpokeVPN隧道:
Spoke节点和Spoke节点之间动态建立的VPN隧道;
源Spoke节点根据业务报文的目的IP信息或者路由的下一跳IP信息(即TunnelIP)发出解析请求,请求过程完成后,源和目的Spoke节点都获取到对端Spoke的信息(PublicIP、IPSec协商参数等),并在源和目的Spoke节点之间协商建立Spoke-SpokeVPN隧道;
Spoke-SpokeVPN隧道不需要长期保持,在一定的空闲时间后需要删除VPN隧道。
2.8.DSVPN原理
DSVPN特性要求网络中每个节点支持MGRE特性,允许在一个Tunnel口下建立多条Source相同Destination不同的GRE隧道,其中Source由配置决定,Destination根据配置或者通过NHRP协议来动态获取。
Spoke节点在启动之后根据配置信息与Hub节点建立GRE或者GREOverIPSecVPN隧道。
VPN隧道成功建立后,Spoke节点(NHC)向Hub节点(NHS)注册自己的TunnelIP和PublicIP之间的对关系。
注册成功后,Spoke节点在Spoke-Hub的VPN隧道内与Hub节点交互动态路由协议信息,在网络内发布自己内网的路由信息和学习Hub节点和其它Spoke节点的内网路由信息,Hub节点会将组播方式的动态路由信息封装发送给所有在Hub节点注册的Spoke节点。
根据发布路由信息的方式不同,DVPN特性可分为Spoke节点相互学习路由(Normal)和Spoke节点路由汇聚到Hub(Shortcut)两种方式,这两种方式下各个节点学到路由信息的下一跳分别为对应Spoke节点的TunnelIP或者Hub节点的TunnelIP。
3Normal方式原理
Normal方式的原理如图3所示:
●SpokeA在Tunnel口转发业务报文时,根据业务的报文的目的IP查找路由表,获得下一跳地址和出接口并根据下一跳地址(目的TunnelIP)在出接口(Tunnel口)下匹配单播NHRP表项,根据匹配到的NHRP表项来确定目的TunnelIP对应的PublicIP,从而确定GRE隧道的Destination地址和IPSec隧道的Peer地址;
●如果没有匹配到单播NHRP表项时,为保证业务的可靠性,报文默认通过Hub转发,即GRE的Destination地址和IPSec的Peer地址默认为Hub节点的PublicIP;
●同时NHC节点SpokeA以目的TunnelIP为协议IP地址构造NHRP地址解析请求消息并发送给向NHS节点(Hub),请求消息中包含SpokeA的TunnelIP和PublicIP;
●NHS节点将请求消息转发给对应的目的NHC节点(SpokeB);
●S
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 华为 NGFW安全插板技术白皮书VPN NGFW 安全 插板 技术 白皮书 VPN
![提示](https://static.bdocx.com/images/bang_tan.gif)