source+server

作者：独猎鹏

2、保护内部网络安全性

（1）设备命名、接口启用IP地址

NGFW：

#

 sysname NGFW                     设备命名为NGFW

#

interface GigabitEthernet1/0/0          进入接口视图下，配置IP地址

 ip address 202.0.0.1 255.255.255.248

#

interface GigabitEthernet1/0/2          进入接口视图下，配置IP地址

 ip address 10.0.0.1 255.255.255.252

#

SW1：

#

 sysname SW1                       设备命名为SW1

#

interface GigabitEthernet1/0/2          进入接口视图下

 port link-mode route                 修改接口为三层模式（缺省为bridge二层桥模式）

 ip address 10.0.0.2 255.255.255.252     配置接口IP地址

#

Internet：

#

 sysname internet                     设备命名为internet

#

interface GigabitEthernet0/0            进入接口视图下

 ip address 202.0.0.2 255.255.255.248    添加ip地址

#

interface LoopBack0                  添加loopback接口，逻辑接口，用于模拟公网

 description CS                      接口添加描述，意思为：测试

 ip address 200.1.1.1 255.255.255.255   接口配置ip地址

#

（2）DMZ区域配置（DHCP配置，绑定配置）、Untrust区域配置

A、安全区域划分

NGFW：

#

security-zone name DMZ             进入dmz安全区域

 import interface GigabitEthernet1/0/2  将内网接口加入到dmz安全区域

#

security-zone name Untrust           进入untrust安全区域

 import interface GigabitEthernet1/0/0  将公网接口加入到untrust安全区域

#

B、DHCP配置

分配指定IP地址给Server

1）获取IP地址

I、Server配置：

Server（通过交换机模拟）：

#

 sysname Server                 设备命名为Server

#

vlan 10                          创建vlan 10

#

interface GigabitEthernet1/0/1      进入接口视图下

 port link-mode bridge            接口设置为桥模式

 port access vlan 10               将接口属于vlan 10

#

interface Vlan-interface10         配置三层虚接口（逻辑接口）

#

II、查询server mac地址

[Server]display interface Vlan-interface 10  查询接口参数，目的是查看mac地址

Vlan-interface10

Current state: UP

Line protocol state: UP

Description: Vlan-interface10 Interface

Bandwidth: 100000 kbps

Maximum transmission unit: 1500

Internet address: 10.1.1.10/8 (DHCP-allocated)

IP packet frame type: Ethernet II, hardware address: 06db-1d10-0902

IPv6 packet frame type: Ethernet II, hardware address: 06db-1d10-0902

Last clearing of counters: Never

Last 300 seconds input rate: 4 bytes/sec, 32 bits/sec, 0 packets/sec

Last 300 seconds output rate: 3 bytes/sec, 24 bits/sec, 0 packets/sec

Input: 11 packets, 2046 bytes, 0 drops

Output: 30 packets, 4156 bytes, 0 drops

III、DHCP配置

SW1：

#

vlan 10                           创建vlan10

#

interface GigabitEthernet1/0/1       进入接口视图下

 port link-mode bridge             接口为二层接口，桥模式

 port access vlan 10                接口属于vlan 10

#

interface Vlan-interface10           进入三层虚接口视图下

 ip address 10.1.1.254 255.255.255.0  配置网关地址

#

dhcp enable                       启用dhcp服务功能

#

dhcp server ip-pool server           创建地址池

 gateway-list 10.1.1.254             配置网关地址

 network 10.1.1.0 mask 255.255.255.0 添加可以分配地址段

 forbidden-ip 10.1.1.254            保护起来ip地址不被分配

 static-bind ip-address 10.1.1.10 mask 255.255.255.0 hardware-address 06db-1d10-0902

#                               配置给server分配指定ip地址为10.1.1.10

Server（通过交换机模拟）：

#

interface Vlan-interface10          进入三层虚接口视图下

 ip address dhcp-alloc         动态获取ip地址（此命令用于接口启用dhcp客户端功能）

#

（3）安全策略，实现区域之间可以互相访问

NGFW：

#

object-group ip address dmz            添加dmz地址组

 0 network subnet 10.1.1.0 255.255.255.0  添加地址段

#

object-group ip address untrust          添加untrust地址组

 0 network subnet 0.0.0.0 0.0.0.0         访问公网允许所有，any

#

security-policy ip                      添加安全策略

 rule 0 name dmz-untrust             策略为dmz区域到untrust区域

  action pass                        动作为允许

  source-zone dmz                   源安全区域为dmz

  destination-zone untrust             目的安全区域为untrust

  source-ip dmz                      源ip地址为dmz地址组

  destination-ip untrust                目的IP地址为untrust地址组

#

（4）开启攻击防范

NGFW：

#

attack-defense policy attack               开启攻击防范功能

 signature detect land action drop logging  启用land攻击防范，发现攻击丢包并记录日志

#

security-zone name Untrust              进入untrust安全区域

 attack-defense apply policy attack       应该单包攻击防范功能。

#

注意：所有的单包攻击均如上配置。仔细看需求进行修改。

（5）配置NAT

NGFW：

#

nat address-group 1          添加nat地址池

 address 202.0.0.3 202.0.0.6   地址池地址为202.0.0.3到202.0.0.6共4个地址

#

acl basic 2023               配置允许内网访问外网的acl

 description nat             添加描述，意思是本acl给nat使用

 rule 0 permit source 10.1.1.0 0.0.0.255  添加允许访问公网的内网地址段

#

 ip route-static 0.0.0.0 0 202.0.0.2   配置到公网路由

#

ospf 1                      启用ospf路由协议，进程号为1（默认进程为1）

 default-route-advertise      ospf生成默认路由（引入static生成的默认路由）

 area 0.0.0.0                 进入区域0（骨干区域）

  network 10.0.0.0 0.0.0.3     发布互联业务网段

#

acl advanced 3000        配置acl，目的是实现防火墙和sw1之间能够允许ospf协议报文

 rule 0 permit ip source 10.0.0.1 0 destination 10.0.0.2 0  

 rule 5 permit ospf

#

zone-pair security source Local destination DMZ  添加安全策略，实现local可以访问dmz

 packet-filter 3000

#

acl advanced 3001        配置acl，目的是实现防火墙和sw1之间能够允许ospf协议报文

 rule 0 permit ip source 10.0.0.2 0 destination 10.0.0.1 0

 rule 5 permit ospf

#

zone-pair security source DMZ destination Local 添加安全策略，实现dmz可以访问local

 packet-filter 3001

#

interface GigabitEthernet1/0/0

 nat outbound 2023 address-group 1  公网接口应用nat功能，关联acl及地址池

#

SW1：

#

ospf 1                         启用ospf路由协议，进程号为1（默认进程为1）    

 silent-interface Vlan-interface10  接口配置为静默端口（防止路由泄露给客户端）

 area 0.0.0.0                    进入区域0（骨干区域）

  network 10.0.0.0 0.0.0.3        发布互联业务网段

  network 10.1.1.0 0.0.0.255      发布业务网段

#

（6）测试

ping 200.1.1.1   测试公网可达，目的看nat配置是否正确

Ping 200.1.1.1 (200.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 200.1.1.1: icmp_seq=0 ttl=253 time=3.000 ms

56 bytes from 200.1.1.1: icmp_seq=1 ttl=253 time=2.000 ms

56 bytes from 200.1.1.1: icmp_seq=2 ttl=253 time=2.000 ms

56 bytes from 200.1.1.1: icmp_seq=3 ttl=253 time=3.000 ms

56 bytes from 200.1.1.1: icmp_seq=4 ttl=253 time=2.000 ms

--- Ping statistics for 200.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 2.000/2.400/3.000/0.490 ms

%Dec  1 17:28:31:038 2023 Server PING/6/PING_STATISTICS: Ping statistics for 200.1.1.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 2.000/2.400/3.000/0.490 ms.

[NGFW]display nat session   查看nat会话表

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.10/218

  Destination IP/port: 200.1.1.1/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: DMZ

Total sessions found: 1

查看文章精彩评论，请前往什么值得买进行阅读互动

戚斧促3263什么叫source导入脚本 -
夏融穆17677495677 ______ source命令是bash的内置命令.source通常用于重新执行刚修改的初始化文档,如 .bashrc .bash_profile .profile 等等.例如对 .bash_profile 中的TERM变量做了修改,则能够用source命令重新执行 .bash_profile 中的命令而不用注销并重新登录....

戚斧促3263液晶显示器上标有SOURCE的那个键是干什么的 -
夏融穆17677495677 ______ 应该是信号源切换键,就是在D-SUB与DVI信号间切换(如果你两个接口都接了的话)

戚斧促3263serve是什么意思 -
夏融穆17677495677 ______ serve [sə:v] 基本翻译 n. 发球,轮到发球 vi. 服役,服务;适合,足够;发球;招待,侍候 vt. 招待,供应;为服务;对有用;可作用 网络释义 Serve:发球 | 有作用 | 服务

戚斧促3263英语: 请问 serve 的用法?? -
夏融穆17677495677 ______ 我就补充一下它的两个常见用法:1.为...服务 是serve sb.不要加for serve the people2.at your serve 随时为你服务/效劳My car is at your serve.其他的他们说的很详细了1. 为...服务...

戚斧促3263source insight前进一个字符和后退一个字符 快捷键?? -
夏融穆17677495677 ______ 虽然我觉得我的回答有点……但是键盘右下→↑→↓四个方向键的向左键不行吗?如果嫌按键比较远,使用Options菜单中的Key Assignments选项,找到Navigation: Cursor Left,可以将这个功能同时分配给向左键和另外一个或几个按键或组合键,与其他快捷键不冲突即可.

戚斧促3263source driver是什么意思 -
夏融穆17677495677 ______ source driver 网络 源极驱动; 源极驱动器; 源驱动; 源极驱动电路; 驱动电路; [例句]From the drop down menu, select the data source driver.从下拉菜单中,选择数据源驱动器.

戚斧促3263serve 的用法 -
夏融穆17677495677 ______ with可以省,to不可以

戚斧促3263source selection是什么意思 -
夏融穆17677495677 ______ source selection 源选择 双语例句1 The shop glass content including ballast source selection principle andballast means of transportation.铺碴的内容包括道碴来源地的选取原则和道碴的运输方法.2 As a result of UV-curing source selection on UV drying on importantmelted.因此紫外固化光源的选择对UV上光油的干燥速度有着重要的影响.

戚斧促3263eclipse里面source folder是什么? -
夏融穆17677495677 ______ Source folder是存放源文件的文件夹的意思. 所谓源文件就是你所有的以.java为后缀的文件,就是java程序最原始未编译的形态,一般存放在src文件夹里(source 的缩写). 还有一个是Binary File,就是以.class为后缀的文件,就是java经过编译后的二进制文件,一般存放在bin文件夹里(binary 的缩写). 不需要太过纠结这个,只要注意一点,用Eclipse的时候最好勾选分开存放源文件和编译文件(好像是这么名字的选项),这样你的源文件和编译后的文件就会被独立存放,方便备份或者使用version control系统.

戚斧促3263source–sink是什么意思 -
夏融穆17677495677 ______ soure 是出的意思 sink 是往里面进的意思,合到一起就是:出-进