安全防御——二、ENSP防火墙实验学习

安全防御

• 一、防火墙接口以及模式设置
  
• 1. * 1、untrust区域

  复制代码
  
  
  • 2、trust区域
    
  • 3、DMZ区域
    
  • 4、接口对演示
    
  
  
• 二、防火墙的计谋
  
• 1. * 1、定义与原理

  复制代码
  
  
  • 2、防火墙计谋设置
    
  • 1.   * 2.1 安全策略工作流程

    复制代码
    
    
    • 2.2 查询和创建会话
      
    
    
  • 3、实验计谋设置
    
  • 1.   * 3.1 trust-to-untrust

    复制代码
    
    
    • 3.2 trust-to-dmz
      
    • 3.3 untrust-to-dmz
      
    
    
  
  
• 三、防火墙的区域
  

一、防火墙接口以及模式设置

我们利用实验进行讲解：

1、untrust区域

起首我们自行完成安全防御一，进入到如下界面：

这里我们的ENSP拓扑依旧是简朴拓扑：

在这里呢，我们经常会发现时常超时，重连，固然我们不建议设置永不超时，但是我们在实验界面就没那么多硬性要求：
我们可以通过如下命令设置永不超时：
起首我们进入到体系视图：

1. user-interface console 0
2. idle-timeout 0 0

复制代码

这里会弹出一个告诫，不用管。
好的，下面我们将这个拓扑图美满来供我们学习：

这里我们可以看到我们在这里预计分别三个区域：trust以及untrust、DMZ区域三个区域。
下面我们进入Web界面点击网络，查看网络板块内容：

这里我们可以看到有六个口，也可看到模式，防火墙既可以做交换也可以做路由，这里默以为路由，点进去我们也可看到：

这里我们可以修改接口模式类型，当我们修改为交换，那么这个口就会变成2层口。

这里我们也可看到有其他种类型，旁路检测以及接口对：
如果利用旁路检测，那么交换机就会像PC一样，挂在交换机旁边一样。比较少见。
接口对我们之后再讲，先将路由以及交换搞清楚。
下面我们继续美满拓扑，使其可以进行模拟访问：

我们将PC的网关以及Server网关都分别放在交换机SW1以及SW2上，剩下的我们直接做互联即可。
下面我们将网段进行规划：

对G1/0/0进行设置：

这里我们可以看到有许多选项，虚拟体系这里不要动，如果改为defult，那么它将会和之前那个口在一起了。
安全区域我们将它放在untrust，接口模式为路由，这里我们将IP地址改为100.1.1.1/24：

下面不用管，这里有个启动接口访问，我们将它点掉，这里是不允许访问的。

同时，我们也可看到接口带宽有入方向带宽以及出方向带宽两种。一般运营商会拉互联网线路，如果是20M，那就选入方向与出方向选择20M，保举运营商给多少，放多少。企业级是一样的，拨号式不一样，这里我们进行做实验，就不写了。

这里我们可以看到已经设置完毕，下面我们对R1进行设置：

1. [r1]sys ISP
2. [ISP]int g0/0/0
3. [ISP-GigabitEthernet0/0/0]ip address 100.1.1.2 24
4. [ISP-GigabitEthernet0/0/0]quit
5. [ISP]

复制代码

这里我们在R1旁边放一个服务器，真实一些：

并给服务器设置IP地址：

这里开启HTTP，任意挂一个目录。
再对R1进行网关接口设置：

1. [ISP]int g0/0/1
2. [ISP-GigabitEthernet0/0/1]ip address 200.1.1.1 24
3. [ISP-GigabitEthernet0/0/1]quit
4. [ISP]

复制代码

这里我们已经将untrust设置完毕，我们进行测试：

我们可以看到是ping不通的，这里是因为我们未放行ping端口，下面我们将防火墙G1/0/0接口的ping打开：

好的，下面我们再进行测试：

我们可以看到现在是通了，下面我们还得写个路由出来，使untrust区域的服务器可以通信。

设置下一跳以及出接口，点击确定。

这里即可生成一个静态路由，我们可以通过服务器来进行测试：

2、trust区域

下面我们整trust区域，回到接口进行设置：

这里我们即可看到接口IP地址设置完毕。
紧接着我们设置SW1：

1. [sw1]vlan 2
2. [sw1-vlan2]quit
3. [sw1]int g0/0/1       
4. [sw1-GigabitEthernet0/0/1]port link-type access
5. [sw1-GigabitEthernet0/0/1]port default vlan 2
6. [sw1-GigabitEthernet0/0/1]quit
7. [sw1]int vlan 2
8. [sw1-Vlanif2]ip add 10.1.255.1 24
9. [sw1-Vlanif2]quit
10. [sw1]vlan 3
11. [sw1-vlan3]quit
12. [sw1]int vlan 3
13. [sw1-Vlanif3]ip address 10.1.3.1 24
14. [sw1-Vlanif3]quit
15. [sw1]int g0/0/2       
16. [sw1-GigabitEthernet0/0/2]port link-type access
17. [sw1-GigabitEthernet0/0/2]port default vlan 3
18. [sw1-GigabitEthernet0/0/2]quit
19. [sw1]

复制代码

将PC放在VLAN3里面，并在SW1里面我们可以进行设置vlan3，来放置PC的网关，下面我们进行设置PC端IP地址。

下面我们进行测试trust区域，还是先放开ping：

利用SW1来ping防火墙：

利用PC测试的话，我们当然依旧的先想到须要防火墙来进行回包，所以我们依旧先做一个回包路由：

下面我们利用PC来ping：

这里就证明内网可以进行通信了。
3、DMZ区域

起首我们对DMZ区域进行规划，DMZ区域中服务器1的网关放在防火墙上，交换机有两个口，那么我们要做聚合：

这里我们先在防火墙上做聚合，登录防火墙Web界面（起首这里我们认识到应该给G1/0/2以及G1/0/3接口做聚合）：
做聚合的话，那么接口肯定是交换口：

点击新建

对新建接口进行命名，这里自界说，以及选择类型为接口汇聚，选择接口模式为交换，并将2口与3口放入：

然后下面有一个接口类型，这里我们选择access与trunk在于：有几个网关以及vlan，这里如果只有一个网关，也就是一个vlan，那么我们选择access接口即可，这里我们更改拓扑，再添加一个服务器，搞两个网关，那么我们则须要用到trunk。

那么我们这里利用trunk：

这里有一个trunk vlan id，这里我们就添加一个vlan，10和11，也就是10-11：

然后我们点击确定，即可看到我们刚才创建的链路聚合：

但是这里并没有给它划入区域，因此：

我们将它划入DMZ区域，点击确定即可看到：

到这里我们在防火墙上设置聚合，下面我们在交换机上做链路聚合：

1. [sw2]sys DMZ
2. [DMZ]int Eth-Trunk 1
3. [DMZ-Eth-Trunk1]trunkport g0/0/1
4. [DMZ-Eth-Trunk1]trunkport g0/0/2
5. [DMZ-Eth-Trunk1]quit
6. [DMZ]int Eth-Trunk 1
7. [DMZ-Eth-Trunk1]port link-type trunk
8. [DMZ-Eth-Trunk1]port trunk allow-pass vlan 10 to 11
9. [DMZ-Eth-Trunk1]quit
10. [DMZ]vlan 11
11. [DMZ-vlan11]vlan 10
12. [DMZ-vlan10]quit
13. [DMZ]int g0/0/4
14. [DMZ-GigabitEthernet0/0/4]port link-type access
15. [DMZ-GigabitEthernet0/0/4]port default vlan 10
16. [DMZ-GigabitEthernet0/0/4]int g0/0/3       
17. [DMZ-GigabitEthernet0/0/3]port link-type access        
18. [DMZ-GigabitEthernet0/0/3]port default vlan 11
19. [DMZ-GigabitEthernet0/0/3]quit
20. [DMZ]

复制代码

下面我们在防火墙上创建网关：
好的，起首我们来创建vlan10网关：

创建接口名称，选择接口类型为vlan接口，安全区域选择dmz区域，vlan ID选择10，IP地址利用10.1.10.1/24，同时开放ping放开：

下面我们创建vlan11网关：

这里我们已经创建乐成，下面我们给服务器设置IP地址来完成我们的测试：

下面我们进行测试：

好的，到这里我们已经将各个区域内部买通，下面我们将区域之间买通：
4、接口对演示

华为叫做接口对，有的厂商叫虚拟网线。
二层转发要查MAC表，接口对不要查，直接转发。
我们美满拓扑通过实验来演示：

下面我们到Web界面进行设置：
起首我们将4和5模式改为接口对：

之后我们来到接口对：

这样PC2流量只能去PC3。
接口对长处就是速率快，必须要做接口对的环境就是穿过防火墙做链路聚合。
以上实验不但用了路由模式，又用了交换模式，利用机动。
旁路检测即是说把交换机功能废掉了，只用IPS也就是审计功能，即是说防火墙大部门功能废掉了，只能被动接收流量。
二、防火墙的计谋

1、界说与原理

防火墙的根本作用是掩护特定网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。
安全计谋是控制设备对流量转发以及对流量进行内容安全一体化检测的计谋，作用就是对通过防火墙的数据流进行检验，符合安全计谋的合法数据流才气通过防火墙。
2、防火墙计谋设置

2.1 安全计谋工作流程

2.2 查询和创建会话

3、实验计谋设置

3.1 trust-to-untrust

下面我们登录Web界面防火墙设置，点到计谋模块：

这里我们可以看到这里面有一条默认计谋，就是拒绝所有。
接下来我们进行一块一块搞，起首trust要访问untrust：

这里我们添加了名称、源目的安全区域，源地址，这里新建了个地址组：

起首，以上设置已经足够我们实验利用，如果在生产环境下，须要根据项目需求，来详细分别区域，VLAN以及服务，应用，URL，时间段，内容安全等等。

这里我们trust-to-untrust计谋就已经设置完毕了。
下面我们利用PC1进行访问测试：

这里我们可以看到未能访问，我们这里须要做一个回包路由：
ISP：

1. [ISP]ip route-static 0.0.0.0 0 100.1.1.1
2. [ISP]

复制代码

起首，这里出现了一点问题，网段在地址组打错了，所以我们起首：

选择地址，地址组：

这里我们乐成修改了地址组里面的地址，这时我们可以在计谋看是否完成更改：

我们可以看到已经主动更改，现在，我们添加路由来使PC访问untrust区域内部的服务器：
SW1：

1. [sw1]ip route-static 0.0.0.0 0 10.1.255.2
2. [sw1]

复制代码

好的，下面我们来进行测试，利用PC来ping服务器：

同时，我们在Web界面也可看到：

命中5次，这里trust-to-untrust计谋乐成设置完成。
3.2 trust-to-dmz

起首我们在地址组内创建DMZ区域IP地址：

点击确认即可查看我们创建的地址组：

下面我们写计谋：

在此次实验中我们须要设置计谋名称，源目的地址，以及开启的服务，然后点击确认。

接下来我们来测试：
利用trust区域中的PC进行ping：

这里我们trust-to-dmz计谋创建完毕，这里也可看到命中：

3.3 untrust-to-dmz

这里我们dmz有两个服务，我们让他访问一个就行，起首，我们创建DMZ可以供untrust区域访问的服务器IP地址：

点击新建地址：

这里我们供untrust区域访问服务器为10.1.10.2：

好的，下面我们来设置计谋：

创建untrust-to-
dmz计谋名，源安全区域为untrust，目的安全区域为dmz，以及目的地址选择之前创建的地址，DMZ-10.1.10.2，服务开放icmp。

下面我们利用untrust服务器进行访问dmz区域：
起首我们ping开放的10.1.10.2：

下面我们ping未开放的10.1.11.2：

同时，在Web界面显示命中次数：

到这里我们就将计谋全部设置完成。
三、防火墙的区域

区域就是防火墙研究流量管控不是接口，是区域。区域之间流量流动要求在防火墙上做放行计谋。创建区域在上面实验中已经完全实践过了。
会话和包是有区别的，访问baidu之后一系列的包都是一个流，每个包属于流的一部门，会话追踪技能，防火墙可以将包所有流全部识别出来。
防火墙重要关注首包，首包来到防火墙后起首查看会话表，然后匹配安全计谋，匹配，之后，创建会话。第二个包来了之后匹配会话然后放行。
会话表的一个计算是利用hash表进行计算，对包的三层四层进行hash，然后我们去比对会话表。
假设第二个包跑第一个包前面，那第二个包不可以创建会话表，由于来回路径不一致导致防火墙的丢包现象。
学习网络安全技能的方法无非三种:
第一种是报网络安全专业，现在叫网络空间安全专业，重要专业课程:步伐设计、计算机组成原理原理、数据结构、操纵体系原理、数据库体系、 计算机网络、人工智能、天然语言处理惩罚、社管帐算、网络安全法律法规、网络安全、内容安全、数字取证、呆板学习，多媒体技能，信息检索、舆情分析等。
第二种是自学，就是在网上找资源、找教程，大概是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。
如果你对网络安全入门感兴趣，那么你须要的话可以点击这里