程序员的知识教程库

网站首页 > 教程分享 正文

「基础」防火墙接口类型全介绍_防火墙端口介绍

henian88 2025-02-17 12:15:09 教程分享 8 ℃ 0 评论

物理接口
1) 防火墙支持的接口可以是二层接口或者三层接口
2) 二层接口:portswitch
3) 三层接口:undo portswitch


逻辑接口
1) VT(virtual template)接口、dialer接口
2) tunnel接口、null接口
3) vlanif接口
4) 三层以太网子接口
5) Eth-Trunk接口、loobacp接口


防火墙的Eth-trunk

优点:


1) 本质是要提高链路的带宽
2) 可靠性(LACP协议)
3) 负载分担


Eth-trunk模式分类:


1) 手工负载分担模式(默认)注意:所有链路都要参与转发
2) 静态LACP模式(没有动态LACP)注意: 可以所有,也可以配置备份M:N形式
? Eth-trunk接口类型
1) 三层Eth-trunk
2) 二层Eth-trunk


交换机上面为二层Eth-trunk


第一步:新建Eth-trunk及模式

interface?Eth-Trunk1
mode?lacp-static?---------默认手工负载分担

第二步:定义Eth-trunk类型

interface?Eth-Trunk1
?port?link-type?trunk
?port?trunk?allow-pass?vlan?2?to?4094

第三步:把接口加入Eth-trunk组
方法一

int??XXXX
eth-trunk?1

方法二

int?eth-trunk??XX???(防火墙不能)
trunkport??g0/0/1??to?0/0/2


防火墙上面为三层Eth-trunk
第一步:创建ETH-TRUNK及模式

interface?Eth-Trunk1
?mode?lacp-static

第二步:接口成员加入ETH-TRUNK

int?XXX
eth-trunk??1

检查Eth-Trunk的配置

display??eth-trunk??1?
15:10:49??2019/06/02

Eth-Trunk1's?state?information?is:
?Local:
?LAG?ID:1???????????????????????????????WorkingMode:?STATIC
?Preempt?Delay:?Disable?????????????????Hash?Arichmetic:?According?to?IP
?System?Priority:?32768?????????????????System?ID:?2444-27ca-fbff
?Least?active-linknumber:?1?????????????Max?active-linknumber:?8
?Operate?Status:?up?????????????????????Number?of?Up?Port?in?Trunk:?2----------------------------------------------------ActorPortName??????????Status???PortType?PortPri?PortNo?PortKey?PortState?Weigth
GigabitEthernet0/0/1???Selected?100M?????32768???2??????64??????10111100??1?????
GigabitEthernet0/0/2???Selected?100M?????32768???3??????64??????10111100??1?????
Partner:----------------------------------------------------ActorPortName??????????SysPri????SystemID??PortPri?PortNo??PortKey???PortState??
GigabitEthernet0/0/1???32768??384c-4f60-9d20??32768??1?????289???????10111100???GigabitEthernet0/0/2???32768??384c-4f60-9d20??32768??2?????289???????10111100


防火墙的子接口

物理接口的子接口


防火墙配置子接口

interface?GigabitEthernet1/0/1.10?-------先取子接口
?vlan-type?dot1q?10?----------------------封装VLAN?ID?
?ip?address?10.1.1.10?255.255.255.0?#interface?GigabitEthernet1/0/1.16
?vlan-type?dot1q?16
?ip?address?192.168.1.10?255.255.255.0#

第二步:把子接口加ZONE

firewall?zone?trust
?add?interface?GigabitEthernet1/0/1.10#firewall?zone?dmz
?add?interface?GigabitEthernet1/0/1.16

检查:

[FW1]display??zone??
20:26:16??2019/03/07local
?priority?is?100#trust
?priority?is?85
?interface?of?the?zone?is?(2):
????GigabitEthernet0/0/0
????GigabitEthernet1/0/1.10#dmz
?priority?is?50
?interface?of?the?zone?is?(1):
????GigabitEthernet1/0/1.16

第三步:测试防火墙直连通信
默认一个都通不了,因为华为防火墙默认ZONE与ZONE之间都没有放行安全策略
默认的策略是deny

[FW1]display?security-policy?all?
21:35:50??2019/09/05?
Total:1?
RULE?ID?RULE?NAME??????????????????????STATE??????ACTION?????????????HITTED????????????
-------------------------------------------------------------------------------0???????default????????????????????????enable?????deny???????????????275???????????????
-------------------------------------------------------------------------------[FW1]
security-policy
?default?action?permit??----------默认全开安全策略

测试各个直接通信
测试完毕一定要记得关闭

security-policy?default?action?deny

注意:
关于PING的问题
? 如果在防火墙上PING各个ZONE,只要上面放行所有安全策略,就可以访问
? 如果从各个安全区域访问防火墙的接口,全放安全策略无用,必须开启接口的访问管理PING,这样才能PING通防火墙接口
第五步:检查测试

逻辑接口的子接口


三层eth-trunk可以配置IP
二层Eth-trunk链路类型
默认为hybrid

interface?Eth-Trunk1
?port?link-type?trunk
?port?trunk?allow-pass?vlan?10?16?40?50

配置:

interface?Eth-Trunk1.10
?vlan-type?dot1q?10?ip?address?10.1.1.10?255.255.255.0#interface?Eth-Trunk1.16???????????????????
?vlan-type?dot1q?16?ip?address?192.168.1.10?255.255.255.0#

注意:
注意:所有防火墙的接口,无论是物理还是逻辑都需要加ZONE
防火墙所有的接口都定义ZONE

firewall?zone?trust?set?priority?85
?add?interface?Eth-Trunk1.10#
firewall?zone?untrust?set?priority?5#
firewall?zone?dmz?set?priority?50
?add?interface?Eth-Trunk1.16

放行安全策略

security-policy
?rule?name?trust_dmz??source-zone?trust
??destination-zone?dmz
action?permit


防火墙的vlanif接口

? 实验演示防火墙上面的vlanif接口技术


配置思路:
第一步: 创建VLAN

vlan?batch??20?30

第二步:把接口配置成为二层

interface?GigabitEthernet1/0/3
?portswitch
?port?link-type?access------------默认为ACCESS,可以修改
?port?access?vlan?20#interface?GigabitEthernet1/0/4????????????
?portswitch
?port?link-type?access
?port?access?vlan?30

第三步:创建VLANIF接口

interface?Vlanif20
?ip?address?10.1.2.10?255.255.255.0
?service-manage?ping?permit#interface?Vlanif30
?ip?address?10.1.3.10?255.255.255.0
?service-manage?ping?permit

第四步:接口划入ZONE
注意:不需要把接口再划入ZONE,只需要逻辑加ZONE

firewall?zone?trust?add?interface?Vlanif20
?add?interface?Vlanif30

第五步:测试检查
注意:
同一个ZONE不需要配置安全策略,可以互相通信 ------结论对吗?
现在USG6320 V100版本 ,就必须要配置同一个ZONE安全策略

security-policy
?rule?name?trust_trust??source-zone?trust
??destination-zone?trust
??action?permit

Tags:

本文暂时没有评论,来添加一个吧(●'◡'●)

欢迎 发表评论:

最近发表
标签列表