網絡運維|防火墻基于MAC的轉發策略
2020-05-26 17:11 作者：艾銻無限 瀏覽量：
大家好，我是一枚從事IT外包的網絡安全運維工程師，今天和大家分享的是網絡安全設備維護相關的內容，想要學習防火墻必須會配置轉發策略。簡單網絡安全運維，從防火墻學起,一步一步學成網絡安全運維大神。網絡維護是一種日常維護，包括網絡設備管理(如計算機，服務器)、操作系統維護(系統打補丁，系統升級)、網絡安全(病毒防范)等。+
北京艾銻無限科技發展有限公司為您免費提供給您大量真實有效的北京網絡維護服務，北京網絡維護信息查詢，同時您可以免費資訊北京網絡維護，北京網絡維護服務，北京網絡維護信息。專業的北京網絡維護信息就在北京艾銻無限+
+
北京網絡維護全北京朝陽豐臺北京周邊海淀、大興、昌平、門頭溝、通州、西城區、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網絡維護信息
基于MAC地址的轉發策略
介紹最基本的通過MAC地址控制訪問權限的舉例。組網需求
如圖7-8所示，某企業經三層交換機通過USG接入Internet，三層交換機可獲取到企業內網PC的ARP表項。企業員工通過基于全局地址池的DHCP方式分配到動態的IP地址，全局地址池的IP地址范圍是192.168.5.0/24。其中，有三臺PC的MAC地址分別為0025-1185-8C21、0021-97cf-2238以及00e0-4c86-58eb。該企業要求，除這三臺對安全性有較高要求的PC外，其他PC均可訪問Internet。圖7-8 基于IP地址的域間轉發策略
1. 轉發策略規劃。配置思路
需求中要求允許192.168.5.0/24這個IP網段通過防火墻訪問Internet，并拒絕幾個特殊MAC所對應PC訪問Internet。這樣需要配置2條轉發策略，先配置拒絕特殊MAC對應PC發送的數據流通過的轉發策略，再配置允許整個IP網段這個大范圍的數據流通過的轉發策略。如果配置順序相反，指定的幾個特殊MAC地址所對應PC發送的數據流就會先匹配上針對整個IP網段數據流的策略而通過防火墻，不會再繼續匹配后配置的針對特殊MAC地址的轉發策略。2. 地址組規劃和配置。
需求中是通過MAC地址控制訪問權限，那么需要在轉發策略中指定MAC地址作為匹配條件。建議將零散的MAC地址配置為一個地址組，可實現對零散MAC地址的統一控制，也方便被其他策略復用。所以在本例中可以將幾個特殊的MAC地址0025-1185-8C21、0021-97cf-2238和00e0-4c86-58eb配置成一個名為mac_deny的地址組。
地址組配置的菜單路徑為：“防火墻 > 地址 > 地址組”。
3. 轉發策略配置。
轉發策略配置的菜單路徑為：“防火墻 > 安全策略 > 轉發策略”。
說明：
· 本例只給出轉發策略的配置步驟，實際內網訪問Internet還需要配置NAT，注意配置轉發策略時指定的源IP地址是NAT轉換前的實際內網IP地址。
· 內網PC上需要配置網關，本例中是接口（4），即三層交換機GigabitEthernet 0/0/2接口的IP地址。
· USG上需要在“路由 > 靜態 > 靜態路由”中配置缺省路由，下一跳為172.168.1.5/24。
操作步驟
1. 配置三層交換機的SNMP選項，包括開啟SNMP Agent服務以及配置團體名等。說明：
三層交換機需要支持SNMP協議的v2c版本，否則不支持跨三層MAC地址識別。
此步操作需要在三層交換機上執行。如果三層交換機本身已經支持并完成了SNMP選項的配置，請直接在USG上進行如下配置。
2. 配置接口基本參數。
a. 選擇“網絡 > 接口 > 接口”。
b. 在“接口列表”中單擊GE0/0/2對應的
。c. 配置接口GigabitEthernet 0/0/2。
配置參數如下：
· 安全區域：trust
· 模式：路由
· 連接類型：靜態IP
· IP地址：172.168.1.2
· 子網掩碼：255.255.255.0
d. 單擊“應用”。
e. 重復上述步驟配置接口GigabitEthernet 0/0/3。
配置參數如下：
· 安全區域：untrust
· 模式：路由
· 連接類型：靜態IP
· IP地址：1.1.1.1
· 子網掩碼：255.255.255.0
3. 開啟跨三層MAC地址識別功能，并指定目標三層交換機的IP地址為172.168.1.5/24，團體名為public。
a. 選擇“系統 > 配置 > 跨三層MAC識別”。
b. 勾選“跨三層MAC識別”右側的“啟用”。
按照如圖7-9所示的具體參數，配置跨三層MAC識別功能。
圖7-9 配置跨三層MAC識別
a. 選擇“防火墻 > 地址 > 地址”。
b. 在“地址列表”中單擊，進入“新建地址”界面。
c. 配置地址的名稱和描述信息。
配置參數如下：
· 名稱：mac_deny
· 描述：特殊內網用戶的MAC地址集合，對安全性要求較高，不允許訪問Internet。
d. 在“子網、IP范圍或MAC地址”中添加MAC地址0025-1185-8C21、0021-97cf-2238以及00e0-4c86-58eb。單擊“應用”。
5. 配置拒絕特殊地址組mac_deny內所有MA址所對應的PC訪問Internet的轉發策略。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 在“轉發策略列表”中單擊。
該轉發策略的具體參數配置如圖7-10所示。
圖7-10 配置阻止特殊MAC地址集合mac_deny訪問Internet的轉發策略
6. 配置允許192.168.5.0/24網段訪問Internet的轉發策略。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 在“轉發策略列表”中單擊。
該轉發策略的具體參數配置如圖7-11所示。
圖7-11 配置允許192.168.5.0/24網段訪問Internet的轉發策略
說明：
缺省情況下，Trust-Untrust域間出方向的缺省包過濾策略為deny，如果之前已經配置了permit請注意配置此步驟。
a. 選擇“防火墻 > 安全策略 > 轉發策略”。
b. 在“轉發策略列表”中單擊“trust->untrust”下面“默認”對應的
。“trust->untrust”默認轉發策略的配置如圖7-12所示。
圖7-12 配置“trust->untrust”默認轉發策略為deny
結果驗證
1. 驗證0025-1185-8C21、0021-97cf-2238以及00e0-4c86-58eb這3臺PC訪問Internet是否被拒絕。如果能訪問說明配置錯誤，請檢查轉發策略地址匹配條件是否配置正確、策略配置順序是否正確。如果先配置了允許整個網段訪問Internet的轉發策略，這幾個MAC地址對應的PC發送的數據流就不會匹配到拒絕其訪問Internet的策略了。2. 驗證192.168.5.0/24中的其他IP地址是否可以正常訪問Internet，如果不能請檢查配置。
以上文章由北京艾銻無限科技發展有限公司整理
相關文章
IT電腦維護外包
關閉