Juniper-防火墻的管理-透明模式PPT學(xué)習(xí)課件

透明模式,2,目標(biāo),了解透明模式的好處描述V1ZONE和它的用處建立用戶自己定義的L2zong在透明模式下，使用VLAN1的IP地址對(duì)防火墻進(jìn)行管理,NetScreenTechnologies,Inc.,3,什么是透明模式?,Netscreen防火墻的網(wǎng)卡在第二層的網(wǎng)橋模式或者是第二層的交換模式下進(jìn)行工作。Learning,Flooding,Forwarding,Filtering通過安全策略讓風(fēng)火墻對(duì)第二層的安全區(qū)之間的數(shù)據(jù)包進(jìn)行流量的訪問控制。,10.1.0.0/16,E1,E3,zoneV1-Trust,zoneV1-DMZ,zoneV1-Untrust,E2,NetScreenTechnologies,Inc.,4,V1-Untrust,透明模式的工作,由于沒有使用到網(wǎng)絡(luò)的第三層，因此，透明模式能夠讓防火墻更加快速的部署。不需要定義拓?fù)浣Y(jié)構(gòu)對(duì)于直接連接的子網(wǎng)不需要定義安全策略增加安全性在netscreen的二層工作模式下可以使用VPNZone概念的提出，可以提供比基于路由的ACL更加安全的訪問控制,10.1.0.0/16,B,B,D,A,B,10.100.1.0/16,10.200.1.0/16,NetScreenTechnologies,Inc.,5,Layer-2安全區(qū),預(yù)先定義的“V1”zonesV1-TrustV1-UntrustV1-DMZ用戶定義的安全區(qū)Layer-2(L2)區(qū)用戶在定義安全區(qū)的時(shí)候必須以“L2-”開頭。,NetScreenTechnologies,Inc.,6,透明模式中的網(wǎng)卡,在ScreenOS5.0沒有定義任何網(wǎng)卡是屬于透明模式把一個(gè)網(wǎng)卡放到第二層的域中，該網(wǎng)卡自動(dòng)因此二層的網(wǎng)卡的域必須是以“V1-”or“L2-”開頭的。所有網(wǎng)卡在v1或者是L2域，是具有相同廣播域的第二層防火墻的成員。,Inte1,ZoneL2-private,Inte2,ZoneL2-public,10.1.0.0/16,NetScreenTechnologies,Inc.,7,VLAN1網(wǎng)卡,在VLAN域中是第三層邏輯網(wǎng)卡該網(wǎng)卡可以幫定一個(gè)IP地址，用來管理netscreen防火墻。支持管理IP地址所有物理接口都可以接受arp請求。,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,V1-Untrust,VLAN1isalogicalinterfacewhichisaccessiblefromanytransparentzone,VLAN1interface:1.1.1.210/24,E1,E3,E2,A,B,C,NetScreenTechnologies,Inc.,8,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,V1-Untrust,VLAN1interface:1.1.1.210/24,E1,E3,E2,A,B,C,管理行為,VLAN1willinheritmanagementoptionsfromzonemembershipofphysicalinterfaces,X,VLAN1interface:1.1.1.210/24,NetScreenTechnologies,Inc.,9,透明模式的配置,建立2層的域(在沒有使用默認(rèn)域的情況下)分配網(wǎng)卡給2層域?yàn)閂LAN1配置管理地址3a.配置IP地址3b.選擇廣播的方法3c.配置管理服務(wù)(可選項(xiàng))配置每個(gè)域的管理服務(wù)在不同的域之間配置策略,NetScreenTechnologies,Inc.,10,Step1:配置2層域,NetworkZonesNew,setzonenameL2Example:ns208-setzonenameL2-DemoL21,NetScreenTechnologies,Inc.,11,Step2:分配網(wǎng)卡到域,NetworkInterfaces(Edit),setinterfacezonens208-setinterfacee3zoneL2-Demo,NetScreenTechnologies,Inc.,12,Step3a:配置VLAN1的IP地址,NetworkInterfacesEdit(VLAN1),UseforInterfaceIPwhenterminatingVPNs,UseManage-IPasdestinationaddressofPING,telnet,WebUI,etc.,setinterfacevlan1ip/ns208-setintvlan1ip1.1.7.1/24,setinterfacevlan1manage-ipns208-setintvlan1manage-ip1.1.7.100/24,NetScreenTechnologies,Inc.,13,Step3b:選擇廣播的方法,Flooding(default)如果MAC表中沒有，原數(shù)據(jù)包將向所有的接口進(jìn)行廣播除了流入數(shù)據(jù)包的接口。ARP/Trace-Route如果MAC表中沒有,ARP或traceroute將向所有的接口進(jìn)行廣播除了流入數(shù)據(jù)包的接口。,NetworkInterfacesEdit(VLAN1),setvlan1broadcastarp,setvlan1broadcastflood,NetScreenTechnologies,Inc.,14,Step3c:配置VLAN1的服務(wù),允許所有的管理服務(wù)WebUI,Telnet,SSH,SNMP,SSL,NS-GlobalPro(nsmgmt)選擇指定的管理服務(wù),NetworkInterfacesEdit(VLAN1),setinterfacevlan1managens208-setintvlan1manage,setinterfacevlan1managens208-setintvlan1managewebns208-setintvlan1managesslns208-setintvlan1managensmgmt,NetScreenTechnologies,Inc.,15,Step4:在每個(gè)域中配置不同的管理服務(wù),NetworkZonesEdit(V1-Trust),setzonemanagens208-setzonev1-dmzmanageweb,NetScreenTechnologies,Inc.,16,透明模式的工具,GetinterfaceGetARPGetmac-learnGetsession,NetScreenTechnologies,Inc.,17,Getinterface,ns208-getinterfaceethernet1Interfaceethernet1:number0,if_info0,if_index0,modexparent,portvlan1,sesstoken9linkup,phy-linkup/half-duplexvsysRoot,zoneV1-Trust,vrtrust-vr*ip0.0.0.0/0mac0010.db22.23f0pingenabled,telnetenabled,SSHenabled,SNMPenabledwebenabled,ident-resetdisabled,SSLenabled,nsmgmtenabledwebauthdisabledDHCP-Relaydisabledbandwidth:physical100000kbps,configured0kbps,current0kbpstotalconfiguredgbw0kbps,totalallocatedgbw0kbpsns208-,NetScreenTechnologies,Inc.,18,Getarp,ns208-getarpIPMacVR/InterfaceStateAgeRetryPakQue3.4.5.6abc3241244dctrust-vr/v1-trustSTS001.1.7.25000065bd2ff42trust-vr/v1-trustVLD115100ARPEntryNumber2/1024,NoFreeEntryCount:0Arpalways-on-dest:disabledns208-,Note:Althoughitsays“interface”,intransparentmodethezonenameisdisplayed,NetScreenTechnologies,Inc.,19,Getmac-learn,學(xué)習(xí)AssociatesaMACaddresswithanoutgoinginterfaceDetermineshowreceivedframesareforwardedinLayer-2AlsoknownasBridgeTableorL2ForwardingTable靜態(tài)ARP影射MACaddresstooutgoingportassociationcanbemanuallyconfiguredviatheCLI,setmac,ns208-getmac-learnlinkdownclearmaclearntable:enableTotal3,Create9,Ageout6Flood1,BCast150,ReLearn1,NoFree0,Error0,Drop0ethernet2:0004.7648.aa3c56ethernet1:0010.db13.e44144ethernet3:0010.db15.6bc459,NetScreenTechnologies,Inc.,20,Getsession,ns208-getsessionalloc2/max128000,allocfailed0id43/s*,vsys0,flag00000090/00/00,policy1,time117(01):192.168.1.5/27129-192.168.1.10/768,1,00b0d06c3f39,vlan0,tun0,vsd019(00):192.168.1.5/27129192.168.1.10/768,1,00b0d06c3f39,vlan0,tun0,vsd019(00):192.168.1.5/27385-192.168.1.10/768,1,0010db2b1622,vlan0,tun0,vsd0Total2sessionsshown,ICMPSequence#,ICMPIdentifier#,IPprotocol#,NetScreenTechnologies,Inc.,21,需要考慮的問題,必須配置策略才能允許訪問沒有默認(rèn)策略通過第三層的地址配置策略避免潛在的網(wǎng)絡(luò)風(fēng)暴透明模式是一個(gè)非常靈活的防火墻部署解決方案可以快速實(shí)現(xiàn)防火墻和