Eudemon防火墻關(guān)鍵技術(shù)與基本功能課件

修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEDS002002EudemonALL1.00開發(fā)/優(yōu)化者時間審核人開發(fā)類型（新開發(fā)/優(yōu)化）劉志根2009-4-3周進軍新開發(fā)修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEDS002Eudemon防火墻產(chǎn)品基本

功能特性與配置Eudemon防火墻產(chǎn)品基本

功能特性與配置2前言本膠片介紹了Eudemon系列產(chǎn)品主要的安全技術(shù)和安全特性，以及各安全特性在Eudemon產(chǎn)品上的配置。包括如：防火墻區(qū)域，防火墻工作模式，ASPF技術(shù)，NAT技術(shù)以及一些擴展技術(shù)。前言本膠片介紹了Eudemon系列產(chǎn)品主要的安全技術(shù)和安培訓(xùn)目標(biāo)學(xué)完本課程后，您應(yīng)該能：掌握Eudemon產(chǎn)品的主要安全技術(shù)和安全特性掌握各安全特性在Eudemon上的配置培訓(xùn)目標(biāo)學(xué)完本課程后，您應(yīng)該能：目錄防火墻的基本概念防火墻關(guān)鍵技術(shù)防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念防火墻的安全區(qū)域Local區(qū)域100Trust區(qū)域85DMZ區(qū)域50UnTrust區(qū)域5接口2接口3接口4接口1

用戶自定義區(qū)域Vzone0防火墻的安全區(qū)域Local區(qū)域Trust區(qū)域DMZ區(qū)域UnT接口、網(wǎng)絡(luò)和安全區(qū)域關(guān)系Eth1/0/0Eth2/0/0inboundoutboundinboundoutboundEth0/0/0EudemonLocalinboundoutboundinboundoutboundinboundoutboundVzoneTrust內(nèi)部網(wǎng)絡(luò)UntrustServerServerDMZ外部網(wǎng)絡(luò)inboundoutbound............接口、網(wǎng)絡(luò)和安全區(qū)域關(guān)系Eth1/0/0Eth2/0/0in安全區(qū)域配置－1創(chuàng)建一個安全區(qū)域[Eudemon]firewallzonenameuserzone設(shè)置優(yōu)先級[Eudemon-zone-userzone]setpriority60給安全區(qū)域添加接口[Eudemon-zone-trust]addinterfaceEthernet0/0/1安全區(qū)域配置－1創(chuàng)建一個安全區(qū)域安全區(qū)域配置驗證查看防火墻安全區(qū)域配置[Eudemon]displayzoneusernameusernamepriorityis60interfaceofthezoneis(1):Ethernet0/0/1安全區(qū)域配置驗證查看防火墻安全區(qū)域配置安全區(qū)域配置－2創(chuàng)建安全ACL[Eudemon]acl3000[Eudemon-acl-adv-3000]rulepermitip在域間下發(fā)ACL[Eudemon]firewallinterzonetrustuntrust[Eudemon-interzone-trust-untrust]packet-filter3000inbound安全區(qū)域配置－2創(chuàng)建安全ACL目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念防火墻的三種工作模式路由模式透明模式混合模式防火墻的三種工作模式路由模式路由模式外部網(wǎng)絡(luò)服務(wù)器PCPC/24Trust區(qū)服務(wù)器EudemonPC/2454內(nèi)部網(wǎng)絡(luò)Untrust區(qū)路由模式外部網(wǎng)絡(luò)服務(wù)器PCPC/24Tr透明模式服務(wù)器PCPCTrust區(qū)服務(wù)器EudemonPCUntrust區(qū)/24透明模式服務(wù)器PCPCTrust區(qū)服務(wù)器EudemonPCU混合模式Eudemon（主）/24內(nèi)部網(wǎng)絡(luò)Eudemon（備）VRRP/24Trust區(qū)服務(wù)器PC服務(wù)器PCPCUntrust區(qū)外部網(wǎng)絡(luò)混合模式Eudemon（主）/24內(nèi)部網(wǎng)工作模式配置命令配置防火墻工作模式[Eudemon]firewallmodecomposite[Eudemon]quit需要重新啟動防火墻<Eudemon>reboot查看防火墻的工作模式[Eudemon]displayfirewallmodefirewallmodecomposite工作模式配置命令配置防火墻工作模式查看防火墻的工作模式目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念會話（Session）

Eudemon防火墻是狀態(tài)防火墻，采用會話表維持通信狀態(tài)。會話表包括五個元素：源IP地址、源端口、目的IP地址、目的端口和協(xié)議號(如果支持虛擬防火墻的話還有一個VPN-ID)。當(dāng)防火墻收到報文后，根據(jù)上述五個元素查詢會話表，并根據(jù)具體情況進行如下操作：條件操作報文的五元組匹配會話表轉(zhuǎn)發(fā)該報文報文的五元組不匹配會話表域間規(guī)則允許通過轉(zhuǎn)發(fā)該報文，并創(chuàng)建會話表表項域間規(guī)則不允許通過丟棄該報文會話會話（Session）條件操作報文的五元組匹配會話表轉(zhuǎn)發(fā)該報會話相關(guān)命令查看防火墻的Session信息[Eudemon]displayfirewallsessiontableverboseicmp(vpn:public->public)zone:local->intratag:0x3588State:0x0ttl:00:00:20left:00:00:04Id:141c2d38SlvId:16406388Interface:G0/0/1Nexthop:Mac:00-0f-e2-61-05-83:43996-->:43996<Eudemon>resetfirewallsessiontable會話相關(guān)命令查看防火墻的Session信息<Eudemon>會話相關(guān)命令查看防火墻的Sessionaging-time[Eudemon]displayfirewallsessionaging-timetcpprotocoltimeout:1200udpprotocoltimeout:120icmpprotocoltimeout:20….[Eudemon]firewallsessionaging-timeicmp15會話相關(guān)命令查看防火墻的Sessionaging-time防火墻長連接會話配置ACL，用于控制需要長連接會話的數(shù)據(jù)流[Eudemon]acl3001[Eudemon-acl-adv-3001]rulepermitipsource0設(shè)置長連接的老化時間[Eudemon]firewalllong-linkaging-time2在域間應(yīng)用長連接[Eudemon]firewallinterzonetrustuntrust[Eudemon-interzone-trust-untrust]firewalllong-link3001

inbound[Eudemon]displayfirewallsessiontableverboseFTP,tag:80000301ttl:02:00:--left:01:58:--Addr:02000093:21<--:1025(LongLink)防火墻長連接會話配置ACL，用于控制需要長連接會話的數(shù)據(jù)流[目錄防火墻的基本概念防火墻關(guān)鍵技術(shù)防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄2.防火墻關(guān)鍵技術(shù)2.1ASPF目錄2.防火墻關(guān)鍵技術(shù)ASPFASPF（ApplicationSpecificPacketFilter）是一種改進的高級通信過濾技術(shù)，ASPF不但對報文的網(wǎng)絡(luò)層的信息進行檢測，還能對豐富的應(yīng)用層協(xié)議進行深度檢測，支持多媒體業(yè)務(wù)的NAT以及安全防范功能，支持的協(xié)議包括：H.323協(xié)議族、MGCP、SIP、H248、RTSP、HWCC及ICMP、FTP、DNS、PPTP、NBT、ILS、HTTP、SMTP等?；贏CL規(guī)則的包過濾可以在網(wǎng)絡(luò)層和傳輸層檢測數(shù)據(jù)包，防止非法入侵。ASPF對應(yīng)用層的協(xié)議信息進行檢測，通過維護會話的狀態(tài)和檢查會話報文的協(xié)議和端口號等信息，阻止惡意的入侵。

ASPFASPF（ApplicationSpecific多通道協(xié)議多通道協(xié)議是指某個應(yīng)用在進行通訊或提供服務(wù)時需要建立兩個以上的會話（通道），其中有一個控制通道，其他的通道是根據(jù)控制通道中雙方協(xié)商的信息動態(tài)創(chuàng)建的，一般我們稱之為數(shù)據(jù)通道或子通道。多通道協(xié)議在狀態(tài)防火墻當(dāng)中需要特殊處理。單通道協(xié)議是指某個應(yīng)用在進行通訊或提供服務(wù)時只需要建立一個會話的應(yīng)用協(xié)議。根據(jù)TCP三次握手機制，狀態(tài)防火墻能夠維護會話的五元組信息。多通道協(xié)議多通道協(xié)議ASPF與多通道協(xié)議用戶Eudemon防火墻FTPserver0三次握手防火墻創(chuàng)建Servermap表項三次握手Port89,3Port

89,3200PortCommandOKRETRSample.txtRETRSample.txt200PortCommandOK150OpeningASCIIconnection150OpeningASCIIconnection檢測Servermap表項，命中表現(xiàn)，打開通道SYN:22787:22787SYNASPF與多通道協(xié)議用戶Eudemon防火墻FTPserv三元組ASPFEudemon相當(dāng)于一個六元組(支持VPN情況下，有VPNID)的NAT設(shè)備，即防火墻上的每個會話的建立都需要六元組：源IP地址、源端口、目的IP地址、目的端口、協(xié)議號和VPN-ID。只有這些元素都具備了，會話才能建立成功，報文才能通過。而一些實時通訊工具，如QQ、MSN等，通過NAT設(shè)備，需要按三元組處理：源IP地址、源端口、協(xié)議號。Eudemon為了適配類似QQ、MSN等通訊機制，支持三元組處理方式，讓類似QQ、MSN等的通訊方式能夠正常的穿越。除QQ、MSN穿越NAT設(shè)備外，其他僅使用源IP地址、源端口、協(xié)議號的會話，如TFTP，同樣需要配置防火墻三元組ASPF。三元組ASPFEudemon相當(dāng)于一個六元組(支持VPN情況ASPF配置進入安全區(qū)域域間[Eudemon]firewallinterzonetrustuntrust打開ASPF功能[Eudemon-interzone-trust-untrust]detectprotocol[acl-number{inbound|outbound}]ASPF配置進入安全區(qū)域域間目錄防火墻的基本概念防火墻關(guān)鍵技術(shù)防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能黑名單黑名單特點：根據(jù)報文的源IP地址進行過濾簡單高效可動態(tài)添加刪除黑名單黑名單特點：靜態(tài)黑名單配置[Eudemon]firewallblacklistitemtimeout100[Eudemon]firewallblacklistenable服務(wù)器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24靜態(tài)黑名單配置[Eudemon]firewallblac動態(tài)黑名單配置服務(wù)器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24[Eudemon]firewalldefendip-sweepenable[Eudemon]firewalldefendip-sweepmax-rate1000[Eudemon]firewalldefendip-sweepblacklist-timeout20[Eudemon]firewallblacklistenable動態(tài)黑名單配置服務(wù)器/24PC202黑名單配置驗證[Eudemon]displayfirewallblacklistitemTotal:1Manual:1IPSweep:0PortScan:0IDS:0LoginFailed:0PreAuthed:0GetFlood:0tcp-illeage-session:0Unknown:0IPReasonInsertTimeAgeTimeVpn-instance-----------------------------------------------------------------------------------------------------Manual2009/05/1217:47:35Permanent黑名單配置驗證[Eudemon]displayfirew目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能MAC綁定問題的提出網(wǎng)絡(luò)中常有一些假冒IP地址的攻擊MAC綁定應(yīng)用限制條件與二層直接相連的網(wǎng)絡(luò)MAC綁定問題的提出MAC綁定配置[Eudemon]firewallmac-bindingenable[Eudemon]firewallmac-binding00e0-fc00-0100服務(wù)器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24MAC綁定配置[Eudemon]firewallmac-MAC綁定配置驗證[Eudemon]displayfirewallmac-bindingitemFirewallMac-bindingitems:Currentitems:380087-0326-ea9d00e0-fc08-058900e0-fc98-5679MAC綁定配置驗證[Eudemon]displayfir目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能端口映射問題的提出內(nèi)部服務(wù)器在非知名端口提供知名服務(wù)，例如在1021端口提供FTP服務(wù)端口映射防火墻并非要更改數(shù)據(jù)包的端口信息可以用來保護因為知名端口而帶來的針對性攻擊端口映射問題的提出端口映射組網(wǎng)示例FTPServer/24WWWServer/24Eth1/0/0/24Eth2/0/0/16/24網(wǎng)段網(wǎng)段公司內(nèi)部以太網(wǎng)EudemonWAN端口映射組網(wǎng)示例FTPServer/2端口映射配置驗證[Eudemon]displayport-mappingSERVICEPORTACLTYPE----------------------------------------------------------------ftp21systemdefinedsmtp25systemdefinedhttp80systemdefinedrtsp554systemdefinedh3231720systemdefinedftp802010userdefinedhttp56782020userdefined端口映射配置驗證[Eudemon]displayport配置參考[Eudemon]aclnumber2010[Eudemon-acl-basic-2010]rulepermitsource[Eudemon]port-mappingftpport80acl2010[Eudemon]aclnumber2020[Eudemon-acl-basic-2020]rulepermitsource55[Eudemon]port-mappinghttpport5678acl2020[Eudemon]firewallinterzonedmzuntrust[Eudemon-interzone-dmz-untrust]detectftp將去往主機的使用端口號80的報文識別為FTP報文需要在域間detect相應(yīng)的協(xié)議配置參考[Eudemon]aclnumber2010將目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能IDS聯(lián)動防火墻的局限性防火墻不能防止通向站點的后門；防火墻一般不提供對內(nèi)部的保護；防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊；防火墻不能根據(jù)網(wǎng)絡(luò)被惡意使用和攻擊的情況動態(tài)調(diào)整自己的策略等。IDS（IntrusionDetectionSystem，入侵檢測系統(tǒng)）的優(yōu)勢實時地監(jiān)視、分析網(wǎng)絡(luò)中所有的數(shù)據(jù)報文，發(fā)現(xiàn)并實時處理所捕獲的數(shù)據(jù)報文，對系統(tǒng)記錄的網(wǎng)絡(luò)事件進行統(tǒng)計分析，發(fā)現(xiàn)異?，F(xiàn)象，主動切斷連接或與防火墻聯(lián)動，調(diào)用其他程序處理。IDS聯(lián)動防火墻的局限性與IDS聯(lián)動組網(wǎng)示例INTERNET管理端口管理信息日志告警NIPNIDS內(nèi)部辦公網(wǎng)DMZ區(qū)響應(yīng)端口監(jiān)聽端口受保護服務(wù)器群聯(lián)動信息監(jiān)聽數(shù)據(jù)流EudemonEth1/0/1Eth1/0/0與IDS聯(lián)動組網(wǎng)示例INTERNET管理端口管理信息NIP與IDS聯(lián)動配置[Eudemon]firewallidsserver0[Eudemon]firewallidsport3000[Eudemon]firewallidsauthenticationtypemd5keyhuawei123[Eudemon]firewallidsenable最后一定得使能IDS的功能與IDS聯(lián)動配置[Eudemon]firewallidsIDS配置驗證[Eudemon]displayfirewallidsFirewallIDSinformation:firewallIDS:enabledebugflag:offserverport:3000authenticationtype:md5authenticationstring:huawei123clientaddress0:0IDS配置驗證[Eudemon]displayfirew目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能防火墻日志Log

Server信息中心攻擊防范黑名單地址綁定二進制流日志

Syslog日志監(jiān)視終端控制臺緩沖區(qū)……重定向NAT/ASPF

日志信息

日志信息

日志信息流量統(tǒng)計

日志信息

日志信息

日志信息防火墻日志LogServer信息中心攻擊防范黑名單地址綁定日志輸出配置組網(wǎng)示例Ethernet2/0/1/24服務(wù)器日志服務(wù)器PCEthernet2/0/0/24Ethernet1/0/0/24EudemonPC/24日志輸出配置組網(wǎng)示例Ethernet2/0/1192.168日志輸出配置[Eudemon]info-centerenable[Eudemon]info-centerloghostlanguageenglish[Eudemon]firewall

sessionlog-typebinaryhost9002日志輸出配置[Eudemon]info-centeren日志配置驗證[Eudemon]displayinfo-centerInformationCenter:enabledLoghost: ,channelnumber2,channelnameloghost, languageenglish,hostfacilitylocal7Console: channelnumber:0,channelname:consoleMonitor: channelnumber:1,channelname:monitor……日志配置驗證[Eudemon]displayinfo-c目錄防火墻的基本概念防火墻關(guān)鍵技術(shù)防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄4.防火墻擴展功能4.1負(fù)載均衡4.2虛擬防火墻目錄4.防火墻擴展功能負(fù)載均衡當(dāng)前的網(wǎng)絡(luò)應(yīng)用中，單臺服務(wù)器的處理能力已經(jīng)成為網(wǎng)絡(luò)中的瓶頸，尤其是在IDC、網(wǎng)站等應(yīng)用場合。Eudemon防火墻的負(fù)載均衡即是將用戶流量分配到多個服務(wù)器上，從而達到流量分擔(dān)的目的，進而保障服務(wù)器的可用性。防火墻按照配置的算法，將用戶流量分配到不同的服務(wù)器上，充分利用各個服務(wù)器的處理能力，達到最佳的可擴展性。負(fù)載均衡當(dāng)前的網(wǎng)絡(luò)應(yīng)用中，單臺服務(wù)器的處理能力已經(jīng)成為網(wǎng)絡(luò)中負(fù)載均衡組網(wǎng)示例Eth1/0/0/24Eth1/0/1/24服務(wù)器1/24服務(wù)器2/24服務(wù)器3/24vipEudemon交換機PC/24負(fù)載均衡組網(wǎng)示例Eth1/0/0/24Et負(fù)載均衡配置[Eudemon]slbenable[Eudemon]slb[Eudemon-slb]rserver1rip[Eudemon-slb]rserver2rip[Eudemon-slb]rserver3rip[Eudemon]firewallpacket-filterdefaultpermitinterzonelocaldmzdirectionoutbound由于防火墻對實服務(wù)器缺省進行健康行檢查，此時需要配置允許健康檢查報文在防火墻Local和DMZ域間出方向流動使能SLB的服務(wù)器自動健康檢查功能。負(fù)載均衡配置[Eudemon]slbenable由于防火負(fù)載均衡配置(續(xù))[Eudemon-slb]groupgroup1[Eudemon-slb-group-group1]metricroundrobin[Eudemon-slb-group-group1]addrserver1[Eudemon-slb-group-group1]addrserver2[Eudemon-slb-group-group1]addrserver3[Eudemon-slb]vserverhuaweivipgroupgroup1負(fù)載均衡配置(續(xù))[Eudemon-slb]group負(fù)載均衡配置驗證[Eudemon-slb]displaythisslbrserver1ripweight32healthchkrserver2ripweight32healthchkrserver3ripweight32healthchkgroupgroup1metricroundrobinaddrserver1addrserver2addrserver3vserverhuaweivipgroupgroup1負(fù)載均衡配置驗證[Eudemon-slb]display負(fù)載均衡效果[Eudemon]displayfirewallsessiontableicmp,(vpn:public->public):2048-->:43icmp,(vpn:public->public):2048-->:43icmp,(vpn:public->public):2048-->:43FTP,(vpn:public->public):21[:21]<-+:1227FTP,(vpn:public->public):21[:21]<-+:1229FTP,(vpn:public->public):21[:21]<-+:1231FTP,(vpn:public->public):21[:21]<-+:1233FTP,(vpn:public->public):21[:21]<-+:1235CurrentTotalSessions:8負(fù)載均衡效果[Eudemon]displayfirewa目錄4.防火墻擴展功能4.1負(fù)載均衡4.2虛擬防火墻目錄4.防火墻擴展功能虛擬防火墻Vfw3Vfw2Vfw1Rfw在Eudemon上創(chuàng)建邏輯上的虛擬防火墻（Virtual-firewall,Vfw），能夠提供防火墻的出租業(yè)務(wù)，實現(xiàn)子網(wǎng)隔離和解決地址重疊的問題。每個虛擬防火墻都是VPN實例（VPN-Instance）、安全實例和配置實例的綜合體，能夠為虛擬防火墻用戶提供私有的路由轉(zhuǎn)發(fā)平面、安全服務(wù)和配置管理平面。虛擬防火墻Vfw3Vfw2Vfw1Rfw在Eudemon上創(chuàng)虛擬防火墻Eudemon防火墻支持虛擬防火墻特性每個虛擬防火墻均可以獨立支持Local、TRUST、UNTRUST、DMZ、VZONE5個安全區(qū)域，接口靈活劃分和分配。系統(tǒng)資源獨立分配，提供獨立的安全業(yè)務(wù)、NAT多實例、VPN多實例特性。......根防火墻RootFW一臺Eudemon物理防火墻虛擬防火墻VirtualFWVZONETrustVPN-1DMZUnTrustTrustVPN-100DMZUnTrust......Eudemon虛擬防火墻Eudemon防火墻支持虛擬防火墻特性......虛擬防火墻區(qū)域ServerServerTrustUntrustDMZEth1/0/0內(nèi)部網(wǎng)絡(luò)Eth0/0/0inboundoutboundinboundoutboundout