Eudemon防火墻關鍵技術與基本功能課件

修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEDS002002EudemonALL1.00開發(fā)/優(yōu)化者時間審核人開發(fā)類型（新開發(fā)/優(yōu)化）劉志根2009-4-3周進軍新開發(fā)修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEDS002Eudemon防火墻產(chǎn)品基本

功能特性與配置Eudemon防火墻產(chǎn)品基本

功能特性與配置2前言本膠片介紹了Eudemon系列產(chǎn)品主要的安全技術和安全特性，以及各安全特性在Eudemon產(chǎn)品上的配置。包括如：防火墻區(qū)域，防火墻工作模式，ASPF技術，NAT技術以及一些擴展技術。前言本膠片介紹了Eudemon系列產(chǎn)品主要的安全技術和安培訓目標學完本課程后，您應該能：掌握Eudemon產(chǎn)品的主要安全技術和安全特性掌握各安全特性在Eudemon上的配置培訓目標學完本課程后，您應該能：目錄防火墻的基本概念防火墻關鍵技術防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念防火墻的安全區(qū)域Local區(qū)域100Trust區(qū)域85DMZ區(qū)域50UnTrust區(qū)域5接口2接口3接口4接口1

用戶自定義區(qū)域Vzone0防火墻的安全區(qū)域Local區(qū)域Trust區(qū)域DMZ區(qū)域UnT接口、網(wǎng)絡和安全區(qū)域關系Eth1/0/0Eth2/0/0inboundoutboundinboundoutboundEth0/0/0EudemonLocalinboundoutboundinboundoutboundinboundoutboundVzoneTrust內部網(wǎng)絡UntrustServerServerDMZ外部網(wǎng)絡inboundoutbound............接口、網(wǎng)絡和安全區(qū)域關系Eth1/0/0Eth2/0/0in安全區(qū)域配置－1創(chuàng)建一個安全區(qū)域[Eudemon]firewallzonenameuserzone設置優(yōu)先級[Eudemon-zone-userzone]setpriority60給安全區(qū)域添加接口[Eudemon-zone-trust]addinterfaceEthernet0/0/1安全區(qū)域配置－1創(chuàng)建一個安全區(qū)域安全區(qū)域配置驗證查看防火墻安全區(qū)域配置[Eudemon]displayzoneusernameusernamepriorityis60interfaceofthezoneis(1):Ethernet0/0/1安全區(qū)域配置驗證查看防火墻安全區(qū)域配置安全區(qū)域配置－2創(chuàng)建安全ACL[Eudemon]acl3000[Eudemon-acl-adv-3000]rulepermitip在域間下發(fā)ACL[Eudemon]firewallinterzonetrustuntrust[Eudemon-interzone-trust-untrust]packet-filter3000inbound安全區(qū)域配置－2創(chuàng)建安全ACL目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念防火墻的三種工作模式路由模式透明模式混合模式防火墻的三種工作模式路由模式路由模式外部網(wǎng)絡服務器PCPC/24Trust區(qū)服務器EudemonPC/2454內部網(wǎng)絡Untrust區(qū)路由模式外部網(wǎng)絡服務器PCPC/24Tr透明模式服務器PCPCTrust區(qū)服務器EudemonPCUntrust區(qū)/24透明模式服務器PCPCTrust區(qū)服務器EudemonPCU混合模式Eudemon（主）/24內部網(wǎng)絡Eudemon（備）VRRP/24Trust區(qū)服務器PC服務器PCPCUntrust區(qū)外部網(wǎng)絡混合模式Eudemon（主）/24內部網(wǎng)工作模式配置命令配置防火墻工作模式[Eudemon]firewallmodecomposite[Eudemon]quit需要重新啟動防火墻<Eudemon>reboot查看防火墻的工作模式[Eudemon]displayfirewallmodefirewallmodecomposite工作模式配置命令配置防火墻工作模式查看防火墻的工作模式目錄1.防火墻的基本概念1.1安全區(qū)域1.2防火墻工作模式1.3會話目錄1.防火墻的基本概念會話（Session）

Eudemon防火墻是狀態(tài)防火墻，采用會話表維持通信狀態(tài)。會話表包括五個元素：源IP地址、源端口、目的IP地址、目的端口和協(xié)議號(如果支持虛擬防火墻的話還有一個VPN-ID)。當防火墻收到報文后，根據(jù)上述五個元素查詢會話表，并根據(jù)具體情況進行如下操作：條件操作報文的五元組匹配會話表轉發(fā)該報文報文的五元組不匹配會話表域間規(guī)則允許通過轉發(fā)該報文，并創(chuàng)建會話表表項域間規(guī)則不允許通過丟棄該報文會話會話（Session）條件操作報文的五元組匹配會話表轉發(fā)該報會話相關命令查看防火墻的Session信息[Eudemon]displayfirewallsessiontableverboseicmp(vpn:public->public)zone:local->intratag:0x3588State:0x0ttl:00:00:20left:00:00:04Id:141c2d38SlvId:16406388Interface:G0/0/1Nexthop:Mac:00-0f-e2-61-05-83:43996-->:43996<Eudemon>resetfirewallsessiontable會話相關命令查看防火墻的Session信息<Eudemon>會話相關命令查看防火墻的Sessionaging-time[Eudemon]displayfirewallsessionaging-timetcpprotocoltimeout:1200udpprotocoltimeout:120icmpprotocoltimeout:20….[Eudemon]firewallsessionaging-timeicmp15會話相關命令查看防火墻的Sessionaging-time防火墻長連接會話配置ACL，用于控制需要長連接會話的數(shù)據(jù)流[Eudemon]acl3001[Eudemon-acl-adv-3001]rulepermitipsource0設置長連接的老化時間[Eudemon]firewalllong-linkaging-time2在域間應用長連接[Eudemon]firewallinterzonetrustuntrust[Eudemon-interzone-trust-untrust]firewalllong-link3001

inbound[Eudemon]displayfirewallsessiontableverboseFTP,tag:80000301ttl:02:00:--left:01:58:--Addr:02000093:21<--:1025(LongLink)防火墻長連接會話配置ACL，用于控制需要長連接會話的數(shù)據(jù)流[目錄防火墻的基本概念防火墻關鍵技術防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄2.防火墻關鍵技術2.1ASPF目錄2.防火墻關鍵技術ASPFASPF（ApplicationSpecificPacketFilter）是一種改進的高級通信過濾技術，ASPF不但對報文的網(wǎng)絡層的信息進行檢測，還能對豐富的應用層協(xié)議進行深度檢測，支持多媒體業(yè)務的NAT以及安全防范功能，支持的協(xié)議包括：H.323協(xié)議族、MGCP、SIP、H248、RTSP、HWCC及ICMP、FTP、DNS、PPTP、NBT、ILS、HTTP、SMTP等?；贏CL規(guī)則的包過濾可以在網(wǎng)絡層和傳輸層檢測數(shù)據(jù)包，防止非法入侵。ASPF對應用層的協(xié)議信息進行檢測，通過維護會話的狀態(tài)和檢查會話報文的協(xié)議和端口號等信息，阻止惡意的入侵。

ASPFASPF（ApplicationSpecific多通道協(xié)議多通道協(xié)議是指某個應用在進行通訊或提供服務時需要建立兩個以上的會話（通道），其中有一個控制通道，其他的通道是根據(jù)控制通道中雙方協(xié)商的信息動態(tài)創(chuàng)建的，一般我們稱之為數(shù)據(jù)通道或子通道。多通道協(xié)議在狀態(tài)防火墻當中需要特殊處理。單通道協(xié)議是指某個應用在進行通訊或提供服務時只需要建立一個會話的應用協(xié)議。根據(jù)TCP三次握手機制，狀態(tài)防火墻能夠維護會話的五元組信息。多通道協(xié)議多通道協(xié)議ASPF與多通道協(xié)議用戶Eudemon防火墻FTPserver0三次握手防火墻創(chuàng)建Servermap表項三次握手Port89,3Port

89,3200PortCommandOKRETRSample.txtRETRSample.txt200PortCommandOK150OpeningASCIIconnection150OpeningASCIIconnection檢測Servermap表項，命中表現(xiàn)，打開通道SYN:22787:22787SYNASPF與多通道協(xié)議用戶Eudemon防火墻FTPserv三元組ASPFEudemon相當于一個六元組(支持VPN情況下，有VPNID)的NAT設備，即防火墻上的每個會話的建立都需要六元組：源IP地址、源端口、目的IP地址、目的端口、協(xié)議號和VPN-ID。只有這些元素都具備了，會話才能建立成功，報文才能通過。而一些實時通訊工具，如QQ、MSN等，通過NAT設備，需要按三元組處理：源IP地址、源端口、協(xié)議號。Eudemon為了適配類似QQ、MSN等通訊機制，支持三元組處理方式，讓類似QQ、MSN等的通訊方式能夠正常的穿越。除QQ、MSN穿越NAT設備外，其他僅使用源IP地址、源端口、協(xié)議號的會話，如TFTP，同樣需要配置防火墻三元組ASPF。三元組ASPFEudemon相當于一個六元組(支持VPN情況ASPF配置進入安全區(qū)域域間[Eudemon]firewallinterzonetrustuntrust打開ASPF功能[Eudemon-interzone-trust-untrust]detectprotocol[acl-number{inbound|outbound}]ASPF配置進入安全區(qū)域域間目錄防火墻的基本概念防火墻關鍵技術防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能黑名單黑名單特點：根據(jù)報文的源IP地址進行過濾簡單高效可動態(tài)添加刪除黑名單黑名單特點：靜態(tài)黑名單配置[Eudemon]firewallblacklistitemtimeout100[Eudemon]firewallblacklistenable服務器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24靜態(tài)黑名單配置[Eudemon]firewallblac動態(tài)黑名單配置服務器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24[Eudemon]firewalldefendip-sweepenable[Eudemon]firewalldefendip-sweepmax-rate1000[Eudemon]firewalldefendip-sweepblacklist-timeout20[Eudemon]firewallblacklistenable動態(tài)黑名單配置服務器/24PC202黑名單配置驗證[Eudemon]displayfirewallblacklistitemTotal:1Manual:1IPSweep:0PortScan:0IDS:0LoginFailed:0PreAuthed:0GetFlood:0tcp-illeage-session:0Unknown:0IPReasonInsertTimeAgeTimeVpn-instance-----------------------------------------------------------------------------------------------------Manual2009/05/1217:47:35Permanent黑名單配置驗證[Eudemon]displayfirew目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能MAC綁定問題的提出網(wǎng)絡中常有一些假冒IP地址的攻擊MAC綁定應用限制條件與二層直接相連的網(wǎng)絡MAC綁定問題的提出MAC綁定配置[Eudemon]firewallmac-bindingenable[Eudemon]firewallmac-binding00e0-fc00-0100服務器/24PC/24EudemonEth1/0/1/24Eth1/0/0/24MAC綁定配置[Eudemon]firewallmac-MAC綁定配置驗證[Eudemon]displayfirewallmac-bindingitemFirewallMac-bindingitems:Currentitems:380087-0326-ea9d00e0-fc08-058900e0-fc98-5679MAC綁定配置驗證[Eudemon]displayfir目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能端口映射問題的提出內部服務器在非知名端口提供知名服務，例如在1021端口提供FTP服務端口映射防火墻并非要更改數(shù)據(jù)包的端口信息可以用來保護因為知名端口而帶來的針對性攻擊端口映射問題的提出端口映射組網(wǎng)示例FTPServer/24WWWServer/24Eth1/0/0/24Eth2/0/0/16/24網(wǎng)段網(wǎng)段公司內部以太網(wǎng)EudemonWAN端口映射組網(wǎng)示例FTPServer/2端口映射配置驗證[Eudemon]displayport-mappingSERVICEPORTACLTYPE----------------------------------------------------------------ftp21systemdefinedsmtp25systemdefinedhttp80systemdefinedrtsp554systemdefinedh3231720systemdefinedftp802010userdefinedhttp56782020userdefined端口映射配置驗證[Eudemon]displayport配置參考[Eudemon]aclnumber2010[Eudemon-acl-basic-2010]rulepermitsource[Eudemon]port-mappingftpport80acl2010[Eudemon]aclnumber2020[Eudemon-acl-basic-2020]rulepermitsource55[Eudemon]port-mappinghttpport5678acl2020[Eudemon]firewallinterzonedmzuntrust[Eudemon-interzone-dmz-untrust]detectftp將去往主機的使用端口號80的報文識別為FTP報文需要在域間detect相應的協(xié)議配置參考[Eudemon]aclnumber2010將目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能IDS聯(lián)動防火墻的局限性防火墻不能防止通向站點的后門；防火墻一般不提供對內部的保護；防火墻無法防范數(shù)據(jù)驅動型的攻擊；防火墻不能根據(jù)網(wǎng)絡被惡意使用和攻擊的情況動態(tài)調整自己的策略等。IDS（IntrusionDetectionSystem，入侵檢測系統(tǒng)）的優(yōu)勢實時地監(jiān)視、分析網(wǎng)絡中所有的數(shù)據(jù)報文，發(fā)現(xiàn)并實時處理所捕獲的數(shù)據(jù)報文，對系統(tǒng)記錄的網(wǎng)絡事件進行統(tǒng)計分析，發(fā)現(xiàn)異常現(xiàn)象，主動切斷連接或與防火墻聯(lián)動，調用其他程序處理。IDS聯(lián)動防火墻的局限性與IDS聯(lián)動組網(wǎng)示例INTERNET管理端口管理信息日志告警NIPNIDS內部辦公網(wǎng)DMZ區(qū)響應端口監(jiān)聽端口受保護服務器群聯(lián)動信息監(jiān)聽數(shù)據(jù)流EudemonEth1/0/1Eth1/0/0與IDS聯(lián)動組網(wǎng)示例INTERNET管理端口管理信息NIP與IDS聯(lián)動配置[Eudemon]firewallidsserver0[Eudemon]firewallidsport3000[Eudemon]firewallidsauthenticationtypemd5keyhuawei123[Eudemon]firewallidsenable最后一定得使能IDS的功能與IDS聯(lián)動配置[Eudemon]firewallidsIDS配置驗證[Eudemon]displayfirewallidsFirewallIDSinformation:firewallIDS:enabledebugflag:offserverport:3000authenticationtype:md5authenticationstring:huawei123clientaddress0:0IDS配置驗證[Eudemon]displayfirew目錄3.防火墻基本功能3.1黑名單3.2MAC綁定3.3端口映射3.4IDS聯(lián)動3.5日志目錄3.防火墻基本功能防火墻日志Log

Server信息中心攻擊防范黑名單地址綁定二進制流日志

Syslog日志監(jiān)視終端控制臺緩沖區(qū)……重定向NAT/ASPF

日志信息

日志信息

日志信息流量統(tǒng)計

日志信息

日志信息

日志信息防火墻日志LogServer信息中心攻擊防范黑名單地址綁定日志輸出配置組網(wǎng)示例Ethernet2/0/1/24服務器日志服務器PCEthernet2/0/0/24Ethernet1/0/0/24EudemonPC/24日志輸出配置組網(wǎng)示例Ethernet2/0/1192.168日志輸出配置[Eudemon]info-centerenable[Eudemon]info-centerloghostlanguageenglish[Eudemon]firewall

sessionlog-typebinaryhost9002日志輸出配置[Eudemon]info-centeren日志配置驗證[Eudemon]displayinfo-centerInformationCenter:enabledLoghost: ,channelnumber2,channelnameloghost, languageenglish,hostfacilitylocal7Console: channelnumber:0,channelname:consoleMonitor: channelnumber:1,channelname:monitor……日志配置驗證[Eudemon]displayinfo-c目錄防火墻的基本概念防火墻關鍵技術防火墻基本功能防火墻擴展功能目錄防火墻的基本概念目錄4.防火墻擴展功能4.1負載均衡4.2虛擬防火墻目錄4.防火墻擴展功能負載均衡當前的網(wǎng)絡應用中，單臺服務器的處理能力已經(jīng)成為網(wǎng)絡中的瓶頸，尤其是在IDC、網(wǎng)站等應用場合。Eudemon防火墻的負載均衡即是將用戶流量分配到多個服務器上，從而達到流量分擔的目的，進而保障服務器的可用性。防火墻按照配置的算法，將用戶流量分配到不同的服務器上，充分利用各個服務器的處理能力，達到最佳的可擴展性。負載均衡當前的網(wǎng)絡應用中，單臺服務器的處理能力已經(jīng)成為網(wǎng)絡中負載均衡組網(wǎng)示例Eth1/0/0/24Eth1/0/1/24服務器1/24服務器2/24服務器3/24vipEudemon交換機PC/24負載均衡組網(wǎng)示例Eth1/0/0/24Et負載均衡配置[Eudemon]slbenable[Eudemon]slb[Eudemon-slb]rserver1rip[Eudemon-slb]rserver2rip[Eudemon-slb]rserver3rip[Eudemon]firewallpacket-filterdefaultpermitinterzonelocaldmzdirectionoutbound由于防火墻對實服務器缺省進行健康行檢查，此時需要配置允許健康檢查報文在防火墻Local和DMZ域間出方向流動使能SLB的服務器自動健康檢查功能。負載均衡配置[Eudemon]slbenable由于防火負載均衡配置(續(xù))[Eudemon-slb]groupgroup1[Eudemon-slb-group-group1]metricroundrobin[Eudemon-slb-group-group1]addrserver1[Eudemon-slb-group-group1]addrserver2[Eudemon-slb-group-group1]addrserver3[Eudemon-slb]vserverhuaweivipgroupgroup1負載均衡配置(續(xù))[Eudemon-slb]group負載均衡配置驗證[Eudemon-slb]displaythisslbrserver1ripweight32healthchkrserver2ripweight32healthchkrserver3ripweight32healthchkgroupgroup1metricroundrobinaddrserver1addrserver2addrserver3vserverhuaweivipgroupgroup1負載均衡配置驗證[Eudemon-slb]display負載均衡效果[Eudemon]displayfirewallsessiontableicmp,(vpn:public->public):2048-->:43icmp,(vpn:public->public):2048-->:43icmp,(vpn:public->public):2048-->:43FTP,(vpn:public->public):21[:21]<-+:1227FTP,(vpn:public->public):21[:21]<-+:1229FTP,(vpn:public->public):21[:21]<-+:1231FTP,(vpn:public->public):21[:21]<-+:1233FTP,(vpn:public->public):21[:21]<-+:1235CurrentTotalSessions:8負載均衡效果[Eudemon]displayfirewa目錄4.防火墻擴展功能4.1負載均衡4.2虛擬防火墻目錄4.防火墻擴展功能虛擬防火墻Vfw3Vfw2Vfw1Rfw在Eudemon上創(chuàng)建邏輯上的虛擬防火墻（Virtual-firewall,Vfw），能夠提供防火墻的出租業(yè)務，實現(xiàn)子網(wǎng)隔離和解決地址重疊的問題。每個虛擬防火墻都是VPN實例（VPN-Instance）、安全實例和配置實例的綜合體，能夠為虛擬防火墻用戶提供私有的路由轉發(fā)平面、安全服務和配置管理平面。虛擬防火墻Vfw3Vfw2Vfw1Rfw在Eudemon上創(chuàng)虛擬防火墻Eudemon防火墻支持虛擬防火墻特性每個虛擬防火墻均可以獨立支持Local、TRUST、UNTRUST、DMZ、VZONE5個安全區(qū)域，接口靈活劃分和分配。系統(tǒng)資源獨立分配，提供獨立的安全業(yè)務、NAT多實例、VPN多實例特性。......根防火墻RootFW一臺Eudemon物理防火墻虛擬防火墻VirtualFWVZONETrustVPN-1DMZUnTrustTrustVPN-100DMZUnTrust......Eudemon虛擬防火墻Eudemon防火墻支持虛擬防火墻特性......虛擬防火墻區(qū)域ServerServerTrustUntrustDMZEth1/0/0內部網(wǎng)絡Eth0/0/0inboundoutboundinboundoutboundout