Eudemon防火墙关键技术与基本功能课件.ppt

1、修订记录课程编码课程编码适用产品适用产品产品版本产品版本课程版本课程版本ISSUEDS002002EudemonALL1.00开发开发/优化者优化者时间时间审核人审核人开发类型（新开发开发类型（新开发/优化）优化）刘志根2009-4-3周进军新开发Eudemon防火墙产品基本防火墙产品基本功能特性与配置功能特性与配置前 言v本胶片介绍了本胶片介绍了Eudemon系列产品主要的安系列产品主要的安全技术和安全特性，以及各安全特性在全技术和安全特性，以及各安全特性在Eudemon产品上的配置。包括如：防火墙产品上的配置。包括如：防火墙区域，防火墙工作模式，区域，防火墙工作模式，ASPF技术，技术，N

2、AT技术以及一些扩展技术。技术以及一些扩展技术。培训目标v学完本课程后，您应该能：学完本课程后，您应该能：掌握Eudemon产品的主要安全技术和安全特性 掌握各安全特性在Eudemon上的配置目 录v 防火墙的基本概念防火墙的基本概念v 防火墙关键技术防火墙关键技术v 防火墙基本功能防火墙基本功能v 防火墙扩展功能防火墙扩展功能目 录1.防火墙的基本概念防火墙的基本概念1.1 安全区域安全区域1.2 防火墙工作模式1.3 会话防火墙的安全区域Local区域100Trust区域85DMZ区域50UnTrust区域5接口2接口3接口4接口1 用户自定义区域Vzone0接口、网络和安全区域关系Eth

3、1/0/0Eth2/0/0inboundoutboundinboundoutboundEth0/0/0EudemonLocalinboundoutboundinboundoutboundinboundoutboundVzoneTrust内部网络UntrustServerServerDMZ外部网络inboundoutbound.安全区域配置 1v 创建一个安全区域创建一个安全区域Eudemon firewall zone name userzonev 设置优先级设置优先级Eudemon-zone-userzone set priority 60v 给安全区域添加接口给安全区域添加接口Eudemo

4、n-zone-trust add interface Ethernet 0/0/1安全区域配置验证v 查看防火墙安全区域配置查看防火墙安全区域配置Eudemondisplay zone usernameusername priority is 60 interface of the zone is(1):Ethernet0/0/1安全区域配置2v 创建安全创建安全ACLACLEudemonacl 3000Eudemon-acl-adv-3000 rule permit ipv 在域间下发在域间下发ACLACLEudemon firewall interzone trust untrustEud

5、emon-interzone-trust-untrustpacket-filter 3000 inbound目 录1.防火墙的基本概念防火墙的基本概念1.1 安全区域1.2 防火墙工作模式防火墙工作模式1.3 会话防火墙的三种工作模式v 路由模式路由模式v 透明模式透明模式v 混合模式混合模式路由模式外部网络服务器PCPC202.10.0.0/24Trust区服务器EudemonPC10.110.1.0/24202.10.0.110.110.1.254内部网络Untrust区透明模式服务器PCPCTrust区服务器EudemonPCUntrust区202.10.0.0/24混合模式Eudemo

6、n（主）202.10.0.0/24内部网络Eudemon（备）VRRP202.10.0.0/24Trust区服务器PC服务器PCPCUntrust区外部网络工作模式配置命令v 配置防火墙工作模式配置防火墙工作模式Eudemonfirewall mode composite Eudemonquitv 需要重新启动防火墙需要重新启动防火墙rebootl查看防火墙的工作模式Eudemondisplay firewall mode firewall mode composite目 录1.防火墙的基本概念防火墙的基本概念1.1 安全区域1.2 防火墙工作模式1.3 会话会话v 会话（会话（Session

7、Session）EudemonEudemon防火墙是状态防火墙，采用会话表维持通信状态。会防火墙是状态防火墙，采用会话表维持通信状态。会话表包括五个元素：源话表包括五个元素：源IPIP地址、源端口、目的地址、源端口、目的IPIP地址、目的端口地址、目的端口和协议号和协议号(如果支持虚拟防火墙的话还有一个如果支持虚拟防火墙的话还有一个VPN-ID)VPN-ID)。当防火墙。当防火墙收到报文后，根据上述五个元素查询会话表，并根据具体情况进收到报文后，根据上述五个元素查询会话表，并根据具体情况进行如下操作：行如下操作：条件条件操作操作报文的五元组匹配会话表转发该报文报文的五元组不匹配会话表域间规则允

8、许通过转发该报文，并创建会话表表项域间规则不允许通过丢弃该报文会话会话相关命令v查看防火墙的查看防火墙的Session信息信息Eudemondisplay firewall session table verbose icmp (vpn:public-public)zone:local-intra tag:0 x3588 State:0 x0 ttl:00:00:20 left:00:00:04 Id:141c2d38 SlvId:16406388 Interface:G0/0/1 Nexthop:172.16.12.5 Mac:00-0f-e2-61-05-83 172.16.12.1:43

9、996-172.16.12.5:43996 reset firewall session table会话相关命令v 查看防火墙的查看防火墙的Session aging-timeEudemon display firewall session aging-timetcp protocol timeout:1200udp protocol timeout:120icmp protocol timeout:20.Eudemon firewall session aging-time icmp 15防火墙长连接会话v配置配置ACL，用于控制需要长连接会话的数据流，用于控制需要长连接会话的数据流Eude

10、mon acl 3001Eudemon-acl-adv-3001 rule permit ip source 10.100.10.2 0v设置长连接的老化时间设置长连接的老化时间Eudemon firewall long-link aging-time 2v在域间应用长连接在域间应用长连接Eudemon firewall interzone trust untrustEudemon-interzone-trust-untrust firewall long-link 3001 inboundEudemondisplay firewall session table verbose FTP,ta

11、g:80000301 ttl:02:00:-left:01:58:-Addr:02000093 10.100.10.3:21 public)10.1.1.1:2048-10.1.1.3:43 icmp,(vpn:public-public)10.1.1.1:2048-10.1.1.4:43 icmp,(vpn:public-public)10.1.1.1:2048-10.1.1.5:43 FTP,(vpn:public-public)202.2.2.2:2110.1.1.3:21 public)202.2.2.2:2110.1.1.4:21 public)202.2.2.2:2110.1.1.

12、5:21 public)202.2.2.2:2110.1.1.3:21 public)202.2.2.2:2110.1.1.4:21-+202.2.2.3:1235Current Total Sessions:8目 录4.防火墙扩展功能防火墙扩展功能4.1 负载均衡4.2 虚拟防火墙虚拟防火墙虚拟防火墙Vfw3Vfw2Vfw1Rfwl在Eudemon上创建逻辑上的虚拟防火墙（Virtual-firewall,Vfw），能够提供防火墙的出租业务，实现子网隔离和解决地址重叠的问题。l每个虚拟防火墙都是VPN实例（VPN-Instance）、安全实例和配置实例的综合体，能够为虚拟防火墙用户提供私有的

13、路由转发平面、安全服务和配置管理平面。虚拟防火墙lEudemonEudemon防火墙支持虚拟防防火墙支持虚拟防火墙特性火墙特性p每个虚拟防火墙均可以独立支持Local、TRUST、UNTRUST、DMZ、VZONE 5个安全区域，接口灵活划分和分配。p系统资源独立分配，提供独立的安全业务、NAT多实例、VPN多实例特性。.根防火墙 Root FW一台Eudemon物理防火墙虚拟防火墙 Virtual FWVZONETrustVPN-1DMZUnTrustTrustVPN-100DMZUnTrust.Eudemon虚拟防火墙区域ServerServerTrustUntrustDMZEth1/0/

14、0内部网络Eth0/0/0inboundoutboundinboundoutboundoutboundinboundEudemonLocalVzoneInternetEth2/0/0虚拟防火墙组网实例Ethernet1/0/1192.168.2.1/24PC2PC1Ethernet2/0/0202.1.1.1/24Ethernet1/0/0192.168.1.1/24EudemonPC3202.1.1.2/24VPN:vpna虚拟防火墙配置接口Eudemonip vpn-instance vpna vpn-id 1Eudemon-vpn-vpnaroute-distinguisher 100:

15、1Eudemonint Ethernet 1/0/0Eudemon-Ethernet1/0/0ip binding vpn-instance vpnaEudemon-Ethernet1/0/0 ip address 192.168.1.1 255.255.255.0Eudemonint Ethernet 1/0/1Eudemon-Ethernet1/0/1ip binding vpn-instance vpnaEudemon-Ethernet1/0/1 ip address 192.168.2.1 255.255.255.0虚拟防火墙配置安全策略Eudemon acl number 2000

16、vpn-instance vpnaEudemon-acl-basic-2000rule permitEudemonfirewall interzone vpn-instance vpna trust untrustEudemon-interzone-trust-untrust-vpnapacket-filter 2000 inboundEudemon-interzone-trust-untrust-vpnapacket-filter 2000 outbound跨VPN实例访问配置Eudemon nat address-group 1 202.1.1.3 202.1.1.8 vpn-instan

17、ce vpnaEudemon firewall interzone vpn-instance vpna trust vzoneEudemon-interzone-trust-vzone-vpna packet-filter 2000 outboundEudemon-interzone-trust-vzone-vpna nat outbound 2000 address-group 1Eudemonip route-static vpn-instance vpna 0.0.0.0 0 202.1.1.2 public问 题v防火墙和路由器的主要区别有哪些？防火墙和路由器的主要区别有哪些？总 结v 安全域安全域v 会话会话v 工作模式工作模式v ASPFv NATv 黑名单黑名单v 端口映射端口映射v 负载均衡负载均衡v 虚拟防火墙虚拟防火墙