Juniper设备配置-透明模式.ppt

Copyright 2008 Juniper Networks,Inc.,*,透明模式,什么是透明模式,?,Netscreen,防火墙的接口在第二层的网桥模式或者是第二层的交换模式下进行工作。,Learning,Flooding,Forwarding,Filtering,通过安全策略让风火墙对第二层的安全区之间的数据包进行流量的访问控制。,10.1.0.0/16,E1,E3,zone,V1-Trust,zone,V1-DMZ,zone,V1-Untrust,E2,Layer 2 Frame Forwarding(Bridging/Switching),透明模式的功能,Learning(based on Source MAC address),Forward/Flood/Filter(based on Destination MAC address),Loop prevention(Spanning Tree protocol),MAC Address Table,00c0.01cd.5120 E1E8 00e0.01ab.cd10,Destination Address,Port,00c0.01cd.5120,E1,00e0.01ab.cd10,E8,V1-Untrust,透明模式的工作,由于没有使用到网络的第三层，因此，透明模式能够让防火墙更加快速的部署。,不需要定义拓扑结构,增加安全性,在,netscreen,的二层工作模式下可以使用,VPN,Zone,概念的提出，可以提供比基于路由的,ACL,更加安全的访问控制,V1-Trust,10.1.0.0/16,V1-DMZ,B,B,D,A,B,C,10.100.1.0/16,10.200.1.0/16,E,Layer-2,安全区,预先定义的,“,V1,”,zones,V1-Trust,V1-Untrust,V1-DMZ,用户定义的安全区,Layer-2(L2),区,用户在定义安全区的时候必须以,“,L2-,”,开头。,Int,.,Zone,透明模式中的接口,在,ScreenOS 5.0,没有定义任何接口是属于透明模式,把一个接口放到第二层的安全区中,因此二层的接口的域必须是以,“,V1-,”,or,“,L2-,”,开头的。,所有接口在,v1,或者是,L2,安全区，是具有相同广播域的第二层防火墙的成员。,Int e1,Zone L2-private,Int e2,Zone L2-public,10.1.0.0/16,VLAN1,接口,在,VLAN,区中是第三层逻辑接口,该接口可以配置一个,IP,地址，用来管理,netscreen,防火墙。,支持管理,IP,地址,所有物理接口都可以接受,arp,请求。,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,V1-Untrust,VLAN1 is a logical interface which is accessible fromany transparent zone,VLAN1 interface:1.1.1.210/24,E1,E3,E2,A,B,C,V1-Trust,1.1.1.10,1.1.1.11,1.1.1.12,V1-DMZ,V1-Untrust,VLAN1 interface:1.1.1.210/24,E1,E3,E2,A,B,C,管理行为,VLAN1 will inherit management options from zone membership of physical interfaces,X,VLAN1 interface:1.1.1.210/24,none,V1-Untrust,none,User-defined(L2),PING only,V1-DMZ,PING,telnet,SSH,SNMP,web,SSL,nsmgt,V1-Trust,Management Services Enabled,Zone,透明模式的配置,建立,2,层的安全区,(,在没有使用缺省安全区的情况下,),分配接口给,2,层安全区,为,VLAN1,配置管理地址,3a.,配置,IP,地址,3b.,选择广播的方法,3c.,配置管理服务,(,可选项,),配置每个安全区的管理服务,在不同的安全区之间配置策略,Step 1:,配置,2,层安全区,Network Zones New,set zone name L2,Example:,ns208-,set zone name L2-Demo L2 1,Step 2:,分配接口到安全区,Network Interfaces(Edit),set interface zone,ns208-,set interface e3 zone L2-Demo,Step 3a:,配置,VLAN1,的,IP,地址,Network Interfaces Edit(VLAN1),Use for Interface IP when terminating VPNs,Use Manage-IP as destination address of PING,telnet,Web UI,etc.,set interface vlan1 ip/,ns208-,set int vlan1 ip 1.1.7.1/24,set interface vlan1 manage-ip,ns208-,set int vlan1 manage-ip 1.1.7.100/24,Step 3b:,选择广播的方法,Flooding(default),如果,MAC,表中没有，原数据包将向所有的接口进行广播,除了流入数据包的接口。,ARP/Trace-Route,如果,MAC,表中没有,ARP,或,traceroute,将向所有的接口进行广播,除了流入数据包的接口。,Network Interfaces Edit(VLAN1),set vlan1 broadcast arp,set vlan1 broadcast flood,Step 3c:,配置,VLAN1,的服务,允许所有的管理服务,Web UI,Telnet,SSH,SNMP,SSL,NS-GlobalPro(nsmgmt),选择指定的管理服务,Network Interfaces Edit(VLAN1),set interface vlan1 manage,ns208-,set int vlan1 manage,set interface vlan1 manage,ns208-,set int vlan1 manage web,ns208-,set int vlan1 manage ssl,ns208-,set int vlan1 manage nsmgmt,Step 4:,在每个安全区中配置不同的管理服务,Network Zones Edit(V1-Trust),set zone manage,ns208-,set zone v1-dmz manage web,透明模式的检查工具,Get interface,Get ARP,Get mac-learn,Get session,Get interface,ns208-,get interface ethernet1,Interface ethernet1:,number 0,if_info 0,if_index 0,mode xparent,port vlan 1,sess token 9,link up,phy-link up/half-duplex,vsys Root,zone V1-Trust,vr trust-vr,*ip 0.0.0.0/0 mac 0010.db22.23f0,ping enabled,telnet enabled,SSH enabled,SNMP enabled,web enabled,ident-reset disabled,SSL enabled,nsmgmt enabled,webauth disabled,DHCP-Relay disabled,bandwidth:physical 100000kbps,configured 0kbps,current 0kbps,total configured gbw 0kbps,total allocated gbw 0kbps,ns208-,Get arp,ns208-,get arp,IP Mac VR/Interface State Age Retry PakQue,3.4.5.6 abc3241244dc trust-vr/,v1-trust,STS 0 0,1.1.7.250 00065bd2ff42 trust-vr/,v1-trust,VLD 1151 0 0,ARP Entry Number 2/1024,No Free Entry Count:0,Arp always-on-dest:disabled,ns208-,Note:Although it says,“,interface,”,in transparent mode the zone name is displayed,Get mac-learn,学习,Associates a MAC address with an outgoing interface,Determines how received frames are forwarded in Layer-2,Also known as Bridge Table or L2 Forwarding Table,静态,ARP,影射,MAC address to outgoing port association can be manually configured via the CLI,set mac ,ns208-,get mac-learn,link down clear mac learn table:enable,Total 3,Create 9,Ageout 6,Flood 1,BCast 150,ReLearn 1,NoFree 0,Error 0,Drop 0,ethernet2:0004.7648.aa3c 56,ethernet1:0010.db13.e441 44,ethernet3:0010.db15.6bc4 59,Get session,ns208-,get session,alloc 2/max 128000,alloc failed 0,id 43/s*,vsys 0,flag 00000090/00/00,policy 1,time 1,17(01):192.168.1.5/27129-192.168.1.10/768,1,00b0d06c3f39,vlan 0,tun 0,vsd 0,19(00):192.168.1.5/27129192.168.1.10/,768,1,00b0d06c3f39,vlan 0,tun 0,vsd 0,19(00):192.168.1.5/,27385,-192.168.1.10/768,1,0010db2b1622,vlan 0,tun 0,vsd 0,Total 2 sessions shown,ICMP Sequence#,ICMP Identifier#,IP protocol#,需要考虑的问题,必须配置策略才能允许访问,没有默认策略,通过第三层的地址配置策略,避免潜在的网络风暴,透明模式是一个非常灵活的防火墙部署解决方案,可以快速实现防火墙和,VPN,的功能,不需要修改网络结构，建立虚拟地址（,NAT,），就可以实现访问控制。,