防火墙互联技术
一.防火墙支持的接口种类：
物理接口：三层以太网接口、二层以太网接口
逻辑接口：
VT接口、Dialer接口—pppoe
Tunnel接口、NULL接口----VPN
VLAN接口
以太网子接口
Eth-Trunk接口、Loopback接口
二、Eth-Trunk：以太链路聚合
1.简介： 链路聚合接口将多个物理接口捆绑成一个逻辑接口，提高传输带宽，
捆绑在一起的每个物理接口称为成员接口
2. 优点：提高链路带宽、可靠性、负载分担
3. 模式：手工负载分担、静态LACP
1）手工负载分担模式-----默认模式
所有的链路都需要参加转发
2）静态LACP模式----可以选择活动链路
链路聚合存在活动接口和非活动接口两种。转发数据的接口称为活动接口，而不
转发数据的接口称为非活动接口。只有当前活动接口出现故障时，非活动接口才
可以转变为活动接口。
LACP采用M:N的工作模式，即M条活动链路，N条备份链路，当有活动链路故障时，从N条备份链路中选取优先级最高的链路成为活动链路，接口LACP优 先级值越小，优先级越高。
活动链路与非活动链路切换：
静态LACP模式链路聚合组两端设备中任何一端检测到以下事件，都会触发聚合组的链路切换：
链路Down事件。
以太网OAM检测到链路失效。
LACP协议发现链路故障。
接口不可用。
在使能了LACP抢占前提下，更改备份接口的优先级高于当前活动接口的优 先级。
当满足上述切换条件其中之一时，按照如下步骤进行切换：
关闭故障链路。
从N条备份链路中选择优先级最高的链路接替活动链路中的故障链路。
优先级最高的备份链路转为活动状态并转发数据，完切换。
配置：
交换机：
1.配置Eth-Trunk
interface Eth-Trunk1
port link-type trunk
mode lacp-static
2.将接口加入Eth-Trunk
法1：
[SW-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/2 //将接口加入到Eth中
法2：
[SW]inter g0/0/2
[SW-GigabitEthernet0/0/2]eth-trunk 1
防火墙：
1.配置Eth-Trunk
interface Eth-Trunk1
mode lacp-static
interface Eth-Trunk1.10
vlan-type dot1q 10
ip address 10.1.1.1 255.255.255.0
interface Eth-Trunk1.20
vlan-type dot1q 20
ip address 20.1.1.1 255.255.255.0
.接口加入Eth-Trunk
interface GigabitEthernet1/0/1
eth-trunk 1
3.查看
dis eth-trunk 1
2019-07-26 10:02:45.960
Eth-Trunk1’s state information is:
Local:
LAG ID: 1 WorkingMode: STATIC
Preempt Delay: Disabled Hash arithmetic: According to flow
System Priority: 32768 System ID: 00e0-fc4e-7804
Least Active-linknumber: 1 Max Active-linknumber: 8
Operate status: up Number Of Up Port In Trunk: 2
ActorPortName Status PortType PortPri PortNo PortKey PortState Weight
GigabitEthernet1/0/1 Selected 1GE 32768 1 305 10111100 1
GigabitEthernet1/0/0 Selected 1GE 32768 2 305 10111100 1
ActorPortName SysPri SystemID PortPri PortNo PortKey PortState
GigabitEthernet1/0/1 32768 4c1f-cc94-0b81 32768 3 305 10111100
GigabitEthernet1/0/0 32768 4c1f-cc94-0b81 32768 2 305 10111100
三、Vlanif接口
1.创建vlan
[USG6000V1]vlan batch
[USG6000V1]vlan batch 10 20
2.接口改成二层接口
interface GigabitEthernet1/0/1
portswitch //接口变为二层
port link-type access
port default vlan 10
3.配置vlanif接口
interface Vlanif10
ip address 10.1.1.1 255.255.255.0
4.将接口划入到安全区域
firewall zone trust
add interface Vlanif10
add interface Vlanif20
5.检查测试
华为防火墙默认在同一个ZONE内不需要安全策略
四、路由
- 静态路由：
配置静态路由可以在路由选择中实施非常精确的控制，但是当网络发生变化或故障时，
管理员需要重新进行手工配置
1）静态路由指定出接口或下一跳：
指定出接口场景：PPP、PPPoE
指定下一跳地址场景：NBMA接口、以太网接口、Virtual-template
对于点到点接口，指定发送接口即隐含指定了下一跳地址，这时认为与该接口相
连的对端接口地址就是路由的下一跳地址。
对于NBMA接口，它支持点到多点网络，这时除了配置IP路由外，还需在链路层
建立二次路由，即IP地址到链路层地址的映射。这种情况下应配置下一跳IP地址。
对于以太网接口，因为以太网接口是广播类型的接口，这会导致出现多个下一跳，
无法唯一确定下一跳，因此必须指定下一跳地址。
对于Virtual-template接口，因为Virtual-template接口下可以关联多个虚拟访问接
口（Virtual Access Interface），这都会导致出现多个下一跳，无法唯一确定下一
跳，因此必须指定下一跳地址。
2）多出口：防火墙通过多个接口连接到Internet或其他网络，多个接口之间形成主备备
份或负载分担关系，从而提高业务的可靠性。
前提条件：存在多条等价路由
3）多出口支持的模式：主备模式、负载分担模式
（1） 主备模式：通过接口配置standby、接口配置优先级
（2）负载分担模式：均衡负载分担、溢出式负载分担
A. 均衡负载分担：默认逐流转发，有两种方式：百分比负载分担、HASH方式负载分担
a.按百分比负载分担：也称为按权重负载分担，接口上设置的负载分担百分比越大，
该接口承担的流量就越大，逐包和逐流方式都支持
b.按分担方式负载分担：按照选择的Hash方式进行负载分担，可以选择源IP地址、 源
端口、目的IP地址和目的端口四个元素中的一个或者多个进行Hash值计算。
然后根据这个值选择一个接口传输流量，默认采用逐流转发方式
B. 溢出式：默认逐包转发（逐包会出现来回路径不一致的情况），存在主从接口，正
常时主接口转发流量，只有当主接口超出一定阈值时，由从接口转发流量
4）逐流与逐包转发
A.逐流转发：
逐流转发以流为单位，同一条数据流的报文从同一个接口转发，不同的数据流
根据一定的算法选择接口。
逐流转发能保证包顺序，但不能保证带宽利用率。
B.逐包转发：
逐包转发以报文为单位，轮询选择接口。同一条数据流的报文不一定从同一个
接口转发。
逐包转发能保证带宽利用率，但不能保证包的顺序
配置：
1.基本配置：IP zone nat 路由
2.配置均衡式负载分担
3.检查
1.基本配置
静态路由配置：
ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
ip route-static 0.0.0.0 0.0.0.0 2.1.1.2
配置zone：
rule name trust_untrust
source-zone trust
destination-zone untrust
service icmp
action permit
rule name dmz_untrust
source-zone dmz
destination-zone untrust
service icmp
action permit
配置NAT策略：
rule name source_nat
source-zone dmz
source-zone trust
destination-zone untrust
action source-nat easy-ip
将接口加入安全区域：
firewall zone trust
add interface GigabitEthernet0/0/0
add interface Vlanif10
firewall zone untrust
add interface GigabitEthernet1/0/2
add interface GigabitEthernet1/0/3
firewall zone dmz
add interface Vlanif20
2.动态路由：防火墙不监控组播报文，但是单播报文需要放行安全策略
1）接口配置IP地址
2）将接口划分到相应zone
3）配置OPSF
ospf 1 router-id 4.4.4.4
area 0.0.0.0
network 10.1.2.0 0.0.0.255
network 10.1.3.0 0.0.0.255
network 10.2.2.0 0.0.0.255
network 10.2.3.0 0.0.0.255
4）配置安全策略
rule name ospf
source-zone local
source-zone untrust
destination-zone local
destination-zone untrust
service ospf
action permit
5）检测
3.策略路由：策略路由是在路由表已经产生的情况下，不按照先有的路由表进行转发，而是根据用户指定的策略进行路由选择的机制。策略路由没有替代路由表，而是优于路由表生效，为某些特殊业务指定转发方向。
1）策略路由可以用于多出口场景：
进行基于用户的选路
基于协议、应用选路
策略路由智能选路不能和IP欺骗攻击防范功能或URPF（UnicastReversePath Forwarding，单播逆向路径转发）功能一起使用。如果开启IP欺骗攻击防范功能或URPF
功能，可能导致NGFW丢弃报文。
2）策略路由过程：
（1）匹配条件
出接口 源安全区域 用户 应用 地址 时间段
（2）动作
做策略 ：单出口、多出口
不做策略
（3）下一跳和出接口
防火墙不允许被trace
3）单出口策略路由配置：
（1）基本配置
（2）配置策略路由
（3）配置追踪机制（跟ip-link联动）
（4）放行IP-link安全策略
Ip-link，发送单播报文追踪上行链路，默认防火墙不放行，需要放行策略
策略路由失效时，匹配路由表
（5）配置联动静态路由
（6）检查测试
命令：
配置策略路由：
policy-based-route
rule name pbr
source-zone dmz
source-zone trust
destination-address 200.200.200.200 mask 255.255.255.255
track ip-link ip-link
action pbr next-hop 1.2.1.2
配置ip-link
ip-link check enable
ip-link name ip-link
destination 1.2.1.2 mode icmp
放行ip-link安全策略：
rule name ip-link
source-zone local
destination-zone untrust
source-address 1.2.1.0 mask 255.255.255.0
destination-address 1.2.1.0 mask 255.255.255.0
service icmp
action permit
联动静态路由：
ip route-static 0.0.0.0 0.0.0.0 1.2.1.2 track ip-link ip-link
检查：
[FW]dis ip-link name ip-link
2019-07-29 08:45:22.590
Name Member State Up/Down/Init
ip-link 1 up 1 0 0
[FW]dis policy-based-route rule all
2019-07-29 08:45:42.270
Total:3
rule id rule name state action hits
1 pbr enable pbr 4
0 default enable no-pbr 154
-------------------------------------------------------------------------------**
四、多出口选路：
智能选路：就近路由、策略路由、缺省路由
就近路由：匹配明细路由
策略路由：配置策略路由
全局选路：匹配缺省路由
智能选路功能包括策略路由智能选路和全局智能选路，两种智能选路功能可以同时使用，不会产生冲突，因为两个选路过程存在先后顺序
NGFW进行流量转发时，查询路由的先后顺序为策略路由、明细路由、缺省路由
策略路由智能选路发生在流量命中策略路由时，如果多个出接口则需要进行选路
全局智能选路发生中流量命中缺省路由时，如果有多个缺省路由则需要进行选路
智能选路实现方式：
链路带宽：根据接口带宽大小，按照比例转发，可以设置过载保护值，超过过载保护值，
该接口停止转发，其他接口转发，如果都超过过载保护值按照原来的带宽比例转发
链路权重：基于带宽，延迟，费用等因素，赋予不同的权重值，按照权重值转发，超过过
载保护值，该接口停止转发，其他接口转发，如果都超过，按照带宽比例进行转发
链路优先级：当每条链路之间的带宽、延迟、费用的差距较大时使用
主备方式-----不设置过载保护
负载分担-----设置过载保护
链路质量：丢包率、时延、时延抖动等综合考虑
1.就近选路（ISP选路）：当路由表中存在明细路由和默认路由时，会优先匹配明细路由，
就近选路就是批量创建静态明细路由，从而实现报文向特定的ISP进行转发
配置：
web配置流程：
1）网络–智能选路–运营商地址库—导入
2）网络–接口–链路接口–新建–启用运营商路由、缺省路由、健康链路检查
3）对象–健康检查–新建–追踪下一跳
4）策略–安全策略–放行健康检查的策略
命令行配置流程：
1）自定义ISP配置
2）配置健康检查—要放行安全策略
3）接口调用
4）测试检查
命令：
1）ISP配置
isp name isp1 set filename ISP1.csv linkif-group 63
isp name isp2 set filename ISP2.csv linkif-group 62
2）启动健康检查
healthcheck enable
healthcheck name health_link1
destination 1.1.1.2 protocol icmp
healthcheck name health_link2
destination 1.2.1.2 protocol icmp
放行安全策略：
security-policy
rule name health_link1
source-zone local
destination-zone untrust
source-address 1.1.1.0 mask 255.255.255.0
destination-address 1.1.1.0 mask 255.255.255.0
action permit
rule name health_link2
source-zone local
destination-zone untrust
source-address 1.2.1.0 mask 255.255.255.0
destination-address 1.2.1.0 mask 255.255.255.0
action permit
3）接口调用
link-interface 0 name isp1
interface GigabitEthernet1/0/3 next-hop 1.1.1.2
healthcheck health_link1
isp isp1 route enable //启用运营商路由，生成明细路由
link-interface 1 name isp2
interface GigabitEthernet1/0/0 next-hop 1.2.1.2
healthcheck health_link2
isp isp2 route enable
4）检测
查看健康检测
dis healthcheck
2019-07-30 09:29:52.330
Current Total Healthcheck Number : 2
Name Member State Up/Down/Init
health_link1 1 up 1 0 0
health_link2 1 up 1 0 0
查看isp配置
dis isp all
2019-07-30 09:32:38.110
isp information(total number: 2)
isp name: isp1
file name: ISP1.csv
next-hop: GigabitEthernet1/0/3, 1.1.1.2
status: enable
isp name: isp2
file name: ISP2.csv
next-hop: GigabitEthernet1/0/0, 1.2.1.2
status: enable
查看路由表
[FW]dis ip routing-table
Destination/Mask Proto Pre Cost Flags NextHop Interface
0.0.0.0/0 Unr 70 0 D 1.1.1.2 GigabitEthernet1/0/3
Unr 70 0 D 1.2.1.2 GigabitEthernet1/0/0
100.100.100.100/32 Unr 70 0 D 1.1.1.2 GigabitEthernet1/0/3
200.200.200.200/32 Unr 70 0 D 1.2.1.2 GigabitEthernet1/0/0
配置网关，会产生缺省路由
2.策略路由选路
在一个策略路由规则中，可以包含多个匹配条件，各匹配条件之间是与的关系，必须同时满足所有匹配条件，才可以执行后续转发动作。
1）策略路由功能：
（1）将报文发送到指定的下一跳设备
（2）从指定出接口发送报文
（3）利用智能选路功能，从多个出接口中选择出一个出接口发送报文
（4）把报文发送到指定的虚拟系统
web界面配置：
网络–接口–多出口–接口带宽
网络–链路接口–新建
网络–路由–智能选路–策略路由–新建–选择多出口选项
命令行配置：
policy-based-route
rule name pbr 2
source-zone dmz
source-zone trust
destination-address 200.200.200.200 mask 255.255.255.255
action pbr multi-linkif
mode proportion-of-weight
add linkif global1
add linkif global2
3）全局智能选路：当策略路由，明细路由都无法匹配时，按照默认路由进行转发，全局
、智能智能选路就是匹配默认路由
web界面配置：
网络–接口–多出口–接口带宽
网络–链路接口–新建
网络–路由–智能选路–全局选路策略–配置–选择选路方式
命令行配置：
1）接口设置带宽及阈值
interface GigabitEthernet1/0/0
undo shutdown
ip address 1.2.1.1 255.255.255.0
gateway 1.2.1.2
bandwidth ingress 100 threshold 90
bandwidth egress 100 threshold 90
interface GigabitEthernet1/0/3
undo shutdown
ip address 1.1.1.1 255.255.255.0
gateway 1.1.1.2
bandwidth ingress 100 threshold 90
bandwidth egress 100 threshold 90
2）配置链路接口
link-interface 0 name global1
interface GigabitEthernet1/0/3 next-hop 1.1.1.2
healthcheck health_link1
link-interface 1 name global2
interface GigabitEthernet1/0/0 next-hop 1.2.1.2
healthcheck health_link2
3）配置健康检测
healthcheck enable
healthcheck name health_link1
destination 1.1.1.2 protocol icmp
healthcheck name health_link2
destination 1.2.1.2 protocol icmp
4）设置权重选路
multi-linkif
mode proportion-of-weight
add linkif global1 weight 4 --权重设为4
add linkif global2 --默认权重为1
[FW-multi-linkif]mode ?
priority-of-link-quality Indicate link selection based on link quality priorities //链路质量
priority-of-userdefine Indicate link selection based on used-defined priorities //优先级
proportion-of-bandwidth Indicate load balancing based on interface bandwidths //带宽
proportion-of-weight Indicate load balancing based on interface weights //权重
五：DNS
1.DNS—配置DNS，防火墙本身可以做域名解析
2.DNS代理
DNS透明代理：主要跟智能选路结合使用，单独使用没有意义，当没有内部DNS时使用
DNS透明代理功能可以修改部分DNS请求报文的目的地址，将其修改为其他ISP内的DNS服务器地址