华为防火墙基础理论与连接的四种方式

文章目录

  • 前言
  • 一:华为防火墙基础理论
      • 1.1:华为防火墙产品介绍
      • 1.2:华为防火墙的工作模式
      • 1.3:华为防火墙的安全区域
      • 1.4:华为防火墙的inbound和outbound
      • 1.5:华为防火墙的状态化信息
      • 1.6:华为防火墙策略的特点
  • 二:华为防火墙的设备管理方式
      • 2.1:AAA
      • 2.2:console线连接方式
      • 2.3:实验环境
      • 2.4:实验拓扑图
      • 2.5:实验连接方式配置
          • 2.5.1:使用Telnet方式连接
          • 2.5.2:使用web方式连接
          • 2.5.3:使用ssh方式连接
  • 四:选择连接方式的步骤总结

前言

一:华为防火墙基础理论

1.1:华为防火墙产品介绍

  • 华为防火墙基础理论与连接的四种方式_第1张图片

  • 低:USG2110

    • 华为防火墙基础理论与连接的四种方式_第2张图片
  • 中:USG6600,同NGFW防火墙

    • 华为防火墙基础理论与连接的四种方式_第3张图片
  • 高:USG9500

    • 华为防火墙基础理论与连接的四种方式_第4张图片

1.2:华为防火墙的工作模式

  • 分类三类:路由模式,透明模式,混合模式
  • 路由模式
    • 当防火墙处于内部网路和外部网络中间时,需要将防火墙的内部网络、外部网络、DMZ三个区域分配不同地址段的时候使用
    • 这个时候防火墙首先是台路由器,然后在提供其他的防火墙功能。
  • 透明模式
    • 华为防火墙通过二层和外相连接时候,则防火墙处于透明模式下。
  • 混合模式
    • 既处于路由接口模式又处于透明模式下,则防火墙是混合模式。
    • 目前只用于透明模式下的双机热备的特殊应用中。别的环境不用

1.3:华为防火墙的安全区域

  • 华为防火墙通常划分5个区域:trust、untrust、DMZ、Local,自定义区域
  • 华为防火墙基础理论与连接的四种方式_第5张图片
  • trust区域:主要用户连接公司内部网络,优先级是85,安全等级较高
  • DMZ :非军事化区域、是一个军事用语,是介于军事管事区和公共区域之间的一个区域,优先级50,安全等级中
  • UNtrust:外部网络,优先级5,安全等级低
  • Local :通常定义防火墙本身,优先级100,防火墙除了转发的流量外,其自己也有收发流量,如控制流量、动态路由协议等,这些报文通常都是从Local区域发送的。
  • 自定义区域:默认最多16个区域,默认没有优先级,所以要自己配置优先级。
  • 默认情况下,华为防火墙拒绝任何区域之间的流量,如需方形指定的流量,需要管理员设置策略

1.4:华为防火墙的inbound和outbound

  • inbound:数据有等级低的流向等级高的,如untrust(5) 区域流向trust(85)
  • outbound:数据有等级高的流向等级低的,如DMZ(50) 区域流向untrust(5)
  • 防火墙流量根据优先级来的,规则:从高到低流入,从低到高需要设置规则
  • 另外:华为防火墙的外网口是不允许ping通的
  • 华为防火墙基础理论与连接的四种方式_第6张图片

1.5:华为防火墙的状态化信息

  • 防火墙内状态化信息包括:安全策略,连接表
  • 因为首个数据包成功被安全策略放行,他的路由信息被保存到连接表中,所以返回流量可以通过状态化信息直接放行,连接表中的内容被称为五元组
  • 传统的防火墙都是基于5元组:源IP、目标IP、协议、端口号、目标端口号
  • 新一带的防火墙除了传统的5元组之外,还加入了应用、内容、时间、用户、威胁、位置进行深层次探测。
  • 华为防火墙基础理论与连接的四种方式_第7张图片
  • 五元组解释
  • 华为防火墙基础理论与连接的四种方式_第8张图片
  • 安全策略解释
  • 华为防火墙基础理论与连接的四种方式_第9张图片

1.6:华为防火墙策略的特点

  • 默认情况下,华为防火墙的策略有如下特点:
    • 1、任何2个安全区域的优先级不能相同
    • 2、本域内不同接口间的报文不过滤直接转发
    • 3、接口没有加入域之前不能转发包文
    • 4、在USG6600系列防火墙上默认是没有安全策略的,也就是说,不管是什么区域之间项目访问,都必须要配置安全策略,除非是同一区域报文传递。

二:华为防火墙的设备管理方式

  • 通过AAA认证管理,管理方式有四种,Console线连接,Telnet远程连接,Web网页连接,SSH连接
  • 生产环境中,我们使用Console线连接和他Telnet连接的方式,web连接和ssh连接有漏洞,我们不采用

2.1:AAA

  • AAA是Authentication(认证)、Authorization(授权)和Accounting(计费)的简称,是网络安全的一种管理机制,提供了认证、授权、计费三种安全功能。
  • 认证:验证用户是否可以获得网络访问权。
  • 授权:授权用户可以使用哪些服务。
  • 计费:记录用户使用网络资源的情况。
  • 目的:提供对用户进行认证、授权和计费等安全功能,防止非法用户登录设备,增强设备系统安全性。

2.2:console线连接方式

  • 华为防火墙基础理论与连接的四种方式_第10张图片
  • 设置接口号直接connect
  • 华为防火墙基础理论与连接的四种方式_第11张图片

2.3:实验环境

  • eNSP软件

  • 一个cloud云,绑定VMnet1网卡

  • 一个USG6000V防火墙

  • cloud云设置(右击设置)

    华为防火墙基础理论与连接的四种方式_第12张图片

2.4:实验拓扑图

  • 华为防火墙基础理论与连接的四种方式_第13张图片
  • 按照拓扑图修改VMnet1网卡的IP地址

2.5:实验连接方式配置

  • 先登录防火墙

  • 打开防火墙

    The device is running!
    
    Login authentication
    
    Username:admin	'//默认用户名admin'
    Password:	'//输入默认密码Admin@123'
    The password needs to be changed. Change now? [Y/N]: y
    Please enter old password: 	'//输入原本密码Admin@123'
    Please enter new password: 	'//输入自定义新密码,如qwer@1234'
    Please confirm new password: 	'//重复输入自定义新密码,如qwer@1234'
    sys	'//进入系统视图'
    Enter system view, return user view with Ctrl+Z.
    [USG6000V1]int g0/0/0	'//进入接口'
    [USG6000V1-GigabitEthernet0/0/0]ip add 192.168.11.10 24	'//添加IP地址'
    [USG6000V1-GigabitEthernet0/0/0]un sh	'//保存'
    
2.5.1:使用Telnet方式连接
  • [USG6000V1]int g0/0/0
    [USG6000V1-GigabitEthernet0/0/0]service-manage enable 	'//开启接口管理服务'
    [USG6000V1-GigabitEthernet0/0/0]service-manage telnet permit	'//允许Telnet服务'
    [USG6000V1-GigabitEthernet0/0/0]undo sh	
    [USG6000V1-GigabitEthernet0/0/0]q	
    [USG6000V1]telnet server enable		'//系统视图Telnet服务开启'
    [USG6000V1]firewall zone trust 	'//进入防火墙trust区域'
    [USG6000V1-zone-trust]add interface g0/0/0	'//将G0/0/0口加入trust区域'
    [USG6000V1-zone-trust]q	
    [USG6000V1]security-policy		'//安全策略配置'
    [USG6000V1-policy-security]rule name allow_telnet	'//取名规则allow_telnet'
    [USG6000V1-policy-security-rule-alldw_telnet]source-zone trust 	'//来自trust区域'
    [USG6000V1-policy-security-rule-alldw_telnet]destination-zone local 	'//去local区域'
    [USG6000V1-policy-security-rule-alldw_telnet]action permit 	'//动作是允许放通'
    [USG6000V1-policy-security-rule-alldw_telnet]quit 
    [USG6000V1-policy-security]q
    [USG6000V1]user-interface vty 0 4		'//进入配置认证模式'
    [USG6000V1-ui-vty0-4]authentication-mode aaa	'//认证模式为AAA'
    [USG6000V1-ui-vty0-4]protocol inbound telnet 		'//允许telnet连接虚拟终端'
    [USG6000V1-ui-vty0-4]q
    [USG6000V1]aaa	'//进入AAA模式'
    [USG6000V1-aaa]	
    [USG6000V1-aaa]manager-user demo.			'//配置管理用户名demo'
    [USG6000V1-aaa-manager-user-demo]password cipher abcd@123	'//密码为abcd@123'
    [USG6000V1-aaa-manager-user-demo]service-type telnet	'//服务类型是telnet'
    [USG6000V1-aaa-manager-user-demo]level 3		'//用户权限级别是3'
    [USG6000V1-aaa-manager-user-demo]q	
    

    使用crt软件连接

    华为防火墙基础理论与连接的四种方式_第14张图片

    华为防火墙基础理论与连接的四种方式_第15张图片

2.5.2:使用web方式连接
  • [USG6000V1]int g0/0/0
    [USG6000V1-GigabitEthernet0/0/0]service-manage http permit 	'//允许HTTP服务'
    [USG6000V1-GigabitEthernet0/0/0]service-manage https permit 	'//允许HTTPS服务'
    [USG6000V1]aaa
    [USG6000V1-aaa]		
    [USG6000V1-aaa]manager-user demo.
    [USG6000V1-aaa-manager-user-demo]service-type web	'//服务类型改为web'
    

    华为防火墙基础理论与连接的四种方式_第16张图片

2.5.3:使用ssh方式连接
  • [USG6000V1]user-interface vty 0 4	'//进入用户界面视图'
    [USG6000V1-ui-vty0-4]protocol inbound ssh	'//入方向ssh协议'
    [USG6000V1-ui-vty0-4]q
    USG6000V1]int g0/0/0
    [USG6000V1-GigabitEthernet0/0/0]service-manage ssh permit 	'//ssh流量放通'
    [USG6000V1-GigabitEthernet0/0/0]q
    [FW]rsa local-key-pair create 		'//生成ssh密钥对'
    [USG6000V1] aaa	
    [USG6000V1-aaa]manager-user demo
    [USG6000V1-aaa-manager-user-demo]service-type ssh	'//更改服务类型为ssh'
    [USG6000V1-aaa]q
    [USG6000V1]stelnet server enable 	'//系统模式下开启ssh服务'
    

    华为防火墙基础理论与连接的四种方式_第17张图片

    华为防火墙基础理论与连接的四种方式_第18张图片

    华为防火墙基础理论与连接的四种方式_第19张图片

    华为防火墙基础理论与连接的四种方式_第20张图片

    华为防火墙基础理论与连接的四种方式_第21张图片

四:选择连接方式的步骤总结

  • 1.进入接口,开启管理服务,设置允许的服务,Telnet或者ssh或者HTTP/HTTPS

  • 2.系统视图开启ssh(stelnet)服务或者Telnet服务,如果是ssh还要生成rsa密钥对

  • 3.进入防火墙区域,将接口添加到区域,例如trust区域

  • 4.进入安全策略配置:security-policy,为设置的规则取名,然后设置规则,源区域,目标区域,动作允许或拒绝

  • 5.进入用户视图模式,选择aaa认证模式,允许Telnet或者ssh连接虚拟终端

  • 6.进入aaa模式,设置管理用户名,密码,设置服务类型telnet/ssh/web,用户权限

你可能感兴趣的:(华为网络原理与应用,huawei,华为防火墙,连接华为防火墙的四种方式,华为防火墙理论,Telnet连接华为防火墙)