深信服下一代防火墙组网介绍及配置

1.     设备支持配置多个WAN属性的路由接口链接多条外网线路，可是须要开通多条线路的受权。
2.     管理口不支持设置成透明接口或虚拟网线接口，若是要设置2对或2对以上的虚拟网线接口，则必需要求设备很多于5个物理接口，预留一个专门的管理口Eth0。
3.      一个路由接口下可添加多个子接口，路由接口的IP地址不能与子接口的IP地址在同网段。

1.3区域

区域：用于定义和归类接口，以供防火墙、内容安全、服务器保护等模块调用。

定义区域时，需根据控制的需求来规划，能够将一个接口划分到一个区域，或将几个相同需求的接口划分到同一个区域。
一个接口只能属于一个区域。

能够在区域中选择接口；也能够预先设置好区域名称，在接口中选择区域。

2.下一代防火墙组网方案

2.1路由模式组网

2.1.1 客户需求

客户需求：现有的拓扑以下图，使用NGAF替换现有防火墙，实现对内网用户和服务器安全防御

2.1.2 准备工做

部署前准备工做：
一、现有设备的接口配置
二、内网网段规划，好写回包路由
三、是否有服务器要映射
四、内网有哪些访问权限
五、进行哪些安全策略配置
六、如今拓扑是否完整

2.1.3 配置思路

一、配置接口地址，并定义接口对应的区域： 
在【网络配置】－【接口/区域】－【物理接口】中，选择接口，并配置接口类型、所属区域、基本属性、IP地址。

二、配置路由： 
 在【网络配置】－【路由】中，新增静态路由，配置默认路由或回程路由。
  
三、配置代理上网： 
 在【防火墙】-【地址转换】中，新增源地址转换。
 
四、配置应用控制策略，放通内网用户上网权限： 
  在【内容安全】-【应用控制策略】中，新增应用控制策略，放通内到外的数据访问权限。
   
五、配置安全防御策略： 如：僵尸网络、IPS、DOS等防御策略。

2.1.4 单臂路由模式

（1）单臂路由概述

单臂路由是指在路由器的一个接口上经过配置子接口（逻辑接口，并不存在真正物理接口）的方式，实现原来相互隔离的不一样VLAN（虚拟局域网）之间的互联互通。

（2）配置思路

一、配置接口地址，并定义接口对应的区域：
在【网络配置】－【接口/区域】－【子接口】中，设置对应子接口，选择 VLAN ID，并配置接口类型、所属区域、基本属性、IP地址。

二、==配置路由： ==
在【网络配置】－【路由】中，新增静态路由，配置默认路由或回程路由。

三、配置代理上网：
在【防火墙】-【地址转换】中，新增源地址转换。

四、配置应用控制策略，放通内网用户上网权限：
在【内容安全】-【应用控制策略】中，新增应用控制策略，放通内到外的数据访问权限。

五、==配置安全防御策略： ==
如：僵尸网络、IPS、DOS等防御策略。

2.1.5 路由模式总结

1.在此组网方式时，防火墙位于内部网络和外部网络之间，负责在内部网络、外部网络中进行路由寻址，至关于路由器。其与内部网络、外部网络相连的上下行业务接口均工做在三层，须要分别配置不一样网段的IP地 址。 
2.此组网方式支持更多的安全特性，如NAT、策略路由选择，动态路由协议（OSPF、BGP、RIP等）等。 
3.须要修改原网络拓扑，对现有环境改动较大。 
4.通常替换出口路由器或老防火墙。

2.2透明模式组网

2.2.1 需求背景

客户需求：部署一台NGAF设备进行安全防御，可是又不改动现有的网络环境

2.2.2 准备工做

一、接口定义 
二、管理地址配置，还须要配置路由 
三、不用配置地址转换 
四、安全控制放通 
五、安全防御策略

2.2.3 配置思路

１、 ==配置接口地址，并定义接口对应的区域： ==
在【网络配置】－【接口/区域】－【物理接口】中，选择接口，并配置接口类型、所属区域、基本属性、IP地址。

二、配置管理接口：
在【网络配置】中，新增管理接口，并分配管理地址。

三、==配置路由： ==
在【网络配置】－【路由】中，新增静态路由，配置默认路由。

四、配置应用控制策略，放通内网用户上网权限：
在【内容安全】-【应用控制策略】中，新增应用控制策略，放通内到外的数据访问权限。

五、配置安全防御策略：
如：僵尸网络、IPS、DOS等防御策略。

2.2.4 虚拟网线部署

透明部署NGAF设备，要求eth1和eth3这对网口，与eth2和eth4这对网口二层隔离，即从eth1口进入的数据必须从eth3口转发，eth2口进入的数据必须从eth4口转发。

透明部署中另一种特殊状况：虚拟网线部署

和透明部署同样，接口也是二层接口，可是被定义成虚拟网线接口。

虚拟网络接口是成对存在的，转发数据时，无需检查MAC表，直接从虚拟网线配对的接口转发。
3.虚拟网线接口的转发性能高于透明接口，单进单出网桥的环境下，推荐使用虚拟网线接口部署。

2.3混合模式组网

2.3.1需求背景

某用户内网有服务器群，服务器均配置公网IP地址，提供全部用户直接经过公网IP地址接入访问。内网用户使用私有地址，经过NAT转换上网。但愿将NGAF设备部署在公网出口的位置，保护服务器群和内网上网数据的安全。

部署方式推荐：使用混合模式部署，NGAF设备链接公网和服务器群的2个接口使用透明access 口，链接内网网段使用路由接口。

2.3.2 混合模式部署拓扑

2.3.3 混合模式部署分析

因为服务器均有公网IP地址，因此NGAF设备链接公网线路的接口eth1与连接服务器群接口eth2使用透明access接口，并设置相同的VLAN ID。便可实现全部用户经过公网IP直接访问到服务器群。

新增VLAN1接口，分配一个公网IP地址，划入区域为外网区域。

AF设备与内网相连的接口eth3使用路由接口，设置与内网交换机同网段的IP 地址，并设置静态路由与内网通讯。

内网用户上网时，转换源IP地址为VLAN1接口的IP地址。根据需求，划分为一个二层区域选择网口eth1和eth2；划分两个三层区域，其中“外网区域 ”选择VLAN接口vlan1；“内网区域”选择接口eth3。

2.3.4 混合模式部署

配置截图:

设置物理接口eth一、eth2和eth3：

2.设置VLAN接口：

2.4 旁路模式组网

2.4.1 需求背景
使用NGAF来实现内网防御和对内网防御数据进行分析，可是不能改动已有的环境

2.4.2 配置思路

一、配置镜像接口，定义接口对应的区域，并配置流量监听网络对象：
在【网络配置】－【接口/区域】－【物理接口】中，选择接口，并配置接口类型、所属区域、旁路流量统计网络对象。
二、配置管理接口：
在【网络配置】－【接口区域】－【物理接口】中，选择接口。
三、启用旁路reset功能：
在【系统】-【系统配置】-【网络参数】中，勾选【旁路reset】。
四、配置安全防御策略：
如：僵尸网络、IPS、DOS等防御策略

2.4.3 旁路模式（流量统计）

2.4.4 总结

设备旁挂在现有的网络设备上，不影响现有的网络结构，经过端口镜像技术把流量镜像到下一代防火墙，实现对数据的分析和处理。
➢ 须要另外设置接口才能对设备进行管理。
➢ 启用管理口reset功能。

➢ 旁路部署支持的功能仅有：
⚫ APT（僵尸网络）
⚫ PVS（实时漏洞分析）
⚫ WAF（web应用防御）
⚫ IPS（入侵防御系统）
⚫ DLP（数据泄密防御）
⚫ 网站防篡改部分功能（客户端保护）

3.策略路由解决方案

3.1需求背景

网络环境以下图，公网出口两条线路：电信线路和专线

客户需求：
一、内网用户访问教育网资源必须经过专线才能访问到。
二、内网全部用户访问网上银行TCP 443端口的数据所有走10M电信线路。
三、内网全部P2P应用走10M电信。
四、内网用户访问公网时按照带宽比例自动选择线路。
五、访问教育网的全部资源均走专线。

3.2 策略路由

策略路由是路由中的一种。
静态路由的匹配条件相对较少：匹配目的IP、子网掩码与下一跳网关。
策略路由能够弥补静态路由的不足，匹配条件会灵活不少，根据相应策略来匹配：匹配源、目的、协议、出口在外网多条线路状况下，建议配置策略路由。

策略路由分为：

1.源地址策略路由——可指定内网哪些IP走指定线路出公网
2.多线路负载路由——可指定多条线路进行负载选路

3.3 配置思路

一、接口和区域设置和路由部署一致，但接口要开启链路状态检测。
二、代理上网和应用控制策略配置和路由部署一致。
三、策略路由配置：在【系统管理】-【网络配置】-【路由设置】-【策略路由】中，
3.一、添加源地址策略路由，来自于“内网区域”，目标ISP为教育网，目标端口为TCP 443的数据，填写下一跳地址为192.168.1.2。
3.二、添加源地址策略路由，来自于“内网区域”，目标IP选择所有，目标端口为TCP443的数据，选择接口eth2。
3.三、添加源地址策略路由，来自于“内网区域”，目标ISP为教育网，填写下一跳地址为192.168.1.2。
3.四、添加源地址策略路由，来自于“内网区域”，属于P2P应用的选择接口eth2。
3.五、添加多线路负载路由，来自于“内网区域”，目标IP选择所有，选择接口eth1和eth2，接口选择策略为带宽比例。

3.4 总结

注意事项： 
1. 路由优先级：VPN路由>静态路由>策略路由>默认路由。 
2. 每一条外网线路必须至少有一条策略路由与之对应，源地址策略路由或多线路负载路由都可。 
3.源地址策略路由，经过直接填写路由的下一跳，能够实现从设备非WAN属性的接口转发数据。 
4. 多线路负载路由选择的接口，必须开启链路故障检测功能，才能实现线路故障自动切换。 
5. 多条策略路由，按照从上往下的顺序匹配，一旦匹配到某条策略路由后，再也不往下匹配。

深信服下一代防火墙组网介绍及配置

下一代防火墙目录

1.下一代防火墙组网简介

1.1部署模式简介

1.2 NGAF接口类型

1.2.1根据接口属性分类

（1）物理接口

a 路由口

b 透明口

c虚拟网线口

（2）子接口

（3）VLAN接口

（4）聚合接口

1.2.3 接口设置注意事项