防火墙实施方案.pptVIP

目录 一、环境 二、实施方案 三、注意事项 四、FAQ 环境 一、环境 1、典型拓扑 环境 环境 一、环境 1、典型拓扑 2、环境确认 环境 2、拓扑的确认 1、交换机对相关Vlan没有启用三层功能。 2、相关各Vlan内的主机网关指向路由器的各子接口IP。 3、交换机与路由器连接的接口为trunk接口。 4、由路由器进行各Vlan间的路由。 5、有可能路由器对Vlan间的互访问有控制列表，需要确认。 2.1、如果用户的交换机启用了三层，进行VLAN间转发。交换机与路由器相连的是普通VLAN口，则实施部署配置更为简单。 实施方案 二、实施方案 1、透明接入 1.1、拓扑 实施方案 实施方案 二、实施方案 1、透明接入 1.1、拓扑 1.2、配置要点 实施方案 1.2、配置要点 防火墙的两个接口配置为混合模式（图中为FE2+FE3）。 在两个混合模式的接口上，启用TRUNK功能，并且设置允许Vlan ID为1和2通过。 防火墙的FE1口配置某一VLAN网段IP、接入交换机该VLAN接口。 配置 安全规则允许VLAN1网段能够访问VLAN2网段,但VLAN2网段不能主动访问VLAN1网段.且能两个Vlan网段都能同时访问外网（一般为包过滤类） 可选 {fe2+fe3口可配置纯透明桥，并且启用纯透明桥监控} *注1：纯透明桥与透明桥监控。 实施方案 二、实施方案 1、透明接入 1.1、拓扑 1.2、配置要点 1.3、方案特点 优点：不需改动周边环境。 缺点：为整体环境添加一个排错点。 实施方案 二、实施方案 1、透明接入 1.1、拓扑 1.2、配置要点 1.3、方案特点 2、路由模式 2.1、拓扑 实施方案 实施方案 二、实施方案 1、透明接入 1.1、拓扑 1.2、配置要点 1.3、方案特点 2、路由模式 2.1、拓扑 2.2、配置要点 实施方案 实施方案 二、实施方案 1、透明接入 1.1、拓扑 1.2、配置要点 1.3、方案特点 2、路由模式 2.1、拓扑 2.2、方案特点 优点：整体环境简单，维护方便。 缺点：对环境改动大，配置复杂。 注意事项 三、注意事项 1、无论那种方案，一定要确认交换机上总共有多少个Vlan。 2、确认Vlan间的互访关系。 3、第二种方案、路由器上的配置要确认清楚，包括但不限于 IP、路由、访问控制、带宽限制、是否有VPN接入。 FAQ FAQ 您的建议是我们宝贵的财富！ 防火墙实施方案 1 单臂路由出口（trunk与Vlan） 网御神州科技（北京）有限公司 客服中心 2009-3 fwp001 2.2、配置要点 防火墙FE2（外口）与FE3（内口）全部为路由模式。 防火墙外口配置公网地址。（可参照路由器配置） 设置外网缺省网关。（可参照路由器配置） 防火墙FE3口配置 原路由器子接口0.1和0.2的两个地址。 防火墙FE3口启用允许TRUNK，并且允许VLAN ID 1、2通过。 配置允许VLAN1段访问VLAN2段的包过滤规则。 配置禁止VLAN2段访问VLAN1的包过滤规则。 配置允许内网访问internet的NAT规则。 单臂路由：即在路由器上设置多个逻辑子接口，每个子接口对应于一个VLAN。由于物理路由接口只有一个，各子接口的数据在物理链路上传递要进行标记封装。Cisco设备支持ISL和802.1q协议。华为设备只支持802.1q。 通常这种环境下，交换机都是二层交换机。（不支持启三层进行VLAN间路由） 才会需要采用单臂路由方案实施。