• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C S9500 产品配置举例-RELEASE1628及以上版本(V1.21)

07-FIREWALL之地址绑定配置举例

本章节下载  (99.04 KB)

docurl=/cn/Service/Document_Software/Document_Center/Switches/Catalog/S9500/S9500/Configure/Typical_Configuration_Example/S9500_1628_Typical_Configuration_Example(V1.21)/200711/318139_30005_0.htm

07-FIREWALL之地址绑定配置举例

目  录

1 特性简介... 1

2 适用版本... 1

3 注意事项... 1

4 配置举例... 1

4.1 组网需求... 1

4.2 组网图... 2

4.3 配置过程... 2

4.4 完整配置... 3


 

Firewall之地址绑定配置举例

1   特性简介

MAC和IP地址绑定,指SecBlade可以根据用户的配置,在特定的IP地址和MAC地址之间形成关联关系。对于声称从这个IP地址发送的报文,如果其MAC地址不是指定关系对中的地址,SecBlade将予以丢弃。发送给这个IP地址的报文,在通过SecBlade时将被强制发送给这个MAC地址,从而形成有效的保护,是避免IP地址假冒攻击的一种方式。

2   适用版本

软件版本:S9500-CMW310-R1628版本及以后升级版本(R2126及以上版本不支持)

硬件版本:LSB1FW8DB0、LSB2FW8DB0

3   注意事项

Firewall在缺省默认情况下不转发任何报文,需要执行命令firewall packet-filter default permit使其默认转发;

4   配置举例

4.1  组网需求

服务器和客户机分别位于防火墙Trust区域和Untrust区域中,客户机的IP地址为50.0.0.1,对应的MAC地址为00e0-fc00-0100,在SecBlade上配置地址绑定关系,保证只有符合上述关系对的报文可以通过防火墙,同时发送给50.0.0.1的报文的目的MAC地址将为00e0-fc00-0100。

4.2  组网图

图4-1 Firewall之地址绑定组网图

4.3  配置过程

# 添加内网VLAN 10,外网VLAN 50,SecBlade互连VLAN 30。

[S9500] vlan 10

[S9500vlan10] port E2/1/2

[S9500] vlan 50

[S9500-vlan50] port E3/1/1

[S9500] vlan 30

# 为内网VLAN,服务器所在VLAN以及SecBlade互连VLAN配置地址。

[S9500] interface vlan-interface 10

[S9500-Vlan-interface10] ip address 10.0.0.1 24

[S9500] interface vlan-interface 30

[S9500-Vlan-interface30] ip address 30.0.0.1 24

# 配置路由,外网报文下一跳为SecBlade防火墙。

[S9500] ip route-static 0.0.0.0 0 30.0.0.254

# 配置SecBlade模块,设置外网VLAN为安全VLAN,进入SecBlade视图(缺省用户名和密码为SecBlade,区分大小写)。

[S9500] secblade module test

[S9500-secblade-test] secblade-interface vlan-interface 30

[S9500-secblade-test] security-vlan 50

[S9500-secblade-test] map to slot 4

<S9500> secblade slot 4

user:SecBlade

password:SecBlade

<SecBlade_FW> system

# 进入SecBlade视图,配置子接口,并且把子接口加入相应的区域。

[SecBlade_FW] interface GigabitEthernet 0/0.50

[SecBlade_FW -GigabitEthernet0/0.50] vlan-type dot1q vid 50

[SecBlade_FW -GigabitEthernet0/0.50] ip address 50.0.0.254 24

[SecBlade_FW] interface g0/0.30

[SecBlade_FW -GigabitEthernet0/0.30] vlan-type dot1q vid 30

[SecBlade_FW -GigabitEthernet0/0.30] ip address 30.0.0.254 24

[SecBlade_FW] firewall zone trust

[SecBlade_FW -zone-trust] add interface GigabitEthernet 0/0.30

[SecBlade_FW] firewall zone untrust

[SecBlade_FW -zone-untrust] add interface GigabitEthernet 0/0.50

# 配置路由,内网报文下一跳为S9500。

[SecBlade_FW] ip route-static 10.0.0.0 24 30.0.0.1

# SecBlade视图下配置地址绑定,配置客户机IP地址和MAC地址到地址绑定关系中。

[SecBlade_FW] firewall mac-binding 50.0.0.1 00e0-fc00-0100

[SecBlade_FW] firewall mac-binding enable

4.4  完整配置

#

vlan 10

#

vlan 50

#

vlan 30

#

interface vlan-interface 10

 ip address 10.0.0.1 24

#

interface vlan-interface 30

 ip address 30.0.0.1 24

#

interface Ethernet2/1/2

 port access vlan 10

#

interface Ethernet3/1/1

 port access vlan 50

#

 ip route-static 0.0.0.0 0 30.0.0.254 preference 60

#

secblade module test

secblade-interface vlan-interface 30

security-vlan 50

map to slot 4

# 进入SecBlade视图(缺省用户名和密码为SecBlade,区分大小写)。

secblade slot 4

user:SecBlade

password:SecBlade

system

# 配置子接口以及区域。

interface GigabitEthernet 0/0.50

vlan-type dot1q vid 50

ip address 50.0.0.254 24

quit

interface g0/0.30

vlan-type dot1q vid 30

ip address 30.0.0.254 24

quit

firewall zone trust

add interface GigabitEthernet 0/0.30

quit

firewall zone untrust

add interface GigabitEthernet 0/0.50

quit

# 配置路由。

ip route-static 10.0.0.0 24 30.0.0.1

# 配置客户机IP地址和MAC地址到地址绑定关系中。

firewall mac-binding 50.0.0.1 00e0-fc00-0100

# 使能地址绑定功能。

firewall mac-binding enable

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们