07-FIREWALL之地址绑定配置举例
本章节下载 (99.04 KB)
Firewall之地址绑定配置举例
MAC和IP地址绑定,指SecBlade可以根据用户的配置,在特定的IP地址和MAC地址之间形成关联关系。对于声称从这个IP地址发送的报文,如果其MAC地址不是指定关系对中的地址,SecBlade将予以丢弃。发送给这个IP地址的报文,在通过SecBlade时将被强制发送给这个MAC地址,从而形成有效的保护,是避免IP地址假冒攻击的一种方式。
软件版本:S9500-CMW310-R1628版本及以后升级版本(R2126及以上版本不支持)
硬件版本:LSB1FW8DB0、LSB2FW8DB0
Firewall在缺省默认情况下不转发任何报文,需要执行命令firewall packet-filter default permit使其默认转发;
服务器和客户机分别位于防火墙Trust区域和Untrust区域中,客户机的IP地址为50.0.0.1,对应的MAC地址为00e0-fc00-0100,在SecBlade上配置地址绑定关系,保证只有符合上述关系对的报文可以通过防火墙,同时发送给50.0.0.1的报文的目的MAC地址将为00e0-fc00-0100。
图4-1 Firewall之地址绑定组网图
# 添加内网VLAN 10,外网VLAN 50,SecBlade互连VLAN 30。
[S9500] vlan 10
[S9500-vlan10] port E2/1/2
[S9500] vlan 50
[S9500-vlan50] port E3/1/1
[S9500] vlan 30
# 为内网VLAN,服务器所在VLAN以及SecBlade互连VLAN配置地址。
[S9500] interface vlan-interface 10
[S9500-Vlan-interface10] ip address 10.0.0.1 24
[S9500] interface vlan-interface 30
[S9500-Vlan-interface30] ip address 30.0.0.1 24
# 配置路由,外网报文下一跳为SecBlade防火墙。
[S9500] ip route-static 0.0.0.0 0 30.0.0.254
# 配置SecBlade模块,设置外网VLAN为安全VLAN,进入SecBlade视图(缺省用户名和密码为SecBlade,区分大小写)。
[S9500] secblade module test
[S9500-secblade-test] secblade-interface vlan-interface 30
[S9500-secblade-test] security-vlan 50
[S9500-secblade-test] map to slot 4
<S9500> secblade slot 4
user:SecBlade
password:SecBlade
<SecBlade_FW> system
# 进入SecBlade视图,配置子接口,并且把子接口加入相应的区域。
[SecBlade_FW] interface GigabitEthernet 0/0.50
[SecBlade_FW -GigabitEthernet0/0.50] vlan-type dot1q vid 50
[SecBlade_FW -GigabitEthernet0/0.50] ip address 50.0.0.254 24
[SecBlade_FW] interface g0/0.30
[SecBlade_FW -GigabitEthernet0/0.30] vlan-type dot1q vid 30
[SecBlade_FW -GigabitEthernet0/0.30] ip address 30.0.0.254 24
[SecBlade_FW] firewall zone trust
[SecBlade_FW -zone-trust] add interface GigabitEthernet 0/0.30
[SecBlade_FW] firewall zone untrust
[SecBlade_FW -zone-untrust] add interface GigabitEthernet 0/0.50
# 配置路由,内网报文下一跳为S9500。
[SecBlade_FW] ip route-static 10.0.0.0 24 30.0.0.1
# SecBlade视图下配置地址绑定,配置客户机IP地址和MAC地址到地址绑定关系中。
[SecBlade_FW] firewall mac-binding 50.0.0.1 00e0-fc00-0100
[SecBlade_FW] firewall mac-binding enable
#
vlan 10
#
vlan 50
#
vlan 30
#
interface vlan-interface 10
ip address 10.0.0.1 24
#
interface vlan-interface 30
ip address 30.0.0.1 24
#
interface Ethernet2/1/2
port access vlan 10
#
interface Ethernet3/1/1
port access vlan 50
#
ip route-static 0.0.0.0 0 30.0.0.254 preference 60
#
secblade module test
secblade-interface vlan-interface 30
security-vlan 50
map to slot 4
# 进入SecBlade视图(缺省用户名和密码为SecBlade,区分大小写)。
secblade slot 4
user:SecBlade
password:SecBlade
system
# 配置子接口以及区域。
interface GigabitEthernet 0/0.50
vlan-type dot1q vid 50
ip address 50.0.0.254 24
quit
interface g0/0.30
vlan-type dot1q vid 30
ip address 30.0.0.254 24
quit
firewall zone trust
add interface GigabitEthernet 0/0.30
quit
firewall zone untrust
add interface GigabitEthernet 0/0.50
quit
# 配置路由。
ip route-static 10.0.0.0 24 30.0.0.1
# 配置客户机IP地址和MAC地址到地址绑定关系中。
firewall mac-binding 50.0.0.1 00e0-fc00-0100
# 使能地址绑定功能。
firewall mac-binding enable
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!