登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

06-典型配置举例

目录

21-Inline黑洞转发典型配置举例

本章节下载： 21-Inline黑洞转发典型配置举例  (247.53 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_RQFY_WCG(V7)-6W202/06/202108/1452201_30005_0.htm

21-Inline黑洞转发典型配置举例

Inline黑洞转发典型配置举例

简介

 

本文档介绍Inline黑洞转发的典型配置举例。

Inline转发是在数据链路层对流量进行安全监控的一种技术。二层网络流量被引流到设备上后，由设备过滤后再进行转发。设备支持的Inline转发模式包括：反射模式Bridge转发、透传模式Bridge转发和黑洞模式Bridge转发。

黑洞模式Bridge转发中，Device与交换机通过一个物理接口通信，即Device对报文的收发均为一个接口。

 

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解Inline黑洞转发特性。

 

本功能的支持情况与设备型号有关，请以设备实际情况为准。

组网需求

如图-1所示，Device旁挂在网络出口设备Switch上，Switch将流量镜像到Device上进行安全业务的处理，Device对报文的收发均为一个接口。现需配置Inline黑洞转发功能，使Device对收到的报文处理后直接丢弃，并对Switch上接收的流量进行入侵防御检测。

图-1 Inline黑洞转发配置组网图

 

使用版本

本举例是在T1030的R8514版本上进行配置和验证的。

配置思路

Switch上需要配置的内容：镜像功能，将接收到的流量镜像到Device上进行安全业务的处理。

Device上需要配置的内容：

·     配置Inline黑洞转发功能。

·     配置安全业务（本举例中以入侵防御功能为例）。

配置步骤

配置Switch

1.     配置接口和Vlan

# 创建VLAN。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] quit

# 配置接口GigabitEthernet1/0/1为二层转发口，并允许VLAN 2通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/3] port link-mode bridge

[Switch-GigabitEthernet1/0/3] port access vlan 2

[Switch-GigabitEthernet1/0/3] quit

# 配置与Device相连的GigabitEthernet1/0/2为二层接口，并允许VLAN 2通过。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/1] port link-mode bridge

[Switch-GigabitEthernet1/0/1] port access vlan 2

# 配置GigabitEthernet1/0/3为二层转发口，并允许VLAN 2通过。

[Switch] interface gigabitethernet 1/0/3

[Switch-GigabitEthernet1/0/3] port link-mode bridge

[Switch-GigabitEthernet1/0/3] port access vlan 2

[Switch-GigabitEthernet1/0/3] quit

2.     配置镜像组和源目的镜像口

# 配置本地镜像组1。

[Switch] mirroring-group 1 local

# 配置接口GigabitEthernet1/0/1为镜像组1的源端口，对收发的报文都进行镜像。

[Switch-GigabitEthernet1/0/1] mirroring-group 1 mirroring-port both

[Switch-GigabitEthernet1/0/1] quit

# 配置接口GabitEthernet1/0/2为镜像组1的监控端口。

[Switch-GigabitEthernet1/0/2] mirroring-group 1 monitor-port

[Switch-GigabitEthernet1/0/2] quit

配置Device

1.     创建VLAN

# 选择“网络 > 链路 > VLAN”，进入VLAN配置页面。

# 单击<新建>按钮，进入新建VLAN页面。配置VLAN列表为2。

2.     配置接口工作在二层模式并加入VLAN

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，进入修改接口设置页面，配置如下。

·     工作模式：二层模式。

·     链路类型：Access。

·     PVID：2

·     其他配置项保持默认情况即可。

3.     创建inline安全域，并将接口GE1/0/1加入该安全域

# 选择“网络 > 安全域”，进入安全域配置页面。

# 单击<新建>按钮，进入新建安全域页面。新建名称为inline的安全域。

# 在二层成员列表中选择GE1/0/1，单击右侧的<添加>按钮，在弹出的“请输入VLAN”窗口中，输入GE1/0/1所属的Vlan 2。

# 单击<确定>按钮，完成安全域成员的添加。

# 单击<确定>按钮，完成安全域的配置。

4.     创建黑洞模式接口对，并添加成员接口

# 选择“网络 > 接口 > 接口对“，进入接口对页面。

# 单击<新建>按钮，进入新建接口对页面。配置如下：

·     工作模式：黑洞。

·     在成员接口一中添加GE1/0/1。

·     其他配置项保持默认情况即可。

图-2 新建接口对

 

# 单击<确定>，完成接口对的配置。

5.     创建源安全域inline到目的安全域inline的安全策略，并引用缺省的default入侵防御配置文件

# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，进入新建安全策略页面。具体配置如下。

·     名称：inline

·     源安全域：inline

·     目的安全域：inline

·     动作：允许

·     内容安全中引用IPS策略：default

·     其他配置项保持缺省情况即可。

# 单击<确定>按钮，完成配置。

验证配置

以上配置完成后，Device将对网络中已知攻击类型的网络攻击进行检测。用户可通过“监控 > 安全日志 > 威胁日志”中查看日志。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们