HC120310003 HCNP-Security-CISN 第三章 虚拟防火墙技术V1.0.pptxVIP

本页不打印修订记录课程编码适用产品产品版本课程版本ISSUEXXXXXXXXXXXXXXXXX开发/优化者时间审核人开发类型（新开发/优化）XXXXXXXXXXXXXX第三章虚拟防火墙技术目标学完本课程后，您将能够:理解虚拟防火墙的技术原理掌握虚拟防火墙配置方法熟悉虚拟防火墙技术应用目录虚拟防火墙技术介绍虚拟防火墙技术原理虚拟防火墙应用分析企业网络安全面临的问题安全防护细化安全业务隔离业务应用多样安全投资维护越来越多的防火墙等安全设备布署，造成投资不断加大设备维护压力越来越大，负担越来越重单纯的物理网络隔离已经无法适应网络结构的复杂化和业务应用的多样化要求网络环境日渐复杂，安全防护的要求越来越细化。网络中业务应用越来越多，为保障业务数据安全，急需实现业务间的安全隔离。MailServerIDC机房防火墙FTPServerWebServerIDC发展面临的挑战互联网规模呈级数增长，越来越多的应用服务器通过IDC托管，IDC的设备维护压力越来越大；互联网安全事件呈不断上升趋势，IDC为保障托管服务器安全不断加大投入；传统的防火墙安全防护方式已经逐渐不能适应业务发展的需要。虚拟防火墙技术在IDC的优势资源独立分配实现业务隔离节约硬件投资降低运营成本提升防护能力减少安全事件简化运维工作降低运维难度+++VFW1MailServerVFW2VFW3FTPServer一台防火墙WebServerIDC机房Internet虚拟防火墙技术应用场景一虚拟防火墙出租业务虚拟防火墙技术为数据中心提供虚拟防火墙租售服务，其中虚拟防火墙实例VFW-1租给企业A，虚拟防火墙实例VFW-2租给企业B，企业A和企业B可以地址重叠，并使用防火墙下挂的交换机的VLAN划分出的不同虚拟局域网。根防火墙RootFW一台物理防火墙虚防火墙VirtualFWDMZTrustTrustDMZVFW-1VFW-2UnTrustUnTrust虚拟防火墙技术应用场景二VPN多实例业务两个VPN的出差用户，在公网通过RootVFW登录到私网的VPN中，并直接访问私网资源。根系统虚拟防火墙系统VPN-1VPN-1的出差员工InternetVPN-2防火墙VPN-2的出差员工RadiusServer独立地保存三份NAT表，可承担不同VPN用户的NAT服务CEVPN-1VPN1用户InternetVPN-2MPLSCORECEPEPE防火墙PECEPE采用不同的VLAN子接口对应不同VPN的方式，防火墙和PE设备连接CECEVPN-3VPN-1VPN-2VPN3用户虚拟防火墙技术应用场景三MPLS网络与IP网络的无缝集成防火墙放置在一个MPLS骨干网络的出口，做为一个MPLSVPN网络统一访问Internet的出口设备。路由器做PE，防火墙做为MCE。目录虚拟防火墙技术介绍虚拟防火墙技术原理虚拟防火墙应用分析虚拟防火墙技术原理虚拟防火墙技术实现经历了两个过程：转发多实例：存在多张路由表、转发表，支持地址重叠，都在同一配置界面上实现，拥有配置权限的用户可以配置和查看所有的数据。转发多实例+配置多实例某一实例下的用户只能查看和配置与自己相关的内容和信息，不能跨VPN查看和修改数据，具有超级用户权限的用户除外。虚拟防火墙技术原理虚拟防火墙都是VPN实例（VPN-Instance）、安全实例和配置实例等的综合体。虚拟防火墙提供如下多实例：VPN多实例安全多实例配置多实例NAT多实例路由多实例虚拟防火墙技术原理虚拟防火墙都是VPN实例（VPN-Instance）、安全实例和配置实例等的综合体。虚拟防火墙提供如下多实例：VPN多实例安全多实例配置多实例NAT多实例路由多实例untrustTrustuntrustTrustDMZVPN2虚拟防火墙技术特点根防火墙（RootFirewall）一台物理防火墙虚拟防火墙（VirtualFirewall）VZONEDMZVPN1每个虚拟防火墙系统可以支持TRUST、UNTRUST、DMZ、local等安全区域，接口灵活划分和分配；虚系统资源独立分配，安全业务独立提供，支持VPN多实例；可以通过一台防火墙为多个VPN用户提供安全服务。目录虚拟防火墙技术介绍虚拟防火墙技术原理虚拟防火墙应用分析3.1 虚拟防火墙配置介绍3.2虚拟防火墙应用分析虚拟防火墙配置步骤配置任务创建虚拟防火墙；分配和创建私有资源，包括接口、ACL、地址池和NAT SERVER；确定跨VFW的数据流的转发方式（可选）；虚拟用户登陆管理虚拟防火墙。路由模式虚拟防火墙配置步骤（1）定义VPN实例创建/删除VPN实例请在系统视图下进行下列配置。#创建VPN实例Ip vpn-instance vpn-instance-name [vpn-id vpn-id]#删除VPN实例Undo ip vpn-i