【文章內(nèi)容簡(jiǎn)介】 nkgroup 4000 35 IPS/ACG插卡配置 配置安全域 配置段和段策略 36 SecBladeIPS/ACG插卡硬件外觀和軟件適配 SecBlade插卡基本概念和工作方式 SecBlade FW+IPS/ACG插卡混插方案 SecBlade FW+IPS+ACG插卡混插方案 常見問題 37 FW+IPS/ACG插卡三層轉(zhuǎn)發(fā)混插方案 1 I n t e r n e tS 9 5 0 0 E內(nèi) 網(wǎng)S e c B l a d e F WX G E 1 / 0 / 1X G E 2 / 0 / 1G E 0 / 0 / 3 2V L A N 2S e c B l a d e A C GG E 0 / 0 / 1V L A N 1 1 0 內(nèi)網(wǎng)用戶依次經(jīng)過 SecBlade FW和 ACG插卡進(jìn)行流量分析，訪問外網(wǎng) 。 SecBlade FW位于一號(hào)槽位，而 ACG位于二號(hào)槽位。 防火墻上配置兩個(gè)子接口 XGE0/XGE0/。 S9500E上配置 VLAN 9并設(shè)置三層虛接口與防火墻 XGE0/。內(nèi)網(wǎng)的上行流量通過配置默認(rèn)路由，從防火墻的XGE0/，經(jīng)處理后從 XGE0/口出，然后經(jīng) ACG到 Inter。 IPS/ACG插卡在 FW外面 XGE0/ XGE0/ 38 S95E相關(guān)配置 配置防火墻 10GE口 interface TenGigabitEther1/0/1 port linktype trunk port trunk permit VLAN 1 to 4 9 to 10 30 40 50 60 70 配置 S9500E連接內(nèi)網(wǎng)用戶的接口 interface GigabitEther0/0/1 port access VLAN 110 interface VLANinterface110 ip address 配置 S9500E連接 inter的出接口 interface GigabitEther0/0/32 description To_Inter port access VLAN 2 在 S9500E的 VLAN9上配置三層虛接口，用于交換機(jī)與防火墻通信 interface VLANinterface9 description to_FWlink ip address 默認(rèn)路由指向 FW板卡 ip routestatic 39 S95E相關(guān)配置 配置主控板的 mib風(fēng)格為 new。 mibstyle new 使能 ACFP server和 ACSEI server功能。 acfp server enable acsei server enable 配置內(nèi)聯(lián)接口所屬 VLAN interface VLANinterface1000 description To_ACG ip address 40 S95E相關(guān)配置 配置內(nèi)聯(lián)接口 interface TenGigabitEther2/0/1 port linktype trunk port trunk permit vlan all port connectionmode extend macaddress maxmaccount 0 配置 SNMPv3參數(shù)， 41 FW相關(guān)配置 配置防火墻上行流量出口（下行流量入口） interface TenGigabitEther0/ description TOINTERNET vlantype dot1q vid 2 ip address 配置 防火墻上行流量入口（下行流量出口） interface TenGigabitEther0/ description T0S9500Elink vlantype dot1q vid 9 ip address 配置 下行流量路由，將下行流量轉(zhuǎn)發(fā)給 S9500E相應(yīng)出接口 ip routestatic 42 ACG插卡相關(guān)配置 配置 OAA，確認(rèn)連通性測(cè)試成功 43 ACG插卡相關(guān)配置 因?yàn)榱髁渴窍冉?jīng)過防火墻，再到 ACG插卡，所以 ACG的內(nèi)部域接口為防火墻的 10GE口。由于經(jīng)防火墻處理后的流量帶 VLAN2 Tag，因此， ACG內(nèi)部區(qū)域指定 VLAN ID為防火墻出方向的 VLAN ID 2。外部域接口為 S9500E連外網(wǎng)的出口。 44 FW+IPS/ACG插卡三層轉(zhuǎn)發(fā)混插方案 2 Int ern etS 9500 E內(nèi)網(wǎng)Se c Bla d e FWXG E 1 / 0 / 1XG E 2 / 0 / 1GE 7 / 0 / 32VLAN 30Se c Bla d e ACGGE 7 / 0 / 1VLAN 10內(nèi)網(wǎng)用戶依次經(jīng)過 ACG插卡和SecBlade FW進(jìn)行流量統(tǒng)計(jì)分析，訪問外網(wǎng)。 防火墻上配置兩個(gè)子接口，XGE0/ XGE0/。 S9500E上配置 VLAN 20并設(shè)置三層虛接口與防火墻通信。上行流量會(huì)經(jīng) OAA重定向到 ACG，處理后按路由配置從XGE0/，再?gòu)?XGE0/，最后到Inter。 IPS/ACG插卡在 FW里面 XGE0/ XGE0/ 45 S95E相關(guān)配置 配置防火墻的 10GE口 interface TenGigabitEther2/0/1 port linktype trunk port trunk permit VLAN 1 to 4 9 to 10 30 40 50 60 70 配置 S9500E內(nèi)網(wǎng)入接口 interface GigabitEther7/0/1 port access VLAN 10 interface VLANinterface10 ip address S9500E上 VLAN20配置三層虛接口，用于交換機(jī)與防火墻通信 interface VLANinterface20 description to_FWlink ip address ip routestatic 46 ACG插卡相關(guān)配置 因?yàn)榱髁渴窍冉?jīng)過 ACG，再到防火墻。所以 ACG的內(nèi)部域接口為 S9500E連內(nèi)部網(wǎng)絡(luò)的接口，外部域接口為防火墻的 10GE口， VLAN ID為防火墻入方向的VLAN ID 47 FW相關(guān)配置 配置防火墻上行流量入口。 interface TenGigabitEther0/ description TOACG VLANtype dot1q vid 20 ip address 配置防火墻上行流量出口。 interface TenGigabitEther0/ description TOINTERNET VLANtype dot1q vid 30 ip address 配置下行流量路由，將下行流量轉(zhuǎn)發(fā)給 S9500E， OAA會(huì)根據(jù)策略重定向到 ACG插卡繼續(xù)處理。 ip routestatic 48 SecBladeIPS/ACG插卡硬件外觀和軟件適配 SecBlade插卡基本概念和工作方式 SecBlade FW+IPS/ACG插卡混插方案 SecBlade FW+IPS+ACG插卡混插方案 常見問題 49 域應(yīng)用模式 在 IPS/ACG插卡安全區(qū)域配置中，域應(yīng)用模式分為 【 常規(guī) 】 和 【 級(jí)聯(lián) 】 兩種。選擇 【 級(jí)聯(lián) 】 域應(yīng)用模式，可以實(shí)現(xiàn)插卡混插組網(wǎng)下流量級(jí)聯(lián)處理，即實(shí)現(xiàn)業(yè)務(wù)流量依次經(jīng)過 SecBlade IPS和 SecBlade ACG按相應(yīng)段策略進(jìn)行處理。 【 舉例 】 ：如果流量經(jīng)過插卡的順序?yàn)椋?ACGIPS，則 ACG的內(nèi)部域應(yīng)該為常規(guī)模式，外部域?yàn)榧?jí)聯(lián)模式，而 IPS的內(nèi)部域?yàn)榧?jí)聯(lián)模式，外部域?yàn)槌Ｒ?guī)模式。 50 域應(yīng)用模式區(qū)別 ? 常規(guī)模式： （ 1）若安全域中沒有指定 VLAN ID，則精確匹配接口； （ 2）若安全域中指定了 VLAN ID，則精確匹配接口和 VLAN_ID。 ? 級(jí)聯(lián)模式 當(dāng)報(bào)文攜帶的 VLAN_ID為有效值時(shí)，只匹配報(bào)文的 VLAN_ID。 【 注意 】 ： 僅有 S75E系列交換機(jī)支持 IPS/ACG插卡的級(jí)聯(lián)模式。 51 S75E SecBlade FW+IPS+ACG混插組網(wǎng) 用戶網(wǎng)絡(luò)中配置三個(gè)內(nèi)網(wǎng)接口，屬于三個(gè)不同 VLAN，每個(gè)內(nèi)網(wǎng)接口的流量都要重定向到插卡上，上行流量依次經(jīng)過 SecBlade ACG、SecBlade IPS以及 SecBlade FW按配置策略進(jìn)行處理；一個(gè)外網(wǎng)接口，屬于單獨(dú) VLAN。 Slot4 52 S7500E配置 將內(nèi)網(wǎng)用戶接口加入指定 VLAN，并在內(nèi)網(wǎng) VLAN配置三層轉(zhuǎn)發(fā) IP。 interface VLANinterface10 ip address interface GigabitEther8/0/1 port access VLAN 10 訪問外網(wǎng)接口加入 VLAN30。 interface GigabitEther8/0/3 port access VLAN 30 S7500E內(nèi)網(wǎng) VLAN20上配置三層接口 IP，用于連接防火墻子接口 XGE0/。 interface VLANinterface20 ip address 配置路由，實(shí)現(xiàn)流量三層轉(zhuǎn)發(fā)到防火墻。 ip routestatic 53 S7500E OAA配置 mibstyle new acfp server enable acsei server enable switchmode l2enhanced 配置內(nèi)聯(lián)接口所屬 VLAN（此 VLAN 100只為 OAA管理用，對(duì)流量轉(zhuǎn)發(fā)不起作用） interface VLANinterface100 ip address 配置內(nèi)聯(lián)接口 interface TenGigabitEther3/0/1 port linktype trunk port trunk permit VLAN all port trunk pvid VLAN 100 port connect