深信服ngaf典型部署案例與上架問題參考手冊(編輯修改稿)
2025-05-14 05:30 本頁面
【文章內(nèi)容簡介】 客戶端，且有一部分是使用DKEY認(rèn)證，先在AF把這些用戶建立，如下圖：外網(wǎng)接口配置，配置VPN用到的外網(wǎng)接口，如下圖：連接管理，建立與太原鐵路醫(yī)保的VPN接連，如下圖：（14）上架測試完成上以配置后，把客戶的網(wǎng)絡(luò)按實施前確定的拓?fù)鋱D把路線接好，測試均可達(dá)到客戶預(yù)期效果。設(shè)備實時運行狀態(tài):二、 網(wǎng)橋模式部署by孫陽華【網(wǎng)絡(luò)現(xiàn)狀】客戶處有一臺Web服務(wù)器位于內(nèi)網(wǎng)，對公網(wǎng)提供服務(wù)【客戶需求】使用SANGFORNGAF防火墻對該服務(wù)器進(jìn)行來自公網(wǎng)的安全防護(hù)(DOS攻擊、XSS攻擊、SQL注入攻擊、文件上傳攻擊等)。根據(jù)客戶的實際需求，結(jié)合現(xiàn)有的網(wǎng)絡(luò)架構(gòu)；選擇網(wǎng)橋模式進(jìn)行部署。網(wǎng)橋部署的好處就是不需要改變客戶原有的網(wǎng)絡(luò)設(shè)備配置?！驹O(shè)備配置】（1）登錄設(shè)備Web控制臺登錄方法： (MANAGE口地址) [用戶名：admin 密碼：sangfor]注：AF設(shè)備默認(rèn)只有MANAGE口有IP地址提供登錄。（2）基本網(wǎng)絡(luò)連通性配置相關(guān)解釋：路由：三層接口，可以配置IP地址。透明：二層接口，不可以配置IP地址；屬于交換口(switchport)，可以配置VLAN (access)屬性，或Trunk屬性，且必須要有其中一種屬性。為什么？和二層可網(wǎng)管交換機(jī)原理一樣。虛擬網(wǎng)線：必須成對網(wǎng)口配置形成一條“有進(jìn)有出”的通道，數(shù)據(jù)轉(zhuǎn)發(fā)層面不需要執(zhí)行MAC查找。子接口：在三層接口上創(chuàng)建，必須屬于某個VLAN。(單臂路由就是使用的路由器子接口進(jìn)行VLAN數(shù)據(jù)收發(fā))VLAN接口：邏輯三層接口，必須屬于某個VLAN；用于對該VLAN數(shù)據(jù)進(jìn)行收發(fā)處理?？勺鼍W(wǎng)管用。配置接口：根據(jù)實際使用的設(shè)備接口進(jìn)行配置。(WAN口和LAN口的配置方法相同)類型：透明 連接類型：Access，然后下面選擇該接口屬于那個VLAN?；緦傩裕篧AN 主要用于流控和策略路由等對數(shù)據(jù)流方向進(jìn)行識別匹配。(非必選項)VLAN接口配置：這個配置主要是用作對設(shè)備的管理。因為網(wǎng)橋的兩個接口都屬于VLAN1，那么網(wǎng)口收發(fā)的數(shù)據(jù)都會經(jīng)過邏輯接口VLAN1。如果設(shè)備收到的數(shù)據(jù)包目的IP為該VLAN1的IP，則VLAN1會將數(shù)據(jù)交給上層設(shè)備管理模塊進(jìn)行處理。注意這里配置的下一跳網(wǎng)關(guān)只是作為鏈接檢測使用，不會生成路由條目到路由表。默認(rèn)網(wǎng)關(guān)需要在：網(wǎng)絡(luò)配置路由靜態(tài)路由里配置。(沒有截圖)注：邏輯接口中可以看到添加的VLAN接口信息：配置區(qū)域：將在后續(xù)的配置中引用該區(qū)域。(DoS/DDoS防護(hù)、)區(qū)域就是傳統(tǒng)防火墻中的定義的“信任區(qū)域”、“非信任區(qū)域”的概念。區(qū)域的定義提供給防火墻哪些區(qū)域是需要采取相應(yīng)的保護(hù)策略，在NGAF中有相當(dāng)多的配置點需要引用到區(qū)域。將相同物理區(qū)域的接口放到相同的區(qū)域，比如有兩個WAN口，則可以將這兩個網(wǎng)口放到相同的區(qū)域。區(qū)域類型的理解請結(jié)合前面對網(wǎng)口的解釋理解；只有在網(wǎng)口類型和區(qū)域類型相同時才在列表中顯示。此案例中只用到一個WAN(eth6)口和一個LAN(eth5)口。（3）需要引用的對象配置包括服務(wù)、IP組、時間計劃、URL組等。此案例中只需要配置服務(wù)的IP組，用于后續(xù)的安全配置中引用。（4）配置DoS/DDoS防護(hù)策略在這個策略里面涉及到很多的參數(shù)閥值。正常部署按照默認(rèn)值即可，測試時建議參數(shù)值調(diào)小，效果更明顯。這里選擇的“源區(qū)域”，指的是數(shù)據(jù)是從哪個區(qū)域”流進(jìn)”設(shè)備。在下拉列表中將顯示之前配置的區(qū)域。這里提供一個SYN洪水攻擊防護(hù)的測試時使用的建議值：[丟包閥值設(shè)置小一點，更容易看到效果]（5）配置放通相應(yīng)的數(shù)據(jù)通訊放通內(nèi)網(wǎng)服務(wù)器出去方向的所有服務(wù)或應(yīng)用：(可以根據(jù)實際需要選擇放通那些服務(wù)或者應(yīng)用，案例例中是放通所有服務(wù)器出去的數(shù)據(jù)) [非必須配置，如果內(nèi)網(wǎng)服務(wù)器沒有主動訪問外網(wǎng)的需求，則不需要配置這個策略；NGAF會自動生成相應(yīng)的連接狀態(tài)表用于對數(shù)據(jù)的反向匹配控制]放通進(jìn)來的服務(wù)或應(yīng)用：(本例中是只放通了HTTP應(yīng)用) SANGFORNGAF中，放通外網(wǎng)到內(nèi)網(wǎng)的某些服務(wù)或應(yīng)用就是在此進(jìn)行配置。如果是服務(wù)(協(xié)議:端口)，需要在對象定義中先配置。（6）配置WEB應(yīng)用防護(hù) 針對內(nèi)網(wǎng)服務(wù)器安全防護(hù)的配置。（7）測試效果略覽在實際測試中，因為測試環(huán)境和使用的工具不同可能效果不一樣。但是如果完全沒有效果的話，請仔細(xì)檢查配置、攻擊的數(shù)據(jù)是否達(dá)到設(shè)備網(wǎng)口(通過tcpdum條件性抓包可以判斷)等來檢查。SQL注入攻擊和XSS攻擊防護(hù)效果：DOS攻擊防護(hù)效果：（7）結(jié)束本案例是實際的客戶網(wǎng)絡(luò)環(huán)境中進(jìn)行測試時的配置；主要配置均已通過截圖說明，但是并沒有配置SANGFORNGAF所能提供的所有功能。其他功能的配置在本案例中不涉及，請參照其他指導(dǎo)資料。三、 功能測試案例by黃翔【網(wǎng)絡(luò)現(xiàn)狀】國家核電目前在網(wǎng)絡(luò)安全建設(shè)方面缺乏相應(yīng)的安全設(shè)備，現(xiàn)在一個新管理員到崗后想采購一臺IPS設(shè)備，增強(qiáng)企業(yè)網(wǎng)絡(luò)安全性。此次測試AF的IPS與服務(wù)器防護(hù)功能，設(shè)備直接部署在內(nèi)網(wǎng)DMZ服務(wù)器區(qū)，除了我們還有綠盟，啟明星辰兩個廠家，但是他們兩個廠家都是推單純的IPS設(shè)備，所以我們要在WEB服務(wù)器防護(hù)方面要突出優(yōu)勢。【基本配置】網(wǎng)絡(luò)配置，eth1和eth2為網(wǎng)橋，配置vlan1接口為網(wǎng)橋管理ip。應(yīng)用控制放通雙向【測試過程】IPS的測試由于客戶害怕誤判對網(wǎng)絡(luò)產(chǎn)生影響，所以要求設(shè)備只做審計策略然戶掛上去先跑幾天：拒絕意思就是說匹配IPS規(guī)則庫里面
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號-1