计算机网络之防火墙和Wlan配置

一.防火墙

防火墙(firewall)是一种安全设备,它的位置一般处于企业网络边界与外网交界的地方,用于隔离不信任的数据包

准确点讲,它就是隔离外网和内网的一道屏障,用于保护内部资源信息安全的一种策略

防火墙的工作是基于一切不可信建立起来的,以前有一道判断题," 问的是防止病毒入侵最好的方式是不上网 ",虽然我们都知道这是不理性的,不可取的,但是换一种思维,这是不是可以隔绝病毒呢?

答案是肯定的,的确可以做到,所以我们的防火墙就沿用了这一点,它不信任任何数据包,来了之后就直接丢弃,如果想要经过防火墙,我们必须要完善它的策略

这个策略决定了防火墙是否允许,或者说允许那些数据包经过,这个策略我们需要描述的就是那些数据包可以进出防火墙,描述的单位一般是,地址段、地址、端口号等

由于防火墙的默认策略是【拒绝所有】,所以没有配置允许的数据包,都会丢弃掉,这使得防火墙对于未知的攻击性数据包有很好的抵御功能,因为内部网络根本收不到这类数据包,怎么会被入侵呢

防火墙的四个区域:local,trust,untrust,dmz

local区域指的是防火墙的本地,也是可信任度最高的一个区域,也就是和防火墙直连的接口,在初始的防火墙设备中,它们是默认丢弃数据包的,在抓取数据包的时候,我们会发现,数据包到了本地接口,但是防火墙没有回应

trust区域指的是安全的,可信任的;它的可信任度仅次于本地,一般装载的都是一些内部资源数据用户,比如企业内部和公司内部,一般这个区域的用户可以有权去外部网络,但是外部网络是进不来的

dmz区域是指非军事化区,它的可信度低于trust,主要存放的就是可供内网访问的服务资源,并且也提供一部分服务给外网访问,如www服务

untrust指的是不可信任区,也就是外网所在的区域,如果没有策略或特定要求,是不能让这个区域的网络进来的

知道了这四个区域,就来了解下防火墙的配置方面,首先,防火墙也是具有路由功能的,也就是说,它是一个三层设备,所以,可以把它当作出口路由来连接,也可以作为直连路由,不管怎么连,都是需要配置IP地址的

防火墙的配置和不同的路由器又不一样,它是需要让接口进入区域的,也就是上述的那四个区域,在区域内的接口才会生效,默认是不会进入任何区域的,都需要手动加入

二.防火墙的配置(eNSP)

实操目标:

  1. 配置防火墙的四个区域
  2. 允许trust区域访问untrust
  3. 允许trust区域访问dmz
  4. 允许untrust访问dmz的www服务

trust区域对应内网,untrust对应外网,dmz对应服务器区,local就是防火墙自己的接口

在配置防火墙时,需要保证除了local区域,其它区域都是内部可通信的

防火墙的配置:

第一步:由于防火墙是三层设备,所以依旧先给接口配置地址

复制代码
interface GigabitEthernet1/0/0
 ip address 192.168.40.2 255.255.255.0
 service-manage ping permit
interface GigabitEthernet1/0/1
 ip address 202.202.100.1 255.255.255.0
interface GigabitEthernet1/0/2
 ip address 172.16.37.254 255.255.255.0

第二步:让防火墙的各自接口进入自己的区域

复制代码
firewall zone trust
 add interface GigabitEthernet1/0/0
firewall zone untrust
 add interface GigabitEthernet1/0/1
firewall zone dmz
 add interface GigabitEthernet1/0/2

第三步:依旧需要宣告各个网段,但是注意,外网使用rip,内部网络使用ospf

真正的网络构建时,我们也只是考虑内网,外网是不需要我们管的,在出外网时,只需要使用默认路由将数据包丢到外部,实验环境只是保证untrust是通的才使用rip宣告

复制代码
ospf 1
 default-route-advertise always
 area 0.0.0.0
  network 172.16.37.0 0.0.0.255
  network 192.168.40.0 0.0.0.255
rip 1
 default-route originate
 network 202.202.100.0

第四步:制定策略

  • 允许trust访问untrust区域
复制代码
 rule name 1
  source-zone trust
  destination-zone untrust
  action permit
  • 允许trust访问dmz区域
复制代码
 rule name 2
  source-zone trust
  destination-zone dmz
  action permit
  • 允许untrust访问dmz区域的www服务
复制代码
 rule name 3
  source-zone untrust
  destination-zone dmz
  service http
  action permit

第五步:优化三个网络的访问部分

  • 内网去外网需要将私有地址转为公有地址
复制代码
nat-policy
 rule name nat1
  source-zone trust
  destination-zone untrust
  action source-nat easy-ip
  • www服务映射到防火墙的出口地址,避免外网数据进入到dmz区域
复制代码
 nat server 1 protocol tcp global 202.202.100.1 www inside 172.16.37.1 www

三.抓包分析

  • 首先看看防火墙的默认配置,也就是不加策略

如上图:

在不加策略的情况下,防火墙是可以收到数据包的,但是它会直接丢弃掉,不会回应

这就是防火墙的默认拒绝所用报文,以防范未知危险

  • 允许trust区域访问untrust
  • 允许untrust访问dmz的www服务

四.wlan

WLAN是Wireless Local Area Networks的缩写,即无线局域网。它利用无线通信技术在一定的局部范围内建立的网络,其范围通常在几十米到几公里以内

配置无线wlan的模式有两种,一种是胖AP,一种是AC+瘦AP

胖AP,即信号发射器自己即需要发射无线信号,还需要实现主机IP地址分配和相关信息配置

AC+瘦AP,即AC负责AP的配置和主机地址分配,AP负责从AC拿取已经配置好的模板,并且发射无线信号

这里我么使用的是AC+瘦AP模式

配置交换机LSW4:

复制代码
sysname LSW4
vlan batch 100 to 101
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk pvid vlan 100
 port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094

AP不需要配置,模板由AC下发

配置AC:

复制代码
 sysname AC
#配置vlan
vlan batch 100 to 101
interface Vlanif100
 ip address 192.168.100.2 255.255.255.0
#配置接口信息
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
#AP上线
wlan
 traffic-profile name default
 security-profile name default
 security-profile name password
  security wpa psk pass-phrase %^%#&#:^:j;QkREIW'Lx^@;D|cy;2s{;%M2)=#NC/"'V%^%# 
aes
 security-profile name default-wds
 security-profile name default-mesh
 ssid-profile name wlan1
  ssid wlan1
 ssid-profile name default
 vap-profile name model1
  forward-mode tunnel
  service-vlan vlan-id 101
  ssid-profile wlan1
  security-profile password
 vap-profile name default
 wds-profile name default
 mesh-handover-profile name default
 mesh-profile name default
 regulatory-domain-profile name cn1
 regulatory-domain-profile name default
 air-scan-profile name default
 rrm-profile name default
 radio-2g-profile name default
 radio-5g-profile name default
 wids-spoof-profile name default
 wids-profile name default
 wireless-access-specification
 ap-system-profile name default
 port-link-profile name default
 wired-port-profile name default
 serial-profile name preset-enjoyor-toeap 
 ap-group name ap-100
  regulatory-domain-profile cn1
  radio 0
   vap-profile model1 wlan 1
  radio 1
   vap-profile model1 wlan 1
  radio 2
   vap-profile model1 wlan 1
 ap-group name default
 ap-id 0 type-id 69 ap-mac 00e0-fc57-3c20 ap-sn 210235448310DE31A007
  ap-name ap0
  ap-group ap-100
 provision-ap

有关AP上线的部分就是一个模板,下面是AP上线的详解

配置AP上线

1.配置域管理模板,由系统模式进入wlan视图,首先绑定时区,我们在中国,就绑定中国的时区

[AC1]wlan

[AC1-wlan-view]regulatory-domain-profile name domain1

[AC1-wlan-regulate-domain-domain1]country-code CN

2.创建AP组,这是一个AP组用于集中管理一些AP,并且把刚刚的时区给绑定这个组内

[AC1-wlan-view]ap-group name ap-group1

[AC1-wlan-ap-group-ap-group1]regulatory-domain-profile domain1

3.配置AC源接口,配置管理Vlan,只要是这个vlan发送的数据包,都是AP和AC维持稳定的报文

需要在AC的系统模式下配置

[AC1]capwap source interface Vlanif 14

4.配置AP认证

在AC上导入AP,采用默认的mac认证,将AP加入AP组

[AC1]wlan

[AC1-wlan-view]ap auth-mode mac-auth

[AC1-wlan-view]ap-mac 00e0-fcae-2560 ap-id 0

[AC1-wlan-ap-0]ap-group ap-group1

[AC1-wlan-ap-0]ap-name ap0

5.配置WLAN业务

(1)配置安全模板,也就是连接wlan的密码

[AC1-wlan-view]security-profile name employee1

[AC1-wlan-sec-prof-employee1]security wpa psk pass-phrase 12345678 aes

(2)配置SSID模板,配置wlan的名称,连接的时候区分

[AC1-wlan-view]ssid-profile name wlanName

[AC1-wlan-ssid-prof-employee1]ssid wlanName

(3)配置vap模板,将模板都装配在vap上,由AC统一下发到范围内的AP中

[AC1-wlan-view]vap-profile name employee1

[AC1-wlan-vap-prof-employee1]forward-mode tunnel //业务转发模式为隧道模式

[AC1-wlan-vap-prof-employee1]security-profile employee1 //引用安全模板

[AC1-wlan-vap-prof-employee1]service-vlan vlan-id 16 //配置业务vlan,连接无线所在的Vlan

[AC1-wlan-vap-prof-employee1]ssid-profile wlanName //引用ssid模板

(4)配置AP组引用vap模板,ap射频0和1都使用vap模板的配置

进入一个组内,下发vap模板

[AC1-wlan-view]ap-group name ap-group1

[AC1-wlan-ap-group-ap-group1]vap-profile employee1 wlan 1 radio all

radio all:

0:2.4Ghz

1:5Ghz

2:备用5Ghz

all = 0,1,2