热门标签
热门文章
- 1fatal: unable to access ‘xxxxx‘: Failed to connect to github.com port 443 after 21134 ms: Timed out
- 2数画-AI绘画-免费的人工智能AI绘画网站_ai人工智能绘画网址
- 3给大家一些建议，2024 要多路开花，前端已死（衰弱）不只是说说而已_现在web前端面临失业
- 4elasticsearch重置密码
- 510-17日（第七周周三）上课简记：选择结构_什么是双图灵分支
- 6HDFS中删除文件、文件夹_hdfs 删除文件夹
- 7NLP-自然语言处理_自然语言处理nlp文本分析
- 8JTAG、边界扫描、双核处理器JTAG处理及JTAG菊花链电路设计
- 9【机器学习】FFmpeg+Whisper：二阶段法视频理解（video-to-text）大模型实战
- 10Unity3D MMORPG中玩家经验与等级系统的技术详解与代码实现
当前位置: article > 正文
防火墙在企业园区出口安全方案中的应用(ENSP实现)_基于ensp的大型企业双路由出口与双防火墙,以及两台三层交换机作为汇聚接入设备的(1)_ensp出口设计
作者：酷酷是懒虫 | 2024-07-01 02:56:17
赞
踩
ensp出口设计
| 部门 / 设备 / 用户 | IP段 | 网关 | Vlan |
|---|---|---|---|
| Market | 10.1.11.0/24~10.1.15.0/24 | 网段内首个可用地址（VRRP） | 11~15 |
| Procure | 10.1.21.0/24~10.1.25.0/24 | 网段内首个可用地址（VRRP） | 21~25 |
| Finance | 10.1.31.0/24~10.1.35.0/24 | 网段内首个可用地址（VRRP） | 31~35 |
| HR | 10.1.41.0/24~10.1.45.0/24 | 网段内首个可用地址（VRRP） | 41~45 |
| Wireless_Public | 10.1.51.0/24~10.1.55.0/24 | 网段内首个可用地址（VRRP） | 51~55 |
| Services | 10.1.60.0/24 | 网段内首个可用地址（VRRP） | 60 |
| Wireless_Guest | 10.1.101.0/24~10.1.105.0/24 | 网段内首个可用地址（VRRP） | 101~105 |
| AC | 10.1.203.0/24 | 网段内首个可用地址（VRRP） | 203 |
| AGG1_to_Core | 10.1.204.0/24 | 网段内首个可用地址（VRRP） | 204 |
| AGG2_to_Core | 10.1.205.0/24 | 网段内首个可用地址（VRRP） | 205 |
| L2tp over IPSec user | 1010.1.2~10.10.1.100/24 | 10.10.1.1（FW_A&B_Virtual-Template 1） | – |
| Export | 1.1.1.0/24、2.2.2.0/24 | 网段内首个可用地址（VRRP） | – |
| 分支机构内网 | 192.168.1.0/24 | 192.168.1.254 | – |
2 VRRP
| 部门 / 用户 | Master | Backup |
|---|---|---|
| Market，Procure，Finance，HR | AGG1 | AGG2 |
| Wireless_Public，Wireless_Guest，AC，Services | Core1 | Core2 |
| Export | FW_A | FW_B |
3 DHCP
| 部门 / 用户 | 网关设备 |
|---|---|
| Market，Procure，Finance，HR | AGG1、AGG2 |
| Wireless_Public，Wireless_Guest | Core1、Core2 |
| L2tp over IPSec user | FW_A&B |
4 MSTP
| Vlan | Stp Instance | Root Device |
|---|---|---|
| 51 to 55，60，101 to 105，203 to 205 | 1 | Core1 |
| 11 to 15，21 to 25，31 to 35，41 to 45 | 2 | AGG1 |
5 防火墙接口与安全区域规划
- 连接ISP1链路的接口GE1/0/1加入区域ISP1。ISP1区域需要新建，优先级设定为15。
- 连接ISP2链路的接口GE1/0/2加入ISP2区域。ISP2区域需要新建，优先级设定为20。
- 用于防火墙双机热备的接口GE1/0/3加入Heart区域。Heart区域需要新建优先级设定为75。
- 连接核心路由器的接口GE1/0/4加入Trust区域。Trust区域是防火墙缺省存在的安全区域，优先级为85。
6 访问限制
- 总部web、FTP服务器为内部以及外部用户提供服务，外部用户需使用8080端口访问web服务器，FTP服务使用默认端口号。
- Finance部门不能访问公司内部服务器，也不能访问Internet
- 总部到分支机构192.168.1.0/24使用IPSec Tunnel访问,并且只允许Market、Procure、HR通过VPN访问分支机构。
- 出差用户可使用L2TP Over IPSec Tunnel访问总部内部10.1.0.0/16。
- 总部无线访客用户不允许访问公司内部服务器。
- 除了Finance部门不能访问Internet外，其他用户都可以访问。
7 NAT规划
| 源地址 | 地址池 |
|---|---|
| 总部、分部内网可访问Internet的网段 | 1.1.1.6 ~ 1.1.1.10、2.2.2.6 ~ 2.2.2.10 |
8 NAT Server
| Source-IP | Source-Port | Global-IP | Global-Port |
|---|---|---|---|
| 10.1.60.100 | 80 | 1.1.1.4（FW_A） | 8080 |
| 10.1.60.101 | 21 | 1.1.1.5（FW_A） | 21 |
| 10.1.60.100 | 80 | 2.2.2.4（FW_B） | 8080 |
| 10.1.60.101 | 21 | 2.2.2.5（FW_B） | 21 |
9 OSPF
| 本端设备 | 对端设备 | 进程号 | 区域 |
|---|---|---|---|
| FW_A、FW_B | Core1、Core2 | 1 | 0 |
| AGG1、AGG2 | Core1、Core2 | 1 | 1 |
配置结果验证
1 AP状态
2 VRRP状态
3 VPN 协商
4 双击热备状态
5 用户IP地址获取
- 无线用户
- 有线用户
- 出差用户
6 防火墙策略
策略部署相对简单，根据部署情况放行相应流量即可，下图为FW_A的策略条目，部署双机热备后会在FW_B上同步，另外还需要配置NAT策略以及NAT服务器地址映射，这里不再赘述。
访问验证
1 To_Internet
1.1 Wireless_User
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！
王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。
对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！
【完整版领取方式在文末！！】
93道网络安全面试题
内容实在太多，不一一截图了
黑客学习资源推荐
最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/酷酷是懒虫/article/detail/774850
推荐阅读
相关标签
Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。
