Netscreen防火墙培训

All Rights Reserved Alcatel-Lucent 2008, # /webmoney Netscreen防火墙培训 ISMP项目组 2008.2 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 了解 防火墙 的基本概念 熟悉 Netscreen ISG1000防火墙产品 能够对 ISG1000防火墙进行规划和配置 学习完本课程，您应该能够： 学习目标 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 内容 防火墙基础知识 Netscreen ISG1000防火墙简介 ISMP平台防火墙的典型组网方式 ISG1000防火墙配置规划 ISG1000防火墙配置步骤 ISG1000防火墙的维护 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 简单的说，防火墙是保护一个网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。防火墙具有如下基本特征： 经过防火墙保护的网络之间的通信必须都经过防火墙。 只有经过各种配置的策略验证过的合法数据包才可以通过防火墙。 防火墙本身必须具有很强的抗攻击、渗透能力。 防火墙可以保护内部网络的安全，可以使受保护的网络避免遭到外部网络的攻 击。 硬件防火墙应该可以支持若干个网络接口，这些接口都是 LAN接口（如 Ethernet、Token Ring、 FDDI），这些接口用来连接几个网络。在这些网络中进行的连接都必须经过硬件防火墙，防火墙来控制这些连接，对连接进行验证、过滤。 连接不受信网络区域 连接受信网络区域 在连接受信网络区域和非受信网络区域之间的区域，一般称为 DMZ。 防火墙的概念 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙的硬件发展过程： 1、一般是直接安装在 PC上的一套软件，基于 PC提供基本的安全防护，此时防火墙基本上就是一个应用软件。代表产品有 CheckPoint公司的防火墙产品。 2、采用 PC硬件结构，基于 linux等开发源代码的操作系统内核，开发了安全防护的一些基本特性构成硬件防火墙产品形态。国内大部分防火墙产品都是采用这种方式开发。从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。代表产品有天融信公司的防火墙产品 3、采用独立设计的硬件结构，在 CPU、电源、风扇、 PCI总线设计、扩展插卡等方面优化结构，保证防火墙产品可以得到最优的处理性能。代表产品有junipher公司的 Netscreen 208产品、 NetScreen 500等防火墙产品。 防火墙的发展历程 All Rights Reserved Alcatel-Lucent 2008, # /webmoney A的报文如何能最快的到 B？ 网络 A如何和网络 B互联互通？过来一个报文立刻转发一个报文。 网络 A 网络 B 交流路由信息 这个访问是否允许到 B？这个 TCP连接是合法连接吗？这个访问是否是一个攻击行为？ 路由器的特点： 保证互联互通。 按照最长匹配算法逐包转发。 路由协议是核心特性。 防火墙的特点： 逻辑子网之间的访问控制，关注边界安全 基于连接的转发特性。 安全防范是防火墙的核心特性。 由于防火墙具有基于连接监控的特性，因此防火墙对业务支持具有非常强的优势。而路由器基于逐包转发的特点，因此路由器设备不适合做非常复杂的业务，复杂的业务对路由器的性能消耗比较大。防火墙支持的接口不如路由器丰富，支持的路由协议不如路由器丰富，因此防火墙不适合做为互联互通的转发设备。防火墙适合做为企业、内部局域网的出口设备，支持高速、安全、丰富的业务特性。 防火墙和路由器的差异 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 按照防火墙实现的方式，一般把防火墙分为如下几类： 包过滤防火墙 (Packet Filtering) 包过滤防火墙简单，但是缺乏灵活性。另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。 代理型防火墙（ application gateway） 代理型防火墙使得防火墙做为一个访问的中间节点，对 Client来说防火墙是一个Server，对 Server来说防火墙是一个 Client。代理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。 状态检测防火墙 状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被 ASPF维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。 现在防火墙的主流产品为状态检测防火墙。 防火墙的分类 All Rights Reserved Alcatel-Lucent 2008, # /webmoney IP包过滤技术 包过滤利用定义的特定规则过滤数据包。 对防火墙需要转发的数据包， 防火墙直接获得其 IP源地址、目的地址、 TCP/ UDP的源端口、目的端口等 包头信息 。 然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制策略 (policy)。 RInternet 公司总部 内部网络 未授权用户 办事处 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 访问控制 policy 一个 IP数据包 如下图所示（图中 IP所承载的上层协议为 TCP）： IP报头 TCP报头 数据 协议号 源地址 目的地址 源端口 目的端口 对于 TCP来说，这 5个元素组成了一个 TCP相关，访问控制列表就是利用这些元素定义的规则 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 用户 A 初始化一个 t e l n e t 会话用户 A 的 t e l n e t 会 话 返 回 报 文 被 允 许其它 t e l n e t 报文被阻塞创建 S e s s i o n 表项 状态防火墙通过检测基于 TCP/UDP连接的连接状态，来动态的决定报文是否可以通过防火墙。在状态防火墙中，会维护着一个 Session表项，通过 Session表项就可以决定哪些连接是合法访问，哪些是非法访问。 状态检测技术 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 状态防火墙包处理流程 报 文 查 找 会 话 表未 找 到命 中查 找 域 间 A C L 规则允 许禁 止N A T 处 理 /查 找 路 由转 发丢 弃创 建 会 话 表根 据 路 由 表 找 出 域进 而 找 到 域 间All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 区域 防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域 Local区 域 Trust区域 DMZ区域 UnTrust区域 接口 1 接口 2 接口 3 接口 4 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙上主要有 4个安全区域： 非受信区（ Untrust）：低级的安全区域 . 非军事化区（ DMZ）：中度级别的安全区域 . 受信区（ Trust）：较高级别的安全区域 . 管理区域（ MGT）：管理区 此外，如认为有必要，用户还可以自行设置新的安全区域并定义其安全优先级别。 防火墙基础 区域 All Rights Reserved Alcatel-Lucent 2008, # /webmoney Ethernet 外部网络 Ethernet NetscreenISG1000 Server Server Trust Untrust DMZ ethernet 3/1 ethernet 3/2 ethernet 2/1 内部网络 防火墙基础 区域 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 转发规则 路由器的安全规则定义在接口上，而防火墙的安全规则定义在安全区域之间 不允许来自 的数据报从这个接口出去 Local区 域 Trust区域 DMZ区域 UnTrust区域 接口 1 接口 2 接口 3 接口 4 禁止所有从 DMZ区域的数据报 转发到 UnTrust区域 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 域间的数据流分两个方向： 入方向（ inbound）：数据由低级别的安全区域向高级别的安全区域传输的方向； 出方向（ outbound）：数据由高级别的安全区域向低级别的安全区域传输的方向。 MGT区 域 Trust区域 DMZ区域 UnTrust区域 接口 1 接口 2 接口 3 接口 4 In Out In Out In Out In Out 防火墙基础 转发规则 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 本域内不同接口间不过滤直接转发 进、出接口相同的报文被丢弃 接口没有加入域之前不能转发报文 Local区 域 Trust区域 DMZ区域 UnTrust区域 接口 1 接口 2 接口 3 接口 4 In Out In Out In Out In Out 防火墙基础 转发规则 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 路由模式 透明模式 混合模式 防火墙基础 模式分类 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 路由模式 可以把路由模式理解为象路由器那样工作。防火墙每个接口连接一个网络，防火墙的接口就是所连接子网的网关。报文在防火墙内首先通过入接口信息找到进入域信息，然后通过查找转发表，根据出接口找到出口域，再根据这两个域确定域间关系，然后使用配置在这个域间关系上的安全策略进行各种操作。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 透明模式 透明模式的防火墙则可以被看作一台以太网交换机。防火墙的接口不能配 IP地址，整个设备处于现有的子网内部，对于网络中的其他设备，防火墙是透明的。报文转发的出接口，是通过查找桥接的转发表得到的。在确定域间之后，安全模块的内部仍然使用报文的 IP地址进行各种安全策略的匹配。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 混合模式 混合模式是指防火墙一部份接口工作在透明模式，另一部分接口工作在路由模式。提出混合模式的概念，主要是为了解决防火墙在纯粹的透明模式下无法使用双机热备份功能的问题。双机热备份所依赖的 VRRP需要在接口上配置 IP地址，而透明模式无法实现这一点。 目前很多新型防火墙已经支持透明模式下的双机热备。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 防火墙基础 双机热备 什么是双机热备？ 所谓双机热备其实是双机状态备份，当两台防火墙，在确定主从防火墙后，由主 防火墙进行业务的转发，而从防火墙处于监控状态，同时主防火墙会定时向从防 火墙发送状态信息和需要备份的信息，当主防火墙出现故障后，从防火墙会及时 接替主防火墙上的业务运行。 N e t s c r e e n AM a s t e rN e t s c r e e n BB a c k u pT r u s t 区 域D M Z 区 域U n t r u s t 区 域P CP C( 1 )( 2 )( 3 )( 4 )( 7 )会 话 表 项S e r v e r( 5 )( 6 )( 8 )实 际 连 线报 文 流 径心跳线All Rights Reserved Alcatel-Lucent 2008, # /webmoney 内容 防火墙基础知识 Netscreen ISG1000防火墙简介 ISMP平台防火墙的典型组网方式 ISG1000防火墙配置规划 ISG1000防火墙配置步骤 ISG1000防火墙的维护 All Rights Reserved Alcatel-Lucent 2008, # /webmoney Netscreen防火墙介绍 Netscreen 防火墙的简介 Difference 安全架构 专用硬件平台 集成安全网关（ ISG）系列 特性与优势 ISG1000 硬件特性 性能参数 All Rights Reserved Alcatel-Lucent 2008, # /webmoney Juniper网络公司集成安全产品是执行关键安全功能的专用产品，优化用于最大限度地提供性能，由安全性特定的实时操作系统 ScreenOS所控制。 Juniper网络公司集成安全产品包括大量专用的高性能平台，可跨越大量高密度的局域网 /广域网接口提供集成安全性和局域网 /广域网路由功能，满足中小企业、大型分布式企业及电信运营商的许多需求。这些集成产品可保护网络免遭所有形式的攻击和恶意软件威胁，同时促进企业间的安全通信。 Netscreen防火墙简介 All Rights Reserved Alcatel-Lucent 2008, # /webmoney The NetScreen Difference 通过新一代体系结构完成业界领先的性能和安全保护 专用加密加速 ASIC ASIC 可处理 DES, 3DES, MD5, SHA1, PKI 加速 , Session查找 , TCP 头解析 , 认证 , NAT, 随即数产生和策略查询 (每秒 25 million策略 ). 超级性能 single, multi, 与 parallel 处理板 基于需求定制，安全优化的操作系统 ScreenOS 核心技术高度集成 基于状态过滤的防火墙 攻击检测与保护 VPN / PKI 流量管理 /带宽管理 端到端的解决方案提供灵活的网络结构 全面的设备管理方法 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 安全架构 全面的 安全策略 Firewall VPN Intrusion Detection Anti-Virus Denial of Service High Availability Remote Access User Authentication Dynamic Routing NAT Traversal PKI Global Management All Rights Reserved Alcatel-Lucent 2008, # /webmoney NetScreen 专用硬件平台 CPU RAM I/O Out In CPU RAM I/O Bus VPN Co-Processor In Out 传统设计 NetScreen 设计 - Multiple passes across the bus - No separation of the data & control planes - Single pass across the bus - Separation of data & control planes All Rights Reserved Alcatel-Lucent 2008, # /webmoney 集成式安全网关（ ISG） Juniper网络公司集成式安全网关（ ISG）是一种专用安全解决方案，它采用了第四代安全 ASIC GigaScreen3，以及高性能微处理器，能够提供无与伦比的防火墙和 VPN性能。 Juniper网络公司 ISG 1000 和 ISG 2000 非常适合因需要运行 VoIP和流媒体等高级应用而需要可以扩展的一致性能的企业、运营商和数据中心环境。 ISG 1000和 ISG 2000 将最佳深层检测防火墙、 VPN和 DoS解决方案集成在一起不但能提供安全、可靠的连接，还能为重要的高流量网段提供网络和应用级保护。 ISG 1000： ISG 1000是一个完全集成的 FW/VPN/IDP系统，具有千兆性能、模块化架构和丰富的虚拟化功能。基础 FW/VPN系统提供四个固定 10/100/1000接口，以及两个额外的 I/O模块，以支持接口扩展。 ISG 2000： ISG 2000 是一种完全集成的 FW/VPN/IDP系统，具有千兆性能、模块化架构和丰富的虚拟化功能。基础 FW/VPN系统最多支持四个 I/OS模块和三个安全模块，以支持 IDP 集成。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney NetScreen-ISG1000 Hot Swappable AC or DC Power Supplies Fan Module LCD Interface Module Bays 4个 ethernet Management Console All Rights Reserved Alcatel-Lucent 2008, # /webmoney NetScreen-ISG1000 特性与优势 硬件特性 第四代安全 ASIC GigaScreen3以及高性能微处理器 多总线结构 : 独立的管理和数据总线 可靠的设计 冗余热插拔电源 (DC or AC)、热插拔风扇 2U, 19”模块化架构， 2 个 I/O 接口插槽 4个 10/100/1000Mbps 以太口，可用于冗余 HA等 高端的性能 千兆性能 丰富的虚拟化功能 All Rights Reserved Alcatel-Lucent 2008, # /webmoney ISG系列性能参数 基本特性 /功能 ISG 1000基本版 ISG 2000基本版 最多会话数 125,000 256,000 最多同步 VPN隧道 1,000 1,000 VLANs 50 100 路由协议支持 仅 RIPv2 仅 RIPv1/v2 高可用性 主用 /备用 主用 /备用 IPS（深层检测防火墙） 不提供 不提供 集成 IDP 不提供 不提供 支持的高可用性模式 主用 /备用 主用 /备用 集成 / 重新定向 Web过滤 否 / 是 否 / 是 All Rights Reserved Alcatel-Lucent 2008, # /webmoney ISG系列性能参数 高级特性 /功能 ISG 1000高级版 ISG 2000高级版 接口数量 4个固定的 10/100/1000和最多 4个 Mini GBIC (SX 或 LX)，或最多 8个 10/100/1000，或最多 20个 10/100 最多 8个 Mini-GBIC (SX 或 LX)或最多 28 个 10/100 可信接口中的最多 IP地址数 无限 无限 最大吞吐量 1G FW (64字节 ) 1G 3DES VPN 2G FW (64字节 ) 4GFW (256-1518字节 ) 1G 3DES VPN 最多会话数 250,000 512,000 最多 VPN隧道数 2,000 10,000 最多策略数 10,000 30,000 最多虚拟系统数 默认设置为 0个，最多可增加 10个 默认设置为 0个，最多可增加 50个 All Rights Reserved Alcatel-Lucent 2008, # /webmoney ISG系列性能参数 高级特性 /功能 ISG 1000高级版 ISG 2000高级版 最多虚拟 LAN数 250 500 最多安全区数 默认为 20个，可选为 20个 默认为 26个，可选为 100个 最多虚拟路由器数 默认为 3个，可选为 10个 默认为 3个，可选为 50个 高可用性支持 主用 /备用 主用 /主用 主用 /主用，全网状 主用 /备用 主用 /主用 主用 /主用，全网状 路由协议支持 OSPF, BGP, RIPv2 OSPF, BGP, RIPv1/v2 IPS（深层检测防火墙） 是 是 集成 IDP 是 - 可选升级 * 是 - 可选升级 集成 / 重新定向 Web过滤 否 / 是 否 / 是 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 内容 防火墙基础知识 Netscreen ISG1000防火墙简介 ISMP平台防火墙的典型组网方式 ISG1000防火墙配置规划 ISG1000防火墙配置步骤 ISG1000防火墙的维护 All Rights Reserved Alcatel-Lucent 2008, # /webmoney ISMP平台防火墙的典型组网方式 存 储 网 络S A N 存 储控 制 中 心主 机S A N 交换 机S A N 交换 机C I S C O 交 换机C I S C O 交 换机数 据 库 / 控 制 中 心备 机管 理 中 心 / 接 口 机备 机管 理 中 心主 机存 储 网 络数 据 库主 机接 口 机主 机内 部 网 络外 部 网 络网 络 层 次 划 分 线以 太 网 线心 跳 线A l c a t e l 7 7 5 0 S R 71 6 3C N 2D C NN e t s c r e e n I S G 1 0 0C i s c o A S A 5 5 1 0C N 2 P E C N 2 P EC P / S P / 用 户全 国 业 务 中 心其 它 省 级 业 务 平 台网 管 / 计 费 / C R MI S M P 平 台省 I S A GW A P G W省 级 业 务 引 擎I V R彩 铃短 信L B S彩 信P H S 短 信省 门 户C i s c o A S A 5 5 1 0N e t s c r e e n I S G 1 0 0A l c a t e l 7 7 5 0 S R 7All Rights Reserved Alcatel-Lucent 2008, # /webmoney 内容 防火墙基础知识 Netscreen ISG1000防火墙简介 ISMP平台防火墙的典型组网方式 ISG1000防火墙配置规划 ISG1000防火墙配置步骤 ISG1000防火墙的维护 All Rights Reserved Alcatel-Lucent 2008, # /webmoney ISG1000防火墙配置规划 主机名规划 区域及接口用途规划 IP地址规划 路由规划 地址映射规划 安全策略规划 SNMP、 NTP、 DNS、 LOG及其它 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 主机名规划 ISMP工程中防火墙设备主机名命名方案统一规划为： 省名 +ISMP+设备型号 _To外网名 _序号 本次工程中防火墙型号主要有 ISG1000和 ASA510两种。 例：安徽电信 ISMP平台连接 163公网的 2台防火墙分别命名为 AH_ISMP_ISG1000_To163_1 AH_ISMP_ISG1000_To163_2 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 区域及接口用途规划 虚拟路由器（ Virtual Router）：默认只有 1个 trust-vr，网络复杂，可使用多个虚拟路由器，虚拟路由器之间可使用动态路由协议或静态路由通信。 ISMP工程中，一般将这几个所用的区域全部放到 trust-tr 1个 VR中。多个 VR，虽然访问控制更加灵活，但 VR之间配置复杂。 区域（ Zones）： ISG1000默认共有 14个 zones，简单网络只需要 trust、 untrust、 DMZ、 HA等。在 ISMP系统防火墙上，可以把 ISMP系统放置于 Trust区， ISMP平台所连接的电信外围设备放置于 DMZ区， Internet放置于 Untrust区。 接口（ Interface）： ISG1000共有 2个流量板，接口命名及用途规划参考 IP地址规划。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney IP地址规划 接口类型 接口名称 IP/Netmask 区域 VirtualRouter 用途 电口 Ethernet1/1 /0 HA trust-vr 心跳 电口 Ethernet1/2 /0 HA trust-vr 心跳 电口 Ethernet1/3 - - - - 电口 Ethernet1/4 - - - - 千兆单模 Ethernet2/1 /29 Untrust Trust-vr To163 千兆单模 Ethernet2/2 - - - - 千兆多模 Ethernet3/1 /29 trust Trust-vr To Inside 千兆多模 Ethernet3/2 暂无 DMZ Trust-vr To DMZ 电口 mgt /24 mgt Trust-vr 带外管理口 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 路由规划 各接口区域均在一个 VR（ trust-vr）里，路由配置较简单。只需要在 trust-vr里配置出去的默认路由、内网的回程路由以及 DMZ区向路由。 各接口区域不在一个 VR里，在每个 VR里，还需要配置 VR间的转发路由。复杂情况，可启用动态路由协议。 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 地址映射规划 在 ISMP平台应用中，各接口机和门户服务器需做地址映射以提供网外访问。 示例如下： 主机名 IP 主机说明 163 mappedIP DCN mappedIP ismp_db 0/27 数据库主机 0 0 db_cc 1/27 数据库 /控制中心备机 1 1 ismp_cc 2/27 控制中心主机 2 2 pkg_db 3/27 数据库浮动 IP 3 3 pkg_cc 4/27 控制中心浮动 IP 4 4 cell_manager 0/27 DP备份软件管理机 8 0 ismp_test /27 ISMP测试系统 9 ismp_skt 0/27 接口机主机 0 0 skt_ptl 1/27 接口机 /门户机备机 1 1 ismp_ptl 2/27 门户机主机 2 2 skt 3/27 接口机浮动 IP 3 3 ptl 4/27 门户机浮动 IP 4 4 All Rights Reserved Alcatel-Lucent 2008, # /webmoney 安全策略规划一 设备登录控制 网络设备配置需要保护，防止非授权访问非常重要。各种登录账户、权限需求在实施配置前也必须进行详细调研规划。 可主要考虑 console、 telnet、 SSH、 WEBUI等授权访问方式中的登录账户、权限及密码规划。 All Rights Reserved Alcatel-Lucent 2008, # http:/www.do