盗墓笔记全集,有声读物,择天记

防火墻旁掛在云計(jì)算網(wǎng)絡(luò)的核心交換機(jī)上，通過虛擬系統(tǒng)隔離網(wǎng)絡(luò)中的虛擬機(jī)業(yè)務(wù)。同時(shí)，防火墻形成雙機(jī)熱備狀態(tài)，提高業(yè)務(wù)的可靠性。

方案簡(jiǎn)介云計(jì)算網(wǎng)絡(luò)簡(jiǎn)介

隨著云計(jì)算的迅猛發(fā)展，企業(yè)可以便捷地接入云計(jì)算網(wǎng)絡(luò)，獲取服務(wù)器、存儲(chǔ)、應(yīng)用等資源，減少構(gòu)建IT基礎(chǔ)設(shè)施的投資成本，大大加快了信息化進(jìn)程。

如圖所示，某個(gè)“工業(yè)云”為企業(yè)用戶提供云計(jì)算服務(wù)，網(wǎng)絡(luò)中的業(yè)務(wù)包括如下幾種：

企業(yè)用戶訪問虛擬機(jī)來獲取定制化的資源。

企業(yè)用戶訪問Portal系統(tǒng)來進(jìn)行帳號(hào)申請(qǐng)和虛擬機(jī)空間管理等操作。

云計(jì)算網(wǎng)絡(luò)中的管理組件對(duì)虛擬機(jī)、Portal系統(tǒng)以及網(wǎng)絡(luò)設(shè)備進(jìn)行管理。

云計(jì)算網(wǎng)絡(luò)示意圖

防火墻在云計(jì)算網(wǎng)絡(luò)中的應(yīng)用

如圖所示，防火墻旁掛在云計(jì)算網(wǎng)絡(luò)中的核心交換機(jī)上，將虛擬機(jī)和Portal系統(tǒng)發(fā)布出去供企業(yè)用戶訪問，并且對(duì)企業(yè)用戶訪問虛擬機(jī)的業(yè)務(wù)進(jìn)行隔離。

防火墻在云計(jì)算網(wǎng)絡(luò)中的應(yīng)用示意圖

在云計(jì)算網(wǎng)絡(luò)中，主要用到了防火墻的如下功能：

雙機(jī)熱備

兩臺(tái)防火墻之間形成主備備份方式的雙機(jī)熱備狀態(tài)，提高業(yè)務(wù)可靠性。

NAT Server

通過NAT Server將虛擬機(jī)和Portal系統(tǒng)的公網(wǎng)地址發(fā)布出去，供Internet上的企業(yè)用戶訪問。

虛擬系統(tǒng)

為每一個(gè)虛擬機(jī)劃分一個(gè)虛擬系統(tǒng)，隔離企業(yè)用戶訪問虛擬機(jī)的業(yè)務(wù)；同時(shí)還可以在虛擬系統(tǒng)中配置安全策略，實(shí)現(xiàn)訪問控制。

方案一：防火墻作為網(wǎng)關(guān)典型組網(wǎng)

該云計(jì)算網(wǎng)絡(luò)中，核心交換機(jī)使用CE12800、接入交換機(jī)使用CE6800、防火墻使用USG9500，本案例重點(diǎn)關(guān)注防火墻上的配置，整體的組網(wǎng)環(huán)境如圖所示。

云計(jì)算網(wǎng)絡(luò)組網(wǎng)圖

云計(jì)算網(wǎng)絡(luò)中主要有如下幾個(gè)需求：

不同的外網(wǎng)企業(yè)用戶訪問虛擬機(jī)時(shí)，相互之間不能影響，業(yè)務(wù)必須隔離。同時(shí)，每個(gè)虛擬機(jī)業(yè)務(wù)可使用的帶寬資源也要限制在一定范圍內(nèi)，避免占用大量資源。

內(nèi)部網(wǎng)絡(luò)中的虛擬機(jī)和Portal系統(tǒng)都配置私網(wǎng)地址，要求對(duì)外發(fā)布兩者的公網(wǎng)地址，使外網(wǎng)企業(yè)用戶能夠通過公網(wǎng)地址訪問虛擬機(jī)和Portal系統(tǒng)。

對(duì)外網(wǎng)企業(yè)用戶訪問虛擬機(jī)和Portal系統(tǒng)的行為進(jìn)行控制，僅允許訪問業(yè)務(wù)的流量通過。

提高設(shè)備的可靠性，不能因?yàn)橐慌_(tái)設(shè)備出現(xiàn)故障而導(dǎo)致業(yè)務(wù)中斷。

防火墻旁掛在核心交換機(jī)CE12800上，使用如下特性來滿足上述需求：

使用虛擬系統(tǒng)隔離外網(wǎng)企業(yè)用戶訪問虛擬機(jī)的業(yè)務(wù)，每一個(gè)虛擬機(jī)都屬于一個(gè)虛擬系統(tǒng)，每個(gè)虛擬系統(tǒng)中都限制了最大帶寬資源。

使用子接口與CE12800相連，將子接口劃分到虛擬系統(tǒng)和根系統(tǒng)中，虛擬系統(tǒng)中的子接口用來傳輸虛擬機(jī)業(yè)務(wù)，根系統(tǒng)中的子接口用來傳輸Portal系統(tǒng)業(yè)務(wù)。

使用NAT Server對(duì)外發(fā)布虛擬機(jī)和Portal系統(tǒng)的公網(wǎng)地址，在每個(gè)虛擬系統(tǒng)中配置針對(duì)虛擬機(jī)的NAT Server，在根系統(tǒng)中配置針對(duì)Portal系統(tǒng)的NAT Server。

使用安全策略對(duì)虛擬機(jī)和Portal系統(tǒng)的業(yè)務(wù)進(jìn)行訪問控制，在每個(gè)虛擬系統(tǒng)中配置針對(duì)虛擬機(jī)業(yè)務(wù)的安全策略，在根系統(tǒng)中配置針對(duì)Portal系統(tǒng)業(yè)務(wù)的安全策略。

使用雙機(jī)熱備提高可靠性，兩臺(tái)防火墻形成主備備份狀態(tài)的雙機(jī)熱備，當(dāng)主用防火墻出現(xiàn)故障時(shí)，備用防火墻接替其工作，業(yè)務(wù)不會(huì)中斷。

業(yè)務(wù)規(guī)劃

如圖所示，F(xiàn)W旁掛在CE12800上，工作在三層轉(zhuǎn)發(fā)模式。CE12800從邏輯上分為上行、下行兩個(gè)部分，上行部分工作在三層轉(zhuǎn)發(fā)（L3）模式，下行部分工作在二層轉(zhuǎn)發(fā)（L2）模式。FW與CE12800的上行部分之間運(yùn)行OSPF，與CE12800的下行部分之間運(yùn)行VRRP，F(xiàn)W上VRRP的虛擬IP地址作為虛擬機(jī)和Portal系統(tǒng)的網(wǎng)關(guān)。外網(wǎng)企業(yè)用戶訪問虛擬機(jī)和Portal系統(tǒng)的流量經(jīng)過CE12800的上行部分轉(zhuǎn)發(fā)至FW處理后，再經(jīng)過CE12800的下行部分轉(zhuǎn)發(fā)至虛擬機(jī)和Portal；回程流量則經(jīng)過CE12800的下行部分轉(zhuǎn)發(fā)至FW處理后，再經(jīng)過CE12800的上行部分發(fā)送出去。

FW旁掛連接示意圖

詳細(xì)的規(guī)劃情況在下面逐一介紹。

接口和安全區(qū)域

下面以FW_A和CE12800_A為例，介紹兩者之間的連接情況。

如圖所示，F(xiàn)W_A上的GE1/0/1接口與CE12800_A上的10GE1/1/0/1接口相連，詳細(xì)的連接情況如下：

FW_A上的GE1/0/1接口劃分了多個(gè)子接口（此處僅以三個(gè)子接口為例進(jìn)行說明），每個(gè)子接口上都配置了IP地址。其中多數(shù)的子接口都屬于不同的虛擬系統(tǒng)，劃分到虛擬系統(tǒng)的Untrust區(qū)域中；一個(gè)子接口屬于根系統(tǒng)，劃分到根系統(tǒng)的Untrust區(qū)域中。

CE12800_A上的10GE1/1/0/1接口為Trunk口，允許多個(gè)VLAN的報(bào)文通過，在每個(gè)Vlanif接口上都配置IP地址，邏輯上與FW_A上相應(yīng)的子接口連接。

FW_A上的GE1/0/1接口連接示意圖

如圖所示，F(xiàn)W_A上的GE1/0/2接口與CE12800_A上的10GE1/1/0/2接口相連，詳細(xì)的連接情況如下：

FW_A上的GE1/0/2接口劃分了兩個(gè)子接口（也可以根據(jù)Portal系統(tǒng)的實(shí)際網(wǎng)絡(luò)情況劃分多個(gè)子接口），每個(gè)子接口上都配置了IP地址，每個(gè)子接口都劃分到根系統(tǒng)的DMZ區(qū)域中。

CE12800_A上的10GE1/1/0/2接口為Trunk口，允許多個(gè)VLAN的報(bào)文通過。

FW_A上子接口的VRRP虛擬IP地址作為Portal系統(tǒng)的網(wǎng)關(guān)，終結(jié)VLAN，CE12800_A的作用是二層透?jìng)鲌?bào)文。

FW_A上的GE1/0/2接口連接示意圖

如圖所示，F(xiàn)W_A上的GE1/0/3接口與CE12800_A上的10GE1/1/0/3接口相連，詳細(xì)的連接情況如下：

FW_A上的GE1/0/3接口劃分了多個(gè)子接口（此處僅以兩個(gè)子接口為例進(jìn)行說明），每個(gè)子接口上都配置了IP地址。每個(gè)子接口都屬于不同的虛擬系統(tǒng)，劃分到虛擬系統(tǒng)的Trust區(qū)域中。

CE12800_A上的10GE1/1/0/3接口為Trunk口，允許多個(gè)VLAN的報(bào)文通過。

FW_A上子接口的VRRP虛擬IP地址作為虛擬機(jī)的網(wǎng)關(guān)，終結(jié)VLAN，CE12800_A的作用是二層透?jìng)鲌?bào)文。

FW_A上的GE1/0/3接口連接示意圖

FW_B和CE12800_B之間的連接情況與上面的內(nèi)容相同，此處不再贅述。

虛擬機(jī)之間的互訪需求，可以通過訪問各自的公網(wǎng)地址，互訪報(bào)文經(jīng)過CE12800轉(zhuǎn)發(fā)來實(shí)現(xiàn)。

配置步驟

前提條件

虛擬系統(tǒng)的License文件已經(jīng)申請(qǐng)，并在FW_A和FW_B上成功激活。

操作步驟

1.配置接口和安全區(qū)域。

在FW_A上創(chuàng)建子接口。

在FW_A上創(chuàng)建子接口。system-view

[FW_A]interfaceGigabitEthernet1/0/1.10
[FW_A-GigabitEthernet1/0/1.10]quit
[FW_A]interfaceGigabitEthernet1/0/1.11
[FW_A-GigabitEthernet1/0/1.11]quit
[FW_A]interfaceGigabitEthernet1/0/1.1000
[FW_A-GigabitEthernet1/0/1.1000]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]quit
[FW_A]interfaceGigabitEthernet1/0/3.10
[FW_A-GigabitEthernet1/0/3.10]quit
[FW_A]interfaceGigabitEthernet1/0/3.11
[FW_A-GigabitEthernet1/0/3.11]quit

在FW_B上創(chuàng)建子接口。

system-view
[FW_B]interfaceGigabitEthernet1/0/1.10
[FW_B-GigabitEthernet1/0/1.10]quit
[FW_B]interfaceGigabitEthernet1/0/1.11
[FW_B-GigabitEthernet1/0/1.11]quit
[FW_B]interfaceGigabitEthernet1/0/1.1000
[FW_B-GigabitEthernet1/0/1.1000]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]quit
[FW_B]interfaceGigabitEthernet1/0/3.10
[FW_B-GigabitEthernet1/0/3.10]quit
[FW_B]interfaceGigabitEthernet1/0/3.11
[FW_B-GigabitEthernet1/0/3.11]quit

在FW_A上配置Eth-Trunk接口。

[FW_A]interfaceEth-Trunk1
[FW_A-Eth-Trunk1]ipaddress10.1.1.130
[FW_A-Eth-Trunk1]quit
[FW_A]interfaceGigabitEthernet2/0/1
[FW_A-GigabitEthernet2/0/1]eth-trunk1
[FW_A-GigabitEthernet2/0/1]quit
[FW_A]interfaceGigabitEthernet2/0/2
[FW_A-GigabitEthernet2/0/2]eth-trunk1
[FW_A-GigabitEthernet2/0/2]quit

在FW_B上配置Eth-Trunk接口。

[FW_B]interfaceEth-Trunk1
[FW_B-Eth-Trunk1]ipaddress10.1.1.230
[FW_B-Eth-Trunk1]quit
[FW_B]interfaceGigabitEthernet2/0/1
[FW_B-GigabitEthernet2/0/1]eth-trunk1
[FW_B-GigabitEthernet2/0/1]quit
[FW_B]interfaceGigabitEthernet2/0/2
[FW_B-GigabitEthernet2/0/2]eth-trunk1
[FW_B-GigabitEthernet2/0/2]quit

在FW_A上為根系統(tǒng)接口配置IP地址，并將接口加入根系統(tǒng)的安全區(qū)域。

[FW_A]interfaceGigabitEthernet1/0/1.1000
[FW_A-GigabitEthernet1/0/1.1000]ipaddress172.16.9.25224
[FW_A-GigabitEthernet1/0/1.1000]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]ipaddress10.159.1.25224
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]ipaddress10.159.2.25224
[FW_A-GigabitEthernet1/0/2.2]quit
[FW_A]firewallzonetrust
[FW_A-zone-trust]addinterfaceGigabitEthernet1/0/3
[FW_A-zone-trust]quit
[FW_A]firewallzoneuntrust
[FW_A-zone-untrust]addinterfaceGigabitEthernet1/0/1
[FW_A-zone-untrust]addinterfaceGigabitEthernet1/0/1.1000
[FW_A-zone-untrust]quit
[FW_A]firewallzonedmz
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2.1
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2.2
[FW_A-zone-dmz]quit
[FW_A]firewallzonenamehrpzone
[FW_A-zone-hrpzone]setpriority65
[FW_A-zone-hrpzone]addinterfaceEth-Trunk1
[FW_A-zone-hrpzone]quit

在FW_B上為根系統(tǒng)接口配置IP地址，并將接口加入根系統(tǒng)的安全區(qū)域。

[FW_B]interfaceGigabitEthernet1/0/1.1000
[FW_B-GigabitEthernet1/0/1.1000]ipaddress172.16.9.25324
[FW_B-GigabitEthernet1/0/1.1000]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]ipaddress10.159.1.25324
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]ipaddress10.159.2.25324
[FW_B-GigabitEthernet1/0/2.2]quit
[FW_B]firewallzonetrust
[FW_B-zone-trust]addinterfaceGigabitEthernet1/0/3
[FW_B-zone-trust]quit
[FW_B]firewallzoneuntrust
[FW_B-zone-untrust]addinterfaceGigabitEthernet1/0/1
[FW_B-zone-untrust]addinterfaceGigabitEthernet1/0/1.1000
[FW_B-zone-untrust]quit
[FW_B]firewallzonedmz
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2.1
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2.2
[FW_B-zone-dmz]quit
[FW_B]firewallzonenamehrpzone
[FW_B-zone-hrpzone]setpriority65
[FW_B-zone-hrpzone]addinterfaceEth-Trunk1
[FW_B-zone-hrpzone]quit

2.配置虛擬系統(tǒng)。

在FW_A上開啟虛擬系統(tǒng)功能。

[FW_A]vsysenable

在FW_B上開啟虛擬系統(tǒng)功能。

[FW_B]vsysenable

在FW_A上配置資源類。

[FW_A]resource-classvfw1_car
[FW_A-resource-class-vfw1_car]resource-item-limitbandwidth100entire
[FW_A-resource-class-vfw1_car]quit
[FW_A]resource-classvfw2_car
[FW_A-resource-class-vfw2_car]resource-item-limitbandwidth100entire
[FW_A-resource-class-vfw2_car]quit

在FW_B上配置資源類。

[FW_B]resource-classvfw1_car
[FW_B-resource-class-vfw1_car]resource-item-limitbandwidth100entire
[FW_B-resource-class-vfw1_car]quit
[FW_B]resource-classvfw2_car
[FW_B-resource-class-vfw2_car]resource-item-limitbandwidth100entire
[FW_B-resource-class-vfw2_car]quit

在FW_A上創(chuàng)建虛擬系統(tǒng)，并為虛擬系統(tǒng)分配資源。

[FW_A]vsysnamevfw1
[FW_A-vsys-vfw1]assignresource-classvfw1_car
[FW_A-vsys-vfw1]assigninterfaceGigabitEthernet1/0/1.10
[FW_A-vsys-vfw1]assigninterfaceGigabitEthernet1/0/3.10
[FW_A-vsys-vfw1]assignglobal-ip118.1.1.1118.1.1.1exclusive
[FW_A-vsys-vfw1]quit
[FW_A]vsysnamevfw2
[FW_A-vsys-vfw2]assignresource-classvfw2_car
[FW_A-vsys-vfw2]assigninterfaceGigabitEthernet1/0/1.11
[FW_A-vsys-vfw2]assigninterfaceGigabitEthernet1/0/3.11
[FW_A-vsys-vfw2]assignglobal-ip118.1.1.2118.1.1.2exclusive
[FW_A-vsys-vfw2]quit

在FW_B上創(chuàng)建虛擬系統(tǒng)，并為虛擬系統(tǒng)分配資源。

[FW_B]vsysnamevfw1
[FW_B-vsys-vfw1]assignresource-classvfw1_car
[FW_B-vsys-vfw1]assigninterfaceGigabitEthernet1/0/1.10
[FW_B-vsys-vfw1]assigninterfaceGigabitEthernet1/0/3.10
[FW_B-vsys-vfw1]assignglobal-ip118.1.1.1118.1.1.1exclusive
[FW_B-vsys-vfw1]quit
[FW_B]vsysnamevfw2
[FW_B-vsys-vfw2]assignresource-classvfw2_car
[FW_B-vsys-vfw2]assigninterfaceGigabitEthernet1/0/1.11
[FW_B-vsys-vfw2]assigninterfaceGigabitEthernet1/0/3.11
[FW_B-vsys-vfw2]assignglobal-ip118.1.1.2118.1.1.2exclusive
[FW_B-vsys-vfw2]quit

在FW_A上的虛擬系統(tǒng)vfw1中配置接口的IP地址，并將接口加入安全區(qū)域。

[FW_A]switchvsysvfw1
system-view
[FW_A-vfw1]interfaceGigabitEthernet1/0/1.10
[FW_A-vfw1-GigabitEthernet1/0/1.10]ipaddress172.16.10.25224
[FW_A-vfw1-GigabitEthernet1/0/1.10]quit
[FW_A-vfw1]interfaceGigabitEthernet1/0/3.10
[FW_A-vfw1-GigabitEthernet1/0/3.10]ipaddress10.159.10.25224
[FW_A-vfw1-GigabitEthernet1/0/3.10]quit
[FW_A-vfw1]firewallzoneuntrust
[FW_A-vfw1-zone-untrust]addinterfaceGigabitEthernet1/0/1.10
[FW_A-vfw1-zone-untrust]quit
[FW_A-vfw1]firewallzonetrust
[FW_A-vfw1-zone-trust]addinterfaceGigabitEthernet1/0/3.10
[FW_A-vfw1-zone-trust]quit
[FW_A-vfw1]quit
quit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置接口的IP地址，并將接口加入安全區(qū)域。

在FW_B上的虛擬系統(tǒng)vfw1中配置接口的IP地址，并將接口加入安全區(qū)域。

[FW_B]switchvsysvfw1
system-view
[FW_B-vfw1]interfaceGigabitEthernet1/0/1.10
[FW_B-vfw1-GigabitEthernet1/0/1.10]ipaddress172.16.10.25324
[FW_B-vfw1-GigabitEthernet1/0/1.10]quit
[FW_B-vfw1]interfaceGigabitEthernet1/0/3.10
[FW_B-vfw1-GigabitEthernet1/0/3.10]ipaddress10.159.10.25324
[FW_B-vfw1-GigabitEthernet1/0/3.10]quit
[FW_B-vfw1]firewallzoneuntrust
[FW_B-vfw1-zone-untrust]addinterfaceGigabitEthernet1/0/1.10
[FW_B-vfw1-zone-untrust]quit
[FW_B-vfw1]firewallzonetrust
[FW_B-vfw1-zone-trust]addinterfaceGigabitEthernet1/0/3.10
[FW_B-vfw1-zone-trust]quit
[FW_B-vfw1]quit
quit

參考上述步驟，在FW_B上的虛擬系統(tǒng)vfw2中配置接口的IP地址，并將接口加入安全區(qū)域。

3.配置路由。

在FW_A上配置根系統(tǒng)的路由。

[FW_A]iproute-static0.0.0.00.0.0.0172.16.9.251
[FW_A]iproute-static117.1.1.132NULL0
[FW_A]iproute-static117.1.1.232NULL0
[FW_A]ospf1000
[FW_A-ospf-1000]import-routestatic
[FW_A-ospf-1000]area0
[FW_A-ospf-1000-area-0.0.0.0]network172.16.9.00.0.0.255
[FW_A-ospf-1000-area-0.0.0.0]quit
[FW_A-ospf-1000]quit

在FW_B上配置根系統(tǒng)的路由。

[FW_B]iproute-static0.0.0.00.0.0.0172.16.9.251
[FW_B]iproute-static117.1.1.132NULL0
[FW_B]iproute-static117.1.1.232NULL0
[FW_B]ospf1000
[FW_B-ospf-1000]import-routestatic
[FW_B-ospf-1000]area0
[FW_B-ospf-1000-area-0.0.0.0]network172.16.9.00.0.0.255
[FW_B-ospf-1000-area-0.0.0.0]quit
[FW_B-ospf-1000]quit

在FW_A上配置虛擬系統(tǒng)的路由。

[FW_A]ipvpn-instancevfw1
[FW_A-vpn-instance-vfw1]route-distinguisher10:1
[FW_A-vpn-instance-vfw1]quit
[FW_A]ipvpn-instancevfw2
[FW_A-vpn-instance-vfw2]route-distinguisher11:1
[FW_A-vpn-instance-vfw2]quit
[FW_A]ospf1vpn-instancevfw1
[FW_A-ospf-1]import-routestatic
[FW_A-ospf-1]area0
[FW_A-ospf-1-area-0.0.0.0]network172.16.10.00.0.0.255
[FW_A-ospf-1-area-0.0.0.0]quit
[FW_A-ospf-1]quit
[FW_A]ospf2vpn-instancevfw2
[FW_A-ospf-2]import-routestatic
[FW_A-ospf-2]area0
[FW_A-ospf-2-area-0.0.0.0]network172.16.11.00.0.0.255
[FW_A-ospf-2-area-0.0.0.0]quit
[FW_A-ospf-2]quit
[FW_A]switchvsysvfw1
system-view
[FW_A-vfw1]iproute-static0.0.0.00.0.0.0172.16.10.251
[FW_A-vfw1]iproute-static118.1.1.132NULL0
[FW_A-vfw1]quit
quit
[FW_A]switchvsysvfw2
system-view
[FW_A-vfw2]iproute-static0.0.0.00.0.0.0172.16.11.251
[FW_A-vfw2]iproute-static118.1.1.232NULL0
[FW_A-vfw2]quit
quit

在FW_B上配置虛擬系統(tǒng)的路由。

[FW_B]ipvpn-instancevfw1
[FW_B-vpn-instance-vfw1]route-distinguisher10:1
[FW_B-vpn-instance-vfw1]quit
[FW_B]ipvpn-instancevfw2
[FW_B-vpn-instance-vfw2]route-distinguisher11:1
[FW_B-vpn-instance-vfw2]quit
[FW_B]ospf1vpn-instancevfw1
[FW_B-ospf-1]import-routestatic
[FW_B-ospf-1]area0
[FW_B-ospf-1-area-0.0.0.0]network172.16.10.00.0.0.255
[FW_B-ospf-1-area-0.0.0.0]quit
[FW_B-ospf-1]quit
[FW_B]ospf2vpn-instancevfw2
[FW_B-ospf-2]import-routestatic
[FW_B-ospf-2]area0
[FW_B-ospf-2-area-0.0.0.0]network172.16.11.00.0.0.255
[FW_B-ospf-2-area-0.0.0.0]quit
[FW_B-ospf-2]quit
[FW_B]switchvsysvfw1
system-view
[FW_B-vfw1]iproute-static0.0.0.00.0.0.0172.16.10.251
[FW_B-vfw1]iproute-static118.1.1.132NULL0
[FW_B-vfw1]quit
quit
[FW_B]switchvsysvfw2
system-view
[FW_B-vfw2]iproute-static0.0.0.00.0.0.0172.16.11.251
[FW_B-vfw2]iproute-static118.1.1.232NULL0
[FW_B-vfw2]quit
quit

4.配置雙機(jī)熱備。

在FW_A上配置VGMP組監(jiān)控上行GE1/0/1接口。

[FW_A]hrptrackinterfaceGigabitEthernet1/0/1

在FW_A上配置根據(jù)VGMP狀態(tài)調(diào)整OSPF Cost值功能。

[FW_A]hrpadjustospf-costenable

在FW_A上配置VRRP備份組，并將其狀態(tài)設(shè)置為Active。

[FW_A]interfaceGigabitEthernet1/0/3.10
[FW_A-GigabitEthernet1/0/3.10]vlan-typedot1q10
[FW_A-GigabitEthernet1/0/3.10]vrrpvrid10virtual-ip10.159.10.254active
[FW_A-GigabitEthernet1/0/3.10]quit
[FW_A]interfaceGigabitEthernet1/0/3.11
[FW_A-GigabitEthernet1/0/3.11]vlan-typedot1q11
[FW_A-GigabitEthernet1/0/3.11]vrrpvrid11virtual-ip10.159.11.254active
[FW_A-GigabitEthernet1/0/3.11]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]vlan-typedot1q1
[FW_A-GigabitEthernet1/0/2.1]vrrpvrid1virtual-ip10.159.1.254active
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]vlan-typedot1q2
[FW_A-GigabitEthernet1/0/2.2]vrrpvrid2virtual-ip10.159.2.254active
[FW_A-GigabitEthernet1/0/2.2]quit

在FW_A上指定心跳口并啟用雙機(jī)熱備功能。

[FW_A]hrpinterfaceEth-Trunk1remote10.1.1.2
[FW_A]hrpenable

在FW_B上配置VGMP組監(jiān)控上行GE1/0/1接口。

[FW_B]hrptrackinterfaceGigabitEthernet1/0/1

在FW_B上配置根據(jù)VGMP狀態(tài)調(diào)整OSPF Cost值功能。

[FW_B]hrpadjustospf-costenable

在FW_B上配置VRRP備份組，并將其狀態(tài)設(shè)置為Standby。

[FW_B]interfaceGigabitEthernet1/0/3.10
[FW_B-GigabitEthernet1/0/3.10]vlan-typedot1q10
[FW_B-GigabitEthernet1/0/3.10]vrrpvrid10virtual-ip10.159.10.254standby
[FW_B-GigabitEthernet1/0/3.10]quit
[FW_B]interfaceGigabitEthernet1/0/3.11
[FW_B-GigabitEthernet1/0/3.11]vlan-typedot1q11
[FW_B-GigabitEthernet1/0/3.11]vrrpvrid11virtual-ip10.159.11.254standby
[FW_B-GigabitEthernet1/0/3.11]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]vlan-typedot1q1
[FW_B-GigabitEthernet1/0/2.1]vrrpvrid1virtual-ip10.159.1.254standby
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]vlan-typedot1q2
[FW_B-GigabitEthernet1/0/2.2]vrrpvrid2virtual-ip10.159.2.254standby
[FW_B-GigabitEthernet1/0/2.2]quit

在FW_B上指定心跳口并啟用雙機(jī)熱備功能。

[FW_B]hrpinterfaceEth-Trunk1remote10.1.1.1
[FW_B]hrpenable

5.配置安全策略。

在FW_A上的根系統(tǒng)中配置安全策略。

HRP_M[FW_A]security-policy
HRP_M[FW_A-policy-security]rulenamesec_portal
HRP_M[FW_A-policy-security-rule-sec_portal]source-zoneuntrust
HRP_M[FW_A-policy-security-rule-sec_portal]destination-zonedmz
HRP_M[FW_A-policy-security-rule-sec_portal]destination-address10.159.0.016
HRP_M[FW_A-policy-security-rule-sec_portal]actionpermit
HRP_M[FW_A-policy-security-rule-sec_portal]profileavdefault
HRP_M[FW_A-policy-security-rule-sec_portal]profileipsdefault
HRP_M[FW_A-policy-security-rule-sec_portal]quit
HRP_M[FW_A-policy-security]rulenamesec_ospf
HRP_M[FW_A-policy-security-rule-sec_ospf]source-zoneuntrustlocal
HRP_M[FW_A-policy-security-rule-sec_ospf]destination-zonelocaluntrust
HRP_M[FW_A-policy-security-rule-sec_ospf]serviceospf
HRP_M[FW_A-policy-security-rule-sec_ospf]actionpermit
HRP_M[FW_A-policy-security-rule-sec_ospf]quit
HRP_M[FW_A-policy-security]quit

在FW_A上的虛擬系統(tǒng)vfw1中配置安全策略。

HRP_M[FW_A]switchvsysvfw1
HRP_Msystem-view
HRP_M[FW_A-vfw1]security-policy
HRP_M[FW_A-vfw1-policy-security]rulenamesec_vm1
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]source-zoneuntrust
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]destination-zonetrust
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]destination-address10.159.10.024
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]profileavdefault
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]profileipsdefault
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]actionpermit
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]quit
HRP_M[FW_A-vfw1-policy-security]rulenamesec_vm1_ospf
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1_ospf]source-zoneuntrustlocal
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1_ospf]destination-zonelocaluntrust
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1_ospf]serviceospf
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1_ospf]actionpermit
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1_ospf]quit
HRP_M[FW_A-vfw1-policy-security]quit
HRP_M[FW_A-vfw1]quit
HRP_Mquit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置安全策略。

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置安全策略。

6.配置策略備份加速。

當(dāng)策略數(shù)量較多時(shí)（比如超過100條），為了提升策略加速期間的匹配效率，需要開啟備份加速功能。但是開啟該功能后，新配置的策略需要等待策略備份加速完成后才能生效。

HRP_M[FW-A]policyacceleratestandbyenable

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置策略備份加速。

7.配置NAT Server。

說明：

此處給出的NAT Server配置命令僅作為示例，實(shí)際網(wǎng)絡(luò)環(huán)境中會(huì)在管理組件上配置NAT Server，管理組件將配置數(shù)據(jù)下發(fā)給FW。

在FW_A上的根系統(tǒng)中配置NAT Server。

HRP_M[FW_A]natservernat_server_portal1global117.1.1.1inside10.159.1.100
HRP_M[FW_A]natservernat_server_portal2global117.1.1.2inside10.159.2.100

在FW_A上的虛擬系統(tǒng)vfw1中配置NAT Server。

HRP_M[FW_A]switchvsysvfw1
HRP_Msystem-view
HRP_M[FW_A-vfw1]natservernat_server_vm1global118.1.1.1inside10.159.10.100
HRP_M[FW_A-vfw1]quit
HRP_Mquit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置NAT Server。

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置NAT Server。

8.配置其它網(wǎng)絡(luò)設(shè)備。

案例中重點(diǎn)介紹FW上的配置，其它網(wǎng)絡(luò)設(shè)備上的配置請(qǐng)關(guān)注以下幾個(gè)配置項(xiàng)：

上行路由器上要配置去往虛擬機(jī)和Portal系統(tǒng)的Global地址的路由，下一跳為CE12800。

在CE12800上配置OSPF時(shí)，在OSPF進(jìn)程中要配置default-route-advertise always命令。

CE6800二層透?jìng)鲌?bào)文，配置二層轉(zhuǎn)發(fā)即可。

結(jié)果驗(yàn)證

在FW_A和FW_B上使用display hrp state命令查看當(dāng)前HRP的狀態(tài)，可以看到HRP狀態(tài)正常。

Internet上的企業(yè)用戶可以正常訪問虛擬機(jī)業(yè)務(wù)。

Internet上的企業(yè)用戶可以正常訪問Portal系統(tǒng)。

FW_A的GE1/0/2.1接口上執(zhí)行shutdown命令，模擬鏈路故障，發(fā)現(xiàn)主備正常倒換，業(yè)務(wù)不會(huì)中斷。

方案二：交換機(jī)作為網(wǎng)關(guān)典型組網(wǎng)

云計(jì)算網(wǎng)絡(luò)組網(wǎng)圖

云計(jì)算網(wǎng)絡(luò)中主要有如下幾個(gè)需求：

對(duì)外網(wǎng)企業(yè)用戶訪問虛擬機(jī)和Portal系統(tǒng)的行為進(jìn)行控制，僅允許訪問業(yè)務(wù)的流量通過。

提高設(shè)備的可靠性，不能因?yàn)橐慌_(tái)設(shè)備出現(xiàn)故障而導(dǎo)致業(yè)務(wù)中斷。

防火墻旁掛在核心交換機(jī)CE12800上，使用如下特性來滿足上述需求：

業(yè)務(wù)規(guī)劃

如圖所示，F(xiàn)W旁掛在CE12800上，工作在三層轉(zhuǎn)發(fā)模式。CE12800上配置VRF功能，虛擬成連接上行的交換機(jī)（根交換機(jī)Public）和連接下行的交換機(jī)（多個(gè)虛擬交換機(jī)VRF）。FW與CE12800的根交換機(jī)Public和虛擬交換機(jī)VRF之間都運(yùn)行VRRP，CE12800上VRRP的虛擬IP地址作為虛擬機(jī)和Portal系統(tǒng)的網(wǎng)關(guān)。外網(wǎng)企業(yè)用戶訪問虛擬機(jī)和Portal系統(tǒng)的流量經(jīng)過CE12800的根交換機(jī)Public轉(zhuǎn)發(fā)至FW處理后，再經(jīng)過CE12800的虛擬交換機(jī)VRF轉(zhuǎn)發(fā)至虛擬機(jī)和Portal；回程流量則經(jīng)過CE12800的虛擬交換機(jī)VRF轉(zhuǎn)發(fā)至FW處理后，再經(jīng)過CE12800的根交換機(jī)Public發(fā)送出去。

FW旁掛連接示意圖

詳細(xì)的規(guī)劃情況在下面逐一介紹。

接口和安全區(qū)域

下面以FW_A和CE12800_A為例，介紹兩者之間的連接情況。

如圖所示，F(xiàn)W_A上的GE1/0/1接口與CE12800_A上的10GE1/1/0/1接口相連，詳細(xì)的連接情況如下：

CE12800_A上的10GE1/1/0/1接口為Trunk口，允許多個(gè)VLAN的報(bào)文通過，在每個(gè)Vlanif接口上都配置IP地址，邏輯上與FW_A上相應(yīng)的子接口連接。

FW_A上的GE1/0/1接口連接示意圖

如圖所示，F(xiàn)W_A上的GE1/0/2接口與CE12800_A上的10GE1/1/0/2接口相連，詳細(xì)的連接情況如下：

CE12800_A上的10GE1/1/0/2接口為Trunk口，允許兩個(gè)VLAN的報(bào)文通過，在每個(gè)Vlanif接口上都配置IP地址，邏輯上與FW_A上相應(yīng)的子接口連接。

FW_A上的GE1/0/2接口連接示意圖

如圖所示，F(xiàn)W_A上的GE1/0/3接口與CE12800_A上的10GE1/1/0/3接口相連，詳細(xì)的連接情況如下：

CE12800_A上的10GE1/1/0/3接口為Trunk口，允許多個(gè)VLAN的報(bào)文通過，在每個(gè)Vlanif接口上都配置IP地址，邏輯上與FW_A上相應(yīng)的子接口連接。

FW_A上的GE1/0/3接口連接示意圖

FW_B和CE12800_B之間的連接情況與上面的內(nèi)容相同，只是IP地址有所區(qū)別，此處不再贅述。

虛擬機(jī)之間的互訪需求，可以通過訪問各自的公網(wǎng)地址，互訪報(bào)文經(jīng)過CE12800轉(zhuǎn)發(fā)來實(shí)現(xiàn)。

配置步驟

前提條件

虛擬系統(tǒng)的License文件已經(jīng)申請(qǐng)，并在FW_A和FW_B上成功激活。

操作步驟

1.配置接口和安全區(qū)域。

在FW_A上創(chuàng)建子接口。

system-view
[FW_A]interfaceGigabitEthernet1/0/1.10
[FW_A-GigabitEthernet1/0/1.10]quit
[FW_A]interfaceGigabitEthernet1/0/1.11
[FW_A-GigabitEthernet1/0/1.11]quit
[FW_A]interfaceGigabitEthernet1/0/1.1000
[FW_A-GigabitEthernet1/0/1.1000]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]quit
[FW_A]interfaceGigabitEthernet1/0/3.10
[FW_A-GigabitEthernet1/0/3.10]quit
[FW_A]interfaceGigabitEthernet1/0/3.11
[FW_A-GigabitEthernet1/0/3.11]quit

在FW_B上創(chuàng)建子接口。

system-view
[FW_B]interfaceGigabitEthernet1/0/1.10
[FW_B-GigabitEthernet1/0/1.10]quit
[FW_B]interfaceGigabitEthernet1/0/1.11
[FW_B-GigabitEthernet1/0/1.11]quit
[FW_B]interfaceGigabitEthernet1/0/1.1000
[FW_B-GigabitEthernet1/0/1.1000]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]quit
[FW_B]interfaceGigabitEthernet1/0/3.10
[FW_B-GigabitEthernet1/0/3.10]quit
[FW_B]interfaceGigabitEthernet1/0/3.11
[FW_B-GigabitEthernet1/0/3.11]quit

在FW_A上配置Eth-Trunk接口。

[FW_A]interfaceEth-Trunk1
[FW_A-Eth-Trunk1]ipaddress10.1.1.130
[FW_A-Eth-Trunk1]quit
[FW_A]interfaceGigabitEthernet2/0/1
[FW_A-GigabitEthernet2/0/1]eth-trunk1
[FW_A-GigabitEthernet2/0/1]quit
[FW_A]interfaceGigabitEthernet2/0/2
[FW_A-GigabitEthernet2/0/2]eth-trunk1
[FW_A-GigabitEthernet2/0/2]quit

在FW_B上配置Eth-Trunk接口。

[FW_B]interfaceEth-Trunk1
[FW_B-Eth-Trunk1]ipaddress10.1.1.230
[FW_B-Eth-Trunk1]quit
[FW_B]interfaceGigabitEthernet2/0/1
[FW_B-GigabitEthernet2/0/1]eth-trunk1
[FW_B-GigabitEthernet2/0/1]quit
[FW_B]interfaceGigabitEthernet2/0/2
[FW_B-GigabitEthernet2/0/2]eth-trunk1
[FW_B-GigabitEthernet2/0/2]quit

在FW_A上為根系統(tǒng)接口配置IP地址，并將接口加入根系統(tǒng)的安全區(qū)域。

[FW_A]interfaceGigabitEthernet1/0/1.1000
[FW_A-GigabitEthernet1/0/1.1000]ipaddress172.16.9.25224
[FW_A-GigabitEthernet1/0/1.1000]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]ipaddress10.159.1.25224
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]ipaddress10.159.2.25224
[FW_A-GigabitEthernet1/0/2.2]quit
[FW_A]firewallzonetrust
[FW_A-zone-trust]addinterfaceGigabitEthernet1/0/3
[FW_A-zone-trust]quit
[FW_A]firewallzoneuntrust
[FW_A-zone-untrust]addinterfaceGigabitEthernet1/0/1
[FW_A-zone-untrust]addinterfaceGigabitEthernet1/0/1.1000
[FW_A-zone-untrust]quit
[FW_A]firewallzonedmz
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2.1
[FW_A-zone-dmz]addinterfaceGigabitEthernet1/0/2.2
[FW_A-zone-dmz]quit
[FW_A]firewallzonenamehrpzone
[FW_A-zone-hrpzone]setpriority65
[FW_A-zone-hrpzone]addinterfaceEth-Trunk1
[FW_A-zone-hrpzone]quit

在FW_B上為根系統(tǒng)接口配置IP地址，并將接口加入根系統(tǒng)的安全區(qū)域。

[FW_B]interfaceGigabitEthernet1/0/1.1000
[FW_B-GigabitEthernet1/0/1.1000]ipaddress172.16.9.25324
[FW_B-GigabitEthernet1/0/1.1000]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]ipaddress10.159.1.25324
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]ipaddress10.159.2.25324
[FW_B-GigabitEthernet1/0/2.2]quit
[FW_B]firewallzonetrust
[FW_B-zone-trust]addinterfaceGigabitEthernet1/0/3
[FW_B-zone-trust]quit
[FW_B]firewallzoneuntrust
[FW_B-zone-untrust]addinterfaceGigabitEthernet1/0/1
[FW_B-zone-untrust]addinterfaceGigabitEthernet1/0/1.1000
[FW_B-zone-untrust]quit
[FW_B]firewallzonedmz
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2.1
[FW_B-zone-dmz]addinterfaceGigabitEthernet1/0/2.2
[FW_B-zone-dmz]quit
[FW_B]firewallzonenamehrpzone
[FW_B-zone-hrpzone]setpriority65
[FW_B-zone-hrpzone]addinterfaceEth-Trunk1
[FW_B-zone-hrpzone]quit

2.配置虛擬系統(tǒng)。

在FW_A上開啟虛擬系統(tǒng)功能。

[FW_A]vsysenable

在FW_B上開啟虛擬系統(tǒng)功能。

[FW_B]vsysenable

在FW_A上配置資源類。

[FW_A]resource-classvfw1_car
[FW_A-resource-class-vfw1_car]resource-item-limitbandwidth100entire
[FW_A-resource-class-vfw1_car]quit
[FW_A]resource-classvfw2_car
[FW_A-resource-class-vfw2_car]resource-item-limitbandwidth100entire
[FW_A-resource-class-vfw2_car]quit

在FW_B上配置資源類。

[FW_B]resource-classvfw1_car
[FW_B-resource-class-vfw1_car]resource-item-limitbandwidth100entire
[FW_B-resource-class-vfw1_car]quit
[FW_B]resource-classvfw2_car
[FW_B-resource-class-vfw2_car]resource-item-limitbandwidth100entire
[FW_B-resource-class-vfw2_car]quit

在FW_A上創(chuàng)建虛擬系統(tǒng)，并為虛擬系統(tǒng)分配資源。

[FW_A]vsysnamevfw1
[FW_A-vsys-vfw1]assignresource-classvfw1_car
[FW_A-vsys-vfw1]assigninterfaceGigabitEthernet1/0/1.10
[FW_A-vsys-vfw1]assigninterfaceGigabitEthernet1/0/3.10
[FW_A-vsys-vfw1]assignglobal-ip118.1.1.1118.1.1.1exclusive
[FW_A-vsys-vfw1]quit
[FW_A]vsysnamevfw2
[FW_A-vsys-vfw2]assignresource-classvfw2_car
[FW_A-vsys-vfw2]assigninterfaceGigabitEthernet1/0/1.11
[FW_A-vsys-vfw2]assigninterfaceGigabitEthernet1/0/3.11
[FW_A-vsys-vfw2]assignglobal-ip118.1.1.2118.1.1.2exclusive
[FW_A-vsys-vfw2]quit

在FW_B上創(chuàng)建虛擬系統(tǒng)，并為虛擬系統(tǒng)分配資源。

[FW_B]vsysnamevfw1
[FW_B-vsys-vfw1]assignresource-classvfw1_car
[FW_B-vsys-vfw1]assigninterfaceGigabitEthernet1/0/1.10
[FW_B-vsys-vfw1]assigninterfaceGigabitEthernet1/0/3.10
[FW_B-vsys-vfw1]assignglobal-ip118.1.1.1118.1.1.1exclusive
[FW_B-vsys-vfw1]quit
[FW_B]vsysnamevfw2
[FW_B-vsys-vfw2]assignresource-classvfw2_car
[FW_B-vsys-vfw2]assigninterfaceGigabitEthernet1/0/1.11
[FW_B-vsys-vfw2]assigninterfaceGigabitEthernet1/0/3.11
[FW_B-vsys-vfw2]assignglobal-ip118.1.1.2118.1.1.2exclusive
[FW_B-vsys-vfw2]quit

在FW_A上的虛擬系統(tǒng)vfw1中配置接口的IP地址，并將接口加入安全區(qū)域。

[FW_A]switchvsysvfw1
system-view
[FW_A-vfw1]interfaceGigabitEthernet1/0/1.10
[FW_A-vfw1-GigabitEthernet1/0/1.10]ipaddress172.16.10.25224
[FW_A-vfw1-GigabitEthernet1/0/1.10]quit
[FW_A-vfw1]interfaceGigabitEthernet1/0/3.10
[FW_A-vfw1-GigabitEthernet1/0/3.10]ipaddress10.159.10.25224
[FW_A-vfw1-GigabitEthernet1/0/3.10]quit
[FW_A-vfw1]firewallzoneuntrust
[FW_A-vfw1-zone-untrust]addinterfaceGigabitEthernet1/0/1.10
[FW_A-vfw1-zone-untrust]quit
[FW_A-vfw1]firewallzonetrust
[FW_A-vfw1-zone-trust]addinterfaceGigabitEthernet1/0/3.10
[FW_A-vfw1-zone-trust]quit
[FW_A-vfw1]quit
quit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置接口的IP地址，并將接口加入安全區(qū)域。

在FW_B上的虛擬系統(tǒng)vfw1中配置接口的IP地址，并將接口加入安全區(qū)域。

[FW_B]switchvsysvfw1
system-view
[FW_B-vfw1]interfaceGigabitEthernet1/0/1.10
[FW_B-vfw1-GigabitEthernet1/0/1.10]ipaddress172.16.10.25324
[FW_B-vfw1-GigabitEthernet1/0/1.10]quit
[FW_B-vfw1]interfaceGigabitEthernet1/0/3.10
[FW_B-vfw1-GigabitEthernet1/0/3.10]ipaddress10.159.10.25324
[FW_B-vfw1-GigabitEthernet1/0/3.10]quit
[FW_B-vfw1]firewallzoneuntrust
[FW_B-vfw1-zone-untrust]addinterfaceGigabitEthernet1/0/1.10
[FW_B-vfw1-zone-untrust]quit
[FW_B-vfw1]firewallzonetrust
[FW_B-vfw1-zone-trust]addinterfaceGigabitEthernet1/0/3.10
[FW_B-vfw1-zone-trust]quit
[FW_B-vfw1]quit
quit

參考上述步驟，在FW_B上的虛擬系統(tǒng)vfw2中配置接口的IP地址，并將接口加入安全區(qū)域。

3.配置路由。

在FW_A上配置根系統(tǒng)的路由。

[FW_A]iproute-static0.0.0.00.0.0.0172.16.9.251
[FW_A]iproute-static117.1.1.132NULL0
[FW_A]iproute-static117.1.1.232NULL0
[FW_A]iproute-static10.160.1.02410.159.1.251
[FW_A]iproute-static10.160.2.02410.159.2.251

在FW_B上配置根系統(tǒng)的路由。

[FW_B]iproute-static0.0.0.00.0.0.0172.16.9.251
[FW_B]iproute-static117.1.1.132NULL0
[FW_B]iproute-static117.1.1.232NULL0
[FW_B]iproute-static10.160.1.02410.159.1.251
[FW_B]iproute-static10.160.2.02410.159.2.251

在FW_A上配置虛擬系統(tǒng)的路由。

[FW_A]switchvsysvfw1
system-view
[FW_A-vfw1]iproute-static0.0.0.00.0.0.0172.16.10.251
[FW_A-vfw1]iproute-static118.1.1.132NULL0
[FW_A-vfw1]iproute-static10.160.10.02410.159.10.251
[FW_A-vfw1]quit
quit
[FW_A]switchvsysvfw2
system-view
[FW_A-vfw2]iproute-static0.0.0.00.0.0.0172.16.11.251
[FW_A-vfw2]iproute-static118.1.1.232NULL0
[FW_A-vfw2]iproute-static10.160.11.02410.159.11.251
[FW_A-vfw2]quit
quit

在FW_B上配置虛擬系統(tǒng)的路由。

[FW_B]switchvsysvfw1
system-view
[FW_B-vfw1]iproute-static0.0.0.00.0.0.0172.16.10.251
[FW_B-vfw1]iproute-static118.1.1.132NULL0
[FW_B-vfw1]iproute-static10.160.10.02410.159.10.251
[FW_B-vfw1]quit
quit
[FW_B]switchvsysvfw2
system-view
[FW_B-vfw2]iproute-static0.0.0.00.0.0.0172.16.11.251
[FW_B-vfw2]iproute-static118.1.1.232NULL0
[FW_B-vfw2]iproute-static10.160.11.02410.159.11.251
[FW_B-vfw2]quit
quit

4.配置雙機(jī)熱備。

在FW_A上配置VRRP備份組，并將其狀態(tài)設(shè)置為Active。

[FW_A]interfaceGigabitEthernet1/0/1.10
[FW_A-GigabitEthernet1/0/1.10]vlan-typedot1q10
[FW_A-GigabitEthernet1/0/1.10]vrrpvrid10virtual-ip172.16.10.254active
[FW_A-GigabitEthernet1/0/1.10]quit
[FW_A]interfaceGigabitEthernet1/0/1.11
[FW_A-GigabitEthernet1/0/1.11]vlan-typedot1q11
[FW_A-GigabitEthernet1/0/1.11]vrrpvrid11virtual-ip172.16.11.254active
[FW_A-GigabitEthernet1/0/1.11]quit
[FW_A]interfaceGigabitEthernet1/0/1.1000
[FW_A-GigabitEthernet1/0/1.1000]vlan-typedot1q9
[FW_A-GigabitEthernet1/0/1.1000]vrrpvrid9virtual-ip172.16.9.254active
[FW_A-GigabitEthernet1/0/1.1000]quit
[FW_A]interfaceGigabitEthernet1/0/3.10
[FW_A-GigabitEthernet1/0/3.10]vlan-typedot1q10
[FW_A-GigabitEthernet1/0/3.10]vrrpvrid110virtual-ip10.159.10.254active
[FW_A-GigabitEthernet1/0/3.10]quit
[FW_A]interfaceGigabitEthernet1/0/3.11
[FW_A-GigabitEthernet1/0/3.11]vlan-typedot1q11
[FW_A-GigabitEthernet1/0/3.11]vrrpvrid111virtual-ip10.159.11.254active
[FW_A-GigabitEthernet1/0/3.11]quit
[FW_A]interfaceGigabitEthernet1/0/2.1
[FW_A-GigabitEthernet1/0/2.1]vlan-typedot1q1
[FW_A-GigabitEthernet1/0/2.1]vrrpvrid1virtual-ip10.159.1.254active
[FW_A-GigabitEthernet1/0/2.1]quit
[FW_A]interfaceGigabitEthernet1/0/2.2
[FW_A-GigabitEthernet1/0/2.2]vlan-typedot1q2
[FW_A-GigabitEthernet1/0/2.2]vrrpvrid2virtual-ip10.159.2.254active
[FW_A-GigabitEthernet1/0/2.2]quit

在FW_A上指定心跳口并啟用雙機(jī)熱備功能。

[FW_A]hrpinterfaceEth-Trunk1remote10.1.1.2
[FW_A]hrpenable

在FW_B上配置VRRP備份組，并將其狀態(tài)設(shè)置為Standby。

[FW_B]interfaceGigabitEthernet1/0/1.10
[FW_B-GigabitEthernet1/0/1.10]vlan-typedot1q10
[FW_B-GigabitEthernet1/0/1.10]vrrpvrid10virtual-ip172.16.10.254standby
[FW_B-GigabitEthernet1/0/1.10]quit
[FW_B]interfaceGigabitEthernet1/0/1.11
[FW_B-GigabitEthernet1/0/1.11]vlan-typedot1q11
[FW_B-GigabitEthernet1/0/1.11]vrrpvrid11virtual-ip172.16.11.254standby
[FW_B-GigabitEthernet1/0/1.11]quit
[FW_B]interfaceGigabitEthernet1/0/1.1000
[FW_B-GigabitEthernet1/0/1.1000]vlan-typedot1q9
[FW_B-GigabitEthernet1/0/1.1000]vrrpvrid9virtual-ip172.16.9.254standby
[FW_B-GigabitEthernet1/0/1.1000]quit
[FW_B]interfaceGigabitEthernet1/0/3.10
[FW_B-GigabitEthernet1/0/3.10]vlan-typedot1q10
[FW_B-GigabitEthernet1/0/3.10]vrrpvrid110virtual-ip10.159.10.254standby
[FW_B-GigabitEthernet1/0/3.10]quit
[FW_B]interfaceGigabitEthernet1/0/3.11
[FW_B-GigabitEthernet1/0/3.11]vlan-typedot1q11
[FW_B-GigabitEthernet1/0/3.11]vrrpvrid111virtual-ip10.159.11.254standby
[FW_B-GigabitEthernet1/0/3.11]quit
[FW_B]interfaceGigabitEthernet1/0/2.1
[FW_B-GigabitEthernet1/0/2.1]vlan-typedot1q1
[FW_B-GigabitEthernet1/0/2.1]vrrpvrid1virtual-ip10.159.1.254standby
[FW_B-GigabitEthernet1/0/2.1]quit
[FW_B]interfaceGigabitEthernet1/0/2.2
[FW_B-GigabitEthernet1/0/2.2]vlan-typedot1q2
[FW_B-GigabitEthernet1/0/2.2]vrrpvrid2virtual-ip10.159.2.254standby
[FW_B-GigabitEthernet1/0/2.2]quit

在FW_B上指定心跳口并啟用雙機(jī)熱備功能。

[FW_B]hrpinterfaceEth-Trunk1remote10.1.1.1
[FW_B]hrpenable

5.配置安全策略。

在FW_A上的根系統(tǒng)中配置安全策略。

HRP_M[FW_A]security-policy
HRP_M[FW_A-policy-security]rulenamesec_portal
HRP_M[FW_A-policy-security-rule-sec_portal]source-zoneuntrust
HRP_M[FW_A-policy-security-rule-sec_portal]destination-zonedmz
HRP_M[FW_A-policy-security-rule-sec_portal]destination-address10.160.0.016
HRP_M[FW_A-policy-security-rule-sec_portal]actionpermit
HRP_M[FW_A-policy-security-rule-sec_portal]profileavdefault
HRP_M[FW_A-policy-security-rule-sec_portal]profileipsdefault
HRP_M[FW_A-policy-security-rule-sec_portal]quit
HRP_M[FW_A-policy-security]quit

在FW_A上的虛擬系統(tǒng)vfw1中配置安全策略。

HRP_M[FW_A]switchvsysvfw1
HRP_Msystem-view
HRP_M[FW_A-vfw1]security-policy
HRP_M[FW_A-vfw1-policy-security]rulenamesec_vm1
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]source-zoneuntrust
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]destination-zonetrust
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]destination-address10.160.10.024
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]profileavdefault
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]profileipsdefault
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]actionpermit
HRP_M[FW_A-vfw1-policy-security-rule-sec_vm1]quit
HRP_M[FW_A-vfw1-policy-security]quit
HRP_M[FW_A-vfw1]quit
HRP_Mquit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置安全策略。

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置安全策略。

6.配置策略備份加速。

當(dāng)策略數(shù)量較多時(shí)（比如超過100條），為了提升策略加速期間的匹配效率，需要開啟備份加速功能。但是開啟該功能后，新配置的策略需要等待策略備份加速完成后才能生效。HRP_M[FW-A] policy accelerate standby enable

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置策略備份加速。

7.配置NAT Server。

說明：此處給出的NAT Server配置命令僅作為示例，實(shí)際網(wǎng)絡(luò)環(huán)境中會(huì)在管理組件上配置NAT Server，管理組件將配置數(shù)據(jù)下發(fā)給FW。

在FW_A上的根系統(tǒng)中配置NAT Server。

HRP_M[FW_A]natservernat_server_portal1global117.1.1.1inside10.160.1.100
HRP_M[FW_A]natservernat_server_portal2global117.1.1.2inside10.160.2.100

在FW_A上的虛擬系統(tǒng)vfw1中配置NAT Server。

HRP_M[FW_A]switchvsysvfw1
HRP_Msystem-view
HRP_M[FW_A-vfw1]natservernat_server_vm1global118.1.1.1inside10.160.10.100
HRP_M[FW_A-vfw1]quit
HRP_Mquit

參考上述步驟，在FW_A上的虛擬系統(tǒng)vfw2中配置NAT Server。

雙機(jī)熱備狀態(tài)形成后，F(xiàn)W_A上的配置會(huì)自動(dòng)同步到FW_B上，因此無需在FW_B上手動(dòng)配置NAT Server。

8.配置其它網(wǎng)絡(luò)設(shè)備。

本案例中重點(diǎn)介紹FW上的配置，其它網(wǎng)絡(luò)設(shè)備上的配置請(qǐng)關(guān)注以下幾個(gè)配置項(xiàng)：

上行路由器與CE12800之間運(yùn)行OSPF路由協(xié)議，通過OSPF學(xué)習(xí)到去往虛擬機(jī)和Portal系統(tǒng)的公網(wǎng)地址的路由，下一跳為CE12800。

CE12800上配置多個(gè)虛擬交換機(jī)VRF，并將vlanif與相應(yīng)的VRF綁定，然后在vlanif上配置VRRP。另外，CE12800上還需要在根交換機(jī)Pulic中配置去往虛擬機(jī)和Portal系統(tǒng)的公網(wǎng)地址的靜態(tài)路由，下一跳指向FW上的VRRP虛擬IP地址；在各個(gè)虛擬交換機(jī)VRF中配置缺省路由，下一跳也指向FW上相應(yīng)的VRRP虛擬IP地址。

CE6800二層透?jìng)鲌?bào)文，配置二層轉(zhuǎn)發(fā)即可。

結(jié)果驗(yàn)證

在FW_A和FW_B上使用display hrp state命令查看當(dāng)前HRP的狀態(tài)，可以看到HRP狀態(tài)正常。

Internet上的企業(yè)用戶可以正常訪問虛擬機(jī)業(yè)務(wù)。

Internet上的企業(yè)用戶可以正常訪問Portal系統(tǒng)。

FW_A的GE1/0/1.10接口上執(zhí)行shutdown命令，模擬鏈路故障，發(fā)現(xiàn)主備正常倒換，業(yè)務(wù)不會(huì)中斷。

方案總結(jié)與建議FW上配置了虛擬系統(tǒng)特性，每一個(gè)虛擬系統(tǒng)對(duì)應(yīng)一個(gè)虛擬機(jī)業(yè)務(wù)。通過虛擬系統(tǒng)對(duì)虛擬機(jī)進(jìn)行隔離，還可以在虛擬系統(tǒng)中配置安全策略，實(shí)現(xiàn)訪問控制。

FW與CE12800相連的接口數(shù)量有限，因此創(chuàng)建了多個(gè)子接口。子接口被劃分到根系統(tǒng)和虛擬系統(tǒng)中，使用比較靈活。

方案一中，在FW上配置OSPF時(shí)，由于虛擬系統(tǒng)中無法直接配置OSPF，所以必須在根系統(tǒng)中配置OSPF綁定虛擬系統(tǒng)對(duì)應(yīng)的VPN實(shí)例。

方案二中，CE12800上要配置VRF功能，虛擬成連接上行的交換機(jī)（根交換機(jī)Public）和連接下行的交換機(jī)（多個(gè)虛擬交換機(jī)VRF）。FW與CE12800的根交換機(jī)Public和虛擬交換機(jī)VRF之間都運(yùn)行VRRP。

審核編輯：郭婷

聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場(chǎng)。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請(qǐng)聯(lián)系本站處理。舉報(bào)投訴

云計(jì)算

云計(jì)算

+關(guān)注

關(guān)注
39

文章
7860

瀏覽量
137873
交換機(jī)

交換機(jī)

+關(guān)注

關(guān)注
21

文章
2656

瀏覽量
100180
虛擬機(jī)

虛擬機(jī)

+關(guān)注

關(guān)注
1

文章
940

瀏覽量
28427

原文標(biāo)題：防火墻在云計(jì)算安全方案中的應(yīng)用，兩種方案提供選擇

文章出處：【微信號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈，微信公眾號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。

評(píng)論

相關(guān)推薦

云服務(wù)器防火墻關(guān)閉會(huì)怎么樣？

云服務(wù)器防火墻關(guān)閉會(huì)怎么樣？關(guān)閉云服務(wù)器防火墻將增加安全風(fēng)險(xiǎn)，使服務(wù)器易受攻擊，服務(wù)穩(wěn)定性下降，可能導(dǎo)致數(shù)據(jù)泄露和服務(wù)中斷。同時(shí)，這可能違反

發(fā)表于 01-23 11:30 ?94次閱讀

華為Flexus云服務(wù)器搭建SamWaf開源輕量級(jí)網(wǎng)站防火墻

在當(dāng)今數(shù)字化高速發(fā)展的時(shí)代，網(wǎng)絡(luò)安全問題日益凸顯。為了保障網(wǎng)站的穩(wěn)定運(yùn)行和數(shù)據(jù)安全，我們可以借助華為 Flexus 云服務(wù)器搭建 SamWaf 開源輕量級(jí)網(wǎng)站防火墻。這不僅是一次技術(shù)的

發(fā)表于 12-29 16:59 ?306次閱讀

華為Flexus<b class='flag-5'>云</b>服務(wù)器搭建SamWaf開源輕量級(jí)網(wǎng)站<b class='flag-5'>防火墻</b>

云防火墻和web應(yīng)用防火墻詳細(xì)介紹

云防火墻和Web應(yīng)用防火墻是兩種不同的網(wǎng)絡(luò)安全工具，它們在多個(gè)方面存在顯著的區(qū)別，同時(shí)也在各自的

發(fā)表于 12-19 10:14 ?127次閱讀

云服務(wù)器防火墻設(shè)置方法

云服務(wù)器防火墻的設(shè)置方法通常包括：第一步：登錄控制臺(tái)，第二步：配置安全組規(guī)則，第三步：添加和編輯規(guī)則，第四步：?jiǎn)⒂没蛲Ｓ靡?guī)則，第五步：保存并應(yīng)用配置。云服務(wù)器

發(fā)表于 11-05 09:34 ?219次閱讀

ubuntu防火墻規(guī)則之ufw

因公司項(xiàng)目的需求，需要對(duì)客戶端機(jī)器簡(jiǎn)便使用防火墻的功能，所以可在頁(yè)面進(jìn)行簡(jiǎn)便設(shè)置防護(hù)墻規(guī)則，當(dāng)然，這個(gè)功能需求放到我手上我才有機(jī)會(huì)學(xué)到。因?yàn)榭蛻舳藱C(jī)器都是ubuntu的，所以當(dāng)然用了ubuntu特有

發(fā)表于 10-31 10:22 ?300次閱讀

Juniper防火墻配置NAT映射的問題分析

記錄一下Juniper SSG或者ISG 系列防火墻上配置一對(duì)多NAT映射 VIP（Viritual Internet Protocol）時(shí)碰到的一個(gè)特殊的問題，就是在內(nèi)部服務(wù)器ICMP報(bào)文被阻斷

發(fā)表于 10-29 09:55 ?459次閱讀

Juniper<b class='flag-5'>防火墻</b>配置NAT映射的問題分析

硬件防火墻和軟件防火墻區(qū)別

電子發(fā)燒友網(wǎng)站提供《硬件防火墻和軟件防火墻區(qū)別.doc》資料免費(fèi)下載

發(fā)表于 10-21 11:03 ?1次下載

物通博聯(lián)工業(yè)智能網(wǎng)關(guān)實(shí)現(xiàn)防火墻配置及應(yīng)用

隨著工業(yè)信息化建設(shè)不斷發(fā)展及“兩化”進(jìn)程不斷深入，工業(yè)網(wǎng)絡(luò)面臨的傳統(tǒng)安全威脅和工控網(wǎng)絡(luò)特有安全威脅在不斷增加。通過部署防火墻，能夠禁止不被允許的設(shè)備進(jìn)行訪問，有效降低網(wǎng)絡(luò)被入侵、數(shù)據(jù)泄

發(fā)表于 09-14 17:11 ?412次閱讀

物通博聯(lián)工業(yè)智能網(wǎng)關(guān)實(shí)現(xiàn)<b class='flag-5'>防火墻</b>配置及應(yīng)用

J721E DDR防火墻示例

電子發(fā)燒友網(wǎng)站提供《J721E DDR防火墻示例.pdf》資料免費(fèi)下載

發(fā)表于 08-23 09:26 ?0次下載

防火墻和堡壘服務(wù)器的區(qū)別

設(shè)備和技術(shù)手段，其中，防火墻和堡壘服務(wù)器是最為常見和重要的兩種設(shè)備。盡管它們的最終目標(biāo)都是為了保護(hù)網(wǎng)絡(luò)和信息安全，但二者在概念、原理、功能和應(yīng)用場(chǎng)景方面有著顯著的區(qū)別。本文將詳細(xì)探討防火墻

發(fā)表于 08-13 16:34 ?442次閱讀

IR700與SSG5防火墻如何建立VPN模板？

防火墻配置登錄用戶名和密碼：設(shè)置WAN接口編輯“ethernet0/0”接口設(shè)置LAN接口編輯“bgroup0” 設(shè)置DNS 設(shè)置DHCP 點(diǎn)擊編輯“broup0

發(fā)表于 07-26 08:12

深信服防火墻和IR700建立IPSec VPN的配置說明

深信服防火墻和IR700建立IPSec VPN 配置說明本文檔針對(duì)深信服防火墻 的常規(guī)使用以及與無線路由器InRouter配合使用時(shí)（主要是建IPSec VPN）雙方的相關(guān)配置而編寫注：并未

發(fā)表于 07-26 07:43

EMC與EMI濾波器：守護(hù)電子設(shè)備的電磁防火墻

深圳比創(chuàng)達(dá)電子EMC｜EMC與EMI濾波器：守護(hù)電子設(shè)備的電磁防火墻

發(fā)表于 06-19 10:20 ?570次閱讀

工業(yè)防火墻是什么？工業(yè)防火墻主要用在哪里？

工業(yè)防火墻是一種專為工業(yè)控制系統(tǒng)(Industrial Control Systems, ICS)設(shè)計(jì)的網(wǎng)絡(luò)安全設(shè)備，它結(jié)合了硬件與軟件技術(shù)，用以保護(hù)工業(yè)生產(chǎn)環(huán)境中的關(guān)鍵基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊。工業(yè)

發(fā)表于 03-26 15:35 ?1415次閱讀

淺析Centos7 防火墻技術(shù)示例

iptables防火墻由Netfilter項(xiàng)目開發(fā)，自2001年1月在Linux2.4內(nèi)核發(fā)布以來就是Linux的一部分了。

發(fā)表于 03-11 17:27 ?447次閱讀

在线观看www成人影院-在线观看www日本免费网站-在线观看www视频-在线观看操-欧美18在线-欧美1级

搜索歷史

防火墻在云計(jì)算安全方案中的應(yīng)用方案

評(píng)論

云服務(wù)器防火墻關(guān)閉會(huì)怎么樣？

華為Flexus云服務(wù)器搭建SamWaf開源輕量級(jí)網(wǎng)站防火墻

云防火墻和web應(yīng)用防火墻詳細(xì)介紹

云服務(wù)器防火墻設(shè)置方法

ubuntu防火墻規(guī)則之ufw

Juniper防火墻配置NAT映射的問題分析

硬件防火墻和軟件防火墻區(qū)別

物通博聯(lián)工業(yè)智能網(wǎng)關(guān)實(shí)現(xiàn)防火墻配置及應(yīng)用

J721E DDR防火墻示例

防火墻和堡壘服務(wù)器的區(qū)別

IR700與SSG5防火墻如何建立VPN模板？

深信服防火墻和IR700建立IPSec VPN的配置說明

EMC與EMI濾波器：守護(hù)電子設(shè)備的電磁防火墻

工業(yè)防火墻是什么？工業(yè)防火墻主要用在哪里？

淺析Centos7 防火墻技術(shù)示例