防火墙实训需求分析与方案设计课件

信息安全产品配置与应用Configurationand

ApplicationofInformationSecurityProducts路亚信息安全产品配置与应用路亚1任务目标任务1：学习使用防火墙设备设计网络安全方案子任务A：需求分析子任务B：方案设计任务2：学习防火墙中实际部署中的配置子任务A：防火墙部署策略设计子任务B：防火墙配置学习目标掌握一般网络安全方案设计方法熟悉防火墙配置策略设计了解天融信防火墙实际操作本讲任务与学习目标任务目标本讲任务与学习目标2需求分析的基本过程了解现状分析现状确定需求（目标）了解分析确定需求分析的基本过程了解现状分析现状确定需求（目标）了解分析确3需求分析需求分析

是整个活动中非常关键的一个环节，错误的分析，会导致后期工作无法开展

了解现状信息系统情况

网络使用情况

明显存在的问题

分析现状

信息系统的重要性及对网络的依赖性

网络的可靠性

发生风险事件时的影响范围和破坏程度

确定需求

确定用户的真实需求确定网络安全建设目标需求分析需求分析是整个活动中非常关键的一个环节，错误的分析4需求分析—了解现状如何去了解现状？交流、沟通交流什么？沟通什么？是否发生过网络安全事件？要信息系统应用及范围？网络拓扑情况？目前采取了什么样的网络安全防护手段？有什么网络安全规划？今后的信息系统扩展可能会如何？……需求分析—了解现状如何去了解现状？5需求分析—分析现状前提了解到的现状，准确了解到的需求准确分析分析现状情况下，存在的网络安全风险分析风险发生时，可能带来的破坏情况分析如何通过部署网络安全设备，处置上述风险分析部署网络安全设备后的效果分析扩展性和延续性需求分析—分析现状前提6需求分析—了解、分析、确定了解现状、分析现状，实际并没有那么明确的界限，一般是在与客户沟通过程中，穿插进行的。在完成语言的交流后，根据需要进一步以书面方式提交相关报告在完成现状了解、分析后，需求与目标的确定就自然而然的确定了需求分析—了解、分析、确定了解现状、分析现状，实际并没有那7需求分析—举例需求分析—举例8需求分析—了解、分析网络拓扑网络边界不明确，各网络区域混合在一起，之间没有访问控制措施无线接入安全隐患大2个服务器区域（做了基本的区域划分）应用系统内部应用，外部应用互联网访问……需求分析—了解、分析网络拓扑9需求分析—确定目标实现更进一步的网络安全域（区域）的划分实现区域间的网络访问控制实现内网与互联网间的双向访问控制实现互联网对内网服务器区域应用的访问控制实现对无线接入的网络访问控制实现对网络访问行为的

基本日志记录…….需求分析—确定目标实现更进一步的网络安全域（区域）的划分10需求分析—方案设计—方案评审方案评审

：对提交的方案进行分析、审核，是否可以满足需求分析中确定的目标.（客户或专家评审）方案设计

：根据需求分析与目标，设计可以满足要求的网络安全解决方案.需求分析

：根据了解到的现状，分析切实可行的需求.确定最佳解决方案需求分析—方案设计—方案评审方案评审：对提交的方案进行分析11方案设计防火墙的基本功能网络区域逻辑隔离网络区域间（及主机间）的网络访问控制对常见在应用层的入侵攻击行为进行阻断地址转换、路由基本日志记录防火墙的扩展功能用户认证用户访问内容过滤（过滤http、mail等关键字）带宽（连接数）控制……方案设计防火墙的基本功能12方案设计网络安全区域边界确定（或设计）根据网络安全边界，确定防火墙的部署位置需要使用的防火墙功能需要重点保护的服务器及应用的保护方式设计需要配置的防火墙基本安全控制策略设计是否需要启用日志或其他扩展功能依照方案设计，部署防火墙后的效果分析所设计方案的扩展性（包括不足的地方）方案设计网络安全区域边界确定（或设计）13方案设计—举例方案设计—举例14方案设计—举例调整了网络区域边界防火墙部署在多个网络区域连接边界实现了区域间的访问控制……需要启用地址转换、路由功能需要启用对外网服务器区域的入侵防护功能可以实现内网用户访问互联网的内容过滤、带宽控制、并发连接控制等可以实现内网用户与互联网间

访问的双向日志记录……方案设计—举例调整了网络区域边界15设计方案编写使用客户最认可的、容易理解的手段，以文字+图形方式表现出来Word使用能力PPT使用能力Visio使用能力……设计方案编写使用客户最认可的、容易理解的手段，Word使用能16防火墙部署设计—方案目录展示防火墙部署设计—方案目录展示17防火墙实训需求分析与方案设计课件18防火墙部署设计—方案展示方案展示（使用成功方案案例）防火墙部署设计—方案展示方案展示（使用成功方案案例）19任务目标任务1：学习使用防火墙设备设计网络安全方案子任务A：需求分析子任务B：方案设计任务2：学习防火墙中实际部署中的配置子任务A：防火墙配置策略设计子任务B：防火墙配置学习目标掌握一般网络安全方案设计方法熟悉防火墙配置策略设计了解天融信防火墙实际操作本讲任务与学习目标任务目标本讲任务与学习目标20配置策略设计可以不用文字形式表现出来，可以在头脑中策划是不可跳过的一个步骤，不设计防火墙具体的配置策略，如何进行下一步的防火墙配置？（没有乐谱，如何弹奏）策略设计与网络环境、应用情况关系密切，

必须确认真实、准确的防火墙部署与需要实

现的功能要求路由、NAT、访问控制、主机保护……最简

的策略设计，是一堆表格配置策略设计可以不用文字形式表现出来，可以在头脑中策划21配置策略设计—防火墙接口Ip/掩码网关对端设备对端地址说明Eth0【接口地址/掩码】【可以没有】【设备接口】【对端设备地址】【用途】Eth1/240核心交换机E20连接内网Eth2OOOOOEth3OOOOOEth4OOOOO……OXOXO配置策略设计—防火墙接口Ip/掩码网关对端设备对端地址说明E22配置策略设计—防火墙接口设备名称使用的接口对端设备口对端设备名称连接线NGFW4000-UF（服务器区域）Eth0（GBIC多模光口）核心交换机6506光纤Eth1（GBIC多模光口）服务器区汇聚交换机光纤Eth2（GBIC多模光口）PDM服务器光纤Eth3（GBIC多模光口）科技大楼二级交换机光纤NGFW4000Eth0———Eth1（百兆自适应电口）双绞线Eth2（百兆自适应电口）双绞线Eth3———具体案例：配置策略设计—防火墙接口设备名称使用的接口对端设备口对端设备23配置策略设计—路由、NAT通信策略（路由）源地址（网）目的地址（网）下一跳路由接口说明路由1【从哪个地方来】【到哪个地方去】【网关地址】【从哪个接口出去】【用途】路由2/24/24Eth1外网路由路由3OOOOO路由4OOOOO路由5OOOOO……OXOXO配置策略设计—路由、NAT通信策略（路由）源地址（网）目的24配置策略设计—路由、NAT通信策略（NAT）源地址（网）目的地址（网）服务源转换目的转换说明【从哪个地方来】【到哪个地方去】【—】【地址或范围】【地址或均衡组】【用途】/24互联网区域ALL互联网接口地址——访问互联网互联网区域互联网接口地址80/tcp——内网服务器地址互联网访问内网网站OOOOOOOOOOOXOXO配置策略设计—路由、NAT通信策略（NAT）源地址（网）目25配置策略设计—访问控制策略访问控制源地址（网）目的地址（网）服务日志记录深度过滤权限【从哪个地方来】【到哪个地方去】【—】【是否记录】【关键字过滤】【允许/禁止】内网区域互联网区域ALL不记录不过滤允许互联网区域Web服务器80/tcp记录不过滤允许ANYANYALL不记录不过滤禁止OOOOOOXOXO配置策略设计—访问控制策略访问控制源地址（网）目的地址（网）26配置策略设计—其他功能应用用户认证实现对用户通过防火墙访问其他网络的身份认证深度过滤、应用过滤实现对邮件、网页关键字、域名的过滤，禁止访问某一类的网站，收发某一类的邮件……实现对P2P、QQ、PPLive等应用的控制：并发连接、带宽等带宽控制实现对具体IP、网段或应用的带宽占用分配，或优先级设置双击热备提高网络稳定性，避免单机故障造成网络连接中断……配置策略设计—其他功能应用用户认证27防火墙策略配置实践-地址转换基本需求网络卫士防火墙的接口Eth0连接企业内网，内网为/24，Eth0的IP地址为；Eth1连接外网，Eth1的IP地址为。企业可用的公网IP地址范围为-0，网络拓扑结构的示意图如下所示。配置要点定义内网地址资源，可定义的地址资源包括主机地址资源、范围地址资源、子网地址资源、区域和VLAN。定义要转换的公网地址资源。定义源地址转换策略。防火墙策略配置实践-地址转换基本需求28防火墙策略配置实践-地址转换选择资源管理>区域，点击“添加”，定义区域资源。设置内网区域area_eth0与属性eth0绑定且禁止访问。WebUI配置步骤外网区域area_eth1与属性eth1绑定且允许访问。防火墙策略配置实践-地址转换选择资源管理>区域，点击“添29防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理>地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。A）定义NAT主机资源：选择“子网”页签，点击“添加”。WebUI配置步骤防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理30防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理>地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。B）定义NAT地址池：选择“范围”页签，点击“添加。WebUI配置步骤防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理31防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火墙>地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。WebUI配置步骤防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火32防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火墙>地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。A）点击“源”页签，添加NAT规则的源，内部地址资源：子网100.X。如下图所示WebUI配置步骤防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火33防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火墙>地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。B）点击“目的”页签添加NAT规则的目的，外网区域：area_eth1。WebUI配置步骤防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火34防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火墙>地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。C）设置源地址转换为地址池中地址的转换规则，设置为范围地址资源nat-pool。也可以设置转换为固定地址对象的转换规则。WebUI配置步骤防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火35防火墙策略配置实践-地址转换1）定义区域资源#defineareaaddnamearea_eth1accessonattributeeth1#defineareaaddnamearea_eth0accessoffattributeeth02）定义内网地址资源#definesubnetaddname子网100.xipaddrmask3）定义NAT地址池资源#definerangeaddnamenat-poolip1ip204）定义NAT地址转换规则在地址池中动态选择转换后的IP#natpolicyaddsrcareaarea_eth0orig_src子网100.xdstareaarea-eth1trans_srcnat-poolenableyes。CLI配置步骤防火墙策略配置实践-地址转换1）定义区域资源CLI配置步骤36更多实践案例参考演示配置手册上机实践更多实践案例参考演示配置手册37任务目标任务1：学习使用防火墙设备设计网络安全方案子任务A：需求分析子任务B：方案设计任务2：学习防火墙中实际部署中的配置子任务A：防火墙部署策略设计子任务B：防火墙配置学习目标掌握一般网络安全方案设计方法熟悉防火墙配置策略设计了解天融信防火墙实际操作本讲任务与学习目标任务目标本讲任务与学习目标38信息安全产品配置与应用Configurationand

ApplicationofInformationSecurityProducts路亚信息安全产品配置与应用路亚39任务目标任务1：学习使用防火墙设备设计网络安全方案子任务A：需求分析子任务B：方案设计任务2：学习防火墙中实际部署中的配置子任务A：防火墙部署策略设计子任务B：防火墙配置学习目标掌握一般网络安全方案设计方法熟悉防火墙配置策略设计了解天融信防火墙实际操作本讲任务与学习目标任务目标本讲任务与学习目标40需求分析的基本过程了解现状分析现状确定需求（目标）了解分析确定需求分析的基本过程了解现状分析现状确定需求（目标）了解分析确41需求分析需求分析

是整个活动中非常关键的一个环节，错误的分析，会导致后期工作无法开展

了解现状信息系统情况

网络使用情况

明显存在的问题

分析现状

信息系统的重要性及对网络的依赖性

网络的可靠性

发生风险事件时的影响范围和破坏程度

确定需求

确定用户的真实需求确定网络安全建设目标需求分析需求分析是整个活动中非常关键的一个环节，错误的分析42需求分析—了解现状如何去了解现状？交流、沟通交流什么？沟通什么？是否发生过网络安全事件？要信息系统应用及范围？网络拓扑情况？目前采取了什么样的网络安全防护手段？有什么网络安全规划？今后的信息系统扩展可能会如何？……需求分析—了解现状如何去了解现状？43需求分析—分析现状前提了解到的现状，准确了解到的需求准确分析分析现状情况下，存在的网络安全风险分析风险发生时，可能带来的破坏情况分析如何通过部署网络安全设备，处置上述风险分析部署网络安全设备后的效果分析扩展性和延续性需求分析—分析现状前提44需求分析—了解、分析、确定了解现状、分析现状，实际并没有那么明确的界限，一般是在与客户沟通过程中，穿插进行的。在完成语言的交流后，根据需要进一步以书面方式提交相关报告在完成现状了解、分析后，需求与目标的确定就自然而然的确定了需求分析—了解、分析、确定了解现状、分析现状，实际并没有那45需求分析—举例需求分析—举例46需求分析—了解、分析网络拓扑网络边界不明确，各网络区域混合在一起，之间没有访问控制措施无线接入安全隐患大2个服务器区域（做了基本的区域划分）应用系统内部应用，外部应用互联网访问……需求分析—了解、分析网络拓扑47需求分析—确定目标实现更进一步的网络安全域（区域）的划分实现区域间的网络访问控制实现内网与互联网间的双向访问控制实现互联网对内网服务器区域应用的访问控制实现对无线接入的网络访问控制实现对网络访问行为的

基本日志记录…….需求分析—确定目标实现更进一步的网络安全域（区域）的划分48需求分析—方案设计—方案评审方案评审

：对提交的方案进行分析、审核，是否可以满足需求分析中确定的目标.（客户或专家评审）方案设计

：根据需求分析与目标，设计可以满足要求的网络安全解决方案.需求分析

：根据了解到的现状，分析切实可行的需求.确定最佳解决方案需求分析—方案设计—方案评审方案评审：对提交的方案进行分析49方案设计防火墙的基本功能网络区域逻辑隔离网络区域间（及主机间）的网络访问控制对常见在应用层的入侵攻击行为进行阻断地址转换、路由基本日志记录防火墙的扩展功能用户认证用户访问内容过滤（过滤http、mail等关键字）带宽（连接数）控制……方案设计防火墙的基本功能50方案设计网络安全区域边界确定（或设计）根据网络安全边界，确定防火墙的部署位置需要使用的防火墙功能需要重点保护的服务器及应用的保护方式设计需要配置的防火墙基本安全控制策略设计是否需要启用日志或其他扩展功能依照方案设计，部署防火墙后的效果分析所设计方案的扩展性（包括不足的地方）方案设计网络安全区域边界确定（或设计）51方案设计—举例方案设计—举例52方案设计—举例调整了网络区域边界防火墙部署在多个网络区域连接边界实现了区域间的访问控制……需要启用地址转换、路由功能需要启用对外网服务器区域的入侵防护功能可以实现内网用户访问互联网的内容过滤、带宽控制、并发连接控制等可以实现内网用户与互联网间

访问的双向日志记录……方案设计—举例调整了网络区域边界53设计方案编写使用客户最认可的、容易理解的手段，以文字+图形方式表现出来Word使用能力PPT使用能力Visio使用能力……设计方案编写使用客户最认可的、容易理解的手段，Word使用能54防火墙部署设计—方案目录展示防火墙部署设计—方案目录展示55防火墙实训需求分析与方案设计课件56防火墙部署设计—方案展示方案展示（使用成功方案案例）防火墙部署设计—方案展示方案展示（使用成功方案案例）57任务目标任务1：学习使用防火墙设备设计网络安全方案子任务A：需求分析子任务B：方案设计任务2：学习防火墙中实际部署中的配置子任务A：防火墙配置策略设计子任务B：防火墙配置学习目标掌握一般网络安全方案设计方法熟悉防火墙配置策略设计了解天融信防火墙实际操作本讲任务与学习目标任务目标本讲任务与学习目标58配置策略设计可以不用文字形式表现出来，可以在头脑中策划是不可跳过的一个步骤，不设计防火墙具体的配置策略，如何进行下一步的防火墙配置？（没有乐谱，如何弹奏）策略设计与网络环境、应用情况关系密切，

必须确认真实、准确的防火墙部署与需要实

现的功能要求路由、NAT、访问控制、主机保护……最简

的策略设计，是一堆表格配置策略设计可以不用文字形式表现出来，可以在头脑中策划59配置策略设计—防火墙接口Ip/掩码网关对端设备对端地址说明Eth0【接口地址/掩码】【可以没有】【设备接口】【对端设备地址】【用途】Eth1/240核心交换机E20连接内网Eth2OOOOOEth3OOOOOEth4OOOOO……OXOXO配置策略设计—防火墙接口Ip/掩码网关对端设备对端地址说明E60配置策略设计—防火墙接口设备名称使用的接口对端设备口对端设备名称连接线NGFW4000-UF（服务器区域）Eth0（GBIC多模光口）核心交换机6506光纤Eth1（GBIC多模光口）服务器区汇聚交换机光纤Eth2（GBIC多模光口）PDM服务器光纤Eth3（GBIC多模光口）科技大楼二级交换机光纤NGFW4000Eth0———Eth1（百兆自适应电口）双绞线Eth2（百兆自适应电口）双绞线Eth3———具体案例：配置策略设计—防火墙接口设备名称使用的接口对端设备口对端设备61配置策略设计—路由、NAT通信策略（路由）源地址（网）目的地址（网）下一跳路由接口说明路由1【从哪个地方来】【到哪个地方去】【网关地址】【从哪个接口出去】【用途】路由2/24/24Eth1外网路由路由3OOOOO路由4OOOOO路由5OOOOO……OXOXO配置策略设计—路由、NAT通信策略（路由）源地址（网）目的62配置策略设计—路由、NAT通信策略（NAT）源地址（网）目的地址（网）服务源转换目的转换说明【从哪个地方来】【到哪个地方去】【—】【地址或范围】【地址或均衡组】【用途】/24互联网区域ALL互联网接口地址——访问互联网互联网区域互联网接口地址80/tcp——内网服务器地址互联网访问内网网站OOOOOOOOOOOXOXO配置策略设计—路由、NAT通信策略（NAT）源地址（网）目63配置策略设计—访问控制策略访问控制源地址（网）目的地址（网）服务日志记录深度过滤权限【从哪个地方来】【到哪个地方去】【—】【是否记录】【关键字过滤】【允许/禁止】内网区域互联网区域ALL不记录不过滤允许互联网区域Web服务器80/tcp记录不过滤允许ANYANYALL不记录不过滤禁止OOOOOOXOXO配置策略设计—访问控制策略访问控制源地址（网）目的地址（网）64配置策略设计—其他功能应用用户认证实现对用户通过防火墙访问其他网络的身份认证深度过滤、应用过滤实现对邮件、网页关键字、域名的过滤，禁止访问某一类的网站，收发某一类的邮件……实现对P2P、QQ、PPLive等应用的控制：并发连接、带宽等带宽控制实现对具体IP、网段或应用的带宽占用分配，或优先级设置双击热备提高网络稳定性，避免单机故障造成网络连接中断……配置策略设计—其他功能应用用户认证65防火墙策略配置实践-地址转换基本需求网络卫士防火墙的接口Eth0连接企业内网，内网为/24，Eth0的IP地址为；Eth1连接外网，Eth1的IP地址为。企业可用的公网IP地址范围为-0，网络拓扑结构的示意图如下所示。配置要点定义内网地址资源，可定义的地址资源包括主机地址资源、范围地址资源、子网地址资源、区域和VLAN。定义要转换的公网地址资源。定义源地址转换策略。防火墙策略配置实践-地址转换基本需求66防火墙策略配置实践-地址转换选择资源管理>区域，点击“添加”，定义区域资源。设置内网区域area_eth0与属性eth0绑定且禁止访问。WebUI配置步骤外网区域area_eth1与属性eth1绑定且允许访问。防火墙策略配置实践-地址转换选择资源管理>区域，点击“添67防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理>地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。A）定义NAT主机资源：选择“子网”页签，点击“添加”。WebUI配置步骤防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理68防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理>地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。B）定义NAT地址池：选择“范围”页签，点击“添加。WebUI配置步骤防火墙策略配置实践-地址转换定义内部地址资源，选择资源管理69防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火墙>地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。WebUI配置步骤防火墙策略配置实践-地址转换定义NAT地址转换策略。选择防火70防火墙策略配置实践-地址