29防火墙基础(V2.0)教材.pptVIP

* 把接口加入到区域中 把相应的接口加入到相应的区域中去 # 配置接口Ethernet 1/0/0加入防火墙DMZ域。 [Eudemon] firewall zone dmz [Eudemon-zone-dmz] add interface ethernet 1/0/0 [Eudemon-zone-dmz] quit * 配置VRRP组管理 # 创建VRRP管理组1，将所有的VRRP备份组添加到管理组中进行统一管理 [Eudemon]vrrp-group 1 ＃使能VRRP管理组，只有使能了VGMP，才能对VRRP进行统一管理 [Eudemon-vrrpgroup-1]vrrp enable # 将备份组1、2加入VRRP管理组1中，并指定两条数据通道，分别以ethernet 0/0/0 和ethernet 0/0/1 作为两条通道的端点 [Eudemon-vrrpgroup-1]add interface ethernet 0/0/0 vrrp vrid 1 data [Eudemon-vrrpgroup-1]add interface ethernet 0/0/1 vrrp vrid 2 data ＃配置transfer-only参数的通道的状态变化不会影响VGMP的优先级从而导致状态切换 [Eudemon-vrrpgroup-1]add interface ethernet 2/0/0 vrrp vrid 3 data transfer- only # 启用VRRP管理组的自动抢占功能，抢占延时采用默认时间为0秒 [Eudemon-vrrpgroup-1]vrrp-group preedom * 配置HRP ＃当防火墙不配置VGMP的优先级时，默认优先级为100。当配置优先级时应注意VGMP优先级的递减算法：递减后的优先级＝优先级－优先级/16，当主防火墙出故障时，递减后的优先级应比slave防火墙的优先级低，才可进行主备状态切换，否则出故障的防火墙仍然为主状态，从而导致业务会中断。例如，以下配置递减后的优先级为105－105/16＝98，因此slave防火墙比该优先级大。 [Eudemon-vrrpgroup-1]vrrp-group priority 105 [Eudemon-vrrpgroup-1]quit # 使能HRP功能，当使能HRP功能后会在[Eudemon]前显示HRP_M，从防火墙上会显示HRP_S，默认是自动实时备份。 [Eudemon]hrp enable 　 以上为主防火墙的配置，从防火墙的配置基本上与主防火墙的配置相同，只需要改变接口的IP地址即可。 * 配置NAT和ACL，应用ACL 配置地址转换 [Eudemon] nat server protocol tcp global 0 www inside 0 www 配置ACL Eudemon] acl name tod advanced [Eudemon-acl-adv-tod] rule permit tcp destination 0 0 应用ACL [Eudemon] firewall interzone dmz untrust [Eudemon-interzone-dmz-untrust] packet-filter tod inbound * 校验防火墙配置 校验双机状态 检查双机切换对于业务是否有影响　 校验配置同步情况 检查主备机的配置是否可自动同步，可以通过比较配置来实现 校验业务是否正常 测试业务是否正常 * * * * * * * 伴随NGN（Next Generation Network）宽带业务需求的增长，产生了对承载网（如企业网和驻地网络）在IP地址转换、QoS（Quality of Service）保证、安全性保证等方面能力的更高要求。但是，NGN网络本身无法解决媒体流穿越NAT（Network Address Translation）和防火墙设备的问题。为了解决这些问题，需要在现有IP网络边缘叠加一个会话边界控制器SBC（Session Border Controller），构建基于业务的智能化网络，从而实现媒体流NAT穿越和防火墙穿越。 Eudemon2100定位于NGN网络中的会话边界控制器，支撑NGN网络在IP网络上的业务开展，配合NGN和视讯会议等应用。Eudemon2100通常部署在驻地网或企业网的出口，或部署在城域网的汇聚层，解决驻地网和企业网内的私网用户使用IP电信业务时遇到的NAT和NA