深信服V4.52013年度初级认证培训03防火墙规则和路由规则.pptVIP

* * 培训内容 培训目标 防火墙基本功能介绍 掌握防火墙规则的作用 掌握代理上网功能的作用 掌握端口映射功能的作用 代理上网设置 掌握代理上网功能的作用及配置，能根据客户的需求完成代理上网规则设置 端口映射设置 1.掌握端口映射功能的使用及应用场景，能根据客户的需求完成端口映射规则设置 策略路由和多线路选路设置 掌握策略路由和多线路选路的应用场景及配置 防火墙基本功能介绍 代理上网典型应用案例及配置 深信服公司简介 端口映射典型应用案例及配置 练练手 SANGFOR AC 防火墙基本功能介绍 SANGFOR AC防火墙基本功能介绍 HTTP HTTPS 防火墙规则 防火墙规则是控制设备各个网口转发数据的开关。 这里设置的规则可基于IP和端口进行数据包的转发控制，和传统的四层防火墙相似。 1.防火墙规则 SANGFOR AC防火墙基本功能介绍 IP1 IP4 SNAT 2. NAT代理上网 NAT代理上网功能即SNAT，用来设置对数据包源IP地址进行转换的规则。 一般在公网出口的设备做SNAT，来实现把私有地址转换成公网地址。 SANGFOR AC防火墙基本功能介绍 IP2 IP4 DNAT 3. 端口映射 端口映射即DNAT，用来设置对数据包目标IP地址进行转换的规则。 常用来实现客户内网有服务器需要发布到公网，或者内网用户需要通过公网地址访问内部服务器的需求。 IP4 IP2 代理上网典型应用案例及配置 代理上网典型应用案例及配置 某客户新建一个工厂，需要规划网络和建设机房，购买了一台SANGFOR AC设备部署在公网出口，代理内网上网，同时做上网控制。 工厂内部上网的电脑全都在/24网段，服务器都在/24网段。 客户案例 代理上网典型应用案例及配置 在本案例中，为了保证网络能通，必须配置路由。（路由配置本PPT不做详细说明） 由于AC和内网跨三层网段，需在三层交换机上配置缺省路由指向AC设备的LAN口，AC设备同样需配置内网网段的回包路由指向相邻的三层交换机接口IP地址。 配置思路： 2. AC设备上配置代理上网规则，代理/24和/24这两个网段上网。 代理上网典型应用案例及配置 代理/24和/24网段上网配置步骤： “外接网口”即转换后的数据从哪个网口转发出去 “代理网段”即需要转换哪些地址 即转换成转发数据的外接网口的地址 完成第一条规则设置。 完成本例要求的代理两个网段上网的规则设置。 端口映射典型应用案例及配置 端口映射典型应用案例及配置 客户案例 该客户已经通过配置实现了AC代理内网用户和服务器上公网。 内网有一台OA服务器，地址是50，使用的服务端口是TCP 80。客户希望将此OA服务器发布到公网，外网和工厂内网的用户均通过5:8000的方式访问到服务器。 端口映射典型应用案例及配置 1. 设置端口映射规则，即把目标IP为5,且目标端口为TCP 8000的数据转换目标IP为50，目标端口为TCP 80。 配置思路： 3. 勾选发布服务器，允许内网用户以外网IP访问内网服务器 2. 勾选防火墙自动放行数据 端口映射典型应用案例及配置 端口映射应用案例配置步骤： 公网地址是WAN1口的地址，“外网接口”选择WAN1口 公网访问用户源IP不固定 访问的数据包目标IP为:5 访问的数据目标端口是TCP 8000 内网服务器的真实IP地址 内网服务器的真实发布端口 服务器在AC的LAN口下，转换源IP就选择LAN1口地址。 端口映射典型应用案例及配置 端口映射规则设置注意事项： 1. 在配置端口映射规则时，建议勾选“防火墙自动放行数据”。如果这个选项不勾选，那么也必须通过手动配置放通防火墙规则，否则端口映射会不成功。 2. 只有当内网用户也需要用公网地址访问内部服务器时，才需要勾选“发布服务器”。 若不勾选，仅允许公网用户通过公网地址访问到内网服务器。 LAN-LAN端口映射 LAN-LAN端口映射 当内网用户需要用域名（解析出来是公网地址）访问内部服务器时，我 们需要配置手动配置LAN-LAN的端口映射规则。AC产品线可以直接勾 选“发布服务器”实现该功能。下面对手动配置LAN-LAN的端口映射 规则进行讲解 LAN-LAN端口映射配置步骤 （沿用刚才的案例） 1. 新建一条端口映射（DNAT规则），注意外网接口应选择LAN（eth0） 只针对内网网段进行地址转换 LAN-LAN端口映射配置步骤 （沿用刚才的案例） 2. 新建一条代理上网（SNAT规则），注意外网接口应选择LAN（eth0） 针对内网网段进行地址转换 将源地址转换成lan口地址 由于DNAT是在SNAT之前完成，所以这里的目标地址应填写已经转换后的服务器的IP 0表示所有端口 已经被DNAT转换后