信息安全基础知识笔记09防火墙虚拟化技术基本配置（下）
信息安全基础知识笔记09防火墙虚拟化技术基本配置（下）
在企业网络中对于防火墙的要求随着业务的多样化要求也相应增多，这一部分的需求包括防火墙的可靠性，防火墙的虚拟化应用以及对用户带宽的管理控制。
本笔记主要介绍防火墙虚拟化技术，下半部分主要介绍防火墙虚拟化的应用场景以及基本配置，最后介绍虚拟化的故障场景以及处理方式。
防火墙虚拟化应用场景
场景一：数据中心网关场景
SSMC即Shared Service Management Center，共享服务管理中心，用以管理存储、服务器、IP、带宽、网络安全设施等资源进行统一管理。
场景二：IDC租赁场景
目前有部分小型企业，由于其业务需求又急需网络安全设备的保护。这时，网络服务提供商或者专门的设备租赁商可以购买一台网络安全设备，再通过虚拟系统技术将这台物理设备划分为多台独立的虚拟设备，分别向不同的企业网络提供安全功能。
场景三：大中型企业多个部门的网络隔离（目前常见）
大中型企业可通过多个虚拟系统将各部门的网络隔离开来。各部门的虚拟系统通过共享根系统的接口进行Internet互联，统一由本部门的IT管理员管理。各管理员可以根据自身部门要求配置不同的上网认证策略、安全策略、带宽策略等。通过这种分而治之的策略，使得网络管理变得更为清晰。
配置举例
（1）组网需求
某中型企业A，购买一台防火墙作为网关。由于其内网员工众多，根据权限不同划分为研发部门、财经部门、行政部门三大网络。需要分别配置不同的安全策略。具体要求如下：
a. 由于只有一个公网IP和公网接口，公司内网所有部门都需要借用同一个接口访问Internet。
b. 研发部门禁止访问Internet，财经部门只有部分员工可以访问Internet，行政部门则全部可以访问Internet。
c. 三个部门的业务量差不多，所以为它们分配相同的虚拟系统资源。
（2）组网拓扑
如下图，在防火墙上配置3个虚拟防火墙。并且需要实现vsysa，vsysb，vsysc和根墙通信，及各虚拟防火墙之间的通信。同时都能访问外网。出口使用了easy-ip进行地址转换。
虚拟防火墙vsysa、vsysb、vsysc只能通过逻辑上抽象表达，为了更方便表达其概念，上图使用交换机来代替虚拟防火墙。实际上可将橙圈内的设备统统看作为一个物理防火墙在工作。
（3）配置思路
l 根系统管理员分别创建虚拟系统vsysa、vsysb、vsysc并为每个虚拟系统分配资源和配置管理员。
l 根系统管理员为内网用户访问Internet配置路由和NAT策略。
l 研发部门的管理员登录设备，为虚拟系统VSYSA配置IP地址、路由和安全策略。
l 财经部门的管理员登录设备，为虚拟系统VSYSB配置IP地址、路由和安全策略。
l 行政部门的管理员登录设备，为虚拟系统VSYSC配置IP地址、路由和安全策略。
（4）配置步骤（IP地址配置：根防火墙，外网路由器，内网PC省略；见末尾的完整配置）
Step 1：以研发部门为例，新建虚拟系统vsysa，并为其分配合理的资源
① 配置启动虚拟系统功能。点击系统->虚拟系统->勾选“启用”->应用。
启用虚拟系统功能后，才能配置资源类和创建虚拟系统。当启用了虚拟系统功能后，Web界面的右上角出现“虚拟系统”下拉选单。如果管理员在下一代防火墙（以下简称NGFW）上创建了多个虚拟系统，可以通过单击下拉列表中的虚拟系统名称，进入虚拟系统的配置界面。其中，“root”是根系统，“vsysa”和“vsysb”是管理员创建的虚拟系统。
<NGFW> system-view
[NGFW] vsys enable //启用防火墙虚拟化
② 新建资源类。单击资源类->新建
设置虚拟系统所需资源，这些资源一旦被分配，将被该系统独占。
由于NGFW上所创建的虚拟系统会共同使用NGFW的资源，为避免因某个虚拟系统占用大量资源，导致其他虚拟系统无法获取资源、业务无法正常运行的情况，需要对单个虚拟系统允许使用的资源进行约束。
虚拟系统的资源分配是通过在资源类中规划资源数，再将资源类绑定虚拟系统来实现的。一个资源类可以同时被多个虚拟系统绑定。当多个虚拟系统的资源需求相同时，根系统管理员只需要为这些虚拟系统配置一个资源类即可。资源类r0默认与根系统绑定，不能删除、不能修改名称。
Tips：参数中所示的“策略数”是指所有策略的总数，包括安全策略、NAT策略、带宽策略、认证策略、审计策略和策略路由。
入方向带宽与出方向带宽之和不能大于整体带宽。
[NGFW] resource-class r1 [NGFW-resource-class-r1]resource-item-limit session reserved-number 500 maximum 1000 [NGFW-resource-class-r1] resource-item-limit user reserved-number 100 [NGFW-resource-class-r1] resource-item-limit user-group reserved-number 10 [NGFW-resource-class-r1] resource-item-limit policy reserved-number 100 [NGFW-resource-class-r1] resource-item-limit bandwidth 1 inbound [NGFW-resource-class-r1] resource-item-limit bandwidth 1 outbound [NGFW-resource-class-r1] resource-item-limit bandwidth 2 entire
③为虚拟系统绑定接口。虚拟系统->新建
创建虚拟系统时，可选择为其绑定上一步中所分配的资源类，使虚拟系统的会话、策略等资源得到保证。如果不选择资源类，以及选择“NONE”时，该虚拟系统的会话和策略等资源将抢占根系统的可用资源。当根系统资源已经被其他虚拟系统抢占完时，该虚拟系统将无资源可用。
点击接口分配及公共接口设定->添加->选择vsysa的公共接口GE1/0/1->选择“>”按钮->点击确定。
根据实际组网规划，为虚拟系统分配接口或VLAN。在“接口分配”中，可分配的接口包括未被其他虚拟系统使用的三层以太网接口、子接口。在“VLAN分配”中，可分配的VLAN中包含的二层接口或VLANIF会随VLAN分配给相应的虚拟系统。
[NGFW] vsys name vsysa [NGFW-vsysa] assign resource-class r1 [NGFW-vsysa] assign interface GigabitEthernet1/0/1
④分别为财经部门和行政部门分配虚拟系统vsysb和vsysc。省略，详见末尾完整配置。
Step 2：配置从根系统到虚拟系统及的静态路由。
①配置从根系统到Internet的路由。
②虽然vsysa不可以访问Internet，但部门之间需要互访，因此仍然需要配置vsysa的回程路由。
③将vsysb内员工访问Internet的回程流量引入vsysb。
④将vsysc内员工访问Internet的回程流量引入vsysc。
[NGFW] ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet1/0/0 202.169.1.2 [NGFW] ip route-static 10.3.0.0 255.255.255.0 vpn-instance vsysa [NGFW] ip route-static 10.3.1.0 255.255.255.0 vpn-instance vsysb [NGFW] ip route-static 10.3.2.0 255.255.255.0 vpn-instance vsysc
⑤查看路由表。vpn实例vsysa，vsysb和vsysc分别对应的出接口是vif1，vif2和vif3。
Step 3：在根防火墙配置安全策略允许内网的员工访问Internet。
虚拟系统管理员可以针对内网员工的IP地址配置严格的安全策略，所以根系统管理员在配置策略时不需要详细指定地址范围，直接选择“any”即可。
[NGFW] security-policy [NGFW-security-policy] rule name to_internet [NGFW-security-policy-rule-to_internet] source-zone trust [NGFW-security-policy-rule-to_internet] destination-zone untrust [NGFW-security-policy-rule-to_internet] source-address 10.3.2.0 mask 255.255.255.0 [NGFW-security-policy-rule-to_internet] source-address range 10.3.1.0 10.3.1.100 [NGFW-security-policy-rule-to_internet] action permit
Step 4：配置根防火墙的NAT策略。
[NGFW] nat-policy [NGFW-nat-policy] rule name nat1 [NGFW-nat-policy-rule-nat1] source-zone trust [NGFW-nat-policy-rule-nat1] egress-interface GigabitEthernet1/0/0 [NGFW-nat-policy-rule-nat1] source-address 10.3.2.0 mask 255.255.255.255 [NGFW-nat-policy-rule-nat1] source-address range 10.3.1.0 10.3.1.100 [NGFW-nat-policy-rule-nat1] action source-nat easy-ip
Step 5：使用根管理员为虚拟系统vsysa，vsysb，vsysc创建虚拟系统管理员。
在防火墙界面的右上角：“虚拟系统”选择vsysa。意味着进入虚拟系统vsysa操作界面。
点击系统->管理员->管理员->新建。
为虚拟系统vsysa创建虚拟管理员。用户名必须带后缀（@@+虚拟系统名称）
如果使用第三方认证服务器对虚拟系统管理员进行认证，认证服务器上配置的用户名不需要带后缀“@@+虚拟系统名称”。例如，认证服务器需要对虚拟系统vsysa的管理员admin@vsysa进行认证时，认证服务器上配置的用户名应该是admin。
分别为vsysb和vsysc配置虚拟系统管理员，省略，详见末尾完整配置。
在命令行界面下，除了上述所示的基本配置，信任主机的配置通过绑定ACL来实现，同时，还可以为管理员绑定系统管理员角色。配置举例如下：
[NGFW-vsysa] acl 2001 [NGFW-vsysa-acl-basic-2001] rule permit source 10.3.0.99 0.0.0.0 [NGFW-vsysa-acl-basic-2001] quit [NGFW-vsysa] aaa [NGFW-vsysa-aaa] manager-user admin@vsysa [NGFW-vsysa-aaa-manager-user-admin@vsysa] acl-number 2001 //绑定信任主机 [NGFW-vsysa-aaa] bind manager-user admin@vsysa role system-admin //将虚拟系统管理员绑定为系统管理员角色
Step 6：配置虚拟系统互访。
① 配置虚拟系统与根系统互访。
防火墙完成基本转发功能，需要完成最基本的路由和安全策略的配置。单个虚拟系统的配置和物理防火墙的配置基本无异，如果涉及到虚拟系统之间的互访时，基本思路原则就是把虚拟系统和根系统都看成独立的物理防火墙，分别配置路由和安全策略。
a. 财经部门有PC（10.1.3.2）访问Internet，其第一步通过GE1/0/2向虚拟系统vsysb发送访问请求。
b. 按照防火墙处理流程转发报文，vsysb根据目的地址在路由表找到目的虚拟系统。
c. 虚拟系统vsysb将报文转发到根系统。
d. 按照防火墙处理流程转发报文，根系统根据目的地址在路由表找到目的虚拟系统。
e. 根系统将报文转发到根系统。
用户发送的访问请求首先查找vsysa系统中的路由表，将报文转发给根系统，由根系统查找自身路由表再转发至 Internet。当然，为了使报文能顺利转发，还应该配置相应的安全策略。
l 路由的配置
进入虚拟系统vsysa，配置到达外网的路由以及到达虚拟系统用户资源的路由。
[NGFW] switch vsys vsysa [NGFW-vsysa] ip route-static 0.0.0.0 0.0.0.0 public
vsysb和vsysc配置同理，省略，下面会给出完整配置。
l 安全策略的配置
在vsysa中，将接口GE1/0/1加入Trust区域、Virtualif1加入Untrust区域。
配置允许Trust区域访问Untrust区域的安全策略
在根系统中，将接口GE1/0/0加入Untrust区域、Virtualif0加入Trust区域。
配置允许Trust区域访问Untrust区域的安全策略。在Step 3已完成配置，此处省略。
完成上述路由和安全策略的配置就可以实现报文的正常转发，但是内网的主机使用的是私网地址10.3.0.0/24，所以内网的主机如果想要正常访问Internet，还必须在vsysa或root中配置NAT策略，进行公网地址和私网地址的转换。（已在Step 4完成配置）
分别为vsysb和vsysc配置相应的路由和安全策略，省略，详见末尾完整配置。
Tips：我们知道财经部门（虚拟系统vsysb）仅10.3.1.1~10.3.1.100可以访问互联网，因此在做安全策略时也应注意，仅放行可访问互联网的IP段，如下图所示：
② 配置虚拟系统之间的互访
两个虚拟系统之间存在业务访问的需求时，需要通过根系统的中转来完成互访。在理解了虚拟系统和根系统互访的配置之后，虚拟系统间互访就很容易理解了。只需要将两个虚拟系统和根系统间互访配置完成就可以了。
a. 研发部门PC(10.3.0.2)通过GE1/0/1向虚拟系统vsysa发送访问请求。
b. 按照防火墙处理流程转发报文，vsysa根据目的地址在路由表找到目的虚拟系统Public。
c. 查找根系统的路由表，找到并将报文发到虚拟系统vsysb上。
d. 按照防火墙处理流程转发报文，vsysb根据目的地址在路由表找到并发报文到财经部门PC（10.3.1.2上）。
l 路由的配置
由前面可知，我们已在Step2和Step6完成从根系统到虚拟系统的路由互访配置，省略。
l 安全策略的配置
在各虚拟系统vsysa，vsysb，vsysc添加从Untrust到Trust区域的permit规则（指定IP）。
上图以vsysa为例，创建Untrust到Trust区域的安全策略，严格限定源和目的地址。
[NGFW]security-policy [NGFW-security-policy]rule name UntrustToTrust [NGFW-security-policy-rule-UntrustToTrust]source-zone untrust [NGFW-security-policy-rule-UntrustToTrust]destination-zone trust [NGFW-security-policy-rule-UntrustToTrust]source-address 10.3.1.0 mask 255.255.255.0 [NGFW-security-policy-rule-UntrustToTrust]source-address 10.3.2.0 mask 255.255.255.0 [NGFW-security-policy-rule-UntrustToTrust]destination-address 10.3.0.0 mask 255.255.255.0 [NGFW-security-policy-rule-UntrustToTrust]action permit
分别为vsysb和vsysc配置相应的路由和安全策略，省略，详见末尾完整配置。
Step 7：结果测试
① 研发部门可以与其他部门互访，但不能访问外网。
② 财经部门只有10.3.1.1-10.3.1.100可以访问Internet，还可以和其他部门互访
使用10.3.1.101不能访问Internet。
③行政部门可以访问Internet，还可以实现部门互访。
根系统配置：
# vsys enable # resource-class r1 resource-item-limit session reserved-number 500 maximum 1000 resource-item-limit bandwidth 1 inbound resource-item-limit bandwidth 1 outbound resource-item-limit bandwidth 2 entire resource-item-limit policy reserved-number 100 resource-item-limit user reserved-number 100 resource-item-limit user-group reserved-number 10 # vsys name vsysa 1 //研发部门 assign interface GigabitEthernet1/0/1 assign resource-class r1 # vsys name vsysb 2 //财经部门 assign interface GigabitEthernet1/0/2 assign resource-class r1 # vsys name vsysc 3 //行政部门 assign interface GigabitEthernet1/0/3 assign resource-class r1 # interface GigabitEthernet0/0/0 //管理Web ip address 192.168.50.100 255.255.255.0 service-manage https permit service-manage ping permit # interface GigabitEthernet1/0/0 //Internet ip address 202.169.1.1 255.255.255.0 # interface GigabitEthernet1/0/1 ip binding vpn-instance vsysa ip address 10.3.0.1 255.255.255.0 service-manage ping permit # interface GigabitEthernet1/0/2 ip binding vpn-instance vsysb ip address 10.3.1.1 255.255.255.0 service-manage ping permit # interface GigabitEthernet1/0/3 ip binding vpn-instance vsysc ip address 10.3.2.1 255.255.255.0 service-manage ping permit # firewall zone local set priority 100 # firewall zone trust set priority 85 add interface Virtual-if0 # firewall zone untrust set priority 5 add interface GigabitEthernet1/0/0 # firewall zone dmz set priority 50 # firewall zone name NM id 4 set priority 95 add interface GigabitEthernet0/0/0 # ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet1/0/0 202.169.1.2 ip route-static 10.3.0.0 255.255.255.0 vpn-instance vsysa ip route-static 10.3.1.0 255.255.255.0 vpn-instance vsysb ip route-static 10.3.2.0 255.255.255.0 vpn-instance vsysc # nat-policy rule name nat1 source-zone trust egress-interface GigabitEthernet1/0/0 //出接口 source-address 10.3.2.0 mask 255.255.255.0 source-address range 10.3.1.0 10.3.1.100 action source-nat easy-ip //NAT转换方式：easy-ip # security-policy rule name to_internet source-zone trust destination-zone untrust source-address 10.3.2.0 mask 255.255.255.0 source-address range 10.3.1.0 10.3.1.100 action permit #
虚拟系统VsysA配置：
# interface GigabitEthernet1/0/1 ip binding vpn-instance vsysa ip address 10.3.0.1 255.255.255.0 service-manage ping permit # interface Virtual-if1 # firewall zone local set priority 100 # firewall zone trust set priority 85 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface Virtual-if1 # firewall zone dmz set priority 50 # security-policy rule name TrustToUntrust source-zone trust destination-zone untrust source-address 10.3.0.0 mask 255.255.255.0 action permit rule name UntrustToTrust source-zone untrust destination-zone trust source-address 10.3.1.0 mask 255.255.255.0 source-address 10.3.2.0 mask 255.255.255.0 destination-address 10.3.0.0 mask 255.255.255.0 action permit # ip route-static 0.0.0.0 0.0.0.0 public #
虚拟系统Vsysb配置：
# interface GigabitEthernet1/0/2 ip binding vpn-instance vsysb ip address 10.3.1.1 255.255.255.0 service-manage ping permit # interface Virtual-if2 # firewall zone local set priority 100 # firewall zone trust set priority 85 add interface GigabitEthernet1/0/2 # firewall zone untrust set priority 5 add interface Virtual-if2 # firewall zone dmz set priority 50 # security-policy rule name TrustToUntrust source-zone trust destination-zone untrust source-address 10.3.1.0 mask 255.255.255.0 action permit rule name UntrustToTrust source-zone untrust destination-zone trust source-address 10.3.0.0 mask 255.255.255.0 source-address 10.3.2.0 mask 255.255.255.0 destination-address 10.3.1.0 mask 255.255.255.0 action permit # ip route-static 0.0.0.0 0.0.0.0 public #
虚拟系统Vsysc配置：
# interface GigabitEthernet1/0/3 ip binding vpn-instance vsysc ip address 10.3.2.1 255.255.255.0 service-manage ping permit # interface Virtual-if3 # firewall zone local set priority 100 # firewall zone trust set priority 85 add interface GigabitEthernet1/0/3 # firewall zone untrust set priority 5 add interface Virtual-if3 # firewall zone dmz set priority 50 # security-policy rule name TrustToUntrust source-zone trust destination-zone untrust source-address 10.3.2.0 mask 255.255.255.0 action permit rule name UntrustToTrust source-zone untrust destination-zone trust source-address 10.3.0.0 mask 255.255.255.0 source-address 10.3.1.0 mask 255.255.255.0 destination-address 10.3.2.0 mask 255.255.255.0 action permit # ip route-static 0.0.0.0 0.0.0.0 public #
课后习题
虚拟系统与根系统互访时，通过什么接口通信？
A. 虚拟接口 B. 为虚拟系统划分的物理接口
C. Tunnel接口 D. loopback接口
答案：A
至此，防火墙虚拟化的介绍完毕，通过虚拟系统隔离企业部门，实现云计算中心网关的例子还有很多，以后会找机会再另起文章进行学习，谢谢！
