防火墻的透明模式

防火墻的透明模式

1. 透明模式的部署環(huán)境：

a. 快速部署在當(dāng)前的三層網(wǎng)絡(luò)中

b. 網(wǎng)絡(luò)結(jié)構(gòu)不允許重新設(shè)計(jì)的時(shí)候

c. 同一個(gè)網(wǎng)段不受策略的限制

d. 想要增加同一個(gè)網(wǎng)段安全性的時(shí)候

2. 透明模式的L2的Zone

a.系統(tǒng)預(yù)定義的：

vl-untrust

v1-trust

vl-dmz

b. 用戶可以自行定義L2的Zone

set zone name L2-cjclub L2

3. VLAN接口

a. vlan接口和區(qū)段包含的主機(jī)在同一個(gè)區(qū)段

b. 支持管理IP

c. 物理接口來作ARP的響應(yīng)

4. 區(qū)段默認(rèn)的管理功能：

v1-trust : 所有的

vl-dmz: ping

vl-untrust : None

L2-用戶自定義的： None

* 透明模式需要經(jīng)過兩個(gè)過濾（1. 物理接口的服務(wù)過濾 2. VLAN1接口服務(wù)的過濾）

5. 透明模式的配置：

a. 需要建立一個(gè)L2的Zone（使用系統(tǒng)默認(rèn)的V1二層Zone)

set zone name l2-cjclub l2

b. 指定物理接口放入二層的Zone

set interface untrust zone l2-cjclub

set interface untrust zone v1-untrust

& 確保接口沒有IP，不屬于任何的Zone（屬于Null Zone）

c. 配置VLAN1的接口IP用做管理

set interface vlan1 ip 10.1.1.1/24

d. 選擇VLAN接口的廣播模式：

默認(rèn)：Flooding（泛洪）

當(dāng)收到的數(shù)據(jù)包的目的MAC不在MAC緩存中，將該數(shù)據(jù)除了incoming端口以外發(fā)送出去

ARP/Trace-Route

如果MAC地址表沒有條目，將泛洪ARP Query 包（更加安全，不用泛洪原始的數(shù)據(jù)包）

set interface vlan1 broadcast arp

e. 配置VLAN1的服務(wù)

set interface vlan1 manage ping

set interface vlan1 manage telnet

set interface vlan1 manage web

透明模式常用的查看命令：

　　a. get interface

b. get arp

c. get mac-learn

手工靜態(tài)指定IP地址: set mac 001c257e84e2 interface trust vlan1

d. get session

不需要做NAT，主要做過濾和保護(hù)×××的流量