簡(jiǎn)介面向網(wǎng)絡(luò)運(yùn)維與安全管理人員這份PDF指南系統(tǒng)講解迪普防火墻的安裝與調(diào)試全流程適用于初次部署或需要遷移防火墻設(shè)備的場(chǎng)景。文檔以實(shí)際配置視角分步展開涵蓋VLAN創(chuàng)建與接口IP分配、安全域劃分、靜態(tài)路由配置、DHCP服務(wù)、源NAT實(shí)現(xiàn)內(nèi)網(wǎng)訪問外網(wǎng)、目的NAT映射內(nèi)網(wǎng)服務(wù)器到公網(wǎng)以及包過濾策略引用與HTTP管理端口關(guān)閉等關(guān)鍵環(huán)節(jié)每一步配有拓?fù)涫疽馀c操作截圖便于對(duì)照操作。資源包共1個(gè)文件為PDF格式大小約1.2MB可直接在線閱讀或打印。目前已有243人學(xué)習(xí)適合網(wǎng)絡(luò)工程師、安全運(yùn)維人員以及學(xué)習(xí)者快速掌握迪普防火墻基礎(chǔ)配置方法。通過這份資料讀者能清晰理清從接口規(guī)劃到策略生效的完整鏈路減少在真實(shí)設(shè)備上反復(fù)試錯(cuò)的成本。1. 迪普防火墻安裝調(diào)試一臺(tái)設(shè)備從進(jìn)門到能上外網(wǎng)要過的九道關(guān)《迪普防火墻安裝調(diào)試步驟借鑒.pdf》這份網(wǎng)絡(luò)文檔把一臺(tái)全新迪普防火墻從開機(jī)到內(nèi)外網(wǎng)互通的完整動(dòng)作鏈按順序走了一遍先建VLAN10和VLAN接口地址再劃安全域然后配靜態(tài)路由、DHCP、源NAT、目的NAT和包過濾策略最后還要把Web管理用的80端口讓給業(yè)務(wù)映射。它解決的是每次上架防火墻都會(huì)遇到的同一串問題內(nèi)網(wǎng)網(wǎng)段怎么立、終端怎么拿地址、服務(wù)器怎么發(fā)布到公網(wǎng)、為什么NAT配了還是不通。適合準(zhǔn)備把防火墻當(dāng)三層網(wǎng)關(guān)用的新手照著復(fù)現(xiàn)也適合熟手用來核對(duì)配置順序和排查邊界。下面按這份筆記的步驟展開每一步的參數(shù)、選型理由和坑都攤開說。2. 開局先把網(wǎng)段立住VLAN10 接口 IP 與安全域劃分2.1 為什么先建 VLAN10 再談 IP 地址很多人在防火墻開機(jī)后第一個(gè)動(dòng)作是給物理口配IP這在終端直連一臺(tái)設(shè)備的場(chǎng)景下沒毛病但只要內(nèi)網(wǎng)不止一臺(tái)設(shè)備馬上就會(huì)發(fā)現(xiàn)物理口配IP兜不住一個(gè)物理口只能帶一個(gè)直連網(wǎng)段內(nèi)網(wǎng)交換機(jī)要接進(jìn)來終端要分多個(gè)業(yè)務(wù)VLAN物理口根本不夠用。這份筆記的順序是先創(chuàng)建VLAN10再把除了外網(wǎng)口g0_0和管理口之外的所有接口都丟進(jìn)VLAN10然后給VLAN10接口配192.168.1.1/24這個(gè)動(dòng)作的本質(zhì)是把防火墻當(dāng)成一臺(tái)帶安全功能的三層交換機(jī)來用。VLAN10接口在概念上是一個(gè)三層虛擬接口終端把默認(rèn)網(wǎng)關(guān)指到192.168.1.1防火墻負(fù)責(zé)三層的路由和NAT。先建VLAN再配地址是因?yàn)榈刂芬獟煸赩LAN接口上VLAN不存在地址就沒有落點(diǎn)接口要?jiǎng)澾M(jìn)VLANVLAN不存在接口也加不進(jìn)去。這一條順序看著瑣碎但它決定了后面DHCP地址池、源NAT和目的NAT的匹配網(wǎng)段都以192.168.1.0/24為基準(zhǔn)寫錯(cuò)一步后面的地址池和NAT匹配全部跟著亂。為什么用/24而不是更大或更小的網(wǎng)段材料給的是192.168.1.1/24也就是254個(gè)可用地址。如果你的內(nèi)網(wǎng)規(guī)模超過這個(gè)數(shù)可以把VLAN10換成/23或/22但后續(xù)地址池、DHCP下發(fā)的網(wǎng)關(guān)、NAT匹配的源地址條目要同步改不能只改一處。管理口和g0_0不加入VLAN10這一點(diǎn)也先記住g0_0要留著做外網(wǎng)三層口管理口要隔離管理流量塞進(jìn)業(yè)務(wù)VLAN會(huì)在后面制造大坑第5章會(huì)專門展開。2.2 動(dòng)手配置VLAN、接口 IP、成員接口一次做齊登錄Web管理界面后的操作并不復(fù)雜但順序建議照下面的走避免改到一半把設(shè)備管理通道弄丟進(jìn)入網(wǎng)絡(luò)配置里的VLAN模塊新建VLAN10名稱可以按現(xiàn)場(chǎng)命名規(guī)范取比如inner。進(jìn)入VLAN接口/VLANIF配置給VLAN10配置IP地址192.168.1.1掩碼255.255.255.0。進(jìn)入接口管理把所有內(nèi)網(wǎng)業(yè)務(wù)口的接口模式設(shè)為AccessPVID設(shè)為10讓它們成為VLAN10的成員。g0_0保持三層路由口模式不配置PVID管理口保持獨(dú)立不加入VLAN10。配置項(xiàng)取值說明VLAN ID10內(nèi)網(wǎng)業(yè)務(wù)VLAN也是三層網(wǎng)關(guān)所在VLANVLAN接口IP192.168.1.1/24內(nèi)網(wǎng)終端的默認(rèn)網(wǎng)關(guān)地址內(nèi)網(wǎng)業(yè)務(wù)口AccessPVID10讓二層流量進(jìn)入VLAN10g0/0三層接口外網(wǎng)口后續(xù)路由和NAT都掛在這里管理口獨(dú)立管理域保持出廠配置不參與業(yè)務(wù)轉(zhuǎn)發(fā)這里最容易理解錯(cuò)的是PVID。PVID是二層的概念表示不帶VLAN Tag的幀進(jìn)來后默認(rèn)屬于哪個(gè)VLAN在防火墻上把內(nèi)網(wǎng)口配成Access并指定PVID10效果就是終端網(wǎng)線插上去廣播域落在VLAN10里。如果你現(xiàn)場(chǎng)用Trunk鏈路接交換機(jī)那外接交換機(jī)的下行口也要允許VLAN10通過并由交換機(jī)負(fù)責(zé)打Tag兩種接法都能用但別一邊Access一邊Trunk端口模式不一致會(huì)導(dǎo)致終端收不到DHCP廣播報(bào)文這類問題在界面配置里看不出來只能在二層鏈路上逐個(gè)排查。配置完這四步先不用急著測(cè)試因?yàn)榘踩蜻€沒配終端即使拿到地址也通不了。直接去把域劃分掉但要記住一個(gè)原則所有改動(dòng)盡量分批進(jìn)行每一批改完確認(rèn)管理通道還活著再繼續(xù)下一批。防火墻不像服務(wù)器Web界面一斷你連看狀態(tài)的地方都沒了只能搬console線。2.3 安全域劃分信任區(qū)與不信任區(qū)的邊界防火墻里的安全域是給流量打標(biāo)簽用的同一個(gè)物理接口的流量進(jìn)入防火墻后先被歸到某個(gè)域再按域與域之間的策略決定放行還是拒絕。材料里的劃法很標(biāo)準(zhǔn)g0_0加入untrust不信任域代表外網(wǎng)側(cè)流量其余參與業(yè)務(wù)的內(nèi)網(wǎng)接口全部加入trust信任域代表內(nèi)網(wǎng)側(cè)流量。為什么要這樣分因?yàn)閡ntrust進(jìn)來的流量默認(rèn)是可疑的trust出去的流量相對(duì)可信把內(nèi)外接口分開后才能在兩個(gè)域之間做有方向的包過濾和NAT匹配。如果不分域把全部接口堆在一個(gè)域里防火墻就退化成一臺(tái)普通三層交換機(jī)安全功能全部失效。管理口在這一步保持它自己的管理域不做改動(dòng)材料里強(qiáng)調(diào)“除了g0_0和管理口”其實(shí)就是說管理口不能跟業(yè)務(wù)口混在一處這是從源頭避免管理面被業(yè)務(wù)流量干擾的做法。安全域成員接口方向作用untrustg0/0外網(wǎng)入向流量入口目的NAT的服務(wù)對(duì)象trust其余內(nèi)網(wǎng)業(yè)務(wù)口內(nèi)網(wǎng)終端所在區(qū)域源NAT的發(fā)起方管理域管理口管理員登錄設(shè)備的專用通道一個(gè)常見誤區(qū)是配完安全域后立刻去ping防火墻網(wǎng)關(guān)發(fā)現(xiàn)終端ping不通就以為配置錯(cuò)了。這不是錯(cuò)跨域流量在沒有策略時(shí)默認(rèn)拒絕這是防火墻的基本姿態(tài)第4章做包過濾策略之后才會(huì)通。如果你在還沒有策略的時(shí)候想先驗(yàn)證VLAN和接口可以用電腦直連管理口登錄Web界面查看VLAN接口狀態(tài)是否為up物理口是否有Link。從這一步開始后面每加一條配置都要帶著“它影響到哪個(gè)域到哪個(gè)域的流量”這個(gè)視角來看否則NAT和策略會(huì)越調(diào)越亂。提示安全域只是分類標(biāo)簽不代表放行。不要在沒做包過濾策略時(shí)把域當(dāng)成通了這是后續(xù)排錯(cuò)時(shí)最常見的誤判來源。3. 路由與 DHCP靜態(tài)路由下一跳怎么寫地址池參數(shù)怎么攤開配3.1 一條默認(rèn)路由下一跳決定成敗安全域配完之后防火墻已經(jīng)有了內(nèi)網(wǎng)網(wǎng)關(guān)地址但內(nèi)網(wǎng)流量想出去還缺一張地圖也就是路由。材料里只說“配置一條靜態(tài)路由”實(shí)際上大多數(shù)迪普防火墻開局就只需要一條默認(rèn)路由目的地址0.0.0.0/0下一跳指向運(yùn)營(yíng)商或上級(jí)設(shè)備對(duì)端的互聯(lián)地址出接口選g0_0。這條路由的意思是所有在內(nèi)網(wǎng)路由表里找不到明細(xì)的流量全部扔給g0_0對(duì)面那個(gè)網(wǎng)關(guān)去處理。配置項(xiàng)示例值說明目的地址0.0.0.0/0缺省路由匹配所有未命中明細(xì)的流量下一跳運(yùn)營(yíng)商對(duì)端地址必須是對(duì)端設(shè)備的互聯(lián)接口地址出接口g0/0與下一跳在同一個(gè)三層鏈路里優(yōu)先級(jí)默認(rèn)如10多條默認(rèn)路由并存時(shí)決定誰被優(yōu)先選中這里最典型的問題是下一跳寫錯(cuò)。有些人會(huì)把下一跳寫成防火墻自己g0_0的IP有些人會(huì)寫成運(yùn)營(yíng)商對(duì)端的回環(huán)地址兩種寫法的共同結(jié)果是報(bào)文從g0_0發(fā)出去了但對(duì)端路由器根本不認(rèn)這個(gè)源或者報(bào)文發(fā)給了不存在的鄰居外網(wǎng)自然不通。我一般會(huì)在加路由之前先做一次三層連通性測(cè)試在防火墻上指定源接口g0_0去ping對(duì)端的互聯(lián)地址通了再加路由如果對(duì)端地址ping不通先把物理鏈路和IP地址看一遍別急著堆路由。另一個(gè)常見需求是回程路由。如果你的內(nèi)網(wǎng)不止一個(gè)網(wǎng)段比如服務(wù)器區(qū)獨(dú)立在VLAN20那VLAN20的接口地址配好后要確認(rèn)對(duì)端三層設(shè)備有回指192.168.1.0/24和服務(wù)器網(wǎng)段的路由否則目的NAT的應(yīng)答報(bào)文回來時(shí)會(huì)被上層設(shè)備丟棄。這份筆記面向的是最簡(jiǎn)拓?fù)鋬?nèi)網(wǎng)就一個(gè)VLAN10所以只需要默認(rèn)路由如果現(xiàn)場(chǎng)有核心交換機(jī)核心上也要補(bǔ)回程路由這一條經(jīng)常被省略排錯(cuò)時(shí)會(huì)花掉大量時(shí)間。3.2 DHCP 的四個(gè)配置點(diǎn)少一個(gè)都不行地址和路由都在內(nèi)網(wǎng)終端如果沒有靜態(tài)配置還是拿不到IP所以材料在靜態(tài)路由之后配DHCP。這一步大家都會(huì)但“配置完點(diǎn)擊左上角開啟DHCP功能”這句話很關(guān)鍵它說明DHCP的總開關(guān)和地址池是分開的兩件事。很多人配好了地址池、網(wǎng)關(guān)、DNS最后忘開總開關(guān)客戶端一直拿不到地址看配置單又覺得什么都有其實(shí)就差左上角那個(gè)開關(guān)沒點(diǎn)。在防火墻上做DHCP需要填的項(xiàng)目拆開看是四件套接口、地址池、網(wǎng)關(guān)地址、域名服務(wù)器。接口選VLAN10表示DHCP服務(wù)給VLAN10這個(gè)三層網(wǎng)段服務(wù)地址池的網(wǎng)段必須和VLAN10的192.168.1.0/24在同一個(gè)網(wǎng)段內(nèi)網(wǎng)關(guān)地址固定填192.168.1.1域名服務(wù)器就是下發(fā)給終端的DNS終端上網(wǎng)解析域名全靠它。配置項(xiàng)示例值說明服務(wù)接口VLAN10DHCP應(yīng)答報(bào)文從這個(gè)三層接口出去地址池網(wǎng)段192.168.1.0/24必須與VLAN接口同一網(wǎng)段不能跨段分配范圍192.168.1.2 ~ 192.168.1.250避開網(wǎng)關(guān)地址也避開服務(wù)器靜態(tài)地址網(wǎng)關(guān)地址192.168.1.1終端默認(rèn)網(wǎng)關(guān)與VLAN接口IP一致DNS服務(wù)器223.5.5.5 / 119.29.29.29有內(nèi)網(wǎng)DNS就優(yōu)先內(nèi)網(wǎng)否則填兩組公共DNS租期默認(rèn)即可地址池緊張時(shí)可適當(dāng)縮短分配范圍里把192.168.1.1排除是必須的那是網(wǎng)關(guān)地址同時(shí)如果有服務(wù)器要做靜態(tài)映射比如第4章要發(fā)布的web服務(wù)器建議在地址池里把服務(wù)器的IP排除掉或者干脆給服務(wù)器配靜態(tài)IP避免DHCP把它分給其他終端導(dǎo)致端口沖突。DNS的選擇上常見做法是下發(fā)一個(gè)內(nèi)網(wǎng)DNS加一個(gè)公共DNS作為備用如果公司有內(nèi)網(wǎng)域名解析需求只填公共DNS會(huì)導(dǎo)致內(nèi)網(wǎng)域名解析不出來沒有內(nèi)網(wǎng)DNS就填兩家不同的公共DNS別把同一個(gè)DNS填兩遍還以為是兩個(gè)服務(wù)器。還要注意防火墻上DHCP的服務(wù)接口要選VLAN接口不是選物理口。因?yàn)镈HCP報(bào)文從VLAN10的廣播域進(jìn)來由網(wǎng)關(guān)也就是VLAN接口來回應(yīng)你選了一個(gè)物理口實(shí)際上廣播域?qū)Σ簧辖K端照樣拿不到地址。這一點(diǎn)在把防火墻當(dāng)三層交換機(jī)用的場(chǎng)景里特別容易翻車。配置完DHCP建議順手看一眼可用地址數(shù)如果地址池范圍小于終端數(shù)量終端會(huì)一直續(xù)租失敗日志會(huì)顯示地址池耗盡但那不是DHCP本身壞了。3.3 終端側(cè)驗(yàn)證別急著驗(yàn)收先看地址三件套做完路由和DHCP可以先不配NAT拿一臺(tái)終端插到內(nèi)網(wǎng)接口上強(qiáng)制重新獲取地址驗(yàn)證基礎(chǔ)鏈路是否已經(jīng)打通。Windows終端在cmd里跑下面的命令ipconfig /release ipconfig /renew ipconfig /all第一條ipconfig /release是釋放當(dāng)前IPv4地址第二條ipconfig /renew是重新走一遍DHCP四步交互流程第三條ipconfig /all是把當(dāng)前網(wǎng)卡的IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)、DNS服務(wù)器全部打印出來。執(zhí)行完如果IPv4地址顯示的是192.168.1.x而不是169.254.x.x說明DHCP基本路子對(duì)了再看默認(rèn)網(wǎng)關(guān)是否為192.168.1.1DNS服務(wù)器是不是你下發(fā)的那兩個(gè)地址。這一步盡量在做NAT和策略之前完成因?yàn)榇藭r(shí)跨域默認(rèn)拒絕反而能隔離出問題到底出在DHCP還是后面的策略。如果終端拿不到地址先看防火墻VLAN接口是不是up再看DHCP總開關(guān)和地址池網(wǎng)段最后抓包看DHCP Offer是否發(fā)出來不要一上來就懷疑路由和NAT二層鏈路沒有打通往上查都是白費(fèi)功夫。4. NAT 才是這份筆記的重頭源 NAT 上網(wǎng)與目的 NAT 發(fā)布服務(wù)的正反邏輯4.1 源 NAT整個(gè)內(nèi)網(wǎng)共用一個(gè)出接口地址DHCP正常后內(nèi)網(wǎng)終端有了IP但訪問外網(wǎng)還差一次轉(zhuǎn)換。內(nèi)網(wǎng)192.168.1.x是私網(wǎng)地址運(yùn)營(yíng)商收到它的報(bào)文根本不會(huì)往回發(fā)所以必須在防火墻上做源NAT把報(bào)文源地址換成公網(wǎng)地址。材料里的“做一條源NAT使內(nèi)網(wǎng)可以訪問到外網(wǎng)”對(duì)應(yīng)的常見做法是出接口地址NAT把源地址轉(zhuǎn)換成g0_0接口自身的公網(wǎng)IP同時(shí)做端口復(fù)用PAT。方向轉(zhuǎn)換前轉(zhuǎn)換后內(nèi)網(wǎng)→外網(wǎng)192.168.1.x:隨機(jī)端口g0/0公網(wǎng)IP:映射端口為什么用出接口地址而不是配置一個(gè)地址池因?yàn)榻^大多數(shù)情況下運(yùn)營(yíng)商只給你一個(gè)公網(wǎng)IP配置一個(gè)地址池里面沒有合法公網(wǎng)地址轉(zhuǎn)過去等于沒轉(zhuǎn)。PAT的好處是一個(gè)公網(wǎng)IP加上端口號(hào)就能區(qū)分幾千條會(huì)話終端數(shù)量在幾百臺(tái)以內(nèi)完全夠用。迪普防火墻上配置源NAT時(shí)通常要指定源地址范圍是192.168.1.0/24轉(zhuǎn)換后地址選“出接口地址”出接口選g0_0并勾選允許內(nèi)部會(huì)話反向匹配。配置時(shí)容易出問題的點(diǎn)是源NAT的匹配范圍。如果你后面還加了服務(wù)器網(wǎng)段比如VLAN20要發(fā)布到公網(wǎng)源NAT的源地址范圍必須包含VLAN20否則那一段地址的終端只能單向出去回來的流量走不通反過來如果源NAT范圍寫得過大把目的NAT要發(fā)布的服務(wù)器地址也包含進(jìn)去可能會(huì)導(dǎo)致兩條規(guī)則互相干擾。這種“正反兩條NAT像照鏡子”的配置建議每次改完都對(duì)著會(huì)話表看一遍第6章會(huì)講具體怎么看。提示源NAT只對(duì)“內(nèi)網(wǎng)發(fā)起的出向流量”有意義。目的NAT的入向流量回來時(shí)回程還要走源NAT的反向翻譯所以源NAT和目的NAT不是二選一而是必須同時(shí)成立。4.2 目的 NAT把內(nèi)網(wǎng)服務(wù)器的 80 端口貼到公網(wǎng)源NAT解決的是“內(nèi)網(wǎng)想出去”目的NAT解決的是“外網(wǎng)想進(jìn)來訪問你的服務(wù)器”。材料里的業(yè)務(wù)場(chǎng)景很典型內(nèi)網(wǎng)有一臺(tái)web服務(wù)器假設(shè)地址是192.168.1.100監(jiān)聽TCP 80端口公網(wǎng)用戶要訪問這臺(tái)服務(wù)器直接訪問內(nèi)網(wǎng)地址不現(xiàn)實(shí)所以要在防火墻上把公網(wǎng)IP的80端口映射到192.168.1.100的80端口。配置項(xiàng)示例值說明公網(wǎng)地址g0/0接口公網(wǎng)IP外網(wǎng)用戶訪問的目的地址公網(wǎng)端口80對(duì)外發(fā)布的端口與Web服務(wù)一致內(nèi)網(wǎng)服務(wù)器192.168.1.100Web服務(wù)器私網(wǎng)地址內(nèi)網(wǎng)端口80服務(wù)器實(shí)際監(jiān)聽端口協(xié)議TCPHTTP基于TCP映射時(shí)別選成UDP目的NAT的配置在迪普防火墻上一般是新增一條目的NAT或虛擬服務(wù)器規(guī)則入接口選untrust域的g0_0公網(wǎng)地址和端口填對(duì)外信息內(nèi)部地址和端口填服務(wù)器信息。配置完成后外網(wǎng)用戶訪問http://公網(wǎng)IP:80防火墻把目的地址改寫為192.168.1.100:80再把會(huì)話記錄到NAT表里服務(wù)器回包時(shí)防火墻根據(jù)會(huì)話把源地址改回公網(wǎng)IP:80這個(gè)來回才算閉環(huán)。這里的坑在第9步因?yàn)橛成溆玫搅?0端口而防火墻自身的Web管理服務(wù)默認(rèn)也監(jiān)聽80端口。兩者都想占用同一個(gè)端口結(jié)果就是公網(wǎng)流量到了防火墻先被設(shè)備自己的Web服務(wù)截住根本輪不到目的NAT去改寫。所以材料最后特意寫了要到管理員配置里把“啟用HTTP”的勾選去掉把80端口讓給業(yè)務(wù)。很多人在這一步?jīng)]做外網(wǎng)測(cè)試一直打開防火墻登錄頁還以為服務(wù)器沒起來。如果擔(dān)心關(guān)掉HTTP后管理員進(jìn)不了Web界面記得保留HTTPS管理或者把管理端口改成8443這樣的非業(yè)務(wù)端口別把自己堵在門外。4.3 包過濾策略NAT 只管改地址放不放行得另說NAT配置得再對(duì)跨安全域的訪問沒有包過濾策略放行照樣不通。材料第8步“做一條包過濾策略引用”說的就是這個(gè)NAT負(fù)責(zé)改寫報(bào)文的地址包過濾策略負(fù)責(zé)決定這個(gè)方向的流量允不允許進(jìn)、允不允許出。策略方向源地址目的地址服務(wù)動(dòng)作untrust→trustany公網(wǎng)IPTCP 80permittrust→untrust192.168.1.0/24anyanypermit第一條策略是給外網(wǎng)用戶訪問目的NAT映射用的untrust域進(jìn)來的流量只要目的是公網(wǎng)IP的80端口放行給后續(xù)NAT處理第二條策略是給內(nèi)網(wǎng)終端訪問外網(wǎng)用的trust域發(fā)起去往任何目的地址的流量放行。材料說的“包過濾策略引用”通常是把一條或多條規(guī)則放進(jìn)策略組再把這個(gè)策略組掛到untrust到trust、trust到untrust兩個(gè)方向上。策略方向是最容易搞反的。很多人在防火墻上只看到一堆規(guī)則就把所有接口隨意一掛結(jié)果外網(wǎng)訪問服務(wù)器的流量從untrust進(jìn)來匹配到的卻是一條trust→untrust的策略方向反了必然丟包。建議先明確“訪問發(fā)起方向”再去看源域和目的域外網(wǎng)訪問服務(wù)器是從untrust到trust內(nèi)網(wǎng)訪問外網(wǎng)是從trust到untrust。還有策略順序迪普防火墻一般從上往下匹配所以把放行外網(wǎng)訪問服務(wù)器80端口的特定規(guī)則放在deny規(guī)則前面別讓一條全拒規(guī)則把它攔住如果你發(fā)現(xiàn)規(guī)則看著都對(duì)日志還是denied先檢查是不是有更早的策略搶先命中。5. 避坑清單這臺(tái)迪普最常見的五類翻車現(xiàn)場(chǎng)5.1 管理口失聯(lián)與 80 端口被設(shè)備自己占用的兩個(gè)現(xiàn)場(chǎng)現(xiàn)象一配置完VLAN和安全域后Web管理頁面突然打不開管理地址ping不通頁面刷新后直接超時(shí)。原因配置過程中把管理口劃進(jìn)了業(yè)務(wù)VLAN或trust域管理通道的隔離被打亂管理員從業(yè)務(wù)口訪問設(shè)備的路徑被包過濾規(guī)則擋住材料里一開始就說“除了外網(wǎng)接口g0_0和管理口都加入VLAN10”管理口必須留在自己的管理域里這是從源頭防住這一類的辦法。解決如果Web還能進(jìn)先把管理口從業(yè)務(wù)VLAN里移除如果已經(jīng)失聯(lián)只能搬console線登錄把管理口恢復(fù)到獨(dú)立管理域。我一般會(huì)在開局前把管理口的默認(rèn)地址和console線放在手邊改完一批接口先確認(rèn)管理口還在再繼續(xù)改下一批這比出問題后翻配置快得多?，F(xiàn)象二目的NAT映射配好后外網(wǎng)用戶訪問http://公網(wǎng)IP:80打開的卻是防火墻登錄頁會(huì)話日志里看不到目的NAT的記錄。原因防火墻Web管理服務(wù)默認(rèn)監(jiān)聽TCP 80目的NAT也想用80端口設(shè)備自己優(yōu)先占據(jù)了端口映射規(guī)則根本沒機(jī)會(huì)執(zhí)行。解決按材料第9步到管理員配置里取消勾選“啟用HTTP”把Web管理方式切到HTTPS或把管理端口改成8443改完先從內(nèi)網(wǎng)確認(rèn)HTTPS方式還能正常登錄再從外網(wǎng)用瀏覽器訪問http://公網(wǎng)IP:80。如果HTTP沒關(guān)的時(shí)候就急著測(cè)看到登錄頁后先別改服務(wù)器先把管理端口讓出來再測(cè)一次。5.2 包過濾、DHCP 與靜態(tài)路由的三類誤操作現(xiàn)象三目的NAT和源NAT配置看著都對(duì)外網(wǎng)依然訪問不到內(nèi)網(wǎng)服務(wù)器防火墻流量日志里全是denied。原因包過濾策略沒有引用到正確的安全域方向或者規(guī)則順序被deny條目擋住NAT只改地址不做安全判斷跨域流量默認(rèn)不放行。解決新增untrust→trust方向的策略源地址any目的地址公網(wǎng)IP加80端口動(dòng)作permit并確認(rèn)策略組掛到untrust與trust之間再看日志里被拒絕的報(bào)文源IP是公網(wǎng)地址、目的IP是公網(wǎng)IP的基本就是這條策略的方向或順序問題。改完后在外網(wǎng)側(cè)再訪問一次同時(shí)看日志里有沒有從denied變成session這是最直接的判據(jù)?，F(xiàn)象四內(nèi)網(wǎng)終端一直拿不到IP網(wǎng)卡顯示169.254.x.x。原因DHCP地址池配了、DNS填了但總開關(guān)沒有打開或者地址池網(wǎng)段與VLAN10接口的192.168.1.0/24不一致。169.254.x.x是操作系統(tǒng)找不到DHCP服務(wù)器時(shí)自己生成的臨時(shí)地址看到它基本可以斷定DHCP交互沒有完成。解決去DHCP配置頁看總開關(guān)狀態(tài)必須是啟用地址池網(wǎng)段改成192.168.1.0/24分配范圍排除192.168.1.1服務(wù)接口選VLAN10而不是物理口。如果在終端上執(zhí)行ipconfig /renew后還是拿不到抓包看有沒有DHCP Offer回包沒有回包就是防火墻側(cè)沒開有回包但終端不認(rèn)再查地址池范圍和網(wǎng)關(guān)是否和接口網(wǎng)段一致?，F(xiàn)象五終端能ping通防火墻網(wǎng)關(guān)但訪問不了外網(wǎng)。原因默認(rèn)路由的下一跳填錯(cuò)寫成防火墻自己的接口地址或?qū)Χ瞬淮嬖诘牡刂穲?bào)文從g0_0發(fā)出后沒人應(yīng)答還有一種情況是回程路由缺失對(duì)端路由器不知道192.168.1.0/24該怎么回。解決先在防火墻上ping對(duì)端下一跳地址確認(rèn)三層鏈路是通的再查路由表確認(rèn)默認(rèn)路由的下一跳和出接口與現(xiàn)場(chǎng)一致如果內(nèi)網(wǎng)還有其他網(wǎng)段記得在對(duì)端設(shè)備上補(bǔ)回程路由。這個(gè)現(xiàn)象一定要區(qū)分清楚是“到不了外網(wǎng)”還是“外網(wǎng)到不了內(nèi)網(wǎng)服務(wù)器”前者查路由和源NAT后者查目的NAT、包過濾和回程路由方向上完全不同混在一起查會(huì)浪費(fèi)大量時(shí)間。6. 驗(yàn)證這套配置是否生效三步現(xiàn)場(chǎng)確認(rèn)法6.1 終端側(cè)先確認(rèn)基礎(chǔ)三件套再走一次真實(shí)訪問配完第2章到第4章的全部配置后第一步驗(yàn)證在終端上做。把一臺(tái)測(cè)試電腦接進(jìn)內(nèi)網(wǎng)在cmd里依次執(zhí)行ipconfig /release、ipconfig /renew、ipconfig /all確認(rèn)拿到192.168.1.0/24網(wǎng)段的地址、網(wǎng)關(guān)是192.168.1.1、DNS是下發(fā)的兩個(gè)地址。然后ping網(wǎng)關(guān)ping通之后直接訪問一個(gè)外網(wǎng)地址如果這一步通說明源NAT和trust→untrust的策略是生效的。這里不要用ping域名代替ping域名能通只能說明解析和ICMP放行沒問題不代表TCP業(yè)務(wù)放行真實(shí)做法是打開瀏覽器訪問一個(gè)具體頁面。6.2 防火墻側(cè)翻會(huì)話表看 NAT 有沒有真正命中終端側(cè)的驗(yàn)證只能證明“流量通了”但通得到底是NAT的功勞還是其他原因要看防火墻的會(huì)話表。迪普防火墻Web界面的會(huì)話管理或監(jiān)控模塊里能看到當(dāng)前活躍的NAT會(huì)話每一條會(huì)話都記錄了轉(zhuǎn)換前后的地址和端口。對(duì)于終端訪問外網(wǎng)的流量會(huì)話表里應(yīng)該能看到“私有地址:端口 → 公網(wǎng)IP:端口”這樣的轉(zhuǎn)換記錄對(duì)于外網(wǎng)用戶訪問web服務(wù)器的流量應(yīng)該能看到“公網(wǎng)IP:80 → 192.168.1.100:80”的轉(zhuǎn)換記錄。流量方向會(huì)話表觀察點(diǎn)終端訪問外網(wǎng)源地址從192.168.1.x轉(zhuǎn)換為g0/0公網(wǎng)IP外網(wǎng)訪問web服務(wù)器目的地址從公網(wǎng)IP:80轉(zhuǎn)換為192.168.1.100:80被策略拒絕日志顯示denied無NAT轉(zhuǎn)換記錄如果會(huì)話表里有轉(zhuǎn)換記錄說明NAT規(guī)則匹配成功如果沒有記錄流量根本就沒走到NAT那一步先回頭查路由和安全域方向別在NAT配置里反復(fù)改。日志里出現(xiàn)denied再看策略方向完全沒有日志再看數(shù)據(jù)鏈路是否到達(dá)防火墻。這一步是分辨“配置問題”和“鏈路問題”的分水嶺很多人卡住是因?yàn)槭冀K在防火墻配置頁里翻參數(shù)不肯看會(huì)話表和日志。6.3 外網(wǎng)側(cè)繞開內(nèi)網(wǎng)做最后一次里外驗(yàn)證終端側(cè)和防火墻側(cè)的驗(yàn)證都在內(nèi)網(wǎng)環(huán)境里目的NAT真正的生效與否必須站在外網(wǎng)視角看。用手機(jī)熱點(diǎn)或者另一條上網(wǎng)鏈路訪問http://公網(wǎng)IP:80瀏覽器能打開web服務(wù)器頁面整條鏈路才算閉環(huán)。不要在公司內(nèi)網(wǎng)里測(cè)自己映射的公網(wǎng)IP內(nèi)網(wǎng)到公網(wǎng)IP的回包路徑會(huì)涉及NAT回流問題很多防火墻需要額外配置回流或雙NAT才能支持內(nèi)網(wǎng)測(cè)不通不代表外網(wǎng)配置錯(cuò)外網(wǎng)能打開才是目的NAT、包過濾、回程路由三項(xiàng)同時(shí)生效的唯一證明。從那以后我每次配完這一整套迪普防火墻開局配置都會(huì)強(qiáng)迫自己按這三步走一遍先終端看地址三件套再翻防火墻會(huì)話表核對(duì)NAT轉(zhuǎn)換記錄最后用外網(wǎng)線路訪問發(fā)布地址。三步全過才敢在交付記錄上簽名字哪一步?jīng)]過就回到對(duì)應(yīng)的那一層去查絕不讓看起來“好像配好了”的配置直接上線。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取