您是本帖第1120位浏览者打印

[求助] 有用过8512上的SecBlade-FW的透明应用的吗？

sss5247200

学徒工

Rank: 1

帖子: 17
精华: 0
积分: 101
IP地址: 67 个

1^# 大中小发表于 2007-12-23 15:10 只看该作者

有用过8512上的SecBlade-FW的透明应用的吗？

有用过8512上的SecBlade-FW的透明应用的吗？

如果有详细配置，麻烦大家能给贴上来，救救急吧。这里先谢过了。

搜索更多相关主题的帖子: 应用

TOP

jefflgl

学徒工

Rank: 1

帖子: 22
精华: 0
积分: 140
IP地址: 96 个

2^# 大中小发表于 2007-12-23 16:59 只看该作者

实例：使能SYN Flood攻击防范功能

将SecBlade的G0/0.1子接口配置为Trust域，G0/0.2子接口配置为Untrust域，G0/0.3子接口配置为DMZ区。需要对DMZ域内的服务器进行SYN Flood攻击防范。
2. 组网图

3. 配置步骤
S8505（SecBlade）
# 划分VLAN
[S8505] vlan 10
[S8505－vlan10] quit
[S8505] vlan 30
[S8505－vlan30] quit
[S8505] vlan 50
[S8505－vlan50] quit
[S8505] vlan 60
[S8505－vlan60] quit
# 配置IP地址
[S8505] interface vlan-interface 10
[S8505-Vlan-interface10] ip address 10.0.0.254 24
[S8505-Vlan-interface10] quit
[S8505] interface vlan-interface 30
[S8505-Vlan-interface30] ip address 30.0.0.1 24
[S8505-Vlan-interface30] quit
# 配置静态路由
[S8505] ip route-static 0.0.0.0 0 30.0.0.254
# 配置SecBlade接口3GE聚合（SecBlade槽位号为2）
[S8505] secblade aggregation slot 2
# 建立SecBlade配置模块test
[S8505] secblade module test
# 指定SecBlade接口VLAN
[S8505-secblade-test] secblade-interface vlan-interface 30
# 设置需要保护的VLAN
[S8505-secblade-test] security-vlan 50 60
# 映射SecBlade配置模块到指定槽位的SecBlade插卡
[S8505-secblade-test] map to slot 2
[S8505-secblade-test] quit
[S8505] quit
# 登陆到指定槽位的SecBlade插卡
<S8505> secblade slot 2 （缺省用户名和密码为SecBlade）
user：SecBlade
password: SecBlade
<SecBlade> system
# 创建子接口
[SecBlade] interface g0/0.1
[SecBlade-GigabitEthernet0/0.1] vlan-type dot1q vid 30
[SecBlade-GigabitEthernet0/0.1] ip address 30.0.0.254 24
[SecBlade-GigabitEthernet0/0.1] quit
[SecBlade] interface g0/0.2
[SecBlade-GigabitEthernet0/0.2] vlan-type dot1q vid 50
[SecBlade-GigabitEthernet0/0.2] ip address 50.0.0.254 24
[SecBlade-GigabitEthernet0/0.2] quit
[SecBlade] interface g0/0.3
[SecBlade-GigabitEthernet0/0.3] vlan-type dot1q vid 60
[SecBlade-GigabitEthernet0/0.3] ip address 60.0.0.254 24
[SecBlade-GigabitEthernet0/0.3] quit
# 将内网子接口添加到Trust区域
[SecBlade] firewall zone trust
[SecBlade-zone-trust] add interface GigabitEthernet 0/0.1
[SecBlade-zone-trust] quit
# 将外网子接口添加到Untrust区域
[SecBlade] firewall zone untrust
[SecBlade-zone-untrust] add interface GigabitEthernet 0/0.2
[SecBlade-zone-untrust] quit
# 将GigabitEthernet0/0.3子接口添加到DMZ区域
[SecBlade] firewall zone DMZ
[SecBlade-zone-DMZ] add interface GigabitEthernet 0/0.3
[SecBlade-zone-DMZ] quit
# 配置静态路由
[SecBlade] ip route-static 10.0.0.0 24 30.0.0.1
# 使能DMZ域入方向的IP统计功能。
[SecBlade] firewall zone DMZ
[SecBlade-zone-DMZ] statistics enable ip inzone
[SecBlade-zone-DMZ] quit
# 打开SYN Flood攻击防范功能全局开关。
[SecBlade] firewall defend syn-flood enable
# 配置对服务器60.0.0.1进行SYN Flood攻击防范，配置SYN包的最大连接速率为500包/秒，最大半开连接数为2000个，手工启动TCP代理。
[SecBlade] firewall defend syn-flood ip 60.0.0.1 max-rate 500 max-number 2000 tcp-proxy on

TOP

jefflgl

学徒工

Rank: 1

帖子: 22
精华: 0
积分: 140
IP地址: 96 个

3^# 大中小发表于 2007-12-23 17:30 只看该作者

实例：使能SYN Flood攻击防范功能

将SecBlade的G0/0.1子接口配置为Trust域，G0/0.2子接口配置为Untrust域，G0/0.3子接口配置为DMZ区。需要对DMZ域内的服务器进行SYN Flood攻击防范。
2. 组网图

3. 配置步骤
S8505（SecBlade）
# 划分VLAN
[S8505] vlan 10
[S8505－vlan10] quit
[S8505] vlan 30
[S8505－vlan30] quit
[S8505] vlan 50
[S8505－vlan50] quit
[S8505] vlan 60
[S8505－vlan60] quit
# 配置IP地址
[S8505] interface vlan-interface 10
[S8505-Vlan-interface10] ip address 10.0.0.254 24
[S8505-Vlan-interface10] quit
[S8505] interface vlan-interface 30
[S8505-Vlan-interface30] ip address 30.0.0.1 24
[S8505-Vlan-interface30] quit
# 配置静态路由
[S8505] ip route-static 0.0.0.0 0 30.0.0.254
# 配置SecBlade接口3GE聚合（SecBlade槽位号为2）
[S8505] secblade aggregation slot 2
# 建立SecBlade配置模块test
[S8505] secblade module test
# 指定SecBlade接口VLAN
[S8505-secblade-test] secblade-interface vlan-interface 30
# 设置需要保护的VLAN
[S8505-secblade-test] security-vlan 50 60
# 映射SecBlade配置模块到指定槽位的SecBlade插卡
[S8505-secblade-test] map to slot 2
[S8505-secblade-test] quit
[S8505] quit
# 登陆到指定槽位的SecBlade插卡
<S8505> secblade slot 2 （缺省用户名和密码为SecBlade）
user：SecBlade
password: SecBlade
<SecBlade> system
# 创建子接口
[SecBlade] interface g0/0.1
[SecBlade-GigabitEthernet0/0.1] vlan-type dot1q vid 30
[SecBlade-GigabitEthernet0/0.1] ip address 30.0.0.254 24
[SecBlade-GigabitEthernet0/0.1] quit
[SecBlade] interface g0/0.2
[SecBlade-GigabitEthernet0/0.2] vlan-type dot1q vid 50
[SecBlade-GigabitEthernet0/0.2] ip address 50.0.0.254 24
[SecBlade-GigabitEthernet0/0.2] quit
[SecBlade] interface g0/0.3
[SecBlade-GigabitEthernet0/0.3] vlan-type dot1q vid 60
[SecBlade-GigabitEthernet0/0.3] ip address 60.0.0.254 24
[SecBlade-GigabitEthernet0/0.3] quit
# 将内网子接口添加到Trust区域
[SecBlade] firewall zone trust
[SecBlade-zone-trust] add interface GigabitEthernet 0/0.1
[SecBlade-zone-trust] quit
# 将外网子接口添加到Untrust区域
[SecBlade] firewall zone untrust
[SecBlade-zone-untrust] add interface GigabitEthernet 0/0.2
[SecBlade-zone-untrust] quit
# 将GigabitEthernet0/0.3子接口添加到DMZ区域
[SecBlade] firewall zone DMZ
[SecBlade-zone-DMZ] add interface GigabitEthernet 0/0.3
[SecBlade-zone-DMZ] quit
# 配置静态路由
[SecBlade] ip route-static 10.0.0.0 24 30.0.0.1
# 使能DMZ域入方向的IP统计功能。
[SecBlade] firewall zone DMZ
[SecBlade-zone-DMZ] statistics enable ip inzone
[SecBlade-zone-DMZ] quit
# 打开SYN Flood攻击防范功能全局开关。
[SecBlade] firewall defend syn-flood enable
# 配置对服务器60.0.0.1进行SYN Flood攻击防范，配置SYN包的最大连接速率为500包/秒，最大半开连接数为2000个，手工启动TCP代理。
[SecBlade] firewall defend syn-flood ip 60.0.0.1 max-rate 500 max-number 2000 tcp-proxy on

TOP

sss5247200

学徒工

Rank: 1

帖子: 17
精华: 0
积分: 101
IP地址: 67 个

4^# 大中小发表于 2007-12-23 19:01 只看该作者

1、目前的3.10 1271版本，不能够使用聚合功能（secblade aggregation slot 11）。会导致莫明其秒的转发不正常。
2、你给出来的配置是路由模式，透明模式通过答复，目前此版本是不支持的。
3、SecBlade-FW的版本是3.40 0004

TOP

iwowo

学徒工

Rank: 1

帖子: 24
精华: 0
积分: 133
IP地址: 85 个

5^# 大中小发表于 2007-12-23 19:32 只看该作者

透明模式和虚拟防火墙现在都不支持，在有的项目中比较被动

TOP

sss5247200

学徒工

Rank: 1

帖子: 17
精华: 0
积分: 101
IP地址: 67 个

6^# 大中小发表于 2007-12-24 09:41 只看该作者

现在又答复我，配置做错了。

具体的意思是：如果三层网关全在8512的本机上，那么在SecBlade-FW上启用透明模式，数据包是不过SecBlade-FW的，就直接到自己的网关转发了。

想用的话，说要把被保护的VLAN interface给删除掉，然后在FW上建立一个子接口，TAG设置成被保护的VLAN，然后再建立一个子接口，再设置一个其它的TAG，然后在8512上为这个新的TAG，建立一个vlan interface。这个新的vlan interface还使用原来被保护vlan的IP地址。

目前这是一个想法，不过想想也有道理，等到有了真实的结果后，兄弟再及时发布最新结果。

TOP