山石網(wǎng)科防火墻接入方式之透明模式

1、山石網(wǎng)科防火墻在接入方面為我們提供了四個方面的選擇1 .透明模式2 .路由模式3 .混合模式4 .旁路模式今天我們簡單的看下透明模式的接入，首先我們來看下拓撲圖。Ip.addr=10.L1.1/24通過這樣的一個拓撲圖我們發(fā)現(xiàn)，在防火墻的左邊和右邊都是連接的同一個網(wǎng)絡(luò)，但是我們并沒有給防火墻分配地址，而是讓防火墻透明的存在這個網(wǎng)絡(luò)中，這種接入方式就是我們的接入方式的透明模式。既然是透明的，并且沒有ip地址，那么我們讓他們正常的進行通信通過這個交就需要通過二層來實現(xiàn)。山石網(wǎng)科的設(shè)備在設(shè)備內(nèi)部默認存在一個虛擬交換機，換機來實現(xiàn)二層的互聯(lián)。L2InterfaceL2InterfaceL2ZonelL

2、2Interface、L2Zone2L2Interface'/Switch卜面我們有兩種方式來為配置我們的透明模式，一種是命令行方式，還有一種是網(wǎng)頁方式。一：命令行模式先要把對應(yīng)的接口劃入到對應(yīng)的zone,如我們的拓撲圖所示。QYTANG(config)#inte0/1QYTANG(config-if-eth0/1)#zonel2-trustQYTANG(config-if-eth0/1)#noshutdownQYTANG(config-if-eth0/1)#exitQYTANG(config)#inte0/2QYTANG(config-if-eth0/2)#zonel2-untrus

3、tQYTANG(config-if-eth0/2)#noshutdown現(xiàn)在我們需要在兩邊的路由器上配置相應(yīng)的ip地址。R1(config)#inte0/0R1(config-if)#ipaddress10.1.1.1255.255.255.0R1(config-if)#noshutdownR1(config-if)#exitR2(config)#inte0/0R2(config-if)#ipaddress10.1.1.2255.255.255.0R2(config-if)#noshutdownR2(config-if)#exit在沒有做策略之前做測試，看是否能夠通信。Ripping10.1.

4、1.2Typeescapesequencetoabort,Sending5,100-byteICMPEchosto10,1.1.2,timeoutis2seconds:successrateis0percent(0/5)最后我們需要在防火墻上做相應(yīng)的策略來放行從trust到untrust的流量，先定義要放行的地址的范圍。QYTANG(config)#addresstrust-addressQYTANG(config-addr)#range10.1.1.010.1.1.255QYTANG(config-addr)#exitQYTANG(config)#addressuntrust-address

5、QYTANG(config-addr)#range10.1.1.010.1.1.255QYTANG(config-addr)#exit在對應(yīng)的規(guī)則里面放行上面自己定義的地址。QYTANG(config)#ruleid2Ruleid2iscreatedQYTANG(config-policy-rule)#src-zonel2-trustQYTANG(config-policy-rule)#dst-zonel2-untrustQYTANG(config-policy-rule)#src-addrtrust-addressQYTANG(config-policy-rule)#dst-addruntr

6、ust-addressQYTANG(config-policy-rule)#actionpermitQYTANG(config-policy-rule)#serviceanyQYTANG(config-policy-rule)#exit做了策略和相關(guān)的設(shè)置之后再來測試下連通性。Ripping10*1.1.2Typeescapesequencetoabort4Sending5.100-byteICMPEchosto10.1.1,2,timeoutis2seconds:iiiIjSuccessrareis100percent(5/5),round-tripnrin/avg/max=20/29/39msRI#：通過網(wǎng)頁來操作。和命令行一樣的順序，先要把對應(yīng)的端口劃入到對應(yīng)的zone。rnel里口捅口名京6themetO/2推逑士外字符場定安全號,。二星生金W。三展安全域.TAP0無螂足安例廣12-untrust*由于命令行的時候已經(jīng)配置過了路由器的ip地址，這邊就不需要了，直接進入策略的配置就好了。!TT一YFVW01