SANGFORNGAFV度渠道初級認證培訓常見網絡環(huán)境部署

SANGFORNGAF常見網絡環(huán)境部署培訓內容培訓目標NGAF各種部署模式掌握路由部署配置及場景掌握透明模式部署配置及場景掌握虛擬網線模式部署配置及場景4.了解旁路模式部署配置及場景5.掌握混合模式部署配置及場景部署說明

AF部署能力的提高，讓工程師了解在各種環(huán)境下，選擇最優(yōu)的部署模式。為了讓AF適應各種環(huán)境的部署能力，和可擴展性，NGAF沒有單獨的部署模式可以選擇，AF的部署模式是由各個網口的屬性決定的；根據(jù)網口屬性分為：物理接口、子接口、vlan接口；根據(jù)網口工作區(qū)域劃分為：2層區(qū)域口、3層區(qū)域口；其中物理口可選擇為：路由口、透明口、虛擬網線口、鏡像口；1、路由模式（lan對端路由口）路由口部署思路：1、lan口對端是路由口，直接設置lan口為路由口即可2、路由模式（lan對端trunk口）路由模式下，對端是trunk口Trunk口部署思路2：1、設置lan口為trunk口，并設置對應的vlan號的vlan接口，這種模式類似3層虛擬接口交換機。2、路由模式（lan對端trunk口）3、透明模式（access環(huán)境）透明模式部署也是最常見的部署模式access部署思路：1、網口設置成透明口，設置對應的vlan號即可，如果線路傳輸?shù)臄?shù)據(jù)不包含vlan標簽，選擇默認的vlan1。2、可以配置eth0可作為管理口外，也可以使用新建vlan1對應的3層口veth1來管理設備，需要確保AF的veth1接口的IP與前后端設備接口屬于同網段。3、透明模式（access環(huán)境）4、透明模式（trunk環(huán)境）如果鏈路是承載著多個vlan的trunk鏈路，可以采用透明trunk模式部署。與AF對接的其他網絡設備的接口一般也都是配置了trunk模式，或者是路由子接口模式。Trunk部署思路：1、把2個網口配置成trunk口接口，trunk所有vlan。2、配置相對應的任何vlan虛擬接口給AF設備，以用于管理和上網更新規(guī)則庫，也可以用manager口。4、透明模式（trunk環(huán)境）5、虛擬線路虛擬網線部署是最常見的部署模式，也是適用范圍最廣，最提倡的一種部署模式。部署思路：1、采用虛擬網線方式部署時不需要考慮AF前后設備接口屬性和鏈路屬性，直接把網口配置成了虛擬線路口后，配對部署即可。2、需要給默認管理口eth0分配一個可用的IP，該IP可以用于管理設備，更新規(guī)則庫，防篡改模塊更新緩存等。5、虛擬線路6、路由模式（wan口路由口，內網服務器有公網IP，啟用ARP代理）上文提及需求是公網IP必須配置在服務器上面的另外一種配置方法，這就是全路由模式部署。部署思路：1、接口都配置為路由口，然后采用arp代理的方式實現(xiàn)服務器區(qū)域和公網網關的互相通訊。6、路由模式（wan口路由口，內網服務器有公網IP，啟用ARP代理）arp代理功能，該拓撲圖，必須選擇eth37、旁路模式旁路模式部署AF，AF僅僅支持的功能有WAF（web應用防護），IPS（入侵防護系統(tǒng)），和DLP（數(shù)據(jù)庫泄密防護，屬于WAF內，其余功能均不能實現(xiàn)，例如Vpn功能，網關(smtp/pop3/http)殺毒，DOS防御，網站防篡改，Web過濾等都不能實現(xiàn)。部署思路：1、連接旁路口eth3到鄰接核心交換機設備2、連接管理口并配置管理ip3、啟用管理口reset功能7、旁路模式支持帶vlan標記數(shù)據(jù)旁路部署支持阻斷功能，通過查找系統(tǒng)路由選擇接口發(fā)送tcpreset包為旁路區(qū)域配置IPS/WAF策略1、當源區(qū)域配置為旁路鏡像區(qū)域時，目的區(qū)域自動填寫為所有區(qū)域2、目的IP組不能填寫所有7、旁路模式8、混合模式（wan口交換口，內網服務器有公網IP）混合模式部署，主要指AF的各個網口，既有2層口，又有3層口的情況。特別是當DMZ區(qū)域服務器集群需要配置公網IP地址的時候部署思路：1、服務器eth3和公網區(qū)域接口eth2配置成2層口，放到2層區(qū)域2、內網口eth1配置為路由口3、新建一個和eth2以及eth3對應vlan的3層區(qū)域接口并配置公網ip地址。用于代理內網方向上網及內網區(qū)域與服務器區(qū)域、外網區(qū)域策略控制8、混合模式（wan口交換口，內網服務器有公網IP）9、混合模式部署案例用戶需求：某用戶內網有服務器群，服務器均配置公網IP地址，提供所有用戶直接通過公網IP地址接入訪問。內網用戶使用私有地址，通過NAT轉換上網。希望將NGAF設備部署在公網出口的位置，保護服務器群和內網上網數(shù)據(jù)的安全。部署方式推薦：使用混合模式部署，NGAF設備連接公網和服務器群的2個接口使用透明access口，連接內網網段使用路由接口。9、混合模式部署案例NGAF部署分析：由于服務器均有公網IP地址，所以AF設備連接公網線路的接口eth1與連接服務器群接口eth2使用透明access接口，并設置相同的VLANID。即可實現(xiàn)所有用戶通過公網IP直接訪問到服務器群。新增VLAN1接口，分配一個公網IP地址。AF設備與內網相連的接口eth3使用路由接口，設置與內網交換機同網段的IP地址，并設置靜態(tài)路由與內網通信。（靜態(tài)路由配置省略）內網用戶上網時，轉換源IP地址為VLAN1接口的IP地址。（NAT配置省略）根據(jù)需求，劃分為一個二層區(qū)域選擇網口eth1和eth2；劃分兩個三層區(qū)域，其中“外網區(qū)域”選擇VLAN接口vlan1；“內網區(qū)域”選擇接口eth3。9、混合模式部署案例配置截圖：1.設置物理接口eth1、eth2和eth3：9、混合模式部署案例2