ENSP防火墙综合实验（GRE、IPSec、NAT通信）【防火墙安全策略】

ENSP防火墙综合实验（GRE、IPSec、NAT通信）【防火墙安全策略】

• 一、实验要求
• • 1. 总部需要通过VPN与分支和合作伙伴进行通信
  • 2. 分支机构（Branch）员工使用NGFW接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。
  • 3. 合作伙伴（Partner）使用NGFW接入总部。要求实训合作伙伴通过GRE隧道与总部进行通信。
  • 4. 所有的客户端可以通过公网IP地址来访问WEB服务器
• 二、实验拓补
• 三、实验配置
• • 1. 防火墙安全区域划分（包括Tunnel接口）
  • 2. 静态路由
  • 3. GRE配置
  • 4. IPSec VPN配置
  • 5. Easy-ip配置
  • 6. NAT Server配置
  • 7. 安全策略配置
• 四、验证结果（截图）
• • 1. client3访问FTP服务器
  • 2. client1访问FTP服务器
  • 3. client2访问client4
  • 4. GRE隧道验证
  • 5. IPSec隧道验证
  • 6. 所有客户端访问WEB服务器验证

一、实验要求 1. 总部需要通过VPN与分支和合作伙伴进行通信

1）WEB服务器对外提供的IP地址为69.1.1.100
2）FW部署Easy-ip实现访问公网FTP服务

2. 分支机构（Branch）员工使用NGFW接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。

1）手工方式建立IPSec隧道需要手工配置各项参数：
2）安全参数索引，使用ESP协议的安全联盟的参数
	a）入方向安全联盟的SPI为11111
	b）出方向安全联盟的SPI为11111。
3）安全联盟的认证密钥，使用ESP协议的安全联盟的参数，
	a）入方向安全联盟的认证密钥为字符串12345；
	b）出方向安全联盟的认证密钥为字符串12345
4）FW部署Easy-ip实现访问公网client4（ping）

3. 合作伙伴（Partner）使用NGFW接入总部。要求实训合作伙伴通过GRE隧道与总部进行通信。

1）地址要求：隧道IP地址范围为172.16.12.0/24
2）FW部署部署Easy-ip实现访问公网FTP服务

4. 所有的客户端可以通过公网IP地址来访问WEB服务器

注：所有的通信使用静态路由来保证。

二、实验拓补

三、实验配置 1. 防火墙安全区域划分（包括Tunnel接口）

HQ：

trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet1/0/0
#
untrust
 priority is 5
 interface of the zone is (3):
    GigabitEthernet1/0/2
    GigabitEthernet1/0/3
    Tunnel1
#
dmz
 priority is 50
 interface of the zone is (1):
    GigabitEthernet1/0/1

Partner

trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet1/0/0
#
untrust
 priority is 5
 interface of the zone is (2):
    GigabitEthernet1/0/1
    Tunnel1

Branch

trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet1/0/0
#
untrust
 priority is 5
 interface of the zone is (1):
    GigabitEthernet1/0/1

2. 静态路由

HQ

ip route-static 0.0.0.0 0.0.0.0 69.1.1.2
ip route-static 0.0.0.0 0.0.0.0 68.1.1.2
ip route-static 10.1.10.0 255.255.255.0 Tunnel1
ip route-static 10.1.20.0 255.255.255.0 68.1.1.2
ip route-static 111.1.1.0 255.255.255.0 69.1.1.2
ip route-static 112.1.1.0 255.255.255.0 68.1.1.2

注：其实一般公网环境使用缺省即可，两条访问111.1.1.0 & 112.1.1.0的静态路由是为了流量能够正常在公网同行；同时两条访问10.1.10.0 & 10.1.20.0的静态路由是为了指引访问这两个网段的流量怎么使用VPN穿越公网

Partner

ip route-static 0.0.0.0 0.0.0.0 111.1.1.2
ip route-static 10.1.1.0 255.255.255.0 Tunnel1
ip route-static 69.1.1.0 255.255.255.0 111.1.1.2

注：其实一般公网环境使用缺省即可，一条访问69.1.1.0的静态路由是为了流量能够正常在公网同行；另外一条访问10.1.1.0 的静态路由是为了指引访问这个网段的流量怎么使用VPN穿越公网

Branch

ip route-static 0.0.0.0 0.0.0.0 112.1.1.2
ip route-static 10.1.1.0 255.255.255.0 112.1.1.2
ip route-static 68.1.1.0 255.255.255.0 112.1.1.2

注：其实一般公网环境使用缺省即可，一条访问68.1.1.0的静态路由是为了流量能够正常在公网同行；另外一条访问10.1.1.0 的静态路由是为了指引访问这个网段的流量怎么使用VPN穿越公网

3. GRE配置

HQ

interface Tunnel1
 ip address 172.16.12.1 255.255.255.0
 tunnel-protocol gre
 source 69.1.1.1
 destination 111.1.1.1

Partner

interface Tunnel1
 ip address 172.16.12.2 255.255.255.0
 tunnel-protocol gre
 source 111.1.1.1
 destination 69.1.1.1

4. IPSec VPN配置

HQ

acl number 3000
 rule 5 permit ip source 10.1.1.1 0 destination 10.1.20.1 0
#
ipsec policy map 10 manual
 security acl 3000
 proposal 10
 tunnel local 68.1.1.1
 tunnel remote 112.1.1.1
 sa spi inbound esp 11111
 sa string-key inbound esp 12345
 sa spi outbound esp 11111
 sa string-key outbound esp 12345
#
interface GigabitEthernet1/0/3
 ipsec policy map

Branch

acl number 3000
 rule 5 permit ip source 10.1.20.1 0 destination 10.1.1.1 0
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ipsec policy map 10 manual
 security acl 3000
 proposal 10
 tunnel local 112.1.1.1
 tunnel remote 68.1.1.1
 sa spi inbound esp 11111
 sa string-key inbound esp 12345
 sa spi outbound esp 11111
 sa string-key outbound esp 12345
interface GigabitEthernet1/0/1
 ipsec policy map

5. Easy-ip配置

HQ

nat-policy
 rule name easy-ip
  source-zone trust
  egress-interface GigabitEthernet1/0/2
  source-address 10.1.1.1 mask 255.255.255.255
  action source-nat easy-ip
Partner：
nat-policy
 rule name easy-ip
  source-zone trust
  egress-interface GigabitEthernet1/0/1
  source-address 10.1.10.1 mask 255.255.255.255
  action source-nat easy-ip

Branch

nat-policy
 rule name easy-ip
  source-zone trust
  egress-interface GigabitEthernet1/0/1
  source-address 10.1.20.1 mask 255.255.255.255
  action source-nat easy-ip

6. NAT Server配置

HQ

nat server http protocol tcp global 69.1.1.100 www inside 10.1.2.1 www

7. 安全策略配置

HQ

security-policy
 rule name gre
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  service gre
  action permit
 rule name icmpv4_C3-C1
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.1.1 mask 255.255.255.255
  destination-address 10.1.10.1 mask 255.255.255.255
  service icmp
  action permit
 rule name esp
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  service esp
  action permit
 rule name icmpv4_C3-C2
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.1.1 mask 255.255.255.255
  destination-address 10.1.20.1 mask 255.255.255.255
  service icmp
  action permit
 rule name allC-web
  source-zone trust
  source-zone untrust
  destination-zone dmz
  source-address 10.1.1.1 mask 255.255.255.255
  source-address 111.1.1.1 mask 255.255.255.255
  source-address 112.1.1.1 mask 255.255.255.255
  source-address 8.8.8.8 mask 255.255.255.255
  destination-address 10.1.2.1 mask 255.255.255.255
  destination-address 69.1.1.100 mask 255.255.255.255
  service http
  service icmp
  action permit
 rule name C3-FTP
  source-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  destination-address 7.7.7.7 mask 255.255.255.255
  service ftp
  service icmp
  action permit

Partner

security-policy
 rule name gre
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  service gre
  action permit
 rule name icmpv4
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 10.1.1.1 mask 255.255.255.255
  destination-address 10.1.10.1 mask 255.255.255.255
  service icmp
  action permit
 rule name C1-FTP
  source-zone trust
  destination-zone untrust
  source-address 10.1.10.1 mask 255.255.255.255
  destination-address 7.7.7.7 mask 255.255.255.255
  service ftp
  service icmp
  action permit
 rule name C1-web
  source-zone trust
  destination-zone untrust
  source-address 10.1.10.1 mask 255.255.255.255
  source-address 69.1.1.100 mask 255.255.255.255
  destination-address 10.1.10.1 mask 255.255.255.255
  destination-address 69.1.1.100 mask 255.255.255.255
  service http
  action permit

Branch

security-policy
 rule name esp
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  service esp
  action permit
 rule name icmpv4_C3-C2
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 10.1.1.1 mask 255.255.255.255
  destination-address 10.1.20.1 mask 255.255.255.255
  service icmp
  action permit
 rule name C2-C4
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address 10.1.20.1 mask 255.255.255.255
  source-address 8.8.8.8 mask 255.255.255.255
  destination-address 10.1.20.1 mask 255.255.255.255
  destination-address 8.8.8.8 mask 255.255.255.255
  service icmp
  action permit
 rule name C2-web
  source-zone trust
  destination-zone untrust
  source-address 10.1.20.1 mask 255.255.255.255
  destination-address 69.1.1.100 mask 255.255.255.255
  service http
  action permit

四、验证结果（截图） 1. client3访问FTP服务器

注：此为FTP服务器设置

注：客户端Client3成功访问FTP服务器的截图

注：通过抓包抓取FTP的流量（筛选ftp），可以看到有多个ftp的包，点开其中一个流量，可以清晰看到有ftp的封装。

2. client1访问FTP服务器

== 注：此为FTP服务器设置==

注：客户端Client1成功访问FTP服务器的截图

注：通过抓包抓取FTP的流量（筛选ftp），可以看到有多个ftp的包，点开其中一个流量，可以清晰看到有ftp的封装。

3. client2访问client4

注：client2通过缺省访问client4（ping五个包）

注：通过抓包抓取icmp的流量（筛选icmp），可以看到有10个icmp的包（数据通信是双向的，一去一回共10个包），点开其中一个流量，可以清晰看到有icmp的封装。

4. GRE隧道验证

注：client3通过GRE ping client1五个包

注：通过抓包抓取gre的流量（筛选gre），可以看到有10个gre的包（数据通信是双向的，一去一回共10个包），点开其中一个流量，可以清晰看到有GRE的封装。

5. IPSec隧道验证

注：client3通过IPsec ping client1五个包

注：通过抓包抓取esp（IPSec加密）的流量（筛选esp），可以看到有10个esp的包（数据通信是双向的，一去一回共10个包），点开其中一个流量，可以清晰看到有esp的封装。

6. 所有客户端访问WEB服务器验证

注：此为WEB服务器设置




注：以上四张图为各客户端（Client1、Client2、Client3、Client4）成功访问WEB服务器的截图

Client2：

Client1：

Client4：

Client3：

注：通过抓包抓取tcp（http）的流量（筛选tcp），可以看到有10个tcp的包（数据通信是双向的，一去一回共10个包），点开其中一个流量，可以清晰看到有tcp的封装（点开可以清晰看到http服务）。