×

好心情 发表于 2020-8-2 23:23
  
很详细哦
新手486484 发表于 2021-6-9 12:53
  
打赏学习,感谢分享               
玉米 发表于 2021-6-9 13:03
  
打赏学习,感谢分享               
玉米 发表于 2021-6-9 13:03
  
打赏学习,感谢分享               
新手741261 发表于 2024-2-24 12:34
  

打赏学习,感谢分享      
司马缸砸了光 发表于 2024-3-20 09:41
  
一起来学习 一起来学习
花开荼靡_ 发表于 2024-6-16 09:37
  
打卡学习,感谢大佬分享!
AF如何防护服务器区域
  

银票小当家 43371人觉得有帮助

{{ttag.title}}
1.项目背景
客户外网区仅有一台AF,当内网进行渗透测试时,从PC到服务器完全没有防护手段,客户希望通过调整AF既有内到外的防护,还有PC到服务器的防护。

2.客户环境说明
客户出口是负载均衡、AF虚拟网线部署,客户业务区存在业务汇聚交换机,但是PC区有多个接入,无单独的汇聚交换机。业务和PC区网关都在核心上。
3.客户需求
1.现在设备只能防护外网到内网的攻击,并无法防护PC到服务器直接的攻击。
2.需要节约设备性能,同时保障业务可用性。条件允许时,优先服务器不经过二次穿透。
4.方案规划
方案1
1. 核心下方新增一个汇聚交换机。终端接入统一连到汇聚再到核心;AF起两个虚拟网线对。
2. 方案优势:终端或者外网访问业务区都不经过二次穿透,不用担心二次穿透处理问题,影响业务区;只有终端和外网直接访问会经过二次穿透。
3. 方案劣势:需要新增交换机。
4. 逻辑拓扑
方案2
1. AF上下联透明部署,起vlan子接口,业务区网关指到AF vlan子接口上。
2. 方案优势:各个区域之间访问均不存在二次穿透问题;
3. 方案劣势:业务区网关需要重新变化,影响大。
4. 逻辑拓扑
方案3
1. AF改为路由部署,业务区网关指到AF上,下联和AD核心需要改路由。
2. 方案优势:各个区域之间访问均不存在二次穿透问题。
3. 方案劣势:业务区网关需要重新变化,AD和核心之间需要更改路由和互联地址,影响大。
4. 逻辑拓扑
方案4
1. 双虚拟网线分别串在AD和核心之间以及核心与服务器汇聚之间。
2. 方案优势:完全不改变客户原有网络结构
3. 方案劣势:外网访问服务器区需要二次穿透
4. 逻辑拓扑
此次客户处采用方案4,对网络改动小,且可以满足客户需求。
ETH9口和ETH10口为虚拟网线对1ETH11ETH12为虚拟网线对2,通过开启二次穿透来保证业务正常和减少设备消耗。
5.现场配置
配置思路
1.ETH9口和ETH10口为虚拟网线,ETH11ETH12为虚拟网线对2
2防护策略分为三部分:外网------PC,外网-------服务器,PC------服务。
3.通过流量走势分析,将二次穿透配置在eth9口和eth10口之间,放通源ip为所有,目的ip是服务器段的数据,入接口选择eth9,以及放通源是服务器网段,目的网段是所有的数据,入接口选择eth10
4.二次穿透配置:

6.项目经验
1. 在存在二次穿透环境中,需要配置二次穿透。此次客户环境,起初未启用二次穿透,内部业务被外网访问存在问题,开直通显示应用控制策略丢包,匹配默认全拒绝策略;启用二次穿透后解决。
2. 在二次穿透环境中,可能因为连接跟踪或者安全策略检测有重传包导致数据包转发异常。通过开启二次穿透功能,将匹配入接口和源目IP的流量做穿透处理(相当于bypass,从而保障数据业务正常转发。

图片6.png (33.62 KB, 下载次数: 224)

图片6.png

图片7.png (34.28 KB, 下载次数: 186)

图片7.png

打赏鼓励作者,期待更多好文!

打赏
4人已打赏

发表新帖
热门标签
全部标签>
安全效果
每日一问
西北区每日一问
【 社区to talk】
干货满满
技术盲盒
技术笔记
产品连连看
新版本体验
技术咨询
标准化排查
信服课堂视频
每周精选
2023技术争霸赛专题
GIF动图学习
功能体验
技术晨报
云计算知识
自助服务平台操作指引
社区新周刊
技术圆桌
运维工具
用户认证
资源访问
玩转零信任
社区帮助指南
通用技术
畅聊IT
答题自测
专家问答
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高手请过招
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列

本版版主

1
3
10

发帖

粉丝

关注

396
142
63

发帖

粉丝

关注

5
6
7

发帖

粉丝

关注

0
1
0

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人