头像被屏蔽
新手612152 发表于 2024-1-4 11:17
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
真男人 发表于 2024-1-6 10:39
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
新手031815 发表于 2024-1-6 12:33
  
提示: 作者被禁止或删除 内容自动屏蔽
新手716814 发表于 2024-3-27 11:57
  
感谢分享有助工资和学习!
guhui 发表于 2024-4-27 07:12
  
非常好,有助于工作,非常感谢!!!
江南岸别离 发表于 2024-6-6 10:31
  
非常好的实践教程,谢谢分享
阿威十八式 发表于 2024-8-4 21:44
  
每天坚持打卡学习签到!!
【2022争霸赛*干货满满】AF8.0.69替换启明星辰防火墙存在问题及解决办法
  

SANGFOR_HZ 146326人觉得有帮助

{{ttag.title}}
本帖最后由 SANGFOR_HZ 于 2022-9-9 16:16 编辑

AF8.0.69替换启明星辰防火墙存在问题及解决办法


一、背景描述
       客户这边之前有一套启明星辰的防火墙,由于考虑到设备比较老,以及当前网络的安全性,目前采购了一台深信服的下一代防火墙。要求实现对其替换,并实现原有防火墙的路由负载功能和安全防护。

二、网络拓扑
       当前的网络拓扑如下:
      
    拓扑说明:防火墙混合模式部署,连接互联网为路由口,其他三个网口为透明网口部署。防火墙要实现联通专线和移动专线做线路备份功能,即实现市统计局先走联动专线,联通专线断了走移动专线。

三、替换前准备
      
1、  工具准备
工具名称
作用
提供方式
螺丝刀
设备上架
联系客户提供
网线
设备连接
设备再带一根,剩下协调客户提供
笔记本
设备调试
自带
   
2、启明星辰防火墙配置收集
       让客户提供启明星辰防火墙的登录地址和登录账号密码信息,然后登录现有启明星辰防火墙查看具体配置,并进行收集,主要的配置收集如下:
   (1)网络接口配置:
网络接口
网口类型
IP地址
对端设备
eth1口
路由口
X.X.X.X/27
运营商光猫
eth2口
透明口
------------
联通专线路由器
eth3口
透明口
------------
移动专线路由器
eth4口
透明口
------------
内网核心
brg0口
路由口
10.41.122.129/25
vlan1
  
   (2)路由配置
   路由引用了链路故障检测,配置如下

   (3)链路故障检测配置
    其他配置按照我们防火墙正常配置来配,比如代理上网,应用控制和安全防护策略等,做没有在此做截图介绍。

四、下一代防火墙AF8.0.69替换配置:

1、网络接口配置
按照原启明星辰网口地址配置规划,深信服防火墙配置如下:

  2、链路故障检测配置
联通专线链路故障检测配置如下:
移动专线链路故障检测配置如下:
最终如下:

3、路由配置
路由引用线路故障检测,走联通专线的路由优先级高配置如下:
走移动的路由优先级低,引用移动链路故障检测
最终路由配置如下:

4、代理上网配置
下面用户上网都互联网线路代理上网出去,配置如下:

5、应用控制配置
放通内网PC访问互联网和到专线对端的网络控制如下:

五、防火墙替换测试及存在问题原因
防火配置完成后,按照对应的接线替换现有的的启明星辰防火墙上线,然后进行结果测试。测试验证分为两步:
1、内部PC访问互联网是否正常。上架后测试内网PC上网访问正常。
2、访问市统计局业务专线备份切换是否正常。测试专线备份切换,发现无法正常切换。

原因:因为深信服防火墙检测专线对端地址的时候无法选择下一跳,只能选择出接口,如下:
所以要想检测专线地址通信是否正常,又要依赖与静态路由,根据优先级磁盘联通线路生效,所以联通专线链路故障检测正常,移动专线链路故障是异常。所以移动专线优先级低的路由引用了链路故障会显示路由无效,当联通专线断开后,还是会线路路由无效,所以无法切到移动专线备份线路。

六、解决办法
     由于启明星辰防火墙的链路故障检测,检测专线对端的地址的时候,填写的是下一跳地址,直接出口到到对端从对应的专线线路出去探测。相当于加了到检测地址的路由。目前解决办法是通过在静态路由增加两条到两个检测地址段的静态路由,下一跳指向对应专线路由器的互联地址。如下:
路由增加后,再查看两条专线链路故障检测都正常:
最后测试专线线路备份切换一切正常。

打赏鼓励作者,期待更多好文!

打赏
41人已打赏

发表新帖
热门标签
全部标签>
西北区每日一问
高手请过招
【 社区to talk】
每日一问
社区新周刊
新版本体验
纪元平台
功能体验
产品连连看
安全效果
GIF动图学习
技术咨询
标准化排查
技术盲盒
自助服务平台操作指引
秒懂零信任
技术晨报
安全攻防
文档捉虫活动
故障笔记
答题自测
S豆商城资讯
每周精选
信服课堂视频
畅聊IT
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
干货满满
玩转零信任
信服圈儿
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
2023技术争霸赛专题
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力
故障案例库

本版版主

1
3
10

发帖

粉丝

关注

396
143
63

发帖

粉丝

关注

5
8
7

发帖

粉丝

关注

0
2
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人