AF——AF虚拟系统原理与配置
  

999的demo 1154

{{ttag.title}}
本帖最后由 999的demo 于 2024-6-24 01:10 编辑

AF虚拟系统介绍
虚拟系统应用场景
虚拟系统主要用于分区分域、多分支接入隔离等场景
分区分域场景
数据中心存在多个分区,一台墙上做策略管理很复杂,通过一区一台物理墙的方式则成本高
多分支接入隔离场景
下属资源要统一接入到总局,但是因为没有做统一规划,各单位存在ip冲突的情况,没办法通过单台防火墙直接接入
哪些AF版本支持虚拟系统功能
从AF8.0.59版本开始支持虚拟系统功能
截止标准版本AF8.0.85,AF的虚拟系统只有传统防火墙的功能,只有应用控制策略和本机访问控制策略。不支持安全防护策略、高可用性、VPN等其他的功能模块
截止标准版本AF8.0.85 ,AF上的虚拟系统功能不支持独立分配CPU和内存
虚拟防火墙能够配置的数量
虚拟防火墙支持数量和内存大小相关:4G内存型号(最大6个,正常使用推荐1个)、8G内存型号(最大6个,正常使用推荐3个)、16G内存型号(最大10个,正常使用推荐5个)、32G内存型号(最大32个,正常使用推荐16个)、40G及以上型号(最大225个,正常使用推荐25个)

虚拟系统的功能
虚拟系统(Virtual System),简称为VSYS(有厂商又称为lsys,逻辑系统),能够将一台物理防火墙在逻辑上划分成多个虚拟防火墙,每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备,可以拥有独立的系统资源,且能够实现防火墙的部分功能(虚拟系统只支持传统的防火墙功能进行应用控制,无法做安全防护和VPN等功能)。每个虚拟防火墙系统之间相互独立,不允许直接相互通信(可以通过虚拟接口实现互访)
AF设备上存在两种类型的虚拟系统
根系统(Public
是AF设备上缺省存在的一个特殊的虚拟系统,即使虚拟系统功能未启用,根系统也依然存在。此时管理员对AF设备进行配置等同于对根系统进行配置。启用虚拟系统功能后,根系统会继承先前AF设备上的配置。
在虚拟系统这个特性中,根系统的作用是管理其他虚拟系统,并为虚拟系统间的通信提供服务。
虚拟系统(VSYS)
是在AF设备上划分出来的、独立运行的逻辑设备。
有独立的接口、基础对象、路由表项以及策略,并可通过虚拟系统管理员进行独立配置和管理。
虚拟系统管理员只能对应的虚拟系统,根统管理员可以管理所有系统
虚拟系统管理员登录账号格式为”用户名@@虚拟系统名称”
在多个管理员进行配置操作时,有可能会造成策略下发失败或者变慢;
虚拟系统(VSYS)支持的功能

虚拟系统资源和接口分配
截止标准版本AF8.0.85 ,AF上的虚拟系统功能不支持独立分配CPU和内存
资源分配
虚拟系统的资源分配分为定额和手工分配两种方式,默认手工分配的资源无限制
定额分配
此类资源直接按照系统规格自动分配固定的资源数,不支持用户手动分配,例如安全区域,管理员等。
手工分配
此类资源支持用户通过命令行或Web界面中的资源类界面手动分配,例如会话数,应用控制策略等。
其他的资源项则是各个虚拟系统一起共享抢占整机资源,同样不支持用户手动分配
接口分配
支持为虚拟系统分配物理接口、子接口、Vlan接口
分配子接口和Vlan接口的时候都需要现在根系统上创建好相应的子接口和Vlan接口才能分配给虚拟系统

虚拟系统之间互访
虚拟系统之间通过虚拟接口互访
虚拟接口(如果需要虚拟系统互访,虚拟接口必须配置上IP地址和区域)
虚拟接口是创建虚拟系统时系统自动为其创建的一个逻辑接口,作为虚拟系统自身与其他虚拟系统之间通信的接口。
通过将虚拟接口加入安全区域并按照配置一般设备间互访的思路配置路由和策略,就能实现虚拟系统和根系统的互访、虚拟系统之间的互访。
虚拟接口的命名格式
虚拟接口名的格式为“vsysif+接口号”,根系统的虚拟接口名为vsysif0,其他虚拟系统的vsysif接口号从1开始,根据系统中接口号占用情况自动分配
注意事项
虚拟系统互访场景最多可部署三个虚拟系统互访,即A访问B再访问C然后再访问D是不支持的

AF虚拟系统案例分享
物理拓扑
其中下行两台交换机并没有做堆叠等高可用,而是两台独立做的双活(因此AF和这两个交换机的互联地址为不同网段的,即AF连接交换机的下行的两个接口无法做聚合了)
逻辑拓扑
包含根系统共三个系统,每个系统都有独立的下行地址。上行地址只有根系统有,其它系统需要去访问公网需要通过根系统来走。
建议使用子接口(不要使用Vlan接口,以下配置是通过Vlan接口来配置的,子接口的配置和Vlan接口配置一致)
注意:当使用子接口的时候物理接口为三层,使用Vlan接口的时候物理接口为二层
虚拟系统配置
1、开启虚拟系统
2、新建资源类型(也可以使用默认的资源池)
3、新建虚拟系统(绑定资源和接口—逻辑接口可以在创建的时候直接绑定)
3.1创建Vlan接口直接分配给虚拟系统
3.2进入到虚拟系统查看分配的接口
3.3-Vlan或者子接口加入到虚拟系统时,对应的物理接口也会加入到虚拟系统,此时就需要在虚拟系统为物理接口配置区域
3.4此时可以在根墙上看到物理接口属于多个虚拟系统了
配置策略和路由
配置应用控制策略和NAT
配置接口

配置高可用
注意事项
l  开启虚拟系统之后,高可用不支持镜像模式
l  无法在虚拟系统上配置高可用,但是可以在根系统上配置高可用,然后为对应的虚拟系统配置虚拟IP
l  所有的虚拟系统共用心跳线
配置虚拟IP和心跳口

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

飞翔的苹果 发表于 2024-6-24 08:02
  
感谢分享,有助于工资和学习
发表新帖
热门标签
全部标签>
西北区每日一问
安全效果
高手请过招
【 社区to talk】
干货满满
社区新周刊
每日一问
新版本体验
技术盲盒
技术咨询
产品连连看
纪元平台
标准化排查
GIF动图学习
功能体验
社区帮助指南
信服课堂视频
安装部署配置
解决方案
SDP百科
自助服务平台操作指引
玩转零信任
S豆商城资讯
秒懂零信任
每周精选
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
2023技术争霸赛专题
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版版主

1
3
10

发帖

粉丝

关注

396
143
63

发帖

粉丝

关注

5
8
7

发帖

粉丝

关注

0
1
0

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人