通过引流方式实现防火墙旁挂部署并且实现安全防护功能

通过引流方式实现防火墙旁挂部署并且实现安全防护功能案例

一、项目背景

1、客户有购买了一台某公司由于性能问题和服务器直连核心交换机原因，决定采取旁挂方式部署，但是又希望实现安全防护，因此决定通过引流方式（QOS的流量重定向）把需要防护的流量引到防火墙，防火墙做路由模式部署，流量在防火墙上过一遍后再回到服务器或者出去。

2、这种部署模式好处如下：

a）只引流需要防护的流量即可，如果是透明模式部署，可能所有经过的流量都需要防护。

b）不用做网络改造，特别是对于直连核心的服务器，传统改造办法是新增服务器汇聚交换机，服务器接到汇聚交换机，汇聚交换机直连核心交换机。

c）在一些场景下，例如原本客户核心交换机和汇聚交换机是万兆接口互联，但是防火墙是千兆接口情况下，要上架防火墙并且实现安全防护，这时候可以把防火墙接到核心交换机千兆口上，配置为路由模式，然后通过引流方式先在防火墙过滤一遍再出去。

二、流程原理

1、业务流量从各业务服务器业务网段进入核心交换机上行端口

2、进入核心交换机内部的业务流量经策略路由引导从核心交换机的防火墙接入端口（LAN口）进入防火墙

    2.1、如果防火墙无异常则业务流量正常进入防火墙

    2.2、如果防火墙接入端口无法接通则业务流量经缺省路由直接导向核心交换机的流量出口

3、业务流量经接入端口进入防火墙后，由防火墙过滤异常流量

4、经防火墙过滤后的业务流量根据防火墙路由表由防火墙的接出端口（WAN口）到达核心交换机

5、经防火墙过滤后的业务流量进入核心交换机后，经过路由转发和数据交换机后到达各个接入交换机。

6、客户端访问业务的流量则反过来，先从防火墙WAN口进，然后从LAN口出去到核心交换机。

三、部署方案

1、防火墙设置两个三层口，均为不同网段，核心交换机上设置两个三层接口，IP设置为和防火墙的两个三层口在同一网段。

2、核心交换机通过流策略将报文转发给防火墙。防火墙工作在路由模式，使用三层接口接收核心交换机转发过来的流量，再通过静态路由回注给核心交换机侧的VLANIF接口。

3、这些流策略要写两个，一个是用户端访问业务的流量做引流的流策略P1，一个是业务服务器的回包流量或主动访问的流量做引流的流策略P2，因此P1对应下一跳是防火墙WAN口IP，P2对应下一跳是防火墙LAN口IP，P1对应的ACL是匹配访问业务的流量，P2对应的ACL是匹配访问业务的回包流量和业务服务器主动访问的流量。

4、防火墙上的配置分别如下：

4.1、除了设置接口IP，还需要设置默认路由和回包路由，确保网络通信正常。

4.2、两个接口设置不同区域，然后正常设置应用控制策略和安全防护策略。

4.3、核心交换机的内部以太网接口配置接口上报状态变化事件的延时时间。在重启防火墙的场景下，核心交换机侧内部以太网接口先于防火墙侧内部以太网接口Up，此时核心交换机将流量转发给防火墙，会导致流量中断。因此，需要在核心交换机的内部以太网接口配置接口上报状态变化事件的延时时间，建议不少于10秒。

4.4、核心交换机侧配置策略路由，将流量重定向到防火墙。

5、建议在交换机设置nqa，在防火墙无法通信情况，不做流量重定向，走核心交换机路由。

说明：

推荐将多个内部以太网接口捆绑成Eth-Trunk接口来提高带宽和可靠性。

四、具体配置

4.1 核心交换机部分

a）基础设置，接口部分：

核心交换机接防火墙WAN口的口

interface GigabitEthernet1/0/10

ip address 199.199.199.2 255.255.255.252

核心交换机接防火墙LAN口的口

interface GigabitEthernet1/0/11

ip address 199.199.199.6 255.255.255.252

配置内部以太网接口上报状态变化事件的延时时间（接口模式下）

carrier up-hold-time 10000

b）流量重定向设置（配置流策略，服务器出去（用户访问服务器的回包流量）的流量重定向到防火墙）：

# 创建ACL。

acl number 3001

rule 5 permit ip source 192.168.141.111 0

rule 10 permit ip source 192.168.141.110 0

rule 15 permit ip source 192.168.141.223 0

rule 20 permit ip source 192.168.141.224 0

rule 25 permit ip source 192.168.141.225 0

rule 30 permit ip source 192.168.141.226 0

rule 35 permit ip source 192.168.141.227 0

rule 40 permit ip source 192.168.141.113 0

rule 45 permit ip source 192.168.141.232 0

rule 50 permit ip source 192.168.141.222 0

# 配置流分类。

  traffic classifier c1 operator or precedence 10

if-match acl 3001

# 配置流行为，将流量重定向到防火墙LAN口。

traffic behavior beha1

permit

redirect ip-nexthop 199.199.199.5

# 配置流策略并应用到接口的入方向上。

  traffic policy p1 match-order config

classifier c1 behavior beha1

  GigabitEthernet1/0/32 （服务器所在接口）

port link-type trunk

port trunk allow-pass vlan 2 to 4094

traffic-policy p1 inbound

c）流量重定向设置（配置流策略， 用户主动访问服务器的流量重定向到防火墙）：

# 创建ACL。

acl number 3002

rule 5 permit ip destination 192.168.141.111 0

rule 10 permit ip destination 192.168.141.221 0

rule 15 permit ip destination 192.168.141.222 0

rule 20 permit ip destination 192.168.141.223 0

rule 25 permit ip destination 192.168.141.224 0

rule 30 permit ip destination 192.168.141.225 0

rule 35 permit ip destination 192.168.141.226 0

rule 40 permit ip destination 192.168.141.227 0

rule 45 permit ip destination 192.168.141.113 0

rule 50 permit ip destination 192.168.141.232 0

# 配置流分类。

traffic classifier c2 operator or precedence 15

if-match acl 3002

# 配置流行为，将流量重定向到防火墙WAN口。

traffic behavior beha2

permit

redirect ip-nexthop 199.199.199.1

# 配置流策略并应用到接口的入方向上。

traffic policy p2 match-order config

classifier c2 behavior beha2

interface Eth-Trunk1 （核心上联口）

ip address 192.168.1.98 255.255.255.248

traffic-policy p2 inbound

4.2：接入的防火墙需做以下配置（具体就不截图了，就是普通的路由部署）：

1、防火墙：创建两个三层口接口，WAN199.199.199.1，LAN199.199.199.5：

3、防火墙：配置静态路由，将过滤流量导出

4、防火墙：接口加入安全域，并配置安全策略

:

按照帖子从ENSP里模拟了一下，NGAF使用一台AR2代替了，AR2的路由配置为

ip route-static 0.0.0.0 0.0.0.0 199.199.199.2   #默认路由走wan口出

ip route-static 192.168.141.0 0.0.0.255 199.199.199.6 #给服务器地址段的回包路由

从pc1上pingAR1上的loopback1地址发现不通，在AR2上的G0/0/1接口抓包提示No response

在SW1上的g0/0/1和g0/0/2取消流策略可以ping通

期待完整的内容！


另：社区技术博客征稿活动正在进行，发布标题为#原创分享#开头的文章，只要符合内容要求，就有奖励，欢迎投稿~
了解奖励和投稿要求，请参考：https://bbs.sangfor.com.cn/forum ... read&tid=103115

学习一下

交换机设置nqa，好好学习一下

我一般只用一个接口

等保一体机单臂部署的话，里面的vAF如果对内网进行安全防护，除了做镜像外，也是只能这样做引流了吧。

楼主，是你让我深深地理解了‘人外有人，天外有天’这句话。谢谢你!在看完这帖子以后，我没有立即回复，因为我生怕我庸俗不堪的回复会玷污了这社区少有的帖子。但是我还是回复了，因为觉得如果不能在如此精彩的帖子后面留下自己的网名，那我会遗憾终生的!

楼主，是你让我深深地理解了‘人外有人，天外有天’这句话。谢谢你!在看完这帖子以后，我没有立即回复，因为我生怕我庸俗不堪的回复会玷污了这社区少有的帖子。但是我还是回复了，因为觉得如果不能在如此精彩的帖子后面留下自己的网名，那我会遗憾终生的!

感谢分享