实验设备
1、 山石网科(hillstone)系列下一代防火墙(实训平台v1.0中hillstone设备)
2、 三层交换机一台(实训平台v1.0中cisco vios l2设备)
3、 二层交换机一台(实训平台v1.0中cisco iol switch设备)
4、 windows一台 (实训平台v1.0中windows设备)
5、 增加一个网络net:cloud0
实验拓扑图
实验目的
1. 掌握病毒防御策略配置,掌握杀毒支持的场景;
2. 通过NGAF来实现内网终端上网安全,避免PC上网访问恶意网站时下载恶意病毒
而中毒,需要在防火墙上开启杀毒策略,将病毒遏制在网络外部。
实验需求、步骤及配置
1. 内网window主机配置,指定主机ip为192.168.10.1/24,网关为192.168.10.254,dns
114.114.114.114
接入层交换机IOL_SW的配置:
Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#interface e0/0
Switch(config-if)#switchport mode access
Switch(config-if)#switchport access vlan 10
Switch(config-if)#exit
Switch(config)#interface e0/1
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode trunk
核心/汇聚层交换机vIOS_SW配置
Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#interface g0/0
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode trunk
Switch(config-if)#exit
Switch(config)#ip routing 启动路由功能
Switch(config)#interface vlan10
Switch(config-if)#ip address 192.168.10.254 255.255.255.0
Switch(config-if)#no shut
Switch(config)#interface g0/1
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.1.1.1 255.255.255.252
Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2 配置上网的缺省路由,下一跳为防火墙
接口e0/1 IP
下一代防火墙的配置:
基本配置:修改e0/0口属性为管理口且采用http管理方式,默认启动DHCP。
login: hillstone //用户名和密码都为hillstone
password:
SG-6000# conf
SG-6000(config)# interface e0/0
SG-6000(config-if-eth0/0)# manage http
SG-6000(config-if-eth0/0)# show interface 查看e0/0自动获得的IP地址,为管理IP
接下来,在物理主机上,通过浏览器访问管理IP,使用图形化管理下一代防火墙:
确保下一代防火墙可上公网,且更新下一代防火墙的病毒特征库:
创建安全区域,下一代防火墙默认已创建多个安全区域,如需自定义区域,可
以如图新建安全区域:
配置e0/1接口:绑定安全区域为trust三层安全区域(路由模式)、IP地址等:
配置e0/0接口:修改绑定安全区域为untrust三层安全区域(路由模式)、IP等
为路由模式,配置路由,包括回程路由和缺省路由(通过e0/0接口dhcp
已经获得)
为路由模式,配置源NAT策略(即动态NAT),实现内网上公网需求:
为路由模式,配置安全策略即包过滤策略(默认拒绝区域间访问),配置策略
让内网网段可以访问公网,即e0/1 trust区域访问e0/0 untrust区域:
接下来测试内网主机是否可以上公网,如图代表ok:
,使用内网win主机访问http://www.eicar.org
下载病毒文件
发现防火墙没有拦截病毒
配置网关杀毒功能,防范内网主机中病毒,保护内网终端安全:
如果需要支持对HTTPS访问进行安全防护,则需开启ssl代理:
使用内网win主机访问http://www.eicar.org
发现下载病毒的页面会显示页面错误,并且防火墙的日志发现恶意软件。