HCIE-SEC笔记-第四节-网络入侵和防火墙基础
等级保护：
网络安全：防火墙、VPN、准入控制
渗透测试：
防火墙：区域隔离和访问控制
数字与研究公司：用数据说话
IDC：国际数据公司
Gartner：著名的数字与咨询公司
弗雷斯特：
数世咨询：
安全牛：
奇安信：冬奥会安全产品
启明星辰：数据库审计、态势感知系统
深信服：下一代防火墙AF、SSLVPN产品、上网行为管理
绿盟科技：入侵防御系统、Anti Ddos
华为：防火墙
天融信：
2013年-华为-3com--惠普--清光紫光
防火墙：区域隔离和访问控制 思科、华为、Palo alto、飞塔、Checkpoint、山石、深信服等等
WAF:Web 应用防火墙，保护网站 Imperva
SVN：MPLSVPN、IPSec、L2TP、SSLVPN 深信服
IPS：入侵防御系统，串接，部署在网络出口 华为 绿盟
IDS：入侵检测系统，旁接，部署在网络内部
ASG：上网行为管理 深信服
漏洞扫描系统：
数据库审计：Oracle、SQL等 增删改查 启明星辰
Anti DDos：抵御DDos攻击 华为 绿盟
沙箱：基于大数据对流量进行分析的产品
蜜罐：
态势感知系统：天气预报 美国空军 军事 网络安全 网络现状 感知
安全控制器：
UMA:准入控制产品
日志审计系统：运维产品 事后的产品
探针：检测网络流量、对流量做分析
零信任：核心----准入控制
超融合：服务器
DDos攻击，分布式拒绝服务攻击：消耗网络带宽、消耗内存资源等
窃听攻击、欺骗攻击
病毒：可怕，自我复制，寄生，删除文件，破坏操作系统
恶意软件/流氓软件/灰色软件：频繁弹出广告、电脑流量主页被篡改【小马哥、KMS】
反病毒：反恶意代码
木马程序：
防火墙：管控、区域隔离和访问控制
防火墙部署位置：
企业出口-保护整个内网
服务器前面-专门保护服务器-做nat-隐藏服务器真实地址
核心位置-区域隔离和访问控制
状态检测，以色列Checkpoint公司，会话表
一般防火墙默认的策略是全部拒绝，所有区域直接，所有接口之间的流量都是不通的。
如果防火墙收到一个数据包，1、看策略 2、路由 3、会话表（源ip、目的ip、源端口、目的端口、协议号等等）---发出去
数据返回：1、是否有会话表，有，直接根据会话表返回。不看策略，当然会看路由。
2、没有会话表，没有，看策略，允许，放行，不允许，丢弃
在防火墙做区域间流量控制策略的时候，考虑初始流量。
ICMP echo---初始
ICMP echo-reply---后续
TCP：Flag位 仅仅只有SYN被置为---初始
UDP：一般没有初始和非初始一说
TCP(HTTP/Telnet/SSH/SNMP/SMTP/POP3/RDP/SMB等)，建立TCP三次握手
SYN：请求建立链接 -----始发
ACK：确认报文-------后续
FIN：请求断开链接----后续
Reset：踢掉----后续
URG：紧急指针-----告诉对方优先处理此数据---后续
Push：告诉对方尽快把数据从缓冲区取走，因为可能我要跟你断开链接---后续
华为防火墙默认存在的四个安全区域：（只是名字而已，可以自己创建）
内网区域：Trust
外网区域：Untrust
服务器区域：DMZ
防火墙本地：Local
一个接口只能属于一个区域，一个区域可以用多个接口。
默认情况下：所有区域之间的单播流量都不通，一个区域内部的多个接口之间默认是可以通的。
华为防火墙最基本的四个配置步骤（可以实现内部主机访问互联网）：
一、接口配置ip地址并且划分到安全区域
二、路由
三、网络地址转换-NAT
四、做策略放行你需要放行的流量
Window 2008 密码Test123
Windows 10 密码Test123
华为USG 命令行密码 admin，网页登陆用户名admin，密码Admin@123
华为AR路由器：
username：admin
password：admin@huawei.com
或者
username：super
password：super
或者
username：super
password：superman
命令配置：
第一步：配置接口IP地址，接口加入安全区域
Enter system view, return user view with Ctrl+Z.
[USG6000V2]sysname FW
[FW]undo info-center enable
[FW]user-interface console 0
[FW-ui-console0]idle-timeout 0
[FW-ui-console0]quit
[FW]int G1/0/0
[FW-GigabitEthernet1/0/0]ip add 192.168.1.1 24
[FW-GigabitEthernet1/0/0]quit
[FW]int G1/0/1
[FW-GigabitEthernet1/0/1]ip add 103.231.1.1 24
[FW-GigabitEthernet1/0/1]quit
[FW]int G1/0/2
[FW-GigabitEthernet1/0/2]ip add 10.1.1.1 24
[FW-GigabitEthernet1/0/2]quit
[FW]display zone //查看防火墙安全区域
[FW]firewall zone trust
[FW-zone-trust]add interface G1/0/0
[FW-zone-trust]quit
[FW]firewall zone untrust
[FW-zone-untrust]add interface G1/0/1
[FW-zone-untrust]q
[FW]firewall zone dmz
[FW-zone-dmz]add interface G1/0/2
[FW-zone-dmz]quit
第二步：配置NAT
[FW]nat-policy
[FW-policy-nat]rule name Permit_Win10_Internet //WIN10访问Internet的数据，转换源IP
[FW-policy-nat-rule-Permit_Win10_Internet]source-zone trust
[FW-policy-nat-rule-Permit_Win10_Internet]destination-zone untrust
[FW-policy-nat-rule-Permit_Win10_Internet]source-address 192.168.1.0 24
[FW-policy-nat-rule-Permit_Win10_Internet]service icmp
[FW-policy-nat-rule-Permit_Win10_Internet]action source-nat easy-ip
[FW-policy-nat-rule-Permit_Win10_Internet]quit
[FW-policy-nat]dis this
2022-01-08 13:54:52.270
nat-policy
rule name Permit_Win10_Internet
source-zone trust
destination-zone untrust
source-address 192.168.1.0 mask 255.255.255.0
service icmp
action source-nat easy-ip
return
[FW-policy-nat]
[FW]security-policy
[FW-policy-security]ru
[FW-policy-security]rule na
[FW-policy-security]rule name Permit_Win10_Internet //放行Win10访问互联网的ICMP数据
[FW-policy-security-rule-Permit_Win10_Internet]source-zone trust
[FW-policy-security-rule-Permit_Win10_Internet] destination-zone untrust
[FW-policy-security-rule-Permit_Win10_Internet] source-address 192.168.1.0 mask 255.255.255.0
[FW-policy-security-rule-Permit_Win10_Internet] service icmp
[FW-policy-security-rule-Permit_Win10_Internet]action permit
[FW-policy-security-rule-Permit_Win10_Internet]quit
[FW]security-policy
[FW-policy-security]rule name Permit_Win10_Win2008 //放行Win10访问WIN2008的ICMP数据
[FW-policy-security-rule-Permit_Win10_Win2008]source-zone trust
[FW-policy-security-rule-Permit_Win10_Win2008]destination-zone dmz
[FW-policy-security-rule-Permit_Win10_Win2008]source-address 192.168.1.100 32
[FW-policy-security-rule-Permit_Win10_Win2008]destination-address 10.1.1.100 32
[FW-policy-security-rule-Permit_Win10_Win2008]service icmp
[FW-policy-security-rule-Permit_Win10_Win2008]action permit
[FW-policy-security-rule-Permit_Win10_Win2008]quit
[FW-policy-security]dis this
2022-01-08 14:02:53.750
security-policy
rule name Permit_Win10_Internet
source-zone trust
destination-zone untrust
source-address 192.168.1.0 mask 255.255.255.0
service icmp
action permit
rule name Permit_Win10_Win2008
source-zone trust
destination-zone dmz
source-address 192.168.1.100 mask 255.255.255.255
destination-address 10.1.1.100 mask 255.255.255.255
service icmp
action permit
[FW]display firewall session table
[FW]display firewall session table verbose
总结：
1、网络入侵简介【病毒、恶意软件/流氓软件/灰色软件、木马、DDos】
2、防火墙基本理论【防火墙作用、防火墙和路由器区别、会话表】
3、华为防火墙默认四个安全区域以及华为防火墙基本配置【四步】
作业：
拓扑同课上一致
1、Win10属于Trust区域、WIN2008属于DMZ区域、Internet属于Untrust区域
2、地址断规划如图，Win10、Win2008、Intenet位X.X.X.100/24
FW接口地址位X.X.X.1/24
3、确保Win10可以Ping通8.8.8.8，并截图
4、确保Win10可以Ping通WIN2008，并截图
5、确保WIN2008不能ping通Win10，并截图
6、把display zone/display ip int bri/display ip routing截图
