H3C SecBlade 混合插卡组网实践 [兼容模式]

H3CSecBlade混合插卡组网日期：2011-02-16密级：杭州华三通信技术有限公司、SecBladeIPS/ACG插卡硬件外观和软件适配2、SecBlade插卡基本概念和工作方式3、SecBladeFW+IPS/ACG插卡混插方案4、SecBladeFW+IPS+ACG插卡混插方案5、常见问题卡接口，支持容量为256M、512M、1G的CF卡2个USB接口（预留）2个10/100/1000BASE-T电接口2个千兆Combo（光电复合）接口后插板10GE接口CF卡Console2GE电口2GECombo2GBDDR2内存CF卡Console注：灰色标记部分为S5800插卡数据●SR66●S95E●●●●●S95●●●●●●S75E●●●●●●●S58●●●●系列单板类型：LSRM1FW2A1适用于H3CS9500E防火墙业务板LSBM1FW2A1适用于H3CS9500防火墙业务板LSQM1FWBSC0适用于H3CS7500E防火墙业务板模块LSWM1FW10适用于H3CS5800系列防火墙模块RT-SPE-FWM-H3适用于H3CSR6600千兆防火墙业务板模块IM-FW适用于H3CSR8800防火墙业务处理板插卡式的H3CSecBladeLB系列单板类型：LSQM1LBSC0适用于H3CS7500E-千兆负载均衡业务模块LSRM1LB1A1适用于H3CS9500E-负载均衡业务板LSBM1LB1A1适用于H3CS9500-负载均衡业务板LSWM1LB10适用于H3CS5800负载均衡业务板系列单板类型：LSWM1IPS10适用于H3CS5800/S5820X系列交换机；LSQ1IPSSC0适用于H3CS7500E系列以太网交换机；LSB1IPS1A0适用于H3CS9500系列以太网交换机；LSR1IPS1A1适用于H3CS9500E系列以太网交换机。插卡式的H3CSecBladeACG系列单板类型：LSQ1ACGASC0适用于H3CS7500E系列以太网交换机；LSB1ACG1A0适用于H3CS9500系列以太网交换机；LSR1ACG1A1适用于H3CS9500E系列以太网交换机。系列单板类型：LSQM1SSLSC0适用于H3CS7500E-SSLVPN业务模块LSBM1SSL1A1适用于H3CS9500SSLVPN业务板模块RT-SPE-SSL-H3适用于H3CSR6600SSLVPN模块插卡式的H3CSecBladeNetStream系列单板类型：LSQM1NSMSC0适用于H3CS7500ENetStream业务板LSRM1NSM1A1适用于H3CS9500ENetStream业务板LSWM1NSM10适用于H3CS5800系列NetStream业务板、SecBladeIPS/ACG插卡硬件外观和软件适配2、SecBlade插卡基本概念和工作方式3、SecBladeFW+IPS/ACG插卡混插方案4、SecBladeFW+IPS+ACG插卡混插方案5、常见问题防火墙插卡是我司防火墙的旗舰级产品，其硬件上采用了多核技术，处理核心是目前处理能力最强大的嵌入式处理器之一——RMI的力作XLR732。高端防火墙的软件，采用了我司最新的COMWAREV5平台(V5R2)，配合精心构架的底层驱动，能够充分地发挥多核的优势。Ne防火墙部署—透明模式FTPServerFWSwtich板Swtich板14671012FTPclient35821110GE10GEaccessVlan100Vlan100Vlan101VIF1011.1.1.1交换处理AccessVlan2001.1.1.22.2.2.2入方向：1-6:二层转发6-7:二层转发7-8:二层转发8-9:三层转发9-12:二层转发出方向：12-9:二层转发9-8:三层转发8-7:二层转发7-6:二层转发6-1:二层转发VLAN1000VIF2002.2.2.1Vlan2009Vlan1002-2-2方式背板XGE0/0.100XGE0/0.101防火墙部署—三层转发FTPServerFWSwtich板Swtich板14671012FTPclient35821110GE10GEaccessVlan100Vlan100Vlan200交换处理AccessVlan2001.1.1.22.2.2.2入方向：1-6:二层转发6-7:三层转发7-12:二层转发出方向：12-7:二层转发7-6:三层转发61:二层转发VIF2002.2.2.1Vlan2009VIF1001.1.1.1Vlan1002-3-2方式背板防火墙部署—三层转发2Internet出口FWSwtich板Swtich板14671012内网135821110GE10GEaccessVlan100Vlan100Vlan201VIF201172.16.1.2/30交换处理AccessVlan2001.1.1.22.2.2.2入方向：1-6:二层转发6-7:三层转发7-8:二层转发8-9:三层转发9-12:二层转发出方向：12-9:二层转发9-8:三层转发8-7:二层转发7-6:三层转发6-1：二层转发VIF2002.2.2.1Vlan2009VIF201172.16.1.1/30VIF1001.1.1.1Vlan100也是2-3-2方式这是什么方式？背板交换处理AccessVlan2001.1.1.22.2.2.2Vlan1000VIF2002.2.2.1Vlan2009VIF101172.16.1.1/30VIF100172.16.0.1/30Vlan100VIF100172.16.0.2/30答案：这个一般真没有！VIF1001.1.1.1IPS（IntrusionPreventionSystem，入侵防御系统），是一种基于应用层、主动防御的产品，它以在线方式部署于网络关键路径，通过对数据报文的深度检测，实时发现威胁并主动进行处理。目前已成为应用层安全防护的主流设备。DATA（ApplicationControlGateway）是业界识别最全面、控制手段最丰富的高性能应用控制网关，能对网络中的P2P/IM带宽滥用、网络游戏、炒股、多媒体应用、非法网站访问等行为进行精细化识别和控制；同时，根据对网络流量、用户行为进行深入分析，可以帮助用户全面了解网络应用模型和流量趋势，为开展各项业务提供数据支撑。H3CACG系列包括SecPathACG2000-M、SecPathACG8800-S3和应用于H3CS75E/S95/S95E系列交换机的SecBladeACG模块。对用户上网行为进行深入分析，识别出相关应用采取阻断、限流、干扰、过滤、警告等控制手段通过采集相关访问信息，实现事后行为审计行为识别行为控制行为审计ACG实现目标部署概念(1)安全区域和段安全区域是一个物理/网络上的概念（特定的物理端口+VLANID）段可以看作是连接两个安全区域的一个透明网桥策略被应用在特定的段上。段+策略+网络配置(IP地址、方向)部署概念(2)特征、规则和策略特征定义了一组检测因子来决定如何对当前网络中的流量进行检测规则的范畴比特征要广。规则=特征+启用状态+动作集策略是一个包含了多条规则的集合动作和动作集安全区域、段和策略的关系WANDMZ-部署概念(3)插卡工作方式SecBlade插卡与交换机背板相连，有两种工作方式：Ethernet、Hig方式。SecBladeIIFW、SSLVPN、LB都工作在Ethernet方式下，而IPS和ACG插卡则工作在Hig方式下,Ethernet方式下的插卡，可以通过二、三层转发接收报文。Hig方式下的插卡只能通过重定向转发接收报文。重定向报文的两种方法：OAA和重定向。其中，OAA是我司自主开发的开放应用框架协议，S75E/S95E/S58上的插卡都采用OAA的方式和母体互联；而重定向是S95上板卡的工作方式，S95通过重定向的方式将报文送到IPS/ACG插卡处理。基本流程图插卡交换机重定向报文的方向性交换机只能对入方向的报文进行重定向。入方向，是指报文相对与交换机背板而言。配置举例：单块插卡OAA三层转发应用场景Internet防火墙VLAN2S9500EVLAN1001内网1内网2内网nVLAN1002VLAN100n……SecBladeIPSXGE3/0/1//外网interfaceVLAN-interface2ipaddress172.16.160.250255.255.255.0//内网interfaceVLAN-interface1001ipaddress172.16.161.30255.255.255.224interfaceVLAN-interface1002ipaddress172.16.161.62255.255.255.224interfaceVLAN-interface1003ipaddress172.16.164.1255.255.255.0相关配置#配置主控板的mib风格为new（需要重启）mib-stylenew#使能ACFPserver和ACSEIserver功能。acfpserverenableacseiserverenable#配置内联接口所属VLANinterfaceVLAN-interface100ipaddress100.100.100.1255.255.255.0相关配置配置内联接口，假设IPS插卡位于S9500E的3号槽位，则交换机上对应内联口为Ten-GigabitEthernet3/0/1：interfaceTen-GigabitEthernet3/0/1portlink-typetrunkporttrunkpermitvlanallmac-addressmax-mac-count0portconnection-modeextend参数，这里配置为SNMPv3用户，不认证不加密方式：snmp-agentsnm