防火墻的透明模式

防火墻的透明模式

1. 透明模式的部署環境：

a. 快速部署在當前的三層網絡中

b. 網絡結構不允許重新設計的時候

c. 同一個網段不受策略的限制

d. 想要增加同一個網段安全性的時候

2. 透明模式的L2的Zone

a.系統預定義的：

vl-untrust

v1-trust

vl-dmz

b. 用戶可以自行定義L2的Zone

set zone name L2-cjclub L2

3. VLAN接口

a. vlan接口和區段包含的主機在同一個區段

b. 支持管理IP

c. 物理接口來作ARP的響應

4. 區段默認的管理功能：

v1-trust : 所有的

vl-dmz: ping

vl-untrust : None

L2-用戶自定義的： None

* 透明模式需要經過兩個過濾（1. 物理接口的服務過濾 2. VLAN1接口服務的過濾）

5. 透明模式的配置：

a. 需要建立一個L2的Zone（使用系統默認的V1二層Zone)

set zone name l2-cjclub l2

b. 指定物理接口放入二層的Zone

set interface untrust zone l2-cjclub

set interface untrust zone v1-untrust

& 確保接口沒有IP，不屬于任何的Zone（屬于Null Zone）

c. 配置VLAN1的接口IP用做管理

set interface vlan1 ip 10.1.1.1/24

d. 選擇VLAN接口的廣播模式：

默認：Flooding（泛洪）

當收到的數據包的目的MAC不在MAC緩存中，將該數據除了incoming端口以外發送出去

ARP/Trace-Route

如果MAC地址表沒有條目，將泛洪ARP Query 包（更加安全，不用泛洪原始的數據包）

set interface vlan1 broadcast arp

e. 配置VLAN1的服務

set interface vlan1 manage ping

set interface vlan1 manage telnet

set interface vlan1 manage web

透明模式常用的查看命令：

　　a. get interface

b. get arp

c. get mac-learn

手工靜態指定IP地址: set mac 001c257e84e2 interface trust vlan1

d. get session

不需要做NAT，主要做過濾和保護×××的流量