防火牆的透明模式

防火牆的透明模式

1. 透明模式的部署環境：

a. 快速部署在當前的三層網絡中

b. 網絡結構不容許從新設計的時候

c. 同一個網段不受策略的限制

d. 想要增長同一個網段安全性的時候

2. 透明模式的L2的Zone

a.系統預約義的：

vl-untrust

v1-trust

vl-dmz

b. 用戶能夠自行定義L2的Zone

set zone name L2-cjclub L2

3. VLAN接口

a. vlan接口和區段包含的主機在同一個區段

b. 支持管理IP

c. 物理接口來做ARP的響應

4. 區段默認的管理功能：

v1-trust : 全部的

vl-dmz: ping

vl-untrust : None

L2-用戶自定義的： None

* 透明模式須要通過兩個過濾（1. 物理接口的服務過濾 2. VLAN1接口服務的過濾）

5. 透明模式的配置：

a. 須要創建一個L2的Zone（使用系統默認的V1二層Zone)

set zone name l2-cjclub l2

b. 指定物理接口放入二層的Zone

set interface untrust zone l2-cjclub

set interface untrust zone v1-untrust

& 確保接口沒有IP，不屬於任何的Zone（屬於Null Zone）

c. 配置VLAN1的接口IP用作管理

set interface vlan1 ip 10.1.1.1/24

d. 選擇VLAN接口的廣播模式：

默認：Flooding（泛洪）

當收到的數據包的目的MAC不在MAC緩存中，將該數據除了incoming端口之外發送出去

ARP/Trace-Route

若是MAC地址表沒有條目，將泛洪ARP Query 包（更加安全，不用泛洪原始的數據包）

set interface vlan1 broadcast arp

e. 配置VLAN1的服務

set interface vlan1 manage ping

set interface vlan1 manage telnet

set interface vlan1 manage web

透明模式經常使用的查看命令：

　　a. get interface

b. get arp

c. get mac-learn

手工靜態指定IP地址: set mac 001c257e84e2 interface trust vlan1

d. get session

不須要作NAT，主要作過濾和保護×××的流量