企业内网单向访问的实现——HUAWEI FW旁挂的配置

企业内网中常有这样的需求，管理员或老板希望能够访问其他业务部门主机的共享资料等信息，却不希望任何人访问管理员的共享信息。

以前我们介绍过通过利用ACL结合过滤策略来实现，见 《企业内网单向访问的实现—TCP三次握手的深入理解与应用》

和利用虚拟防火墙安全策略来实现，见《企业内网单向访问的实现—华为虚拟防火墙应用》

对于上面介绍的方法，有朋友提出如何在不改变现有拓扑的情况下，通过旁挂防火墙来控制内网主机的互访。下面我们就通过一个例子来进行介绍。

注：实现问题解决有多种方法，这里不做优劣比较，只是技术方法实现，实际工作中具体情况具体分析，适合的方法才是最好的方法。

实验拓扑说明：

AR1模拟外网设备

PC1 PC2模拟内网设备 地址 192.168.1.1/24 192.168.2.1/24

SW1模拟核心交换机 配置VLAN10 20 作为PC1 和PC2 的网关

在没有FW设备的情况下，配置基础设置，实现网络互通。

FW作为增加的安全设备，旁挂在SW1 上对VLAN间数据进行管理。

基础配置：

AR1

sysname R1

interface GigabitEthe.NET0/0/0

ip address 12.0.0.1 255.255.255.0

ip route-static 192.168.0.0 255.255.0.0 12.0.0.2

核心交换机SW1配置

sysname SW1

vlan batch 10 20 100

interface Vlanif10

ip address 192.168.1.254 255.255.255.0

interface Vlanif20

ip address 192.168.2.254 255.255.255.0

interface Vlanif100

ip address 12.0.0.2 255.255.255.0

interface GigabitEthernet0/0/8

port link-type access

port default vlan 100

interface GigabitEthernet0/0/11

port link-type access

port default vlan 10

interface GigabitEthernet0/0/12

port link-type access

port default vlan 20

PC1PC2配置相应IP地址，完成后测试PC互通正常，访问外网正常。

下面我们把防火墙旁挂在核心交换机上，对流量进行管控。

SW1增加接口配置

vlan batch 40 50

interface Vlanif40

ip address 10.1.1.1 255.255.255.0

interface Vlanif50

ip address 10.2.2.1 255.255.255.0

interface GigabitEthernet0/0/1

port link-type access

port default vlan 40

interface GigabitEthernet0/0/2

port link-type access

port default vlan 50

//增加与防火墙互联接口的配置

acl number 3000

rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

traffic classifier 10to20

if-match acl 3000

traffic behavior 10to20

redirect ip-nexthop 10.1.1.2

traffic policy 10to20

classifier 10to20 behavior 10to20

interface GigabitEthernet0/0/11

traffic-policy 10to20 inbound

acl number 3001

rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

traffic classifier 20to10

if-match acl 3001

traffic behavior 20to10

redirect ip-nexthop 10.2.2.2

traffic policy 20to10

classifier 20to10 behavior 20to10

interface GigabitEthernet0/0/12

traffic-policy 20to10 inbound

//分别将PC1访问PC2 和PC2访问PC1的流量引导到旁挂的防火墙上

ospf 100

area 0.0.0.0

network 192.168.1.0 0.0.0.255

network 10.1.1.1 0.0.0.0

ospf 200

area 0.0.0.0

network 192.168.2.0 0.0.0.255

network 10.2.2.1 0.0.0.0

//配置两个OSPF进程，分别用于引导出入防火墙的流量

防火墙配置

sysname FW1

interface GigabitEthernet1/0/1

ip address 10.1.1.2 255.255.255.0

#

interface GigabitEthernet1/0/2

ip address 10.2.2.2 255.255.255.0

firewall zone name v10

set priority 10

add interface GigabitEthernet1/0/1

firewall zone name v20

set priority 15

add interface GigabitEthernet1/0/2

//配置与核心交换机互联的接口和自定义区域中

ospf 100

area 0.0.0.0

network 10.1.1.2 0.0.0.0

#

ospf 200

area 0.0.0.0

network 10.2.2.2 0.0.0.0

//配置两个OSPF进程对应交换机流量的出入方向

security-policy

rule name 10to20

source-zone v10

destination-zone v20

source-address 192.168.1.0 mask 255.255.255.0

destination-address 192.168.2.0 mask 255.255.255.0

action deny

rule name 20to10

source-zone v20

destination-zone v10

source-address 192.168.2.0 0.0.0.255

destination-address 192.168.1.0 0.0.0.255

action permit

//配置安全策略，阻止PC1访问PC2，放行PC2访问PC1

配置完成后，检查结果PC1无法访问PC2 ，PC2正常访问PC1，两PC访问外网正常，达到了控制的目的。

注：同样的原理可以用引导其他流量至防火墙处理，如访问互联网流量，加强内网的安全性。