服务器映射安全区域 服务器映射到外网安全隐患

如何通过公网IP经过防火墙访问内网服务器

1、首先登录防火墙后台,找的源nat选项新建一条源NAT策略。

我们一直强调成都网站设计、网站制作、外贸营销网站建设对于企业的重要性,如果您也觉得重要,那么就需要我们慎重对待,选择一个安全靠谱的网站建设公司,企业网站我们建议是要么不做,要么就做好,让网站能真正成为企业发展过程中的有力推手。专业网站建设公司不一定是大公司,创新互联作为专业的网络公司选择我们就是放心。

2、名字这里是Trust2Trust,源安全区域和目的安全区域都选择trust。

3、然后可以设置转换前的适配规则。这一步也可以不要,默认允许所有源访问所有目的IP的所有端口;考虑到安全性可以指定某个/些源访问某个/些目的地址的某个/些端口。

4、转换后的地址选择出接口地址。

5、然后确认,这样内网就能正常通过防火墙公网IP访问内部服务了。

ensp查看防火墙网关命令

安全

【ensp】防火墙概述与命令总结

云归959

原创

关注

4点赞·6380人阅读

防火墙概述与命令总结

0713 防火墙的基本概述:

安全策略:

0714 防火墙的NAT策略:

server nat:

pat与no-pat做法:

域内nat做法:

0715 防火墙的双机热备:

在防火墙上配置VGMP:

0717 防火墙的GRE封装:

gre在防火墙上应用:

防火墙中的telnet配置:

防火墙中ssh配置:

0713 防火墙的基本概述:

防火墙分为:

框式防火墙

盒式防火墙

软件防火墙(公有云、私有云)

我们目前学习的是状态检测防火墙:

通过检查首包的五元组,来保证出入数据包的安全

隔离不同的网络区域

通常用于两个网络之间,有选择性针对性的隔离流量

阻断外网主动访问内网,但回包不算主动访问

安全区域(security zone):被简称为区域(zone),是防火墙的重要概念,缺省时有4个区域:

local:本地区域,所有IP都属于这个区域

trust:受信任的区域

DMZ:是介于管制和不管制区域之间的区域,一般放置服务器

untrust:一般连接Internet和不属于内网的部分

ps:每个接口都需要加入安全区域,不然防火墙会显示接口未激活,无法工作

firewall zone [区域名] //进入安全区域

add interface GigabitEthernet [接口号] //添加接口到此区域

display zone //查看区域划分情况

复制

安全策略:

与ACL类似,动作只有两种:permit和deny

每一个想要通过防火墙的数据包都需要被安全策略检查,如果不写安全策略,ping都经过不了防火墙

如何去写安全策略:

security-policy

rule name [策略名]

source-zone [区域名]

source-address [源地址] [掩码] //此条可以略

destination-zone [区域名]

destination-address [源地址] [掩码] //此条可以略

service [协议名] //需要放行的协议

action permit //此条策略的动作是放行

复制

防火墙策略命中即转发

一些今天的名词:

ddos攻击防范:ddos攻击就是通过伪造大量不同的mac地址让交换机学习,让交换机无法正常处理其他事情

SPU:防火墙特有的,用于实现防火墙的安全功能

五元组:源/目地址、源/目端口号、协议

ASPF技术:应用包过滤技术,可以根据协议推出应用包内容,根据内容提前生成server-map表项,在流量没有匹配会话表时,可以匹配server-map来处理

ftp无论是主动模式还是被动模式都是client先主动向server发起控制通道连接

ftp的主动模式(port):server主动向client发起数据通道的连接

ftp被动模式(pasv):server等待client发起数据通道的连接

0714 防火墙的NAT策略:

NAT转换有两种转换:

源NAT:

no-pat //1对1转化,不节约公网地址,同一时间内只能有一个人上网

pat //指定一个或多个公网地址使PC机可以通过这个公网地址的不同端口进行访问

ease-ip //使用接口的IP作为NAT地址,使PC机可以通过这个公网地址的不同端口进行访问

目标NAT:

server nat //服务器映射

值得注意的是:

如果在防火墙上的是源NAT转换,则防火墙先匹配安全策略,再匹配NAT策略

如果在防火墙上的是目标NAT转换,则防火墙先匹配NAT策略,再匹配安全策略

实验总结概述:

如何做nat:

server nat:

nat server protocol [协议] global [公网地址] [端口] inside [服务器地址] [端口]

复制

pat与no-pat做法:

nat address-group [地址组名]

mode pat

section [初始地址] [结束地址]

nat-policy //进入nat策略,将前一步的地址池应用在nat策略中

source-zone [区域名]

source-address [源地址] [掩码]

destination-zone [区域名]

destination-address [源地址] [掩码] //此步规定什么样的地址允许做NAT转换

action source-nat address-group NAT //应用地址组

//之后就是看需要写安全策略

复制

域内nat做法:

访问需要通过公网地址访问

第一步:将接口划分好所属区域,做好基础配置

第二步:创建一个nat地址池,将地址池的范围规划好,(默认为PAT)

nat server 0 protocol tcp global 204.1.1.1 www inside 172.16.1.2 www

//此步为服务器映射

nat address-group NAT

mode pat

section 0 205.1.1.1 205.1.1.1

第三步:进入nat策略,将前一步的地址池应用在nat策略中

nat-policy

rule name NAT

source-zone dmz

destination-zone dmz

source-address 172.16.1.1 mask 255.255.255.255

destination-address 172.16.1.2 mask 255.255.255.255

//此步规定什么样的地址允许做NAT转换

action source-nat address-group NAT

第四步:设置安全策略,允许地址通过,并说明区域

security-policy

default packet-filter intrazone enable

//设置防火墙区域间流量也检查

rule name NAT

source-zone dmz

destination-zone dmz

source-address 172.16.1.1 mask 255.255.255.255

destination-address 172.16.1.2 mask 255.255.255.255

service http

service tcp

action permit

复制

内网服务器映射到公网,怎么做好服务器安全工作?

可以从网络接入端点的安全控制入手,结合认证服务器,安全策略服务器、补丁服务器和网络设备,以及第三方软件系统(防病毒)等,对用户接入行为的控制,完成对接入终端用户的强制认证和安全策略应用,从而保障网络安全。

华为防火墙如何做端口映射?

端口映射是NAT的一种,功能是把在公网的地址转翻译成私有地址。也是将外网主机的IP地址的一个端口映射到内网中一台机器,提供相应的服务。当用户访问该IP的这个端口时,服务器自动将请求映射到对应局域网内部的机器上。端口映射有动态和静态之分。1、

端口映射是华为防火墙中的一个常用功能,举个例子就是你内网有一台服务器,想让外网的访问者能够直接访问到这台服务器。但你的内网服务器配置的是内网地址在公网是找不到的,怎么办?这时既可以把一个公网IP地址映射到这个内网地址上,可以单独映射一个端口,也可以做全映射。今天主要说的就是服务器的端口映射。

2、端口映射在防火墙内属于一个策略。所以我们登录到防火墙后找到策略、NAT策略、服务器映射。

3、在服务器映射列表中,我们看到有一个新建选项。做端口映射需要新建一个映射策略。

4、名称随意填写,类型一般填写为“静态映射”,安全区域根据自己的网络结构进行配置。公网地址填写需要映射的公网地址,私网地址填写服务器的地址。允许端口转换如果为全映射不需要都选,如果为单独端口映射需要勾选。

5、当让图形界面看着比较容易操作,如果想用命令配置界面的也可以。只需要输入nat server 来画SSH2 protocol tcp global 公网IP 2222 inside 私网IP 22 no-reverse

6、设置完之后,我们也可以做一个简单的验证,打开windows的cmd窗口。在里边输入Telnet+公网IP+端口 看看是否连同。


本文标题:服务器映射安全区域 服务器映射到外网安全隐患
URL分享:http://pwwzsj.com/article/ddcosos.html