飞塔防火墙的防火墙策略.docVIP

飞塔防火墙的防火墙策略 导读：就爱阅读网友为您分享以下“飞塔防火墙的防火墙策略”资讯，希望对您有所帮助，感谢您对92的支持! 防火墙策略 Course 301 二层协议的穿越——基于接口控制 二层协议的穿越——基于接口控制 —— ? 非ip的二层协议的穿过 config system interface edit interface_name ? FortiGate本身不能够参与STP 协议，但是可以设置其通过 控制vlan数据包是否直接放过 控制arp广播包穿过 set l2forward enable set stpforward enable ? ? set vlanforward enable set arpforward enable end 多播流量的控制 多播流量在缺省状态下不能 透明穿越防火墙 部署多播策略允许多播流量 可以对多播流量进行nat 在透明模式下，也可以不通 过策略方式，而直接设置全 局选项multicast-forward enable 是否更改多模的ttl 基于RADIUS的防火墙认证 基于RADIUS的防火墙认证 RADIUS ? FortiGate作为network access server (NAS) 用户信息被送到RADIUS server 用户的认证取决于服务器的响应 ? 对象识别识别IP地址和共享密钥， 最多支持两个 RADIUS servers ? RADIUS对象可以用来所有的服 务的认证 ? Admin用户的Radius认证 软交换接口(1)——概念 软交换接口(1)——概念 (1)—— ? ? ? ? ? 软交换接口模式 在物理接口之间创建桥连接 每个软交换接口可以指定一个逻辑IP地址 MR6中只能使用命令方式配置 MR6 不能用于HA monitor或心跳接口 软交换接口(2)——配置 软交换接口(2)——配置 (2)—— ? 在MR7加入GUI支持 config system switch-interface edit “switch-1” set member “port4” “port5” next end config system interface edit “switch-1” set vdom “root” set ip 04 set allowaccess ping https set type switch next end 软交换接口(3)———GUI视图 软交换接口(3)———GUI视图 (3)———GUI ? GUI视图 ? Ports 4 5被从接 口列表中删除 ? 只有空接口可以被 加入到软交换接口 ? 已有任何配置的接 口（如DNS转发、 静态路由、防火墙 策略等）的接口都 不能加入软交换接 口组 软交换接口(4)——数据包行为 软交换接口(4)——数据包行为 (4)—— ? 软交换接口组中各接口之间的流量无需防火墙策略控制 ? 软交换接口被视为一个物理接口，就像链路聚合接口一样 ? 可以在软交换接口上配置VLAN接口 软交换接口(5)——注意事项 软交换接口(5)——注意事项 (5)—— ? 所有的物理接口都可以加入到软交换接口中 标准接口 FA2接口 NP2接口 无线接口(FortiWiFi) (FortiWiFi) ? 以上接口可以在软交换接口中混合存在 ? FortiGate不参与spanning tree 不发送STP包 不接收STP包 ? 因此需要注意LOOPS可能产生 !!! 软交换接口(6)—— 软交换接口(6)—— NAT/Route (6) 方案 L2 switch IP broadcast L2 switch 交换机所有接口上都启用Spanning tree 软交换接口(7)——避免L 软交换接口(7)——避免Loop (7)——避免 ? 为了避免loop，需 要开启FortiGate接口上的stpforward ? 配置软交换组中的物理接口 config system interface edit “port3” set vdom “root” set stpforward enable ================================================================================ Port Stg ================================================================================ ENABLE FORWARD CHANGE SID PORT_NUM PRIO STATE STP FASTSTART PATHCOST TRANSITION