2020年网络搭建与应用国赛题-防火墙ipsec建立分解_网络搭建2020四川省省赛题配置-程序员宅基地

2020 年全国职业院校技能大赛中职组“网络搭建与应用”赛项竞赛样卷

——防火墙IPsec建立分解

题目要求：
集团防火墙与广东办事处防火墙之间使用互联地址建立 IPSEC 隧道，集团防火墙侧使用 E0/3 侧接口地址，实现广东办事处营销业务终端 172.40.11.100/32与托管在运营商机房172.40.254.254/32业务通过逻辑隧道进行转发
赛题拓扑：

根据题目要求，换另一句话讲就是：
FW-1的客户端：172.40.254.254/32
和
FW-2的客户端：172.40.11.100/32 相互访问的时候，通过ipsece隧道接口通讯

由此，就可以确定出了，ipsec 的两端客户端.
那么，就要知道他们所谓的“互联地址”到底是什么了.

回看题目：

从划红线部分可以知道，所谓的“互联”地址，就是RT-1和FW-2的互联地址也要发布到OSPF进程1中
配置方法：
RT-1：
1.创建ACL过滤列表
ip access-list standard fw2
permit 10.40.254.37 255.255.255.252
!
route-map fw2 10 permit
match ip address fw2
!
2.OSPF1中引入直连路由，应用过滤列表，避免引入其他无关路由
router ospf 1
redistribute connect route-map fw2

1.建立ipsec的源和目的，都一一具备了
2.建立IPsec前进行检查两端防火墙的“互联”地址，是否能够互通
完成后就可以进行以下操作了：

FW-1：

1.禁止广东办营销PC访问运营商PC的时候转换SNAT地址

2.配置IPsec对端信息

3.创建IPsec

4.配置隧道并绑定IPsec

5.配置路由

6.配置策略放行

防火墙FW_1中的地址簿已经创建以下信息：

广东办事处营销业务终端100：172.40.11.100/32

托管在运营商机房：172.40.254.254/32

1.禁止广东办营销PC访问运营商PC的时候转换SNAT地址

当经过SNAT转换地址之后，地址将会发生变化，对ipsec的建立会产生影响，所以需要配置SNAT不转换操作，避免地址改变。
在这里插入图片描述

2.配置IPsec对端信息

在这里插入图片描述

3.创建IPsec

在这里插入图片描述

4.配置隧道并绑定IPsec

在这里插入图片描述

5.配置路由

在这里插入图片描述

6.配置策略放行

在这里插入图片描述

同理的，我们FW-2上也配置相似的操作：

>与其他常见的ipsec相比，该题中的客户端仅变成了在SNAT转换口上
>其实，在FW-1的SNAT口上放行了ipsec部分的流量不转换地址，其他操作都与手册上的一致

FW-2：

1.配置IPsec对端信息

2.创建IPsec

3.配置隧道并绑定IPsec

4.配置路由

5.配置策略放行

1.配置IPsec对端信息

在这里插入图片描述

2.创建IPsec

在这里插入图片描述

3.配置隧道并绑定IPsec

在这里插入图片描述

4.配置路由

在这里插入图片描述

5.配置策略放行

在这里插入图片描述

最终结果验证：

在FW-2的营销业务客户端（172.40.11.100 ）进行测试：
在这里插入图片描述
在SW-1上，使用ping源充当（172.40.254.254）进行测试：

当访问都能够互通的时候，就可以在防火墙上查看对应的ipsec建立状态了
FW-1的ipsec建立情况
请添加图片描述

FW-2的ipsec建立情况

至此，配置完成，如有任何疑惑，可以直接私聊我进行讨论解决
——2021.04.27 20年国赛防火墙ipsec分解

拓展分析：
当FW-1上配置完成禁止“172.40.11.100”访问“172.40.254.254”的时候，防火墙暂时放行any，测试双方是否可以互ping，从而判断链路之间是否存在故障，无误则可以继续进行ipsec的建立

【如果你需要更加细致的判断是否可以互ping，那么放行策略参考以下设置】

FW-1：
trust -> untrust #（当没有配置ipsec的时候营销pc只能通过trust区域）
172.40.11.100 ->172.40.254.254
untrust -> trust #（让运营商pc能够访问到营销pc）
172.40.254.254 172.40.11.100

FW-2：
trust -> dmz #（让营销pc能够访问运营商pc）
172.40.11.100 ->172.40.254.254
dmz -> trust #（让运营商pc能够访问到营销pc）
172.40.254.254 172.40.11.100

以上的策略，后期修改成ipsec的隧道所在区域之后就和答案一致了

当发现不能互Ping的时候怎么办呢？

1.检查路由表【查看是否有前往对应pc的路由】
2.使用tracert进行查看流量丢包的位置【确定丢包位置后缩小排错范围】
3.查看防火墙是否放行流量【大部分时候，都是策略放行错误导致流量被拦截】

本文链接：https://blog.csdn.net/qq_45443704/article/details/116203334

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

c# 调用c++ lib静态库_c#调用lib-程序员宅基地

文章浏览阅读2w次，点赞7次，收藏51次。四个步骤1.创建C++ Win32项目动态库dll 2.在Win32项目动态库中添加外部依赖项 lib头文件和lib库3.导出C接口4.c#调用c++动态库开始你的表演...①创建一个空白的解决方案，在解决方案中添加 Visual C++ , Win32 项目空白解决方案的创建：添加Visual C++ , Win32 项目这......_c#调用lib

deepin/ubuntu安装苹方字体-程序员宅基地

文章浏览阅读4.6k次。苹方字体是苹果系统上的黑体，挺好看的。注重颜值的网站都会使用，例如知乎：font-family: -apple-system, BlinkMacSystemFont, Helvetica Neue, PingFang SC, Microsoft YaHei, Source Han Sans SC, Noto Sans CJK SC, W..._ubuntu pingfang

html表单常见操作汇总_html表单的处理程序有那些-程序员宅基地

文章浏览阅读159次。表单表单概述表单标签表单域按钮控件demo表单标签表单标签基本语法结构<form action="处理数据程序的url地址“ method=”get|post“ name="表单名称”></form><!--method将表单中的数据传送给服务器处理，get方式直接显示在url地址中，数据可以被缓存，且长度有限制；而post方式数据隐藏传输，_html表单的处理程序有那些

PHP设置谷歌验证器（Google Authenticator）实现操作二步验证_php otp 验证器-程序员宅基地

文章浏览阅读1.2k次。使用说明:开启Google的登陆二步验证（即Google Authenticator服务）后用户登陆时需要输入额外由手机客户端生成的一次性密码。实现Google Authenticator功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。下载谷歌验证类库文件放到项目合适位置(我这边放在项目Vender下面)https://github.com/PHPGangsta/GoogleAuthenticatorPHP代码示例://引入谷_php otp 验证器

【Python】matplotlib.plot画图横坐标混乱及间隔处理_matplotlib更改横轴间距-程序员宅基地

文章浏览阅读4.3k次，点赞5次，收藏11次。matplotlib.plot画图横坐标混乱及间隔处理_matplotlib更改横轴间距

docker — 容器存储_docker 保存容器-程序员宅基地

文章浏览阅读2.2k次。①Storage driver 处理各镜像层及容器层的处理细节，实现了多层数据的堆叠，为用户提供了多层数据合并后的统一视图②所有 Storage driver 都使用可堆叠图像层和写时复制（CoW）策略③docker info 命令可查看当系统上的 storage driver主要用于测试目的，不建议用于生成环境。_docker 保存容器

随便推点

网络拓扑结构_网络拓扑csdn-程序员宅基地

文章浏览阅读834次，点赞27次，收藏13次。网络拓扑结构是指计算机网络中各组件（如计算机、服务器、打印机、路由器、交换机等设备）及其连接线路在物理布局或逻辑构型上的排列形式。这种布局不仅描述了设备间的实际物理连接方式，也决定了数据在网络中流动的路径和方式。不同的网络拓扑结构影响着网络的性能、可靠性、可扩展性及管理维护的难易程度。_网络拓扑csdn

JS重写Date函数，兼容IOS系统_date.prototype 将所有 ios-程序员宅基地

文章浏览阅读1.8k次，点赞5次，收藏8次。IOS系统Date的坑要创建一个指定时间的new Date对象时，通常的做法是：new Date("2020-09-21 11:11:00")这行代码在 PC 端和安卓端都是正常的，而在 iOS 端则会提示 Invalid Date 无效日期。在IOS年月日中间的横岗许换成斜杠，也就是new Date("2020/09/21 11:11:00")通常为了兼容IOS的这个坑，需要做一些额外的特殊处理，笔者在开发的时候经常会忘了兼容IOS系统。所以就想试着重写Date函数，一劳永逸，避免每次ne_date.prototype 将所有 ios