草庐IT

防火墙用户管理理论+实验

白帽Chen_D 2025-02-02 原文

目录

注:实验需要有安全策略配置、NAT配置基础

一、防火墙用户管理重要知识点

用户管理

访问控制策略

NGFW下一代防火墙

AAA

鉴别方式——认证

用户认证的分类:

上网用户上线流程:

二、用户认证实验:

实验拓扑

先配置防火墙上接口和区域、地址对象

配置NAT与安全策略确保内部PC能够上网

对PC2进行MAC地址免认证的配置

对PC3进行Portal认证的配置


注:实验需要有安全策略配置、NAT配置基础

传送门——》防火墙的基础配置与安全策略配置实验 

传送门——》防火墙NAT配置实验

一、防火墙用户管理重要知识点

用户管理

本地设备的用户管理

基于远程认证服务器的用户管理

访问控制策略

IP不等于用户、端口不等于应用,传统防火墙基于IP/端口的五元组访问控制策略已经不能有效的应对现阶段网络环境的巨大变化

NGFW下一代防火墙

状态检测机制的基础上增加了对用户进行管理的维度(用户、应用、时间、地点)

AAA

Authentication——认证

Authorization——授权

Accouting——计费/审计 ——记录做了何种操作

鉴别方式——认证

基于实体所知的鉴别:如密码、密保问题

一个安全的密码:数字 字母 特殊字符 大小写 长度

基于实体所有的鉴别:门禁卡 公交卡 IC卡 一卡通 银行卡

实体所有存在的隐患:容易丢失、复制、盗用

基于实体特征的鉴别:指纹 掌纹 静脉 面部扫描 语音 虹膜 视网膜

用户认证的分类:

不认证:不对用户做任何的认证

认证:

        免认证:典型代表是MAC地址的认证

        密码认证:登陆

        单点登陆(仅在上网用户中体现):

        一次登陆 多次访问 适用于多业务系统,多登陆入口,同时系统之间有关联性

        域环境下:用户只要在最开始的时候使用域账户登录,后续所有系统免登录

上网用户上线流程:

防火墙所提到的上网用户上线流程,实际上就是Portal认证,web重定向认证

通过HTTP响应中的重定向报文来实现的。

二、用户认证实验:

实验拓扑

如图搭建网络拓扑,上方是网关,下面是ip,启动防火墙配置后,进入管理页面

也可以直接下载我的拓扑:

链接:https://pan.baidu.com/s/1TbynuslMUXRnczkQTj-6rQ?pwd=Chen 
提取码:Chen 

记得修改云

先配置防火墙上接口和区域、地址对象

不会的同样看前面的文章 

配置NAT与安全策略确保内部PC能够上网

 

 

四、配置安全策略确保内部PC能够访问DMZ服务器

对PC2进行MAC地址免认证的配置

 点击新建用户组

 刚才的位置点击新建用户

 选择mac用户组

 密码推荐1234Qwer

点击用户属性展开

双向绑定,MAC地址在

注意要改成四个字符一个-的形式

5489-98DD-4282 

最后配置策略

配置完成后进行测试,用PC2 ping 12.1.1.2 

查看策略是否命中

看到命中了,说明这次通信过了这个MAC认证,到这里第一个实验就结束啦

对PC3进行Portal认证的配置

把PC1和PC3同样配置

新建用户组 Portal ,新建用户user1,密码1234Qwer 不需要其余配置

配置认证策略 

配置认证选项

这里不需要改太多,可以尝试一下自带的配置登录页面的功能,很多参数都可以体验一下,没有什么难点,最后点击应用即可,这里要注意使用http协议,记一下端口后面要用

配置安全策略:

注意,该认证是在防火墙本地部署的,所以应该配置一条安全策略:允许PC1和PC3从trust区域进入local区

目的地址为防火墙接口地址,新建一个服务,自定义服务

加一个TCP服务,目的端口是刚才看到的端口,确定保存

接下来进行测试

打开虚拟机,使用win7尝试访问

http://12.1.1.2/default.htm

 注意win7要配置一下网络,使用V8网卡,ip为192.168.1.3

访问上面的网址

进入到连接状态,在登陆之前,尝试ping一下12.1.1.2

ping不通,尝试登陆一下

用户名:user1 密码 1234Qwer

在认证选项配置的是不跳转,则会出现该界面,这时候再ping一下

通了通了,到这第二个也做完了,ps:像不像校园网的认证过程 

有关防火墙用户管理理论+实验的更多相关文章

  1. ruby - i18n Assets 管理/翻译 UI - 2

    我正在使用i18n从头开始​​构建一个多语言网络应用程序,虽然我自己可以处理一大堆yml文件,但我说的语言(非常)有限,最终我想寻求外部帮助帮助。我想知道这里是否有人在使用UI插件/gem(与django上的django-rosetta不同)来处理多个翻译器,其中一些翻译器不愿意或无法处理存储库中的100多个文件,处理语言数据。谢谢&问候,安德拉斯(如果您已经在ruby​​onrails-talk上遇到了这个问题,我们深表歉意) 最佳答案 有一个rails3branchofthetolkgem在github上。您可以通过在Gemfi

  2. ruby-on-rails - 使用 rails 4 设计而不更新用户 - 2

    我将应用程序升级到Rails4,一切正常。我可以登录并转到我的编辑页面。也更新了观点。使用标准View时,用户会更新。但是当我添加例如字段:name时,它​​不会在表单中更新。使用devise3.1.1和gem'protected_attributes'我需要在设备或数据库上运行某种更新命令吗?我也搜索过这个地方,找到了许多不同的解决方案,但没有一个会更新我的用户字段。我没有添加任何自定义字段。 最佳答案 如果您想允许额外的参数,您可以在ApplicationController中使用beforefilter,因为Rails4将参数

  3. ruby-on-rails - 获取 inf-ruby 以使用 ruby​​ 版本管理器 (rvm) - 2

    我安装了ruby​​版本管理器,并将RVM安装的ruby​​实现设置为默认值,这样'哪个ruby'显示'~/.rvm/ruby-1.8.6-p383/bin/ruby'但是当我在emacs中打开inf-ruby缓冲区时,它使用安装在/usr/bin中的ruby​​。有没有办法让emacs像shell一样尊重ruby​​的路径?谢谢! 最佳答案 我创建了一个emacs扩展来将rvm集成到emacs中。如果您有兴趣,可以在这里获取:http://github.com/senny/rvm.el

  4. ruby-on-rails - 简单的 Ruby on Rails 问题——如何将评论附加到用户和文章? - 2

    我意识到这可能是一个非常基本的问题,但我现在已经花了几天时间回过头来解决这个问题,但出于某种原因,Google就是没有帮助我。(我认为部分问题在于我是一个初学者,我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI,但我仍然停留在这个问题上.我找到了一些关于多态关系的信息,但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。

  5. ruby - RVM "ERROR: Unable to checkout branch ."单用户 - 2

    我在新的Debian6VirtualBoxVM上安装RVM时遇到问题。我已经安装了所有需要的包并使用下载了安装脚本(curl-shttps://rvm.beginrescueend.com/install/rvm)>rvm,但以单个用户身份运行时bashrvm我收到以下错误消息:ERROR:Unabletocheckoutbranch.安装在这里停止,并且(据我所知)没有安装RVM的任何文件。如果我以root身份运行脚本(对于多用户安装),我会收到另一条消息:Successfullycheckedoutbranch''安装程序继续并指示成功,但未添加.rvm目录,甚至在修改我的.bas

  6. ruby-on-rails - 事件管理员日期过滤器日期格式自定义 - 2

    是否有简单的方法来更改默认ISO格式(yyyy-mm-dd)的ActiveAdmin日期过滤器显示格式? 最佳答案 您可以像这样为日期选择器提供额外的选项,而不是覆盖js:=f.input:my_date,as::datepicker,datepicker_options:{dateFormat:"mm/dd/yy"} 关于ruby-on-rails-事件管理员日期过滤器日期格式自定义,我们在StackOverflow上找到一个类似的问题: https://s

  7. ruby - (Ruby || Python) 窗口管理器 - 2

    我想用这两种语言中的任何一种(最好是ruby​​)制作一个窗口管理器。老实说,除了我需要加载某种X模块外,我不知道从哪里开始。因此,如果有人有线索,如果您能指出正确的方向,那就太好了。谢谢 最佳答案 XCB,X的下一代API使用XML格式定义X协议(protocol),并使用脚本生成特定语言绑定(bind)。它在概念上与SWIG类似,只是它描述的不是CAPI,而是X协议(protocol)。目前,C和Python存在绑定(bind)。理论上,Ruby端口只是编写一个从XML协议(protocol)定义语言到Ruby的翻译器的问题。生

  8. ruby - 在没有基准或时间的情况下用 Ruby 测量用户时间或系统时间 - 2

    因为我现在正在做一些时间测量,我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间,而不显示系统和用户时间,但是我正在寻找具有相同灵active的解决方案,例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark,因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然,我可以解析输出,但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题,但我想知道是否已经在Ruby中实

  9. ruby-on-rails - 使用 javascript 更改数据方法不会更改 ajax 调用用户的什么方法? - 2

    我遇到了一个非常奇怪的问题,我很难解决。在我看来,我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时,我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性,其中包括href和data-method。再次单击此链接后,我的服务器收到了对新href的请求,但使用的是旧的data-method,即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是,如果我刷新页面,HTML与"new"HTML相同(随返回的JS发生变化),但它实际上发送了正确的请求类型。这就是这个问题令我困惑的

  10. ruby-on-rails - 事件管理员和自定义方法 - 2

    这是我在ActiveAdmin中的自定义页面ActiveAdmin.register_page"Settings"doaction_itemdolink_to('Importprojects','settings/importprojects')endcontentdopara"Text"endcontrollerdodefimportprojectssystem"rakedataspider:import_projects_ninja"para"OK"endendend我想做的是,当我单击“导入项目”按钮时,我想在Controller中执行rake任务。但是我无法访问该方法。可能是什

随机推荐