导图社区 网络安全基础（HCIP-Datacom）
- 266
- 14
- 2
- 举报
网络安全基础（HCIP-Datacom）
华为认证HCIP-Datacom-Core Technology V1.0学习笔记 包括内容：华为防火墙技术、网络设备安全特性、VPN 技术概述、VRF 基本概念及应用
编辑于2022-07-21 18:36:31- 网络工程师
- 华为认证
- ICT
- HCIP-Data…
- 相似推荐
- 大纲
网络安全基础
华为防火墙技术
概述
作用
保护一个网络区域免受来自另一个网络区域的攻击和入侵
外部网络安全隔离
内部网络安全管控
内容安全过滤
入侵防御
防病毒
设备形态
框式防火墙
盒式防火墙
桌面型防火墙
软件防火墙
部署形态
传统模式
云管理模式
支持设备即插即用、业务配置自动化、运维可视化和网络大数据分析
防火墙与交换机、路由器功能对比
交换机
接入终端和汇聚内部路由，组建内部互联互通的局域网，实现二/三层快速转发报文
防火墙
流量控制和安全防护，区分和隔离不同安全区域
路由器
路由的分发、寻址和转发，构建外部连接网络
防火墙与路由器转发流程对比
应用场景
边界防护
企业
数据中心
内网管控与安全隔离
数据中心安全联动
发展历史
发展历程
分类
包过滤防火墙
原理
使用ACL对每个数据包的五元组进行过滤
缺点
逐包检测，随着ACL复杂度和长度的增加，其过滤性能呈指数下降
静态的ACL规则难以适应动态的安全要求
无报文关联分析，不检查会话状态也不分析数据，很容易让黑客欺骗过关
状态检测防火墙
原理
对连接的首个数据包（后续简称首包）检测而确定一条连接的状态。后续数据包根据所属连接的状态进行控制（转发或阻塞）
NGFW是状态检测防火墙的一种
优点
提高了防火墙的检测和转发效率
AI防火墙
原理
结合AI算法或AI芯片等多种方式，进一步提高了防火墙的安全防护能力和性能
内置了恶意文件检测引擎CDE、诱捕Sensor、APT检测引擎和探针，支持与沙箱和华为大数据分析平台CIS联动检测
基本概念
安全区域
默认安全区域
分类
untrust
5
dmz
50
trust
85
local
100
注意点
默认区域不能删除也不能修改安全优先级
安全区域之间的互访和安全区域优先级没有关系
防火墙的所有接口永远属于local区域，接口加入的安全区域指的是接口下的网络加入对应的安全区域
凡是由设备构造并主动发出的报文均可认为是从Local区域中发出，凡是需要设备响应并处理（而不仅是检测或直接转发）的报文均可认为是由local区域接收。用户不能改变local区域本身的任何配置，包括向其中添加接口
自定义安全区域
安全区域优先级值越大优先级越高，范围1-100，必须保证全局唯一
每个自定义安全区域都有一个ID，范围4-9，0.1.2.3用于默认区域，所以最多6个自定义安全区域
安全策略
作用
控制防火墙对流量转发以及对流量进行内容安全一体化检测的策略
组成
匹配条件 动作 安全配置文件（可选-实现内容安全）
安全策略动作如果为“允许”则根据安全配置文件确定是否放行，如果为“禁止”则可以针对不同的报文类型选择发送对应的反馈报文
匹配过程
同ACL，按照配置顺序匹配，一旦匹配立即停止
系统默认存在一条缺省安全策略default，位于策略列表的最底部，优先级最低，所有匹配条件均为any，动作默认为禁止
会话表
作用
记录连接状态的表项
防火墙状态检测开启情况下，流量的首包会创建会话表项，后续包即可直接匹配会话表项
会话表的创建和包处理过程
会话表的老化时间与长连接
一条会话在老化时间内没有被任何报文匹配，则会被从会话表中删除。这种机制可以避免防火墙的设备资源被大量无用、陈旧的会话表项消耗
对于某些特殊业务中，一条会话的两个连续报文可能间隔时间很长。例如： 用户通过FTP下载大文件，需要间隔很长时间才会在控制通道继续发送控制报文。用户需要查询数据库服务器上的数据，这些查询操作的时间间隔远大于TCP的会话老化时间。此时如果其会话表项被删除，则该业务会中断。长连接（Long Link）机制可以给部分连接设定超长的老化时间，有效解决这个问题。
多通道协议在防火墙上的问题
背景
严格的单向安全策略，FTP主动模式建立数据连接时，由服务器发起连接
方法
开启ASPF，生成Server-map表项（简化的会话表）
ASPF、NAT Server和No-PAT方式的源NAT时也会生成相应的Server-map表项
Server-map表与会话表的关系
Server-map表记录了应用层数据中的关键信息，报文命中该表后，不再受安全策略的控制，并且创建会话表； 会话表是通信双方连接状态的具体体现； Server-map表不是当前的连接信息，而是防火墙对当前连接分析后得到的即将到来报文的预测； 防火墙收到报文先检查是否命中会话表，如果没有命中则检查是否命中Server-map表；
基础配置
配置防火墙接口
划分防火墙安全区域
配置安全区域
查看防火墙会话信息
网络设备安全特性
常见设备安全加固策略
网络设备的攻击
恶意登录网络设备执行非法操作
伪造大量控制报文造成设备CPU利用率升高
设备安全加固策略
关闭不使用的业务和协议端口
废弃不安全的访问通道
基于可信路径的访问控制
URPF
本机防攻击
SSH
SSH(Secure Shell，安全外壳协议)
SSH通道
STelnet
利用SSH实现认证信息的加密
SFTP
利用SSH实现传输数据的加密
协议通道
传输层协议：提供版本协商，加密算法协商，密钥交换，服务端认证以及信息完整性支持
算法
用于数据完整性保护的MAC算法，如hmac-md5、hmac-md5-96等； 用于数据信息加密的算法，如3des-cbc、aes128-cbc、des-cbc等； 用于产生会话密钥的密钥交换算法，如diffle-hellman-group-exchange-sha1等； 用于进行数字签名和认证的主机公钥算法，如RSA、DSA等；
用户认证协议：为服务器提供客户端的身份鉴别
连接协议：将加密的信息隧道复用为多个逻辑通道，提供给高层的应用协议（STelnet、SFTP）使用
URPF
URPF（Unicast Reverse Path Forwarding，单播逆向路径转发）
原理
检查数据报文的源IP地址是否合法，检查的原理是根据数据包的源IP地址查路由表
模式
严格模式
如果报文能匹配明细路由，并且入接口跟匹配路由的出接口一致，则允许报文上送，否则丢弃报文
松散模式
如果报文匹配上明细路由，则运行报文上送，否则丢弃报文，不检查接口是否匹配。
允许匹配缺省路由
默认情况下，会认为缺省路由不存在，不会去匹配缺省路由，只有进行了配置时候，才会去匹配缺省路由的，且必须和严格模式一起配置，报文匹配明细路由或者缺省路由，并且报文入接口跟匹配路由的出接口一致才上送，否则丢弃。不支持缺省路由与松散模式一起配置，因为这样无法达到防攻击的效果。松散模式和严格模式互斥，只能配置一种模式
本机防攻击
作用
针对的是上送CPU的报文，主要用于保护设备自身安全，保证已有业务在发生攻击时的正常运转，避免设备遭受攻击时各业务的相互影响
组成
CPU防攻击
针对上送CPU的报文进行限制和约束
分类
分级防护
4级防护，每一级的处理方式不同
动态链路保护功能的CPU报文限速
针对的是一些协议的会话数据
攻击溯源
找到攻击源，针对DoS（Denial of Service，拒绝服务）攻击进行防御
过程
网络设备安全加固部署示例
STelnet配置
口令认证
单向认证
客户端无法验证服务器端的身份
密钥认证
双向认证
1、服务器端生成本地密钥对
rsa local-key-pair create
2、配置VTY用户界面并创建SSH登录用户
user-interface vty 0 4
aaa
3、指定用户认证方式
ssh user Client_Name authentication-type rsa
ssh user wf service-type stelnet
4、客户端生成本地密钥对
rsa local-key-pair create
display rsa local-key-pair public
查看密钥复制到服务器端
5、服务器端导入客户端的公钥信息
rsa peer-public-key RSA_Name[SSH Server-rsa-public-key] public-key-code begin XXXXXXXXXXXXXXX XXXXXXXXXXXXXXX [SSH Server-rsa-key-code] public-key-code end[SSH Server-rsa-public-key] peer-public-key end
6、SSH用户client002绑定STelnet客户端的RSA公钥
ssh user Client_Name assign rsa-key RSA_Name
7、服务器端开启STelnet和配置端口号
stelnet server enable
ssh server port 1234
8、客户端开启首次认证功能
ssh client first-time enable
8、测试和查看
测试
stelnet 10.1.1.1 1234
查看SSH状态信息
display ssh server status
查看SSH用户信息
display ssh user-information
本机防攻击配置
创建防攻击策略
[Huawei] cpu-defend policy policy-name
CPU防攻击
配置黑名单
[Huawei-cpu-defend-policy-test] blacklist blacklist-id acl acl-number
配置上送CPU报文的限制速率
[Huawei-cpu-defend-policy-test] packet-type packet-type rate-limit rate-value
配置上送CPU报文中指定协议类型报文的优先级
[Huawei-cpu-defend-policy-test] packet-type packet-type priority priority-level
使能动态链路保护功能
[Huawei-cpu-defend-policy-test] cpu-defend application-apperceive [ ssh | telnet | bgp | ftp | http ] enable
攻击溯源
使能攻击溯源功能
[Huawei-cpu-defend-policy-test] auto-defend enable
配置攻击溯源检查阈值
[Huawei-cpu-defend-policy-test] auto-defend threshold threshold
使能攻击溯源事件上报功能
[Huawei-cpu-defend-policy-test] auto-defend alarm enable
应用防攻击策略
[Huawei] cpu-defend-policy policy-name [ global | slot slot-id ]
查看信息
查看配置的防攻击策略的信息
display cpu-defend policy devicesafety
查看上送到主控板的报文的统计信息
display cpu-defend statistics
VPN技术概述
概述
背景
企业分支之间直接使用Internet传输数据不安全
诞生
专网传输
成本高
VPN
安全、廉价、支持移动业务、可拓展性
简介
虚拟专用网：逻辑意义上只被该VPN的用户使用
VPN分类
建设单位
运营商租赁专网
MPLS VPN
企业自建专网
IPSec VPN、L2TP VPN、SSL VPN
组网方式
远程访问VPN（Remote Access VPN）
SSL、IPSec（IKEv2）、L2TP、L2TP over IPSec。
如果对客户端没有要求，但是待访问的服务器要针对不同类型用户开放不同的服务、制定不同的策略等，可采取SSL方式。
出差员工或临时办事处员工，如果需要频繁访问某几个固定的总部服务器，且服务器功能对全部用户都开放的情况下，可采取L2TP over IPSec方式。
局域网到局域网的VPN（Site-to-site VPN）
IPSec、L2TP、L2TP over IPSec、GRE over IPSec、IPSec over GRE。
两端相互访问较频繁，传输的数据为机密数据，且任何用户都能访问对端内网，无需认证时，可采用IPSec方式。
只有一端访问另一端，且访问的用户必须通过用户认证时，可采用L2TP方式。
如果只有一端访问另一端，传输数据为机密数据，且访问的用户必须通过用户认证，可采用L2TP over IPSec方式，安全性更高。
GRE over IPSec隧道和IPSec over GRE隧道都可以用来安全的传输数据，两者的区别在于对数据的封装顺序不同。GRE over IPSec在报文封装时，是先GRE封装然后再IPSec封装；IPSec over GRE在报文封装时，是先IPSec封装再GRE封装。由于IPSec无法封装组播报文，因此IPSec over GRE隧道也无法传输组播数据。如果隧道两端要传输组播数据时，就要采用GRE over IPSec方式。
网络层次

VPN关键技术
隧道（Tunnel）技术
隧道通过隧道协议实现
身份认证、数据加密与验证
数据验证：对报文的完整性和真伪进行检查，丢弃被伪造和被篡改的报文
VPN技术
IPSec：Internet Protocol Security， 因特网协议安全协议。
概述
IPSec是IETF定义的一个协议组。通信双方在IP层通过加密、完整性校验、数据源认证等方式，保证了IP数据报文在网络上传输的机密性、完整性和防重放。 机密性（Confidentiality）指对数据进行加密保护，用密文的形式传送数据。 完整性（Data integrity）指对接收的数据进行认证，以判定报文是否被篡改。 防重放（Anti-replay）指防止恶意用户通过重复发送捕获到的数据包所进行的攻击，即接收方会拒绝旧的或重复的数据包。
IPSec协议体系
IPSec VPN体系结构主要由AH（Authentication Header）、ESP（Encapsulating Security Payload）和IKE（Internet Key Exchange）协议套件组成。 AH协议：主要提供的功能有数据源验证、数据完整性校验和防报文重放功能。然而，AH并不加密所保护的数据报。 ESP协议：提供AH协议的所有功能外（但其数据完整性校验不包括IP头），还可提供对IP报文的加密功能。 IKE协议：用于自动协商AH和ESP所使用的密码算法。
数据完整性校验 : AH支持（验证整个IP报文） ESP支持（传输模式：不验证IP头，隧道模式：验证整个IP报文）
加密机制保证数据的机密性，防止数据在传输过程中被窃听； 验证机制能保证数据真实可靠，防止数据在传输过程中被仿冒和篡改。
密钥交换
带外共享密钥
IKE协议自动协商密钥
IKE协议分IKEv1和IKEv2两个版本
工作原理
IPSec隧道建立过程中首先需要协商IPSec SA（Security Association，安全联盟），IPSec SA一般通过IKE协商生成。 SA由一个三元组来唯一标识，这个三元组包括安全参数索引SPI（SPI是为唯一标识SA）、目的IP地址和使用的安全协议号（AH或ESP) SA（Security Association）安全联盟定义了IPSec通信对等体间将使用的数据封装模式、认证和加密算法、秘钥等参数。IPsec SA是单向的逻辑连接，两个对等体之间的双向通信，至少需要两个SA。如果两个对等体希望同时使用AH和ESP安全协议来进行通信，则对等体针对每一种安全协议都需要协商一对SA。 IKE SA是一个双向的逻辑连接
IKEv1协商
IKEv1协商阶段1的目的是建立IKE SA。IKE SA建立后对等体间的所有ISAKMP消息都将通过加密和验证，这条安全通道可以保证IKEv1第二阶段的协商能够安全进行。IKE SA是一个双向的逻辑连接，两个IPSec对等体间只建立一个IKE SA。
IKEv1协商阶段2的目的就是建立用来安全传输数据的IPSec SA，并为数据传输衍生出密钥。该阶段使用IKEv1协商阶段1中生成的密钥对ISAKMP消息的完整性和身份进行验证，并对ISAKMP消息进行加密，故保证了交换的安全性。
IKE协商成功意味着双向的IPSec隧道已经建立
IPSec协议有两种封装模式：传输模式和隧道模式。 默认隧道

没有AH Tail
IPSec配置
GRE：Generic Routing Encapsulation， 通用路由封装协议。
概述
优点： 1.GRE可以对某些网络层协议（如IPX、IPv4、IPv6等）的报文进行封装，使封装后的报文能够在另一种网络中（如IPv4）传输，从而解决了跨越异种网络的报文传输问题。 2.IPSec VPN用于在两个端点之间提供安全的IP通信，但只能加密并传播单播数据，无法加密和传输语音、视频、动态路由协议信息等组播数据流量。 3.GRE隧道扩展了受跳数限制的路由协议的工作范围，例如：RIP
原理
Keepalive检测功能用于检测隧道对端是否可达。
GRE本身提供两种基本的安全机制：校验和验证、识别关键字
GRE构成要素分为3个部分：乘客协议、封装协议和运输协议。 乘客协议是指用户在传输数据时所使用的原始网络协议。 封装协议的作用就是用来“包装”乘客协议对应的报文，使原始报文能够在新的网络中传输。 运输协议是指被封装以后的报文在新网络中传输时所使用的网络协议。 GRE封裝报文时，封装前的报文称为净荷，封装前的报文协议称为乘客协议，然后GRE会封装GRE头部，GRE成为封装协议，也叫运载协议，最后负责对封装后的报文进行转发的协议称为传输协议
GRE Over IPSec
GRE的主要缺点是不支持加密和认证。 IPSec的主要缺点是只支持IP协议，且不支持组播。 将 IPSec技术与GRE相结合，可以先建立GRE隧道对报文进行GRE封装，然后再建立 IPSec隧道对报文进行加密，以保证报文传输的完整性和私密性。
GRE配置
L2TP：Layer 2 Tunneling Protocol， 二层隧道协议。
概述
L2TP（Layer 2 Tunneling Protocol） VPN是一种用于承载PPP报文的隧道技术，该技术主要应用在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。 L2TP组网架构中包括LAC（L2TP Access Concentrator，L2TP访问集中器）和LNS（L2TP Network Server，L2TP网络服务器）
L2TP是虚拟私有拨号网VPDN（Virtual Private Dial-up Network）隧道协议的一种，它扩展了点到点协议PPP的应用，是一种在远程办公场景中为出差员工或企业分支远程访问企业内网资源提供接入服务的VPN。
组网架构
LAC（L2TP Access Concentrator，L2TP访问集中器）和LNS（L2TP Network Server，L2TP网络服务器）
LAC是网络上具有PPP和L2TP协议处理能力的设备。LAC负责和LNS建立L2TP隧道连接。在不同的组网环境中，LAC可以是不同的设备，可以是一台网关设备，也可以是一台终端设备。LAC可以发起建立多条L2TP隧道使数据流之间相互隔离。 LNS是LAC的对端设备，即LAC和LNS建立了L2TP隧道；LNS位于企业总部私网与公网边界，通常是企业总部的网关设备。
L2TP消息
控制消息用于L2TP隧道和会话连接的建立、维护和拆除。
数据消息用于封装PPP数据帧并在隧道上传输。
工作场景
NAS-Initiated场景：拨号用户通过NAS访问企业内网
Client-Initiated场景：移动办公用户访问企业内网
Call-LNS场景：通过LAC自主拨号实现企业内网互连
L2TP Over IPSec
当企业对数据和网络的安全性要求较高时，L2TP无法为报文传输提供足够的保护。这时可以和IPSec功能结合使用，保护传输的数据，有效避免数据被截取或攻击。 L2TP over IPSec既可以用于分支接入总部，也可以用于出差员工接入总部。
SSL VPN
L2TP移动办公用户需要安装指定的客户端软件，无法对移动办公用户的访问权限做精细化控制。
SSL VPN为了更精细的控制移动办公用户的资源访问权限，将内网资源划分为了Web资源、文件资源、端口资源和IP资源这4种类型。
移动办公用户资源访问过程
虚拟网关是移动办公用户访问企业内网资源的统一入口。不同虚拟网关下可以配置各自的用户和资源，进行单独管理。
三种身份认证方式。 本地认证： 服务器认证： 证书认证： 虚拟网关针对证书提供了两种认证方式，一种是证书匿名，一种是证书挑战。 证书匿名方式下，虚拟网关只是检查用户所持证书的有效性（比如证书的有效期是否逾期，证书是否由合法CA颁发等），不检查用户的登录密码等身份信息。 证书挑战方式下，虚拟网关不仅检查用户证书是否是可信证书以及证书是否在有效期内，还要检查用户的登录密码。检查用户登录密码的方式可以选择本地认证或服务器认证。
MPLS：Multiprotocol Label Switching，多协议标签交换协议。
总结
IPSec VPN：是一系列为IP网络提供安全性的协议和服务的集合，为IP网络提供安全的传输。
GRE VPN：提供了将一种协议的报文封装在另一种协议报文中的机制，解决异种网络的传输问题。
L2TP VPN：是一种能够提供移动用户远程接入服务的二层VPN技术。
MPLS VPN：一种通过标签交换技术，实现站点与站点之间互联的VPN技术。
VRF基本概念及应用
概述
背景
隔离两张网络之间的通信
1、配置繁琐的策略，且拓展性差，无法规避重叠网段
2、增加设备物理隔离，但是增加额外成本
VRF（Virtual Routing and Rorwarding，虚拟路由转发）
简介
VRF又称VPN实例（VPN Instance），是一种虚拟化技术。在物理设备上创建多个VPN实例，实例间物理层隔离，每个VPN实例拥有独立的接口、路由表和路由协议进程等。
缺省时，一个网络设备的所有接口都属于同一个转发实例——设备的根实例
应用场景
逻辑隔离、BGP/MPLS IP VPN、防火墙虚拟系统
配置
1、创建实例，加入三层接口
创建VPN实例
[Huawei] ip vpn-instance NAME
VPN实例的IPv4/6类型的路由通告和数据转发功能
[Huawei-vpn-instance-InstanceName] ipv4/6-family
只需要物理隔离不需要配置RD和RT值
route-distinguisher X：Y
配置RD后，RD将不能被修改或删除。如果要修改，需要去使能VPN实例相应的地址族或者删除VPN实例
vpn-target X：Y [ both | export-extcommunity | import-extcommunity ]
最多8个
接口绑定到VPN实例
[Huawei-GigabitEthernet0/0/0]ip binding vpn-instance
配置接口与VPN实例绑定后，或取消接口与VPN实例的绑定，都会清除该接口的IP地址、三层特性和IP相关的路由协议
2、配置VPN实例的路由
静态路由及实例间通信
ip route-static vpn-instance 绑定路由的实例（源实例） 1.1.1.0 24 vpn-instance 目的实例 2.2.2.2
OSPF
ospf 1 router-id 1.1.1.1 vpn-instance aa
IS-IS
isis 1 vpn-instance aa
BGP
ipv4-family vpn-instance aa
3、验证配置
查看实例路由表
display ip routing-table vpn-instance
ping测试
ping -vpn-instance aa 1.1.1.1
tracert测试
tracert -vpn-instance aa 1.1.1.1