很多人在ENSP里搭網(wǎng)絡(luò)實驗環(huán)境裝好模擬器之后翻設(shè)備列表發(fā)現(xiàn)AR路由器、S5700交換機都在偏偏防火墻那一欄是空的或者設(shè)備圖標(biāo)是灰色根本拖不進(jìn)來。這個問題我在帶新人做安全實驗時幾乎每周都會被問一次。實際上不是ENSP沒裝防火墻組件而是默認(rèn)安裝包只帶了路由交換設(shè)備鏡像USG6000V防火墻需要單獨準(zhǔn)備鏡像文件再手動導(dǎo)入到模擬器里。整個過程并不復(fù)雜但里面有幾個特別容易踩的坑版本不匹配、導(dǎo)入后啟動失敗、telnet登不進(jìn)去每一個都能卡掉一批人。這篇文章就把鏡像文件準(zhǔn)備、導(dǎo)入流程、啟動排障、初始化登錄和區(qū)域配置完整走一遍適合正在備考認(rèn)證的考生、想驗證安全特性的網(wǎng)絡(luò)工程師以及剛接觸ENSP的初學(xué)者。1. 為什么要在ENSP里搭配USG6000V防火墻在企業(yè)網(wǎng)絡(luò)里的位置1.1 防火墻和路由器、交換機的本質(zhì)差異很多人一開始不理解我在路由器上加個ACL不也能過濾流量嗎為什么非要單獨用防火墻這就是把防火墻和路由器混為一談了。路由器負(fù)責(zé)三層轉(zhuǎn)發(fā)核心邏輯是有路由就轉(zhuǎn)發(fā)ACL只是轉(zhuǎn)發(fā)路徑上的補充手段。交換機負(fù)責(zé)二層轉(zhuǎn)發(fā)和VLAN劃分本身幾乎沒有安全決策能力。而防火墻的核心邏輯是默認(rèn)拒絕在沒有顯式安全策略的情況下所有跨安全區(qū)域的流量都會被丟棄。這個區(qū)別在做實驗時非常明顯。你用AR路由器搭建的兩個網(wǎng)段配好IP和路由就能直接互通。但如果中間隔了一臺USG6000V你在接口上配好IP、路由也配好了流量還是不通因為防火墻壓根沒放行。必須先把接口劃入安全區(qū)域再寫一條明確的安全策略允許源到目的方向通信才能建立。這種默認(rèn)拒絕的行為模型是路由器永遠(yuǎn)模擬不出來的。1.2 哪些實驗場景必須用到USG6000V不是所有實驗都需要防火墻但以下幾類場景繞不開它。第一類是安全區(qū)域劃分實驗。企業(yè)網(wǎng)絡(luò)通常分為trust區(qū)域內(nèi)網(wǎng)、untrust區(qū)域外網(wǎng)、dmz區(qū)域服務(wù)器區(qū)每個區(qū)域信任級別不同區(qū)域之間通過安全策略控制訪問方向。你可以在ENSP里用三臺路由器分別模擬內(nèi)網(wǎng)、外網(wǎng)和服務(wù)器中間連一臺USG6000V把對應(yīng)接口劃入不同區(qū)域然后逐條驗證策略的放行和阻斷效果。第二類是NAT實驗。源NAT是防火墻最常用的功能之一內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)時把私有IP轉(zhuǎn)換成公網(wǎng)IP。ENSP的AR路由器也支持NAT但USG6000V的NAT策略配置方式、地址池管理、安全策略聯(lián)動邏輯和真實企業(yè)防火墻更接近做完之后遷移到真機上手成本低很多。第三類是攻擊防御與會話表實驗。USG6000V支持開啟防火墻會話日志可以用display firewall session table查看TCP、UDP會話的建立過程理解為什么回包能自動通過而去包必須匹配安全策略。這個視角是路由交換設(shè)備給不了的。所以我的建議是如果你只是練路由協(xié)議、交換技術(shù)不需要折騰USG6000V但只要涉及邊界安全、NAT、區(qū)域隔離就老老實實把防火墻鏡像導(dǎo)進(jìn)去別用路由器硬湊。2. 鏡像文件準(zhǔn)備版本匹配、文件完整性與存放路徑2.1 USG6000V鏡像文件的基本認(rèn)知USG6000V的鏡像文件通常是一個以.zip結(jié)尾的壓縮包解壓后你會看到多個文件其中最關(guān)鍵的是一個以.vdi結(jié)尾的虛擬磁盤文件。這里簡單解釋一下原理ENSP之所以能模擬出虛擬防火墻本質(zhì)上是靠本機安裝的虛擬化軟件在跑一個裁剪過的系統(tǒng)鏡像.vdi就是這塊虛擬硬盤的內(nèi)容里面包含了完整的防火墻操作系統(tǒng)。導(dǎo)入操作說白了就是讓ENSP把這個虛擬硬盤注冊進(jìn)設(shè)備列表以后每次啟動USG6000V都是從這個虛擬硬盤引導(dǎo)系統(tǒng)。所以當(dāng)你拿到一個鏡像包時第一件事不是急著導(dǎo)入而是先解壓確認(rèn)文件完整性。.vdi文件的大小通常在幾百MB到1GB以上如果壓縮包解壓出來只有幾十MB或者里面缺少關(guān)鍵的系統(tǒng)文件導(dǎo)入之后大概率啟動失敗。這種問題在從非官方渠道下載鏡像時特別常見文件不完整、被閹割過的版本都會有各種奇怪問題。2.2 版本匹配與常見報錯鏡像版本和ENSP版本之間的匹配關(guān)系是整個導(dǎo)入過程中最容易被忽視、又最容易出問題的一環(huán)。早期版本的ENSP對USG6000V的支持不夠完善某些版本的鏡像導(dǎo)入后雖然能啟動但命令行交互會卡死或者安全區(qū)域配置保存不了。后續(xù)版本對虛擬化組件兼容性做了優(yōu)化但如果你用的鏡像是更新版本的鏡像導(dǎo)入到老ENSP里又可能出現(xiàn)設(shè)備類型無法識別的問題。我的建議是優(yōu)先使用與你ENSP版本配套的鏡像。一般來說你安裝的ENSP應(yīng)用版本越高配套鏡像的版本也相對越新。如果你手頭有多個版本不要貪新先選一個已知與當(dāng)前ENSP兼容的鏡像跑通流程再考慮升級版本。另外有一點容易忽略鏡像文件所在路徑不要放在中文目錄或者帶空格的路徑里。ENSP底層調(diào)用虛擬化組件時對路徑解析比較敏感我遇到過在下載-新建文件夾這種目錄下導(dǎo)入鏡像后啟動失敗的情況把文件挪到純英文路徑后一切正常。雖然不是所有人都能復(fù)現(xiàn)這個坑但既然只需要多花十秒鐘就沒必要賭運氣。2.3 磁盤空間檢查這一步看起來很基礎(chǔ)但還是想單獨拿出來說。USG6000V鏡像導(dǎo)入的過程并不是簡單地把文件記錄一下ENSP會把虛擬磁盤文件拷貝到自己的工作目錄下同時在啟動設(shè)備時還要生成額外的配置快照文件。如果你C盤剩余空間不足3GB導(dǎo)入過程會非常慢甚至直接提示磁盤空間不足。我建議在導(dǎo)入前先看一眼C盤空間最好預(yù)留5GB以上。如果C盤確實緊張可以通過修改ENSP安裝路徑和虛擬化組件的相關(guān)配置把設(shè)備文件遷移到其他盤但這屬于另一個話題這里先不展開。3. 導(dǎo)入USG6000V鏡像的完整操作流程3.1 打開導(dǎo)入設(shè)備菜單的正確姿勢鏡像準(zhǔn)備好了接下來就是實際操作。打開ENSP主界面在菜單欄找到工具菜單點開后能看到導(dǎo)入設(shè)備選項點擊它就會彈出設(shè)備導(dǎo)入對話框。這個入口藏得比較深很多人第一反應(yīng)是在設(shè)備列表里右鍵找導(dǎo)入選項結(jié)果找不到。記住固定入口就是工具 導(dǎo)入設(shè)備。有些版本的操作界面是英文的對應(yīng)關(guān)系是Tools Import Device邏輯完全一樣。3.2 配置設(shè)備類型、命名與啟動選項進(jìn)入導(dǎo)入對話框后第一個要選的是設(shè)備類型。這里有兩種情況如果你用的是USG6000V的鏡像設(shè)備類型欄會直接列出USG6000V這一項如果你的鏡像和當(dāng)前ENSP版本不匹配下拉列表里可能根本沒有這個類型或者選擇后報文件類型不匹配的錯誤。我看到很多人卡在這一步其實是鏡像和軟件版本不匹配的問題不是操作問題。設(shè)備名稱這一欄可以自己定義。這個名字會顯示在ENSP的設(shè)備列表里建議用容易識別的格式比如USG6000V-FW或者FW-01。如果你在同一個拓?fù)淅镄枰嗯_防火墻命名時帶上編號會更方便管理例如FW-Trust、FW-DMZ避免拓?fù)渥兇蠛蠓植磺迥呐_是哪臺。然后點擊瀏覽按鈕選擇你準(zhǔn)備好的鏡像文件。這里有幾個細(xì)節(jié)需要注意有些鏡像包是zip格式有些是直接解壓后的.vdi文件兩者都可以導(dǎo)入ENSP會自動識別。如果導(dǎo)入時報鏡像文件格式不正確先檢查文件是否完整解壓不要直接選zip包里的某個小文件。文件路徑中不要包含中文字符前面已經(jīng)說過這里再強調(diào)一次。3.3 導(dǎo)入過程觀察與設(shè)備注冊確認(rèn)點擊導(dǎo)入按鈕后ENSP會開始導(dǎo)入這個過程根據(jù)鏡像大小和機器性能不同可能需要一兩分鐘。界面上的進(jìn)度條會走走到100%后設(shè)備列表里就會多出一個防火墻圖標(biāo)。很多人導(dǎo)入完成后直接關(guān)閉對話框接著發(fā)現(xiàn)拖工具欄里的防火墻還是灰色。這里有個容易誤解的點導(dǎo)入設(shè)備和添加設(shè)備到畫布是兩回事。導(dǎo)入是把鏡像注冊到ENSP里接下來你要在左側(cè)的設(shè)備欄里找到防火墻分類把USG6000V圖標(biāo)拖到中間的畫布上才能開始做拓?fù)?。正確判斷導(dǎo)入是否成功的標(biāo)志是設(shè)備列表里防火墻的圖標(biāo)變成可拖動的彩色狀態(tài)而不是灰色。如果你拖出來的設(shè)備外觀正常說明鏡像注冊成功可以進(jìn)行下一步啟動操作。4. 導(dǎo)入后啟動失敗與登錄受阻的排查全鏈路4.1 啟動后設(shè)備一直處于紅色狀態(tài)或者直接提示啟動失敗導(dǎo)入成功后很多人迫不及待地把設(shè)備拖到畫布上右鍵啟動結(jié)果等了半分鐘設(shè)備狀態(tài)還是紅色的甚至彈窗提示設(shè)備啟動失敗。第一個要做的事是冷靜下來不要反復(fù)點擊啟動連續(xù)多次重啟會把虛擬化組件搞出更多問題。排查順序是這樣的按優(yōu)先級從高到低來。先檢查磁盤空間。前面說過啟動設(shè)備時ENSP要生成快照文件磁盤滿了一定會失敗。把C盤空間釋放到5GB以上再試一次。再看虛擬化組件的服務(wù)狀態(tài)。ENSP依賴虛擬化軟件提供底層運行環(huán)境如果相關(guān)服務(wù)被禁用或者端口被占用設(shè)備也是啟動不起來的。打開電腦服務(wù)列表確認(rèn)相關(guān)服務(wù)處于運行狀態(tài)。這個排查點在殺毒軟件、系統(tǒng)優(yōu)化工具做過優(yōu)化的電腦上特別常見很多全局優(yōu)化工具會把這類服務(wù)當(dāng)作無用服務(wù)關(guān)掉。接著看虛擬網(wǎng)卡的安裝狀態(tài)。ENSP啟動設(shè)備時需要創(chuàng)建虛擬網(wǎng)卡用于設(shè)備間通信如果網(wǎng)卡被禁用或者驅(qū)動異常設(shè)備會啟動中途退出。在控制面板的網(wǎng)絡(luò)適配器里檢查是否存在對應(yīng)的虛擬網(wǎng)卡沒有的話需要重新安裝組件。最后是那個老生常談但確實存在的坑殺毒軟件攔截。某些安全軟件會把虛擬化進(jìn)程當(dāng)作可疑程序攔截導(dǎo)致設(shè)備啟動一半就沒了。導(dǎo)入鏡像前可以先臨時關(guān)閉實時防護(hù)啟動成功后再恢復(fù)。4.2 啟動時間比路由器長很多別急著關(guān)有一類情況不是啟動失敗而是啟動太慢慢到你誤以為它死了。USG6000V是完整的安全設(shè)備系統(tǒng)啟動時要做硬件自檢、加載安全策略庫、初始化會話管理模塊整個過程比AR路由器長得多。我第一次導(dǎo)入時也踩過這個坑等了大概二十秒設(shè)備還是紅色以為導(dǎo)入的鏡像有問題直接把設(shè)備刪了重新導(dǎo)結(jié)果第二遍還是這樣。后來才發(fā)現(xiàn)USG6000V從啟動到CLI窗口出現(xiàn)經(jīng)常需要一兩分鐘甚至更久具體取決于筆記本配置。判斷標(biāo)準(zhǔn)很簡單只要設(shè)備圖標(biāo)不是啟動失敗狀態(tài)就耐心等著同時留意控制臺窗口是否有輸出滾動。如果實在等不及可以觀察CPU占用虛擬化進(jìn)程在跑就說明系統(tǒng)在啟動中。4.3 雙擊設(shè)備打不開CLI窗口或者卡在登錄界面設(shè)備啟動完成后雙擊設(shè)備圖標(biāo)會彈出CLI窗口正常情況下能看到登錄提示。如果雙擊沒有反應(yīng)先檢查設(shè)備狀態(tài)是否已經(jīng)變成了綠色運行狀態(tài)沒完全啟動完之前點開窗口偶爾會出現(xiàn)控制臺連接不上的情況。把窗口關(guān)掉等幾秒鐘再雙擊一次基本就能解決。如果CLI窗口有輸出但卡在登錄提示符之前比如停在系統(tǒng)初始化信息處不再滾動可以試試點擊窗口里的回車鍵有時只是輸出刷完了但提示符沒有自動刷新。要是還卡著就重啟一次設(shè)備注意不是刪除設(shè)備是右鍵選擇重啟。4.4 登錄之后telnet連接被拒絕設(shè)備啟動正常、CLI也能登錄但這只代表系統(tǒng)起來了。很多人接下來會遇到一個新問題拿拓?fù)淅锏穆酚善魅elnet防火墻的接口地址結(jié)果提示連接被拒絕。這時候你記住一句話防火墻和路由器不一樣它默認(rèn)不允許任何管理協(xié)議在接口上直接接受訪問。問題出在兩個地方。第一個是防火墻沒有開啟telnet服務(wù)。AR路由器默認(rèn)會響應(yīng)telnet連接但USG6000V默認(rèn)管理協(xié)議是有限制的密碼學(xué)上更嚴(yán)格需要手動開啟telnet server。第二個是接口沒有劃入安全區(qū)域即便服務(wù)開著防火墻也不知道該不該放行這些流量。這兩個配置點漏掉任何一個telnet都連不上。這個特點本質(zhì)上就是防火墻產(chǎn)品和其他網(wǎng)絡(luò)設(shè)備最大的區(qū)別也是它存在的意義。你在調(diào)試時要轉(zhuǎn)變思路默認(rèn)拒絕按需放行。5. 把防火墻真正用起來初始化登錄、接口配置與安全區(qū)域驗證5.1 登錄后的第一件事確認(rèn)系統(tǒng)狀態(tài)與默認(rèn)賬戶密碼CLI窗口彈出后會看到登錄提示。USG6000V的初始默認(rèn)賬戶密碼通常記錄在鏡像下載時的說明文檔里不同渠道的鏡像可能不一樣。以我目前使用的鏡像為例初始用戶名和密碼是廠商文檔里標(biāo)注的那一組默認(rèn)值登錄后系統(tǒng)會強制要求修改按提示設(shè)置新密碼就行。登錄后第一件事是輸入display version確認(rèn)系統(tǒng)版本和運行時間。這里能看出設(shè)備是否正常啟動也能核對鏡像版本信息方便后續(xù)和ENSP版本做對照。然后輸入display firewall zone查看當(dāng)前的安全區(qū)域配置默認(rèn)情況下所有接口都不在任何區(qū)域里這符合預(yù)期。5.2 配置接口地址與安全區(qū)域我們用一個最經(jīng)典的驗證場景來演示配置邏輯拓?fù)渲杏幸慌_AR路由器模擬內(nèi)網(wǎng)用戶接在防火墻的GigabitEthernet1/0/0接口上需要讓這臺路由器能夠訪問防火墻。先配置防火墻接口地址system-view interface GigabitEthernet1/0/0 ip address 192.168.10.1 24 quit這里注意華為設(shè)備的系統(tǒng)視圖、接口視圖切換邏輯和其他型號一致如果你熟悉AR路由器操作起來沒有隔閡。配好地址后把接口劃入trust區(qū)域firewall zone trust add interface GigabitEthernet1/0/0 quit到這里你可能會問不是還要配安全策略嗎對但先別急在默認(rèn)情況下同區(qū)域的流量是可以互通的。AR路由器接口IP是192.168.10.2它和防火墻接口同屬trust區(qū)域就能直接ping通防火墻的192.168.10.1。這一步能驗證區(qū)域的基本概念劃分區(qū)域后區(qū)域內(nèi)的設(shè)備天然互信。5.3 從路由器telnet防火墻的驗證實驗讓內(nèi)網(wǎng)路由器能夠telnet到防火墻需要三組配置。首先是開啟telnet服務(wù)telnet server enable然后是配置vty用戶界面并允許telnet協(xié)議接入user-interface vty 0 4 protocol inbound telnet authentication-mode aaa quit最后在AAA里創(chuàng)建本地用戶aaa local-user admin password cipher 你的密碼 local-user admin service-type telnet local-user admin privilege level 15 quit這里有個容易踩的細(xì)節(jié)AR路由器管理登錄常用的方案是authentication-mode password配合明文密碼走的命令風(fēng)格完全不同。但USG6000V要求按AAA方式配置如果你照搬路由器的配置習(xí)慣會發(fā)現(xiàn)登錄時提示用戶名密碼不對。記住這個差異點防火墻的用戶管理是AAA體系不是簡單的line密碼認(rèn)證。配置完成后在AR路由器上執(zhí)行telnet 192.168.10.1輸入用戶名和密碼就能進(jìn)入防火墻的CLI。能登錄成功說明接口地址、安全區(qū)域、telnet服務(wù)、AAA用戶這四個環(huán)節(jié)全部正確。這條路走通了你對華為安全設(shè)備的理解就能從配過命令提升到知道為什么這樣配。5.4 快速驗證安全策略必要性的實驗思路登錄驗證做完后建議再花兩分鐘做一個阻斷實驗光看策略放行不算真正理解防火墻。在拓?fù)淅镌偌右慌_交換機或者路由器模擬外網(wǎng)接在防火墻的GigabitEthernet1/0/2口上這個接口不加入任何區(qū)域。然后從外網(wǎng)設(shè)備ping防火墻接口的地址你會發(fā)現(xiàn)完全不通即使接口地址已經(jīng)配好。原因很簡單這個接口不在任何安全區(qū)域里防火墻不知道該怎么處理這些流量直接丟棄。接下來把這個接口加入untrust區(qū)域再ping一次還是不通。這次原因變成了跨區(qū)域默認(rèn)拒絕untrust區(qū)域的設(shè)備訪問trust區(qū)域必須有一條明確的安全策略放行。你寫一條策略允許untrust到trust的ICMP再ping通了。這個對比實驗只用三分鐘但把防火墻最核心的設(shè)計思想講清楚了接口加入?yún)^(qū)域是基礎(chǔ)跨區(qū)域訪問必須有安全策略區(qū)域信任等級決定了默認(rèn)的訪問方向。這個思路能在你以后配置真實防火墻時幫大忙不只是記住命令而是理解命令背后的流量模型。我在實際帶新人做實驗時發(fā)現(xiàn)很多人在導(dǎo)入這一步卡住并不是操作失誤而是對防火墻設(shè)備的運行機制理解不夠。這個機制一句話就能點透防火墻所有行為都以安全區(qū)域為邊界配置順序永遠(yuǎn)是接口地址、加入?yún)^(qū)域、策略放行三步缺一不可。最后再分享一個我自己的小習(xí)慣把用到的鏡像文件和當(dāng)前ENSP版本號一起記在一個文本文件里放到鏡像同目錄下。版本不兼容的問題在導(dǎo)入時最容易讓人心煩我因為當(dāng)時沒做記錄后來升級ENSP后重新導(dǎo)入鏡像踩了好幾次版本匹配的坑才開始寫這份備注。多花一分鐘的記錄能省下未來很多個晚上的排查時間。