Chapter 7 設定範例

Size: px

Start display at page:

Download "Chapter 7 設定範例"

荣纪花
4 years ago
Views:

1 Chapter 7 設定範例本章節列出一些常見的 PowerStation 設定範例 7-1 範例 1: 簡易防火牆 PowerStation 之設定需求如下及圖 7-1 所示 : 客戶是一家小型的零售業公司, 網路架構為 : 對外線路為一條 ADSL 線路和一個公司內部網路 LAN 該公司有提供對外 Web DNS 和 Mail 等相關對外服務需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 Router Router: /27 eth0 : /27 eth1 : /24 Switch Web/Mail/DNS Private IP: Public IP: AD Server Private IP: Public IP: Remore Desktop Server Private IP: Public IP: 圖 7-1 MS-SQL Server Private IP: Public IP:

2 7-1-1 範例 1:PowerStation 組態設定系統網路介面設定表 7-1 用途系統網路介面 IP 位址閘道器 WAN eth / LAN eth /24 Inbound 服務對應表 7-2 WAN IP 服務 LAN IP Web/Mail/DNS Remote Desktop Server MYSQL LDAP Remote Desktop Server

3 7-1-2 範例 1:PowerStation 系統畫面網路介面圖 7-2 eth0 為該公司 ADSL 線路, 設定對外線路時需設定閘道器 (Gateway) eth1 為該公司內部網路 LAN, 設定時不需要設定閘道器路由與閘道器圖 7-3 在 [ 網路介面 ] 中設定完網卡後, 系統會自動產生所相對應的路由, 若無靜態路由要增加時則不需要作任何修改設定, 直接使用系統自動產生的路由即可

4 網路介面優先權圖 7-4 [ 網路介面優先權 ] 對外線路 eth0 設定為 0, 公司內部網路 eth1 設定為 3 表示將預設的防火牆權限設定為 WAN 網路不允許連往公司內部網路 LAN, 公司內部網路 LAN 允許連往 WAN 的所有網路服務 Inbound 政策圖 7-5

5 設定公司所提供的對外網路服務之對應, 該公司分別提供 DNS Web 與 Mail 等相關的網路服務, 在這要注意的是設定好 [Inbound 政策 ] 規則後 PowerStation 預設會在 [ 安全政策 ] 自動產生允許外部使用者對公司所提供的對外網路服務之存取規則

6 Outbound 政策圖 7-6 在 [Outbound 政策 ] 是設定將公司內部網路對外網路服務的存取走 eth0-line, 並自動將公司內部網路來源位址轉換為 eth0 系統網卡 IP 位址

7 DMZ 7-2 範例 2: 一般防火牆設定 PowerStation 之設定需求如下及圖 7-7 所示 : 客戶是一家電子公司, 網路架構為 : 對外線路一條 ADSL 線路和一個公司內部網路 LAN 由於安全性的考量該公司將所提供的對外網路服務之伺服器主機均放置於 DMZ 區中與公司內部網路 LAN 作實體網路的區隔需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 DNS/Web Private IP: Public IP: Router Router: /29 eth0 : /29 eth2 : /24 eth1 : /24 Switch Mail Server Private IP: Public IP: LAN 圖 7-7 Net: /24 GW:

8 7-2-1 範例 2:PowerStation 組態設定系統網路介面設定表 7-3 用途系統網路介面 IP 位址閘道器 WAN eth / LAN eth /24 DMZ eth /24 Inbound 服務對應表 7-4 外部 IP 服務內部 IP DNS/WEB

9 7-2-2 範例 2:PowerStation 系統畫面網路介面圖 7-8 eth0 為該公司 ADSL 外線, 設定對外線路時需設定閘道器 eth1 為該公司內部網路 LAN, 設定時不需要設定閘道器 eth2 為該公司 DMZ 區, 設定時不需要設定閘道器路由與閘道器圖 7-9 在 [ 網路介面 ] 中設定完網卡後, 系統會自動產生所相對應的路由, 若無靜態路由要增加時是不需要作任何修改設定, 直接使用系統自動產生的路由即可

10 網路介面優先權圖 7-10 [ 網路介面優先權 ] 對外線路 eth0 設定為 0, 公司內部網路 eth1 設定為 3, 公司所提供對外服務伺服器 eth2 設定為 1, 表示將預設的防火牆權限設定為 : WAN 網路不允許連往公司內部網路 LAN 和 DMZ 區公司內部網路 LAN 和 DMZ 區允許連往 WAN 的所有網路服務 DMZ 區不允許連往公司內部網路 LAN 但公司內部網路 LAN 可以連往 DMZ 區

11 Inbound 政策圖 7-11 設定公司所提供的對外網路服務之對應, 該公司分別提供 DNS Web 與 Mail 等相關的網路服務在 [Outbound 政策 ] 產生 NAT 的規則, 規則編號分別為 1 2 等

12 Outbound 政策圖 7-12 規則 1 和 2 是因為公司有提供對外網路服務, 是設定將公司內部網路對外網路服務的存取走 eth0-line 並將公司內部網路來源位址轉換為 eth0 系統網卡 IP 位址

13 7-3 範例 3: 線路負載平衡 PowerStation 之設定需求如下及圖 7-13 所示 : 客戶是一家有規模的電子公司, 網路架構為 : 對外線路有三條 ADSL 線路和一個公司內部網路 LAN 該公司利用 Router 與一廠網路相互連接需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 3. 客戶對外的網路服務存取要以這三條 ADSL 線路要作流量的負載平衡 Internet Router A Router B Router C Ethernet: /24 PowerStation eth0: IP: /27 GW: Router E 一廠 Net: /24 GW eth1: IP: /29 GW: Switch Serial 0/1 : /30 eth2: IP: /29 GW: eth3: IP: /24 Router D LAN Ethernet 0/0 : /24 serial 0/1 : /30 Ethernet 0/1 : /24 Net: /24 GW: 圖 7-13

14 7-3-1 範例 3:PowerStation 組態設定系統網路介面表 7-5 用途系統網路介面 IP 位址閘道器 WAN eth / WAN eth / WAN eth / LAN eth /24 靜態路由表 7-6 網域位址子網路遮罩下一站網路介面 (/24) eth (/24) eth (/24) eth4

15 7-3-2 範例 3:PowerStation 系統畫面網路介面圖 7-14 eth0 ~ eth2 為該公司 ADSL 外線, 設定對外線路時需設定閘道器 eth2 為該公司內部網路 LAN, 設定時不需要設定閘道器路由與閘道器圖 7-15 在 [ 網路介面 ] 中設定完網卡後, 系統會自動產生所相對應的路由由於該公司利用 Router 與一廠網路相連, 所以需設定往一廠網段的靜態路由, 將一廠所使用到的相關網段 ( / / /24) 往下一個節點轉送

16 網路介面優先權圖 7-16 [ 網路介面優先權 ] 對外線路 eth0 ~ eth2 均設定為 0, 公司內部網路 eth3 設定為 3, 這表示將預設的防火牆權限設定為 WAN 網路不允許連往公司內部網路 LAN, 公司內部網路 LAN 允許連往 WAN 的所有全部網路服務

Outbound 政策圖 7-17 由於此客戶沒有提供對外網路服務, 規則一中設定公司內部網路 172.16.2.0/

17 Outbound 政策圖 7-17 由於此客戶沒有提供對外網路服務, 規則一中設定公司內部網路 /24, 一廠網段 /24 和 /24 對外網路服務的存取是經由三條 ADSL 對外線路其中一條出去, 會選擇哪條對外線路出去的原則是 PowerStation 會利用當時線路偵測中所偵測出的線路品質判斷三條對外線路哪條品質較好, 就由哪條線路出去

18 7-4 範例 4: 線路負載平衡 PowerStation 之設定需求如下及圖 7-18 所示 : 客戶是一家科技公司, 網路架構為 : 對外線路二條 ADSL 線路和一個公司內部網路 LAN 該公司有提供對外 FTP 與 Terminal Service 等相關對外服務需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 3. 公司所提供的 Terminal Service 只允許來源位址為才可以連線 4. 公司內部網路的使用者對於 Internet 服務存取均走 ADSL 2 線路 Router: /29 eth1 : /29 ADSL 2 Router Router ADSL 1 Router: /27 eth0 : /27 eth2 : /24 Terminal Service 只限制來源位址為才可以連線 FTP Server 1 Private IP: Public IP: FTP Server 2 Private IP: Public IP: 圖 7-18 Terminal Service Private IP: Public IP:

19 7-4-1 範例 4:PowerStation 組態設定系統網路介面表 7-7 用途系統網路介面 IP 位址閘道器 WAN eth / /27 WAN eth / /29 LAN eth /24 Inbound 服務對應表 7-8 來源位址外部 IP 服務內部 IP Terminal ALL FTP ALL FTP Outbound 服務對應表 7-9 來源位址目的地位址服務線路 NAT /24 ALL ALL eth1-line YES

20 7-4-2 範例 4:PowerStation 系統畫面網路介面圖 7-19 eth0 eth1 為該公司 ADSL 外線, 設定對外線路時需設定閘道器 eth2 為該公司內部網路 LAN, 設定時不需要設定閘道器網路介面修先權圖 7-20 [ 網路介面優先權 ] 對外線路 eth0 eth1 均設定為 0, 公司內部網路 eth2 設定為 3, 表示我們將預設的防火牆權限設定為 WAN 網路不允許連往公司內部網路 LAN, 公司內部網路 LAN 允許連往 WAN 的所有全部網路服務

21 Inbound 政策圖 7-21 設定公司所提供的對外網路服務之對應, 該公司分別提供 FTP 與 Terminal Service 等相關的網路服務, 在 [Outbound 政策 ] 產生 NAT 的規則, 規則編號分別為 1~3 等 Outbound 政策圖 7-22 規則 1 ~ 3 是因為公司有提供對外網路服務, 在 [Inbound 政策 ] 設定完後系統自動產生的規則一 (3 下方那條 ) 為設定將公司內部網路對外網路服

22 務的存取走 eth1-line, 並自動將公司內部網路來源位址轉換為 eth1 系統網卡 IP 位址

23 7-5 範例 5: 線路負載平衡 PowerStation 之設定需求如下及圖 7-23 所示 : 客戶是一家雜誌出版社, 網路架構為 : 對外線路為二條 ADSL 線路和一個公司內部網路 LAN 該公司有提供對外 DNS FTP WEB 與 Mail 等相關對外服務需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 3. 公司的 Mail Server 主機對外的連線所使用的對外 IP 需為公司內部網路的使用者對於 Internet 服務存取均走 ADSL 2 線路圖 7-23

24 7-5-1 範例 5:PowerStation 組態設定系統網路介面表 7-10 用途系統網路介面 IP 位址閘道器 WAN eth / /27 WAN eth0: /27 WAN eth / /29 LAN eth /24 Inbound 服務對應表 7-11 來源位址外部 IP 服務內部 IP ALL Mail ALL FTP ALL WEB/DNS Outbound 服務對應表 7-12 規則順序來源位址目的地位址服務線路 NAT Before-DMZ ALL Mail eth0-line eth0:1( ) After-DMZ /24 ALL ALL eth1-line YES

25 7-5-2 範例 5:PowerStation 系統畫面網路介面圖 7-24 eth0 eth1 為該公司 ADSL 外線, 設定對外線路時需設定閘道器 eth0:1 是為了要讓 Mail Server 主機對外所使用的對外 IP 而設定的, 在此有設定的 IP 才會在 [Outbound 政策 ] 中 NAT 的下拉式選單中出現, 需特別注意 eth2 為該公司內部網路 LAN, 設定時不需要設定閘道器網路介面優先權圖 7-25

26 [ 網路介面優先權 ] 對外線路 eth0 eth1 均設定為 0, 公司內部網路 eth2 設定為 3, 表示我們將預設的防火牆權限設定為 WAN 網路不允許連往公司內部網路 LAN, 公司內部網路 LAN 允許連往 WAN 的所有全部網路服務

27 Inbound 政策圖 7-26 設定公司所提供的對外網路服務之對應, 該公司分別提供 Web FTP DNS 與 Mail 等相關的網路服務, 在這要注意的是設定好 [Inbound 政策 ] 規則後, 在 [Outbound 政策 ] 產生 NAT 的規則, 規則編號分別為 1~3 等

Outbound 政策圖 7-27 規則 1 ~ 3 是因為公司有提供對外網路服務, 在設定此範例 [Outbound 政策 ] 時需特別小心, 因為客戶要讓 Mail Server 主機所使用的對外 IP 為 210.243.241.

28 Outbound 政策圖 7-27 規則 1 ~ 3 是因為公司有提供對外網路服務, 在設定此範例 [Outbound 政策 ] 時需特別小心, 因為客戶要讓 Mail Server 主機所使用的對外 IP 為 , 所以此需求必須在 [Outbound 政策 ] 中的 Before DNZ 規則完成在圖 7-27 中的第一條規則設定 Mail Server 主機 IP 的 Mail 服務出去走 eth0-line, 並將來源位址 ( ) 轉換為 , 其中 NAT 欄位中的 IP 是必須在 [ 網路介面 ] 中有設定的 IP 才會在此欄位中出現規則五是設定將公司內部網路對外網路服務的存取走 eth1-line, 並自動將公司內部網路來源位址轉換為 eth1 系統網卡 IP 位址

29 7-6 範例 6: 線路負載平衡與線路備援 PowerStation 之設定需求如下及圖 7-28 所示 : 客戶是一家科技公司, 網路架構為 : 對外線路為二條 ADSL 線路和一個公司內部網路 LAN 該公司有提供對外 DNS FTP Web 與 Mail 等相關對外服務需求 : 1. Internet 使用者只能存取伺服器所提供之服務, 其餘服務均禁止 2. 公司內部網路的使用者對於 Internet 服務存取全部允許 3. 公司內部網路的使用者對外 Mail 服務存取均走 ADSL 1 線路 4. 公司內部網路的使用者對外除 Mail 服務外的所有網路服務存取均走 ADSL 2 線路 5. 客戶要求 ADSL 1 線路與 ADSL 2 線路需互相備援圖 7-28

30 7-6-1 範例 6:PowerStation 組態設定系統網路介面表 7-13 用途系統網路介面 IP 位址閘道器 WAN eth / /29 WAN eth / /27 LAN eth /24 Outbound 服務對應表 7-14 來源位址目的地位址服務線路 NAT /24 ALL Mail eth0-line YES /24 ALL ALL eth1-line YES /24 ALL ALL eth0-line YES

31 7-6-2 範例 6:PowerStation 系統畫面網路介面圖 7-29 eth0 eth1 為該公司 ADSL 外線, 設定對外線路時需設定閘道器 eth2 為該公司內部網路 LAN, 設定時不需要設定閘道器網路介面優先權圖 7-30 [ 網路介面優先權 ] 對外線路 eth0 eth1 均設定為 0, 公司內部網路 eth2 設定為 3 表示我們將預設的防火牆權限設定為 WAN 網路不允許連往公司內部網路 LAN, 公司內部網路 LAN 允許連往 WAN 的所有全部網路服務

Outbound 政策圖 7-31 規則一是設定將公司內部網路對外 Mail 服務的存取走 eth0-line, 並自動將公司內部網路來源位址轉換為 eth0 系統網卡 IP 位址規則二是設定將公司內部網路對外除 Mail 服務以外的所有網路服務存取走 eth1-line, 並自動將公司內部網路來源位址轉換為 eth1 系統網卡 IP 位址規則三是設定線路備援用假設 eth1-line

32 Outbound 政策圖 7-31 規則一是設定將公司內部網路對外 Mail 服務的存取走 eth0-line, 並自動將公司內部網路來源位址轉換為 eth0 系統網卡 IP 位址規則二是設定將公司內部網路對外除 Mail 服務以外的所有網路服務存取走 eth1-line, 並自動將公司內部網路來源位址轉換為 eth1 系統網卡 IP 位址規則三是設定線路備援用假設 eth1-line 斷線, 公司內部某台電腦要存取對外 WEB 服務時, 當此台電腦的封包要出去時會由上而下比對 [Outbound 政策 ] 規則在規則中只有規則三會被套用, 因為規則一是 Mail 服務專用, 規則二是 eth1-line, 但 eth1-line 線路是斷線的, 所以最終此台電腦封包會套用規則三走 eth0 線路出去而達到線路備援效果需注意的是, 需在 [MultiHoming] [ 參數設定 ] [ 線路偵測 ] [ 參數設定 ] 將線路偵測模式設定成線路備援模式, 否規則比對將停在規則二之 eth1-line 斷線線路, 無法自動轉換到規則三之 eth0-line 正常線路

33 線路備援參數設定圖 7-32 當要作對外線路備援時, 除了要配合 [Outbound 政策 ] 規則以外還必須將線路偵測模式設定成線路備援模式 (Link Failover), 線路備援才會啟動

穨CAS1042快速安速說明.doc

穨CAS1042快速安速說明.doc CAS1042 4 Port 10/100M Switch Internet BroadBand Router IP IP... PC CAS1042 UTP Cable CAS1042 5V / 2.4A 6 1. 2. ADSL Cable Modem 3. CAS1042 4. TCP/IP 5. 6. 1 2 ADSL Modem Cable Modem CAS1042 ) / "LAN