很多人在ENSP里搭網(wǎng)絡(luò)實(shí)驗(yàn)環(huán)境裝好模擬器之后翻設(shè)備列表發(fā)現(xiàn)AR路由器、S5700交換機(jī)都在偏偏防火墻那一欄是空的或者設(shè)備圖標(biāo)是灰色根本拖不進(jìn)來(lái)。這個(gè)問(wèn)題我在帶新人做安全實(shí)驗(yàn)時(shí)幾乎每周都會(huì)被問(wèn)一次。實(shí)際上不是ENSP沒(méi)裝防火墻組件而是默認(rèn)安裝包只帶了路由交換設(shè)備鏡像USG6000V防火墻需要單獨(dú)準(zhǔn)備鏡像文件再手動(dòng)導(dǎo)入到模擬器里。整個(gè)過(guò)程并不復(fù)雜但里面有幾個(gè)特別容易踩的坑版本不匹配、導(dǎo)入后啟動(dòng)失敗、telnet登不進(jìn)去每一個(gè)都能卡掉一批人。這篇文章就把鏡像文件準(zhǔn)備、導(dǎo)入流程、啟動(dòng)排障、初始化登錄和區(qū)域配置完整走一遍適合正在備考認(rèn)證的考生、想驗(yàn)證安全特性的網(wǎng)絡(luò)工程師以及剛接觸ENSP的初學(xué)者。1. 為什么要在ENSP里搭配USG6000V防火墻在企業(yè)網(wǎng)絡(luò)里的位置1.1 防火墻和路由器、交換機(jī)的本質(zhì)差異很多人一開(kāi)始不理解我在路由器上加個(gè)ACL不也能過(guò)濾流量嗎為什么非要單獨(dú)用防火墻這就是把防火墻和路由器混為一談了。路由器負(fù)責(zé)三層轉(zhuǎn)發(fā)核心邏輯是有路由就轉(zhuǎn)發(fā)ACL只是轉(zhuǎn)發(fā)路徑上的補(bǔ)充手段。交換機(jī)負(fù)責(zé)二層轉(zhuǎn)發(fā)和VLAN劃分本身幾乎沒(méi)有安全決策能力。而防火墻的核心邏輯是默認(rèn)拒絕在沒(méi)有顯式安全策略的情況下所有跨安全區(qū)域的流量都會(huì)被丟棄。這個(gè)區(qū)別在做實(shí)驗(yàn)時(shí)非常明顯。你用AR路由器搭建的兩個(gè)網(wǎng)段配好IP和路由就能直接互通。但如果中間隔了一臺(tái)USG6000V你在接口上配好IP、路由也配好了流量還是不通因?yàn)榉阑饓焊鶝](méi)放行。必須先把接口劃入安全區(qū)域再寫(xiě)一條明確的安全策略允許源到目的方向通信才能建立。這種默認(rèn)拒絕的行為模型是路由器永遠(yuǎn)模擬不出來(lái)的。1.2 哪些實(shí)驗(yàn)場(chǎng)景必須用到USG6000V不是所有實(shí)驗(yàn)都需要防火墻但以下幾類(lèi)場(chǎng)景繞不開(kāi)它。第一類(lèi)是安全區(qū)域劃分實(shí)驗(yàn)。企業(yè)網(wǎng)絡(luò)通常分為trust區(qū)域內(nèi)網(wǎng)、untrust區(qū)域外網(wǎng)、dmz區(qū)域服務(wù)器區(qū)每個(gè)區(qū)域信任級(jí)別不同區(qū)域之間通過(guò)安全策略控制訪問(wèn)方向。你可以在ENSP里用三臺(tái)路由器分別模擬內(nèi)網(wǎng)、外網(wǎng)和服務(wù)器中間連一臺(tái)USG6000V把對(duì)應(yīng)接口劃入不同區(qū)域然后逐條驗(yàn)證策略的放行和阻斷效果。第二類(lèi)是NAT實(shí)驗(yàn)。源NAT是防火墻最常用的功能之一內(nèi)網(wǎng)用戶(hù)訪問(wèn)互聯(lián)網(wǎng)時(shí)把私有IP轉(zhuǎn)換成公網(wǎng)IP。ENSP的AR路由器也支持NAT但USG6000V的NAT策略配置方式、地址池管理、安全策略聯(lián)動(dòng)邏輯和真實(shí)企業(yè)防火墻更接近做完之后遷移到真機(jī)上手成本低很多。第三類(lèi)是攻擊防御與會(huì)話表實(shí)驗(yàn)。USG6000V支持開(kāi)啟防火墻會(huì)話日志可以用display firewall session table查看TCP、UDP會(huì)話的建立過(guò)程理解為什么回包能自動(dòng)通過(guò)而去包必須匹配安全策略。這個(gè)視角是路由交換設(shè)備給不了的。所以我的建議是如果你只是練路由協(xié)議、交換技術(shù)不需要折騰USG6000V但只要涉及邊界安全、NAT、區(qū)域隔離就老老實(shí)實(shí)把防火墻鏡像導(dǎo)進(jìn)去別用路由器硬湊。2. 鏡像文件準(zhǔn)備版本匹配、文件完整性與存放路徑2.1 USG6000V鏡像文件的基本認(rèn)知USG6000V的鏡像文件通常是一個(gè)以.zip結(jié)尾的壓縮包解壓后你會(huì)看到多個(gè)文件其中最關(guān)鍵的是一個(gè)以.vdi結(jié)尾的虛擬磁盤(pán)文件。這里簡(jiǎn)單解釋一下原理ENSP之所以能模擬出虛擬防火墻本質(zhì)上是靠本機(jī)安裝的虛擬化軟件在跑一個(gè)裁剪過(guò)的系統(tǒng)鏡像.vdi就是這塊虛擬硬盤(pán)的內(nèi)容里面包含了完整的防火墻操作系統(tǒng)。導(dǎo)入操作說(shuō)白了就是讓ENSP把這個(gè)虛擬硬盤(pán)注冊(cè)進(jìn)設(shè)備列表以后每次啟動(dòng)USG6000V都是從這個(gè)虛擬硬盤(pán)引導(dǎo)系統(tǒng)。所以當(dāng)你拿到一個(gè)鏡像包時(shí)第一件事不是急著導(dǎo)入而是先解壓確認(rèn)文件完整性。.vdi文件的大小通常在幾百M(fèi)B到1GB以上如果壓縮包解壓出來(lái)只有幾十MB或者里面缺少關(guān)鍵的系統(tǒng)文件導(dǎo)入之后大概率啟動(dòng)失敗。這種問(wèn)題在從非官方渠道下載鏡像時(shí)特別常見(jiàn)文件不完整、被閹割過(guò)的版本都會(huì)有各種奇怪問(wèn)題。2.2 版本匹配與常見(jiàn)報(bào)錯(cuò)鏡像版本和ENSP版本之間的匹配關(guān)系是整個(gè)導(dǎo)入過(guò)程中最容易被忽視、又最容易出問(wèn)題的一環(huán)。早期版本的ENSP對(duì)USG6000V的支持不夠完善某些版本的鏡像導(dǎo)入后雖然能啟動(dòng)但命令行交互會(huì)卡死或者安全區(qū)域配置保存不了。后續(xù)版本對(duì)虛擬化組件兼容性做了優(yōu)化但如果你用的鏡像是更新版本的鏡像導(dǎo)入到老ENSP里又可能出現(xiàn)設(shè)備類(lèi)型無(wú)法識(shí)別的問(wèn)題。我的建議是優(yōu)先使用與你ENSP版本配套的鏡像。一般來(lái)說(shuō)你安裝的ENSP應(yīng)用版本越高配套鏡像的版本也相對(duì)越新。如果你手頭有多個(gè)版本不要貪新先選一個(gè)已知與當(dāng)前ENSP兼容的鏡像跑通流程再考慮升級(jí)版本。另外有一點(diǎn)容易忽略鏡像文件所在路徑不要放在中文目錄或者帶空格的路徑里。ENSP底層調(diào)用虛擬化組件時(shí)對(duì)路徑解析比較敏感我遇到過(guò)在下載-新建文件夾這種目錄下導(dǎo)入鏡像后啟動(dòng)失敗的情況把文件挪到純英文路徑后一切正常。雖然不是所有人都能復(fù)現(xiàn)這個(gè)坑但既然只需要多花十秒鐘就沒(méi)必要賭運(yùn)氣。2.3 磁盤(pán)空間檢查這一步看起來(lái)很基礎(chǔ)但還是想單獨(dú)拿出來(lái)說(shuō)。USG6000V鏡像導(dǎo)入的過(guò)程并不是簡(jiǎn)單地把文件記錄一下ENSP會(huì)把虛擬磁盤(pán)文件拷貝到自己的工作目錄下同時(shí)在啟動(dòng)設(shè)備時(shí)還要生成額外的配置快照文件。如果你C盤(pán)剩余空間不足3GB導(dǎo)入過(guò)程會(huì)非常慢甚至直接提示磁盤(pán)空間不足。我建議在導(dǎo)入前先看一眼C盤(pán)空間最好預(yù)留5GB以上。如果C盤(pán)確實(shí)緊張可以通過(guò)修改ENSP安裝路徑和虛擬化組件的相關(guān)配置把設(shè)備文件遷移到其他盤(pán)但這屬于另一個(gè)話題這里先不展開(kāi)。3. 導(dǎo)入U(xiǎn)SG6000V鏡像的完整操作流程3.1 打開(kāi)導(dǎo)入設(shè)備菜單的正確姿勢(shì)鏡像準(zhǔn)備好了接下來(lái)就是實(shí)際操作。打開(kāi)ENSP主界面在菜單欄找到工具菜單點(diǎn)開(kāi)后能看到導(dǎo)入設(shè)備選項(xiàng)點(diǎn)擊它就會(huì)彈出設(shè)備導(dǎo)入對(duì)話框。這個(gè)入口藏得比較深很多人第一反應(yīng)是在設(shè)備列表里右鍵找導(dǎo)入選項(xiàng)結(jié)果找不到。記住固定入口就是工具 導(dǎo)入設(shè)備。有些版本的操作界面是英文的對(duì)應(yīng)關(guān)系是Tools Import Device邏輯完全一樣。3.2 配置設(shè)備類(lèi)型、命名與啟動(dòng)選項(xiàng)進(jìn)入導(dǎo)入對(duì)話框后第一個(gè)要選的是設(shè)備類(lèi)型。這里有兩種情況如果你用的是USG6000V的鏡像設(shè)備類(lèi)型欄會(huì)直接列出USG6000V這一項(xiàng)如果你的鏡像和當(dāng)前ENSP版本不匹配下拉列表里可能根本沒(méi)有這個(gè)類(lèi)型或者選擇后報(bào)文件類(lèi)型不匹配的錯(cuò)誤。我看到很多人卡在這一步其實(shí)是鏡像和軟件版本不匹配的問(wèn)題不是操作問(wèn)題。設(shè)備名稱(chēng)這一欄可以自己定義。這個(gè)名字會(huì)顯示在ENSP的設(shè)備列表里建議用容易識(shí)別的格式比如USG6000V-FW或者FW-01。如果你在同一個(gè)拓?fù)淅镄枰嗯_(tái)防火墻命名時(shí)帶上編號(hào)會(huì)更方便管理例如FW-Trust、FW-DMZ避免拓?fù)渥兇蠛蠓植磺迥呐_(tái)是哪臺(tái)。然后點(diǎn)擊瀏覽按鈕選擇你準(zhǔn)備好的鏡像文件。這里有幾個(gè)細(xì)節(jié)需要注意有些鏡像包是zip格式有些是直接解壓后的.vdi文件兩者都可以導(dǎo)入ENSP會(huì)自動(dòng)識(shí)別。如果導(dǎo)入時(shí)報(bào)鏡像文件格式不正確先檢查文件是否完整解壓不要直接選zip包里的某個(gè)小文件。文件路徑中不要包含中文字符前面已經(jīng)說(shuō)過(guò)這里再?gòu)?qiáng)調(diào)一次。3.3 導(dǎo)入過(guò)程觀察與設(shè)備注冊(cè)確認(rèn)點(diǎn)擊導(dǎo)入按鈕后ENSP會(huì)開(kāi)始導(dǎo)入這個(gè)過(guò)程根據(jù)鏡像大小和機(jī)器性能不同可能需要一兩分鐘。界面上的進(jìn)度條會(huì)走走到100%后設(shè)備列表里就會(huì)多出一個(gè)防火墻圖標(biāo)。很多人導(dǎo)入完成后直接關(guān)閉對(duì)話框接著發(fā)現(xiàn)拖工具欄里的防火墻還是灰色。這里有個(gè)容易誤解的點(diǎn)導(dǎo)入設(shè)備和添加設(shè)備到畫(huà)布是兩回事。導(dǎo)入是把鏡像注冊(cè)到ENSP里接下來(lái)你要在左側(cè)的設(shè)備欄里找到防火墻分類(lèi)把USG6000V圖標(biāo)拖到中間的畫(huà)布上才能開(kāi)始做拓?fù)洹Ｕ_判斷導(dǎo)入是否成功的標(biāo)志是設(shè)備列表里防火墻的圖標(biāo)變成可拖動(dòng)的彩色狀態(tài)而不是灰色。如果你拖出來(lái)的設(shè)備外觀正常說(shuō)明鏡像注冊(cè)成功可以進(jìn)行下一步啟動(dòng)操作。4. 導(dǎo)入后啟動(dòng)失敗與登錄受阻的排查全鏈路4.1 啟動(dòng)后設(shè)備一直處于紅色狀態(tài)或者直接提示啟動(dòng)失敗導(dǎo)入成功后很多人迫不及待地把設(shè)備拖到畫(huà)布上右鍵啟動(dòng)結(jié)果等了半分鐘設(shè)備狀態(tài)還是紅色的甚至彈窗提示設(shè)備啟動(dòng)失敗。第一個(gè)要做的事是冷靜下來(lái)不要反復(fù)點(diǎn)擊啟動(dòng)連續(xù)多次重啟會(huì)把虛擬化組件搞出更多問(wèn)題。排查順序是這樣的按優(yōu)先級(jí)從高到低來(lái)。先檢查磁盤(pán)空間。前面說(shuō)過(guò)啟動(dòng)設(shè)備時(shí)ENSP要生成快照文件磁盤(pán)滿了一定會(huì)失敗。把C盤(pán)空間釋放到5GB以上再試一次。再看虛擬化組件的服務(wù)狀態(tài)。ENSP依賴(lài)虛擬化軟件提供底層運(yùn)行環(huán)境如果相關(guān)服務(wù)被禁用或者端口被占用設(shè)備也是啟動(dòng)不起來(lái)的。打開(kāi)電腦服務(wù)列表確認(rèn)相關(guān)服務(wù)處于運(yùn)行狀態(tài)。這個(gè)排查點(diǎn)在殺毒軟件、系統(tǒng)優(yōu)化工具做過(guò)優(yōu)化的電腦上特別常見(jiàn)很多全局優(yōu)化工具會(huì)把這類(lèi)服務(wù)當(dāng)作無(wú)用服務(wù)關(guān)掉。接著看虛擬網(wǎng)卡的安裝狀態(tài)。ENSP啟動(dòng)設(shè)備時(shí)需要?jiǎng)?chuàng)建虛擬網(wǎng)卡用于設(shè)備間通信如果網(wǎng)卡被禁用或者驅(qū)動(dòng)異常設(shè)備會(huì)啟動(dòng)中途退出。在控制面板的網(wǎng)絡(luò)適配器里檢查是否存在對(duì)應(yīng)的虛擬網(wǎng)卡沒(méi)有的話需要重新安裝組件。最后是那個(gè)老生常談但確實(shí)存在的坑殺毒軟件攔截。某些安全軟件會(huì)把虛擬化進(jìn)程當(dāng)作可疑程序攔截導(dǎo)致設(shè)備啟動(dòng)一半就沒(méi)了。導(dǎo)入鏡像前可以先臨時(shí)關(guān)閉實(shí)時(shí)防護(hù)啟動(dòng)成功后再恢復(fù)。4.2 啟動(dòng)時(shí)間比路由器長(zhǎng)很多別急著關(guān)有一類(lèi)情況不是啟動(dòng)失敗而是啟動(dòng)太慢慢到你誤以為它死了。USG6000V是完整的安全設(shè)備系統(tǒng)啟動(dòng)時(shí)要做硬件自檢、加載安全策略庫(kù)、初始化會(huì)話管理模塊整個(gè)過(guò)程比AR路由器長(zhǎng)得多。我第一次導(dǎo)入時(shí)也踩過(guò)這個(gè)坑等了大概二十秒設(shè)備還是紅色以為導(dǎo)入的鏡像有問(wèn)題直接把設(shè)備刪了重新導(dǎo)結(jié)果第二遍還是這樣。后來(lái)才發(fā)現(xiàn)USG6000V從啟動(dòng)到CLI窗口出現(xiàn)經(jīng)常需要一兩分鐘甚至更久具體取決于筆記本配置。判斷標(biāo)準(zhǔn)很簡(jiǎn)單只要設(shè)備圖標(biāo)不是啟動(dòng)失敗狀態(tài)就耐心等著同時(shí)留意控制臺(tái)窗口是否有輸出滾動(dòng)。如果實(shí)在等不及可以觀察CPU占用虛擬化進(jìn)程在跑就說(shuō)明系統(tǒng)在啟動(dòng)中。4.3 雙擊設(shè)備打不開(kāi)CLI窗口或者卡在登錄界面設(shè)備啟動(dòng)完成后雙擊設(shè)備圖標(biāo)會(huì)彈出CLI窗口正常情況下能看到登錄提示。如果雙擊沒(méi)有反應(yīng)先檢查設(shè)備狀態(tài)是否已經(jīng)變成了綠色運(yùn)行狀態(tài)沒(méi)完全啟動(dòng)完之前點(diǎn)開(kāi)窗口偶爾會(huì)出現(xiàn)控制臺(tái)連接不上的情況。把窗口關(guān)掉等幾秒鐘再雙擊一次基本就能解決。如果CLI窗口有輸出但卡在登錄提示符之前比如停在系統(tǒng)初始化信息處不再滾動(dòng)可以試試點(diǎn)擊窗口里的回車(chē)鍵有時(shí)只是輸出刷完了但提示符沒(méi)有自動(dòng)刷新。要是還卡著就重啟一次設(shè)備注意不是刪除設(shè)備是右鍵選擇重啟。4.4 登錄之后telnet連接被拒絕設(shè)備啟動(dòng)正常、CLI也能登錄但這只代表系統(tǒng)起來(lái)了。很多人接下來(lái)會(huì)遇到一個(gè)新問(wèn)題拿拓?fù)淅锏穆酚善魅elnet防火墻的接口地址結(jié)果提示連接被拒絕。這時(shí)候你記住一句話防火墻和路由器不一樣它默認(rèn)不允許任何管理協(xié)議在接口上直接接受訪問(wèn)。問(wèn)題出在兩個(gè)地方。第一個(gè)是防火墻沒(méi)有開(kāi)啟telnet服務(wù)。AR路由器默認(rèn)會(huì)響應(yīng)telnet連接但USG6000V默認(rèn)管理協(xié)議是有限制的密碼學(xué)上更嚴(yán)格需要手動(dòng)開(kāi)啟telnet server。第二個(gè)是接口沒(méi)有劃入安全區(qū)域即便服務(wù)開(kāi)著防火墻也不知道該不該放行這些流量。這兩個(gè)配置點(diǎn)漏掉任何一個(gè)telnet都連不上。這個(gè)特點(diǎn)本質(zhì)上就是防火墻產(chǎn)品和其他網(wǎng)絡(luò)設(shè)備最大的區(qū)別也是它存在的意義。你在調(diào)試時(shí)要轉(zhuǎn)變思路默認(rèn)拒絕按需放行。5. 把防火墻真正用起來(lái)初始化登錄、接口配置與安全區(qū)域驗(yàn)證5.1 登錄后的第一件事確認(rèn)系統(tǒng)狀態(tài)與默認(rèn)賬戶(hù)密碼CLI窗口彈出后會(huì)看到登錄提示。USG6000V的初始默認(rèn)賬戶(hù)密碼通常記錄在鏡像下載時(shí)的說(shuō)明文檔里不同渠道的鏡像可能不一樣。以我目前使用的鏡像為例初始用戶(hù)名和密碼是廠商文檔里標(biāo)注的那一組默認(rèn)值登錄后系統(tǒng)會(huì)強(qiáng)制要求修改按提示設(shè)置新密碼就行。登錄后第一件事是輸入display version確認(rèn)系統(tǒng)版本和運(yùn)行時(shí)間。這里能看出設(shè)備是否正常啟動(dòng)也能核對(duì)鏡像版本信息方便后續(xù)和ENSP版本做對(duì)照。然后輸入display firewall zone查看當(dāng)前的安全區(qū)域配置默認(rèn)情況下所有接口都不在任何區(qū)域里這符合預(yù)期。5.2 配置接口地址與安全區(qū)域我們用一個(gè)最經(jīng)典的驗(yàn)證場(chǎng)景來(lái)演示配置邏輯拓?fù)渲杏幸慌_(tái)AR路由器模擬內(nèi)網(wǎng)用戶(hù)接在防火墻的GigabitEthernet1/0/0接口上需要讓這臺(tái)路由器能夠訪問(wèn)防火墻。先配置防火墻接口地址system-view interface GigabitEthernet1/0/0 ip address 192.168.10.1 24 quit這里注意華為設(shè)備的系統(tǒng)視圖、接口視圖切換邏輯和其他型號(hào)一致如果你熟悉AR路由器操作起來(lái)沒(méi)有隔閡。配好地址后把接口劃入trust區(qū)域firewall zone trust add interface GigabitEthernet1/0/0 quit到這里你可能會(huì)問(wèn)不是還要配安全策略嗎對(duì)但先別急在默認(rèn)情況下同區(qū)域的流量是可以互通的。AR路由器接口IP是192.168.10.2它和防火墻接口同屬trust區(qū)域就能直接ping通防火墻的192.168.10.1。這一步能驗(yàn)證區(qū)域的基本概念劃分區(qū)域后區(qū)域內(nèi)的設(shè)備天然互信。5.3 從路由器telnet防火墻的驗(yàn)證實(shí)驗(yàn)讓內(nèi)網(wǎng)路由器能夠telnet到防火墻需要三組配置。首先是開(kāi)啟telnet服務(wù)telnet server enable然后是配置vty用戶(hù)界面并允許telnet協(xié)議接入user-interface vty 0 4 protocol inbound telnet authentication-mode aaa quit最后在AAA里創(chuàng)建本地用戶(hù)aaa local-user admin password cipher 你的密碼 local-user admin service-type telnet local-user admin privilege level 15 quit這里有個(gè)容易踩的細(xì)節(jié)AR路由器管理登錄常用的方案是authentication-mode password配合明文密碼走的命令風(fēng)格完全不同。但USG6000V要求按AAA方式配置如果你照搬路由器的配置習(xí)慣會(huì)發(fā)現(xiàn)登錄時(shí)提示用戶(hù)名密碼不對(duì)。記住這個(gè)差異點(diǎn)防火墻的用戶(hù)管理是AAA體系不是簡(jiǎn)單的line密碼認(rèn)證。配置完成后在AR路由器上執(zhí)行telnet 192.168.10.1輸入用戶(hù)名和密碼就能進(jìn)入防火墻的CLI。能登錄成功說(shuō)明接口地址、安全區(qū)域、telnet服務(wù)、AAA用戶(hù)這四個(gè)環(huán)節(jié)全部正確。這條路走通了你對(duì)華為安全設(shè)備的理解就能從配過(guò)命令提升到知道為什么這樣配。5.4 快速驗(yàn)證安全策略必要性的實(shí)驗(yàn)思路登錄驗(yàn)證做完后建議再花兩分鐘做一個(gè)阻斷實(shí)驗(yàn)光看策略放行不算真正理解防火墻。在拓?fù)淅镌偌右慌_(tái)交換機(jī)或者路由器模擬外網(wǎng)接在防火墻的GigabitEthernet1/0/2口上這個(gè)接口不加入任何區(qū)域。然后從外網(wǎng)設(shè)備ping防火墻接口的地址你會(huì)發(fā)現(xiàn)完全不通即使接口地址已經(jīng)配好。原因很簡(jiǎn)單這個(gè)接口不在任何安全區(qū)域里防火墻不知道該怎么處理這些流量直接丟棄。接下來(lái)把這個(gè)接口加入untrust區(qū)域再ping一次還是不通。這次原因變成了跨區(qū)域默認(rèn)拒絕untrust區(qū)域的設(shè)備訪問(wèn)trust區(qū)域必須有一條明確的安全策略放行。你寫(xiě)一條策略允許untrust到trust的ICMP再ping通了。這個(gè)對(duì)比實(shí)驗(yàn)只用三分鐘但把防火墻最核心的設(shè)計(jì)思想講清楚了接口加入?yún)^(qū)域是基礎(chǔ)跨區(qū)域訪問(wèn)必須有安全策略區(qū)域信任等級(jí)決定了默認(rèn)的訪問(wèn)方向。這個(gè)思路能在你以后配置真實(shí)防火墻時(shí)幫大忙不只是記住命令而是理解命令背后的流量模型。我在實(shí)際帶新人做實(shí)驗(yàn)時(shí)發(fā)現(xiàn)很多人在導(dǎo)入這一步卡住并不是操作失誤而是對(duì)防火墻設(shè)備的運(yùn)行機(jī)制理解不夠。這個(gè)機(jī)制一句話就能點(diǎn)透防火墻所有行為都以安全區(qū)域?yàn)檫吔缗渲庙樞蛴肋h(yuǎn)是接口地址、加入?yún)^(qū)域、策略放行三步缺一不可。最后再分享一個(gè)我自己的小習(xí)慣把用到的鏡像文件和當(dāng)前ENSP版本號(hào)一起記在一個(gè)文本文件里放到鏡像同目錄下。版本不兼容的問(wèn)題在導(dǎo)入時(shí)最容易讓人心煩我因?yàn)楫?dāng)時(shí)沒(méi)做記錄后來(lái)升級(jí)ENSP后重新導(dǎo)入鏡像踩了好幾次版本匹配的坑才開(kāi)始寫(xiě)這份備注。多花一分鐘的記錄能省下未來(lái)很多個(gè)晚上的排查時(shí)間。