防火墙IPS底层与网络设备模式

前言NGFW、IPS 底层属于专用网络设备操作系统是网络设备 OS所以用网络设备风格的 CLI 命令所以简单学学习一点网络设备的知识底层本质NGFW、独立 IPS 都属于专用网络安全硬件设备搭载定制化网络设备操作系统使用网络设备风格 CLI底层很多基于 Linux 内核二次裁剪改造属于安全增强型网络设备。基础网络能力接口、路由、ARP沿用通用网络设备命令范式在此之上叠加安全专属模块。底层系统与 CLI 共性以山石 StoneOS 为例同厂商 NGFW/IPS底层内核基于 Linux 内核裁剪但是不是原生 Linux bash。CLI 是设备 OS 自研封装的 shell无法直接执行ls、cd这类 Linux 系统命令拥有独立的命令集合。通用基础命令接口查看、路由查询、连通性诊断这类基础排查命令思路和路由器 / 交换机保持一致show interface、show route、ping、traceroute。安全专有命令安全策略、IPS 特征规则、SSL 解密、WAF、DNAT 等是防火墙 / IPS 独有的配置命令普通交换机、基础路由器没有这部分命令。模式逻辑采用网络设备典型的配置逻辑show用于信息查看configure进入配置模式save保存配置。基础网络部分接口、zone、二层 / 三层转发命令逻辑和路由器高度近似安全检测模块为安全设备新增能力。NGFW 与独立 IPS 核心差异定位、转发、功能重心NGFW下一代防火墙部署串接在网络边界默认转发业务流量依靠域间安全策略决定放行 / 阻断流量。核心定位一体化边界设备域、接口、路由、NAT、VPN 是基础核心能力IPS、WAF、AV 属于附加安全检测模块。资源特点整机算力需要同时承载路由、NAT、VPN、日志、IPS 等多项业务开启全套安全功能后性能衰减明显。命令特点命令集完整包含大量组网相关配置多路由、VPN、NAT、区域策略同时包含 IPS 等安全模块配置。独立硬件 IPS串接模式部署在线串接默认放行流量识别到攻击载荷才执行阻断本职不做边界访问控制。核心定位专注流量深度检测与攻击阻断。路由、NAT、VPN 能力被弱化甚至阉割很多场景仅做二层透传整机硬件、算力、内存全部优先供给 DPI 深度包检测、特征库匹配。命令特点接口、zone 等基础网络命令和同厂商 NGFW 基本一致配置命令大量围绕 IPS 策略、特征规则、攻击阻断NAT、VPN、复杂路由相关命令极少甚至不存在。串接 IPS 和 NGFW 内置 IPS 模块的区分NGFW 内置 IPS 只是防火墙系统里的附加安全功能模块独立 IPS 是一台独立硬件设备整机硬件专门针对 DPI 深度解析优化更适合高带宽场景的深度威胁检测。在特征库版本相同、都开启 SSL 解密的前提下独立 IPS 和 NGFW 内置 IPS 模块的威胁检测能力基本一致都依靠 DPI 深度包检测识别载荷中的已知攻击。二者区别不在于检测规则本身而在于硬件资源。独立 IPS 整机资源专供威胁检测开启解密和 IPS 后的性能表现更好NGFW 内置 IPS 和防火墙其他功能共享硬件资源开启全套功能后性能衰减更明显。 不解密 HTTPS 场景下两者都无法检测加密载荷内部的攻击。网络设备的有几种模式对常见的思科、华为、锐捷、华三等网络设备操作系统的模式进行介绍。思科 Cisco IOS / IOS-XE4 层3 个主模式 子配置模式用户模式EXEC模式 “”,登录默认进入仅基础查看不能改配置进入特权enable特权EXEC模式 “#”,完整查看、调试、保存配置可进入全局配置。configure terminal全局配置模式(config)#,全局参数进入各类子模式子配置模式(全局下派生)接口(config-if)#: interface g0/0VLAN(config-vlan)#路由(config-router)#line线路(config-line)#额外ROMmon监控模式故障恢复不属于正常cli华为 Huawei VRP用户视图 ,登录默认仅display查看不能业务配置进入系统视图system-view系统视图[huawei],全局配置进入各类子视图子视图系统视图下进入接口视图[huawei-GigabitEthernet0/0/1]VLAN视图、OSPF视图、ACL视图、user-interface线路视图等返回上一级quit;一键返回用户视图return、CtrlZ华三 H3C ComwareV7/V5视图语法几乎和华为一致用户视图H3C登录默认 进入系统视图system-view系统视图[H3C]各类子视图接口、VLAN、OSPF、ACL、本地用户、VTY 线路视图等命令、视图层级、quit/return 操作逻辑和华为 VRP 高度相似捷 Ruijie RGOS完全复刻思科 IOS 的模式体系用户 EXECRuijieenable→ 特权模式特权 EXECRuijie#configure terminal→ 全局配置全局配置Ruijie(config)#子配置模式接口(config-if)、VLAN、路由、line 线路等瞻博 Juniper Junos和上面完全不一样只有两大模式 虽然看起来一样但是设计思路根本上不一样下一小节介绍。操作模式Operationaluserhost登录 cli 后默认show查看、ping、traceroute、调试不能直接改配置配置模式Configuration[edit] userhost#操作模式输入configure/edit进入分层配置修改的是候选配置必须 commit 提交才生效里面还有子层级[edit interfaces ge-0/0/0]属于配置层级不叫独立模式中兴 ZTE ZXR10和华为 / 华三结构接近叫视图用户视图ZXR10系统视图[ZXR10]进入命令configure terminal子视图接口、vlan、路由协议视图几个学习中的思考在锐捷和思科设备中特权模式可以做什么所有show查看命令show interface、show running-config文件操作write/copy running-config startup-config保存配置、erase startup-config删除开机配置调试debug、ping、traceroute进入全局配置configure terminal特权模式可以管理系统文件、执行调试操作但不能直接修改业务配置接口、VLAN、路由这类具体业务必须进入全局配置模式配置。全局配置与子配置或者说系统视图与子视图这种区别在哪里。全局配置模式配置整机生效的参数也可以创建业务对象但不能精细配置某个接口 / 某个路由进程这类个体业务。子配置模式针对某一个具体对象做该对象的精细化业务配置。举例✅ 全局config#hostname R1整机名字全局参数vlan 10在全局创建 VLAN10 这个业务对象这里就涉及业务了所以不能说全局完全没有业务enable secret xxx整机密码✅ 子配置config-if/config-vlaninterface g0/0进去配 ip、no shutdown这个接口单独的业务参数vlan 10进去配置 vlan 名字这个 VLAN 单独的参数最简记忆版全局作用于整台设备可以创建业务对象、设置整机属性子配置作用于单个对象接口 / VLAN / 路由对这个对象做细节业务配置Juniper 的配置模式里面的子层级是不是与上面这个一个思路设计逻辑完全不一样不能直接等同于思科 / 华为的「全局→子配置」这套模式。思科 / 华为先全局环境再进入对象子环境思科(config)#全局→interface g0/0进入接口子配置模式华为[Huawei]系统视图→interface g0/0/1进入接口子视图特点切换到子模式后后续敲的命令默认就作用在这个对象上退出quit/exit就回到上一层全局。Juniper Junos是目录树文件夹式层级不是 “切换工作环境”configure进入配置模式后整个配置就是一棵目录树[edit] # 配置根目录相当于“全局” interfaces # 目录所有接口 ge-0/0/0 # 目录这个单独接口 unit 0 family inet address 192.168.1.1/24你可以用edit进入某个子目录[edit] edit interfaces ge-0/0/0 [edit interfaces ge-0/0/0]✅ 看起来和 “进入接口子配置” 很像这是最容易混淆的地方关键区别不 edit 进去照样可以直接在根目录写子对象配置** 思科不行在(config)#不能直接敲ip address必须先进 interface。 Junos 在[edit]根下可以直接写set interfaces ge-0/0/0 unit 0 family inet address 192.168.1.1/24不需要先edit进到接口目录。edit只是帮你cd 到对应目录简化输入不是必须。没有 “必须进入子环境才能配置该对象” 的强制限制 思科 / 华为很多命令只能在对应子模式 / 子视图下执行。 Junosset命令是全局寻址在哪一层都能修改树上任意节点。保存机制完全不同 思科 / 华为敲命令立刻写入 running 配置。 Junos所有修改先写在候选配置candidate必须手动commit才会生效不 commit重启就丢失。是不是在配置模式、系统视图下面可以执行操作模式、用户视图的命令思科 IOS / IOS-XE全局、子配置模式下不能直接执行show、ping需要增加关键字do例do show interface。执行后依旧停留在当前配置模式。华为 VRP / H3C Comware系统视图、子视图中display、ping等绝大多数查看诊断命令可直接执行仅部分仅限用户视图的命令需要前置run。Juniper Junos进入[edit]配置模式后可直接运行操作模式的show、ping命令无需额外关键字。保存配置呢是否可以在配置模式执行保存思科 IOS/IOS-XE全局 / 子配置模式不能直接敲 write /copy running-config startup-config需要用do write临时调用常规操作是退出到特权模式#保存。推荐标准操作特权模式执行write华为 VRP / H3C Comware系统视图不能直接 save需要退回用户视图执行save也可以用run save在系统视图直接调用保存命令。Juniper Junos逻辑不一样在[edit]配置模式下直接敲commit提交候选配置使其生效相当于 “保存 生效”save是导出配置文件不是提交生效。补充要点思科 / 华为 / H3C配置模式本身不原生支持保存命令虽然可以用do/run临时调用但工程规范上建议退出到对应视图再保存。Junoscommit 是配置模式内专属动作提交修改和其他厂商 “保存启动配置” 概念有区别。