程序员经验分享-hwhale

Check Point R80.40 防火墙

2023-05-16

Check Point

 它是一家以色列的公司，是面向全球企业用户业内领先的信息安全解决方案提供商。Check Point 解决方案对恶意软件、勒索软件和高级目标威胁的防范率处于业界领先水准，可有效保护客户免受网络攻击，在2020网络防火墙魔力象限处于领先水准。
在这里插入图片描述

Check Point 介绍

 做防火墙的，一个字：强！！！！！！

Check Point 系统

 在熟悉他之前要先知道它的系统组成
※ Linux，没错，最底层的系统是基于Linux的
※ Gaia，是Check Point自己的系统，通过GUI界面管理，类似于网络设备的Web界面，在下文中会展现它的GUI界面
※ CP，在Gaia的基础上安装，是Check Point真正的系统，策略都在此上边做，但是不能做路由，IP地址等（需要到Gaia界面去做哦）

Check Point 部署方式

 Check Point包含两部分，一个是Security Gateway，一个是Security Manager Services；
两种部署方式：
※ Standalone，独立管理，在一个防火墙上安装Security Gateway和Security Manager Services
※ Central，集中管理，Security Gateway和Security Manager Services是分开安装的，前者作为防火墙的主要工作者，后者主要做集中管理的，类似于网管平台
两者之间通过Security Internal Communication（SIC）进行通信
※ Check Point SmartConsole 管理软件

Check Point 部署与基础

 本文部署方式为集中管理方式，部署在Vmware虚拟机上。废话不多说，开搞！

  1. 修改底层IP地址，通过Web登陆Gaia系统部署SMS和CP
    ①SMS
gw-49c35e> set interface eth0 ipv4-address 10.32.133.171 mask-length 24 
gw-49c35e> set static-route default nexthop gateway address 10.32.133.254 on
gw-49c35e> save config

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

②CP

gw-49c35e> set interface eth0 ipv4-address 10.32.133.172 mask-length 24 
gw-49c35e> set static-route default nexthop gateway address 10.32.133.254 on
gw-49c35e> save config

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
PS：注意此处密码为SMS添加CP时要填写的key
在这里插入图片描述
在这里插入图片描述

  1. 通过Check Point SmartConsole软件登陆SMS
    在这里插入图片描述
    在这里插入图片描述

  2. 添加CP到SMS
    在这里插入图片描述

  3. 在向导模式和经典模式之间，选择经典模式
    在这里插入图片描述

  4. 添加CP IP地址，并点击【Communication】添加密钥信息
    在这里插入图片描述

  5. 此处密码要与创建CP时，设置的密码一致，点击【Initialize】
    在这里插入图片描述在这里插入图片描述在这里插入图片描述

  6. 添加完成
    在这里插入图片描述

  7. 然后添加一个策略，执行提交，否则不能提交哦
    在这里插入图片描述

  8. 关闭CP的地址反欺骗检查，点击【Object Categories】【Network Objects】【Gateways and Servers】【CP1】
    在这里插入图片描述在这里插入图片描述在这里插入图片描述

  9. 下发策略给CP1
    在这里插入图片描述

  10. 左下角可以看下发策略的进度哦
    在这里插入图片描述在这里插入图片描述OK，以上是一些基本操作

Check Point Policy

拓扑
在这里插入图片描述
实现目的：

  1. 通过Gaia配置路由协议
  2. 通过SMS下发策略，控制Telnet和HTTP

直入正题！

  1. 配置IP地址，登陆CP1的Gaia，前提要在SMS上开启Https的策略并下发哦，否则通过Web登陆不上CP1的Gaia系统呢
    在这里插入图片描述在这里插入图片描述在这里插入图片描述 在这里插入图片描述

  2. CSR与CP之间部署OSPF，area 0
    在这里插入图片描述

  3. 在SMS的管理平台SmartConsole上添加策略，策略是不包含具体的IP地址，需要设置一个Nodes
    在这里插入图片描述
    在这里插入图片描述在这里插入图片描述（同理，讲CSR_2也添加上）

  4. 添加好之后，添加策略允许源CSR，目的CP；源CP，目的CSR的OSPF报文通过，并下发到CP上
    在这里插入图片描述

  5. 在CSR上查看OSPF邻居信息
    在这里插入图片描述

  6. 在Win 7上测试与CSR_1的连通性
    在这里插入图片描述

  7. 在CSR_1上开启Telnet和HTTP

  8. 在Win 7上尝试Telnet和HTTP登陆CSR_1
    在这里插入图片描述

  9. 在SMS上添加策略允许Win 7访问CSR_1的Telnet和HTTP，并下发到CP1
    在这里插入图片描述
    在这里插入图片描述

  10. 在SMS上修改策略允许Win 7 访问CSR_1的HTTP，不允许访问Telnet，并下发到CP1
    在这里插入图片描述在这里插入图片描述

  11. 在SMS上查看日志
    在这里插入图片描述
    在这里插入图片描述

Check Point Application and URL

拓扑
在这里插入图片描述
实现目的：

  1. 实现Win 7 可以通过CP上网
  2. 测试Application 和 URL

废话不多说，直入正题！

  1. 在SMS上做静态NAT地址转换，将Win 7 IP地址转换为CP的Eth0接口，并Install Policy
    在这里插入图片描述

  2. 在SMS上放开DNS、ICMP，使得Win 7 可以访问浏览器，可以ping 通 8.8.8.8
    在这里插入图片描述在这里插入图片描述
    在这里插入图片描述

  3. 此时Win 7 可以正常访问TB and QQ Music
    在这里插入图片描述
    在这里插入图片描述

  4. 我们现在要做的就是拒绝访问TB

  5. 添加防火墙的Application 和 URL，并Install Policy
    在这里插入图片描述

  6. 在配置策略之前，先升级App&URL库
    在这里插入图片描述
    在这里插入图片描述

  7. 设置策略，使Win 7 不能访问TB
    在这里插入图片描述在这里插入图片描述

  8. 手动添加一个URL
    在这里插入图片描述在这里插入图片描述

  9. 策略如下
    在这里插入图片描述

  10. Win 7 访问
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述

  11. 完美！
    在这里插入图片描述

Check Point CP双机热备

拓扑：
在这里插入图片描述
实现目的：

  1. CP双机热备

PS：Check Point中，双机热备是通过集群来实现的，即Cluster XL（集群加速）

开搞！

  1. 开启Cluster成员功能，并重启
    在这里插入图片描述

  2. 开启Cluster XL功能，并重启
    在这里插入图片描述
    （CP2同理，这里不再赘述）

  3. 配置接口IP地址，登陆CP的Gaia系统，设置接口IP地址
    CP1
    在这里插入图片描述
    CP2
    在这里插入图片描述

  4. 在SMS上配置Cluster
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
    PS：注意此处IP地址为虚拟IP地址

  5. 添加防火墙成员
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述

  6. CP2同样的方式添加，添加好如下所示
    在这里插入图片描述

  7. 选择模式
    在这里插入图片描述
    PS：
    ※ High Availability：高可用性，即 A/S 模式
    此处包含两个部分：ClusterXL 和 VRRP，前者是 Checkpoiint 防火墙的集群实现的高可用
    性；后者是 VRRP 实现的高可用性，但是不能同步会话状态。
    ※ Load Sharingg：负载分享，即 A/A 模式
    此处包含两个部分：Multicast 和 Unicast。
    以上两项，如果要使用 A/S 模式的双机热备(即所说的集群)，就选择 High Availability；如果要使用 A/A 模式，就选择 Load Sharing
    ※ Upon cluster member recovery
    Maintain Current active cluster member：保持当前的集群成员状态，即不抢占状态。
    Switch to higher priority cluster member：手动切换到高优先级状态，即抢占状态。

  8. 获取设备接口信息
    在这里插入图片描述

  9. 设置虚拟IP地址，心跳线选择Sync（注意要关闭反地址欺骗）
    在这里插入图片描述
    在这里插入图片描述

  10. Install Policy
    在这里插入图片描述
    在这里插入图片描述

  11. 创建一个策略，允许ICMP通过
    在这里插入图片描述

  12. 测试与虚拟IP之间的连通性
    在这里插入图片描述
    在这里插入图片描述

  13. 查看主备状态
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述

  14. 使用CSR_2 ping CSR_1，然后断开Active设备CP1的Eth1接口

  15. 在CSR上写入静态路由

CSR_1(config)#ip route 23.1.1.0 255.255.255.0 12.1.1.200
CSR_2(config)#ip route 12.1.1.0 255.255.255.0 23.1.1.200
  1. 在ping的过程中，将CP1的Eth1接口关闭
CP1> set interface eth1 state off

  1. 可以看到，CP1已经失去状态,CP2变为Active；连通性是OK的
    在这里插入图片描述
    在这里插入图片描述

  2. 将CP1的Eth1接口打开

CP1> set interface eth1 state on

  1. 查看主备状态
    在这里插入图片描述
    在这里插入图片描述

  2. 此时，并没有抢占，所以我们要手动抢占Active状态
    在这里插入图片描述

  3. Install Policy

  4. 查看主备状态
    在这里插入图片描述
    在这里插入图片描述
    抢占成功！

Check Point API

最有意思的来了，不喜欢磨磨唧唧，直入正题！！！

  1. 开启SMS的API（改为 ALL IP）
    在这里插入图片描述

  2. 在SMS的Cli，重启API
    在这里插入图片描述

  3. 在Postman中导入Check Point API集合
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述

  4. 导入成功
    在这里插入图片描述

  5. 在Postman中添加环境变量
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
    PS：为什么要添加环境变量呢？
    因为在API列表中，有一个固定的值Server，使用环境变量可以赋予这个值一个固定的变量
    1、Environment Name：环境变量的名称（生产环境、测试环境、发布环境等，可以根据不同的环境来命名，方便区分）
    2、VARIABLE：变量名字
    3、INITIAL VALUE：用户团队工作时，共享给别人使用的默认值，也称共享初始值
    4、CURRENT VALUE：当前值，也就是当前使用的变量值（通常我们只设置这个值就可以了）
    5、Persist All：保持所有，也就是将当前值（CURRENT VALUE）替换所有的初始值
    6、Reset All：重置所有，也就是将当前所有 （CURRENT VALUE）重置成与当前初始值一样的值

  6. 通过Postman登陆SMS
    在这里插入图片描述
    更改用户名和密码的值，点击发送，返回值。

  7. 此时可以将鼠标移至API的{{server}}中，可以看到因为环境变量而赋予的值
    在这里插入图片描述

  8. 登陆成功，返回值中包含一个会话ID，sid值；同一会话中的所有API调用都应使用此值，以证明API调用背后用户的真实性，可以将此sid值赋予到我们的环境变量 session值中
    在这里插入图片描述
    在这里插入图片描述

  9. 使用API 查看Hosts
    在这里插入图片描述

  10. 使用API添加一个Hosts
    在这里插入图片描述
    在这里插入图片描述

  11. 在SMS上查看Hosts
    在这里插入图片描述

  12. 使用API查看定义的规则
    在这里插入图片描述

  13. 使用API添加一个规则
    在这里插入图片描述
    在这里插入图片描述

  14. 在SMS上查看Policy
    在这里插入图片描述

  15. 通过API删除Rule
    在这里插入图片描述在这里插入图片描述

  16. 此时Rule处于锁定状态
    在这里插入图片描述

  17. 执行Publish
    在这里插入图片描述
    在这里插入图片描述

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

check

Point

R80

Check Point R80.40 防火墙 的相关文章

随机推荐

  • ESP32_IDF_基于win11的开发环境搭建

    ESP32 IDF 基于win11的开发环境搭建 说明 xff1a 1 安装ofline 2 编译下载 xff08 本来打算使用vscode配合使用来开发的 xff0c 奈何vscode环境真难搞 xff0c 放弃了 xff0c 用不惯 x

  • 树莓派的联网方式

    树莓派的多种联网方式 配置WiFi文件将空白的ssh文件放入sd卡配置WiFI文件 家庭局域网或热点查找树莓派ip 通过网线联网 配置WiFi文件 在sd卡中烧录系统之后 xff0c sd卡中会有如下程序 xff1a 将空白的ssh文件放入

  • STM32F103系列PWM波

    话不多说 xff0c 直接上我能跑通的代码 pwm h span class token macro property span class token directive hash span span class token direct

  • HTTP的几种认证方式之DIGEST 认证（摘要认证） 服务端

    https www cnblogs com xy ouyang p 12609387 html

  • Ubuntu 22.04LTS中使用aptitude来解决build-essential安装过程中过高版本包依赖问题

    小白近日安装完Ubuntu 22 04LTS后 xff0c 记不清是不是用了Software Updater还是自己手动upgrade了包 xff0c 导致在配置编译工具build essential 输入sudo apt install

  • 解决com.github.penggle kaptcha 2.3.2 报错

    需要从该地址处kaptcha的jar包下载位置 xff0c 从该地址下载jar包后 xff0c 可以把该jar包存放在C Users hp Desktop这个位置 xff0c 通过windows的cmd命令进入命令操作界面 执行以下命令 x

  • children 获取所有的子元素节点 2020/11/21

    children 获取所有的子元素节点 也是我们实际开发常用的 span class token operator lt span span class token operator span span class token consta

  • window常见事件 2020/11/24

    window onload是窗口 xff08 页面 xff09 加载时间 xff0c 当文档内容完全加载完成后触发该事件注意 xff1a window onload传统注册事件方式只能写一次 xff0c 如果有多个 xff0c 会以最后一个

  • 用if函数，进入无限循环，如何退出当前函数

    用if函数 xff0c 进入无限循环 xff0c 如何退出当前函数 wxml文件 span class token operator lt span view class span class token operator 61 span

  • form-type:submit和reset用法

    form type submit和reset用法 span class token operator lt span form bindsubmit span class token operator 61 span span class

  • checkbox背景颜色设置

    checkbox背景颜色设置 js文件 data span class token punctuation span languages span class token punctuation span span class token

  • MongoDB安装方案

    安装MongoDB 黑马头条项目 43 人力资源后台项目的接口服务均采用了 MongoDB 43 KOA2 技术栈 xff0c 所以在使用本地服务之前 xff0c 我们需要首先安装MongoDB xff0c 这也是该环节中出问题最多的一项

  • 小程序生成海报携带参数-云函数生成二维码

    1 逻辑代码 span class token keyword async span span class token function qcFn span span class token punctuation span span cl

  • 小程序动画

    小程序动画 点击事件 span class token comment lt 三大特色 gt span span class token tag span class token tag span class token punctuati

  • 小程序云开发--内容安全审查API云调用

    云调用 云调用是小程序 云开发提供的在云函数中调用微信开放接口的能力 xff0c 需要在云函数中通过 wx server sdk 使用 接口方法 openapi span class token punctuation span secur

  • 如何通过异或运算快速简单的实现两个数的值的交换

    实现代码如下图所示 xff1a public class class01 public static void swap int a int b a 61 a b b 61 a b a 61 a b System out println a

  • Cisco ISE AAA认证

    ISE 介绍 思科身份服务引擎 ISE 是一种身份验证安全服务 可以在简单而灵活的界面中显示用户和设备 查看并通过网络平台共享详细信息 使其了解用户 设备和网络的具体情况 当然Cisco还有类型的产品 xff0c 比如NAC ACS 那么三

  • PNET模拟器 安装(附下载地址)

    PNET模拟器介绍 Lab is Simple PNET安装步骤 1 将OVA文件导入Vmware 2 注意点 3 开机 xff0c 进行安装 4 选择第一个 5 安装成功 6 打开浏览器输入上边的IP地址 7 选择Online Mode

  • Python自动化备份网络设备配置

    前提 xff1a https blog csdn net weixin 50299079 article details 109300864 好嘞 xff0c 废话不多说 xff0c 开始搞 本文以Cisco CSR1000V设备配合Pyt

  • Check Point R80.40 防火墙

    Check Point 它是一家以色列的公司 xff0c 是面向全球企业用户业内领先的信息安全解决方案提供商 Check Point 解决方案对恶意软件 勒索软件和高级目标威胁的防范率处于业界领先水准 xff0c 可有效保护客户免受网络攻击

热门标签