华为智能企业上网行为管理安全解决方案（2）

本文承接：
https://blog.csdn.net/qq_37633855/article/details/133339254?spm=1001.2014.3001.5501
重点讲解华为智能企业上网行为管理安全解决方案的部署流程。

课程地址

本方案相关课程资源已在华为O3社区发布，可按照以下步骤进行访问（需要有华为账号哦，普通的个人账号即可~）

课程地址：

1. 复制链接 https://o3community.huawei.com/ 进入华为O3社区；
2. 点击“培训赋能 > 向导式学习”；

3. 在向导式课程中选择《华为智能企业上网行为管理安全解决方案》即可看到课程相关内容。
   

华为O3社区平台会有课程配套技术文档和模拟试题。课程所有内容均为本人开发，学习过程中如有任何问题可随时在O3平台课程下方或者本文评论区留言讨论~

方案部署

整体流程

华为智能企业上网行为管理安全解决方案整体部署流程如下：

• 组网规划：设计方案底层组网与设备网络参数，确保设备合理部署；规划业务主备路径，保证业务韧性；
• 基础网络配置：完成设备基础网络参数配置与路由配置，确保底层业务网络基础路由可达；完成防火墙安全区域划分；
• 高可靠性配置：组建防火墙与ASG双机热备系统，提高整体网络可靠性，避免单点故障导致业务中断；
• 业务部署：配置防火墙侧NAT技术与安全策略，确保客户业务可正常交互；
• 上网行为管理：在ASG设备上基于客户具体需求配置对应的行为管理、行为审计策略，满足客户行为管理需求。

组网规划

华为智能企业上网行为管理安全解决方案组网规划如下图所示：

• 出口交换机为企业出口设备，负责接入运营商访问外网；
• 防火墙工作在三层，组建基于VRRP的主备模式双机热备系统，负责企业网络安全防护及NAT；
• ASG设备通过网桥模式部署在防火墙与核心交换机之间，组建主备模式双机热备，负责企业上网行为管理；
• 正常情况下业务走左侧主设备所在链路，主链路出现故障后，防火墙与ASG双机热备系统同步切换主备状态，将流量切换至右侧备用链路，保障企业关键业务不中断。

华为智能企业上网行为管理安全解决方案中使用到的网络地址段，具体规划如下所示。

说明：上表参数仅供参考，实际生产环境需根据实际情况合理调整。

基础网络配置

路由规划

以上文规划的网络参数为例，完成所有设备的接口IP地址后，需要在出口交换机和核心交换机上规划路由，基于本方案组网架构，具体的路由规划如下所示：

安全区域规划

防火墙是企业进行安全防护的核心设备，通过将业务网络划分为多个不同的安全区域，并根据企业的业务需求合理配置安全策略，即可实现域间业务流量的过滤，满足企业安防需求。本案例安全区域规划如下：

• Untrust区域：主要用于连接外部网络，确保企业有上网能力。
• Trust区域：主要连接企业内部业务网络，是防火墙重点保护的网络资产片区。
• DMZ区域：主备防火墙之间的心跳线规划到DMZ区域中，实现防火墙双机热备功能。
• Local区域：防火墙自身属于Local区域，主要包括防火墙的本地接口。

高可靠性配置

防火墙双机热备

为保证底层网络的可靠性，确保客户关键业务不因单台防火墙故障而中断，需组建防火墙双机热备系统，本方案选择基于VRRP的主备模式双机热备系统，具体配置流程如下：

• 配置防火墙心跳接口，用于交互HRP报文与VGMP报文；
• 配置HRP认证秘钥，确保防火墙双机热备系统安全性；
• 配置Link-Group，将所有业务接口作为一个整体监控，便于及时发现链路或端口故障，完成业务路径切换；
• 配置防火墙HRP设备角色，用于区分主备防火墙；
• 开启防火墙HRP协议，组建主备备份双机热备系统。

ASG双机热备

为保证底层网络的可靠性，确保客户关键业务不因单台ASG故障而中断，需组建ASG设备HA系统，本方案选择HA主备透明桥模式，具体配置流程如下：

• 工作模式选择主备；
• 开启配置同步和运行状态同步；
• 开启抢占模式，延迟时间建议和防火墙侧保持一致；
• 选择HA通讯接口（同防火墙心跳接口）；
• 配置端口状态同步组（同Link-Group）监控业务线路；
• HA主备配置同步（可选）。

业务部署

为保证客户上网业务可顺利交互，同时保护内网核心业务网段，需在防火墙上配置安全策略放行业务流量；配置源NAT技术，保证内外网通信正常，同时隐藏内网业务网段，保证企业内网安全，具体配置流程如下：

• 在防火墙上配置安全策略，允许从Trust区域至Untrust区域的业务流量；
• 在防火墙上创建公网地址池（建议使用防火墙上行接口IP创建地址池）；
• 在防火墙上配置源NAT策略，对流量源IP地址和端口进行转换，使得内网用户能够正常访问Internet。

上网行为管理

为规避企业各类上网业务安全风险、满足日趋严格的企业网安相关法律法规、避免网络资源的不合理使用，企业必须进行上网行为管理和审计。本方案将介绍华为ASG5510产品的以下功能来满足企业上网行为管理和审计需求：

具体实验操作可通过华为O3社区在线实验室预约相关实验进行操作练习，实验链接如下：

https://o3community.huawei.com/o3/1663500457860972546/detail?activeIndex=4&subIndex=1&o3src=https%3A%2F%2Fcn.o3.huawei.com%2Fcommunity%2Ftraining%2Flab-online-detail-shixizhi%3FlabType%3D1%26labId%3D5634%26domainCode%3DFORUM_221126001

在线实验界面如下：

本方案系列博客到此完结~