邵亮,F1000-AK1242(V7)旁路部署场景下配置镜像后安全策略没有命中次数
组网及说明
问题描述
防火墙旁挂，将 SW流量镜像至防火墙，防火墙监控从 SW上来的流量，镜像目的接口能看到有流量记数，但是安全策略却无命中次数
过程分析
旁路部署镜像需要配置inline黑洞，不然设备不转发流量，所以策略中没有命中次数
解决方法
配置Inline黑洞解决，配置方法如下
如图-1所示，Device旁挂在网络出口设备Switch上，Switch将流量镜像到Device上进行安全业务的处理，Device对报文的收发均为一个接口。现需配置Inline黑洞转发功能，使Device对收到的报文处理后直接丢弃，并对Switch上接收的流量进行入侵防御检测。
图-1 Inline黑洞转发配置组网图
配置思路
Switch上需要配置的内容：镜像功能，将接收到的流量镜像到Device上进行安全业务的处理。
Device上需要配置的内容：
· 配置Inline黑洞转发功能。
· 配置安全业务（本举例中以入侵防御功能为例）。
配置步骤
配置Switch
1. 配置接口和Vlan
# 创建VLAN。
<Switch> system-view
[Switch] vlan 2
[Switch-vlan2] quit
# 配置接口GigabitEthernet1/0/1为二层转发口，并允许VLAN 2通过。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/3] port link-mode bridge
[Switch-GigabitEthernet1/0/3] port access vlan 2
[Switch-GigabitEthernet1/0/3] quit
# 配置与Device相连的GigabitEthernet1/0/2为二层接口，并允许VLAN 2通过。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/1] port link-mode bridge
[Switch-GigabitEthernet1/0/1] port access vlan 2
# 配置GigabitEthernet1/0/3为二层转发口，并允许VLAN 2通过。
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-mode bridge
[Switch-GigabitEthernet1/0/3] port access vlan 2
[Switch-GigabitEthernet1/0/3] quit
2. 配置镜像组和源目的镜像口
# 配置本地镜像组1。
[Switch] mirroring-group 1 local
# 配置接口GigabitEthernet1/0/1为镜像组1的源端口，对收发的报文都进行镜像。
[Switch-GigabitEthernet1/0/1] mirroring-group 1 mirroring-port both
[Switch-GigabitEthernet1/0/1] quit
# 配置接口GabitEthernet1/0/2为镜像组1的监控端口。
[Switch-GigabitEthernet1/0/2] mirroring-group 1 monitor-port
[Switch-GigabitEthernet1/0/2] quit
配置Device
1. 创建VLAN
# 选择“网络 > 链路 > VLAN”，进入VLAN配置页面。
# 单击<新建>按钮，进入新建VLAN页面。配置VLAN列表为2。
2. 配置接口工作在二层模式并加入VLAN
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮，进入修改接口设置页面，配置如下。
· 工作模式：二层模式。
· 链路类型：Access。
· PVID：2
· 其他配置项保持默认情况即可。
3. 创建inline安全域，并将接口GE1/0/1加入该安全域
# 选择“网络 > 安全域”，进入安全域配置页面。
# 单击<新建>按钮，进入新建安全域页面。新建名称为inline的安全域。
# 在二层成员列表中选择GE1/0/1，单击右侧的<添加>按钮，在弹出的“请输入VLAN”窗口中，输入GE1/0/1所属的Vlan 2。
# 单击<确定>按钮，完成安全域成员的添加。
# 单击<确定>按钮，完成安全域的配置。
4. 创建黑洞模式接口对，并添加成员接口
# 选择“网络 > 接口 > 接口对> 接口对“，进入接口对页面。
# 单击<新建>按钮，进入新建接口对页面。配置如下：
· 工作模式：黑洞。
· 在成员接口一中添加GE1/0/1。
· 其他配置项保持默认情况即可。
图-2 新建接口对
# 单击<确定>，完成接口对的配置。
5. 创建源安全域inline到目的安全域inline的安全策略，并引用缺省的default入侵防御配置文件
# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，进入新建安全策略页面。具体配置如下。
· 名称：inline
· 源安全域：inline
· 目的安全域：inline
· 动作：允许
· 内容安全中引用IPS策略：default
· 其他配置项保持缺省情况即可。
# 单击<确定>按钮，完成配置。
CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。本文来源：知了社区基于知识共享署名-相同方式共享3.0中国大陆许可协议,F1000-AK1242(V7)旁路部署场景下配置镜像后安全策略没有命中次数
