目录
组网需求
数据规划
配置思路
操作步骤
结果验证
配置脚本
管理员可以通过eSight网管系统对FW进行监控和管理，接收FW的告警。
数据规划
| 项目 | 数据 | 说明 | |
|---|---|---|---|
| FW | 接口 | 接口号：GigabitEthernet 0/0/1 IP地址：1.1.1.1/24 安全区域：Untrust | 连接外网的接口。 假设此接口连接Internet的下一跳地址为1.1.1.2。 |
| 接口号：GigabitEthernet 0/0/2 IP地址：10.2.0.1/24 安全区域：DMZ | 与eSight服务器通信的接口。 | ||
| 接口号：GigabitEthernet 0/0/3 IP地址：10.3.0.1/24 安全区域：Trust | 连接企业内部网络的接口。 | ||
| SNMP参数 | 安全用户组名：v3group 安全用户名：V3user 版本：v3 认证协议：HMAC_SHA 认证密码：Admin@123 加密协议：AES128 加密密码：Admin@1234 | FW和eSight的SNMP参数保持一致。 | |
| eSight | IP地址 | 10.2.0.10/24 | 集中式部署在DMZ区域。 |
| SNMP参数 | 安全用户名：V3user 版本：v3 鉴权协议：HMAC_SHA 密码：Admin@123 私有协议：AES128 密码：Admin@1234 | eSight的SNMP参数和FW保持一致。 | |
配置思路
-
使FW与eSight之间能够互通，配置FW接口GigabitEthernet 0/0/2的IP地址、将接口加入DMZ安全区域、并配置接口访问管理功能允许SNMP协议通过。
如果不使用接口访问管理功能，需要配置相关安全策略。关闭接口访问管理前需要为远程管理协议配置相关安全策略，以免出现无法远程管理FW的情况。
-
使eSight能够管理FW并接收FW的告警，配置FW的SNMP参数和Trap告警功能，在eSight上配置与FW一致的SNMP参数并添加FW。
本举例主要关注FW与eSight对接部分的配置，其余配置略去。请注意在实际环境中配置相应的路由以保证设备之间的路由可达。eSight网管侧其他的配置请参见对应的手册。
操作步骤
- 配置FW。
- 配置接口IP地址，将接口加入安全区域并配置接口访问管理功能允许SNMP协议通过。
# 配置接口GE0/0/1的IP地址。<sysname> system-view [sysname] interface GigabitEthernet 0/0/1 [sysname-GigabitEthernet0/0/1] ip address 1.1.1.1 24 [sysname-GigabitEthernet0/0/1] quit # 配置接口GE0/0/2的IP地址并配置接口访问管理。[sysname] interface GigabitEthernet 0/0/2 [sysname-GigabitEthernet0/0/2] ip address 10.2.0.1 24 [sysname-GigabitEthernet0/0/2] service-manage snmp permit [sysname-GigabitEthernet0/0/2] quit # 配置接口GE0/0/3的IP地址。[sysname] interface GigabitEthernet 0/0/3 [sysname-GigabitEthernet0/0/3] ip address 10.3.0.1 24 [sysname-GigabitEthernet0/0/3] quit # 将接口GE0/0/1加入Untrust区域。[sysname] firewall zone untrust [sysname-zone-untrust] add interface GigabitEthernet 0/0/1 [sysname-zone-untrust] quit # 将接口GE0/0/2加入DMZ区域。[sysname] firewall zone dmz [sysname-zone-dmz] add interface GigabitEthernet 0/0/2 [sysname-zone-dmz] quit # 将接口GE0/0/3加入Trust区域。[sysname] firewall zone trust [sysname-zone-trust] add interface GigabitEthernet 0/0/3 [sysname-zone-trust] quit - 配置安全策略。
# 在Trust和Untrust域间配置安全策略[sysname-policy-security] rule name trust_untrust_outbound [sysname-policy-security-trust_untrust_outbound] source-zone trust [sysname-policy-security-trust_untrust_outbound] destination-zone untrust [sysname-policy-security-trust_untrust_outbound] source-address 10.3.0.0 mask 255.255.255.0 [sysname-policy-security-trust_untrust_outbound] action permit [sysname-policy-security-trust_untrust_outbound] quit - 配置路由。
# 配置缺省路由到连接Internet的下一跳地址。[sysname] ip route-static 0.0.0.0 0.0.0.0 1.1.1.2 # 配置黑洞路由，防止产生路由环路。[sysname] ip route-static 1.1.1.10 32 NULL 0 [sysname] ip route-static 1.1.1.11 32 NULL 0 [sysname] ip route-static 1.1.1.12 32 NULL 0 - 配置FW的SNMP参数，并配置将FW产生的告警发送到eSight。
[sysname] snmp-agent sys-info version v3 [sysname] snmp-agent mib-view include mib2view iso [sysname] snmp-agent group v3 v3group privacy [sysname] snmp-agent usm-user v3 V3user authentication-mode sha Please configure the authentication password (8-64) Enter Password: Confirm Password: [sysname] snmp-agent usm-user v3 V3user privacy-mode aes128 Please configure the privacy password (8-64) Enter Password: Confirm Password: [sysname] snmp-agent usm-user v3 V3user group v3group [sysname] snmp-agent group v3 v3group privacy write-view mib2view notify-view mib2view [sysname] snmp-agent target-host trap address udp-domain 10.2.0.10 params securityname V3user v3 privacy private-netmanager [sysname] snmp-agent trap enable Warning: All switches of SNMP trap/notification will be open. Continue? [Y/N]:y
- 配置接口IP地址，将接口加入安全区域并配置接口访问管理功能允许SNMP协议通过。
- 配置eSight。
- 创建SNMP协议模板。
- 选择“资源 > 资源管理 > 协议模板”。
- 单击“SNMP协议模板”页签下“创建”，按如下参数新建SNMP协议模板。
模板名称
snmpv3_template
SNMP协议版本
V3
网元端口
161
超时时间（秒）
3
重发次数
3
安全名
V3user
鉴权协议
HMAC_SHA
密码
Admin@123
私有协议
AES_128
密码
Admin@1234
eSight侧的安全名、鉴权协议密码、私有协议密码分别和FW侧的安全名、认证密码、加密密码保持一致。
- 将FW添加到eSight中。
- 选择“资源 > 资源添加 > 单个添加”。
- 在“发现协议”中选择“SNMP协议”。
- 在“IP地址”中输入FW与eSight对接的IP地址10.2.0.1。
- 在“选择协议模板”中选择步骤1创建的协议模板“snmpv3_template”添加设备。
- 单击“确定”。
- 创建SNMP协议模板。
结果验证
将物理链路状态为Up的接口状态配置为Down[sysname] interface GigabitEthernet 0/0/4
[sysname-GigabitEthernet0/0/4] shutdown
在eSight中选择“监控 > 故障管理 > 当前告警”，可以查看到相应的告警信息。配置脚本
sysname sysname #
interface GigabitEthernet0/0/1 undo shutdown ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet0/0/2 undo shutdown ip address 10.2.0.1 255.255.255.0 service-manage snmp permit
#
interface GigabitEthernet0/0/3 undo shutdown ip address 10.3.0.1 255.255.255.0
#
firewall zone untrust set priority 5add interface GigabitEthernet0/0/1
#
firewall zone dmz set priority 50add interface GigabitEthernet0/0/2
#
firewall zone trust set priority 85add interface GigabitEthernet0/0/3
#
security-policyrule name trust_untrust_outbound1source-zone trustdestination-zone Untrustsource-address 10.14.10.1 32destination-address 10.3.0.0 mask 255.255.255.0action permit # ip route-static 0.0.0.0 0.0.0.0 1.1.1.2 ip route-static 1.1.1.10 255.255.255.255 NULL0 ip route-static 1.1.1.11 255.255.255.255 NULL0ip route-static 1.1.1.12 255.255.255.255 NULL0
# snmp-agent snmp-agent local-engineid 000007DB7FFFFFFF000077D0 snmp-agent sys-info version v3 snmp-agent mib-view include mib2view isosnmp-agent group v3 v3group privacy snmp-agent group v3 v3group privacy write-view mib2view notify-view mib2viewsnmp-agent target-host trap address udp-domain 10.2.0.10 params securityname %$%$Lch*5Z>Q0:BIj9Nv<&^W(>5,%$%$ v3 privacy private-netmanager snmp-agent usm-user v3 V3user authentication-mode sha cipher %^%#]lck/kEvSA'=g^WsIwEI~rf&=qHpDEhhB\3Dmt1(%^%#snmp-agent usm-user v3 V3user privacy-mode aes128 cipher %^%#Ow4n$dQvbD:^-Asnmp-agent usm-user v3 V3user group v3groupsnmp-agent trap enable
#
return