入侵防御-逃生链路部署

一、拓扑与组网思路

💡 IPS 侧不跑三层，就是个二层桥，VLAN 10 从头到尾透传，防火墙和核心的互联 IP/VRRP/路由都完全不用改——这也是透明模式最大的好处。

二、IPS 透明模式基础配置（SecPath IPS，Comware V7）
# 1. 上下行口切二层 bridge
system-view
[H3C] sysname IPS
[IPS] interface range ten-gigabitethernet 1/0/1 to ten-gigabitethernet 1/0/2
[IPS-if-range] port link-mode bridge
[IPS-if-range] quit

# 2. 建 VLAN 10，把两个口都划进去（形成桥组，等价于接口对）
[IPS] vlan 10
[IPS-vlan10] port ten-gigabitethernet 1/0/1
[IPS-vlan10] port ten-gigabitethernet 1/0/2
[IPS-vlan10] quit

# 3. 安全域（IPS 也要划域才能跑 IPS 策略，哪怕透明）
[IPS] security-zone name Untrust
[IPS-security-zone-Untrust] import interface ten-gigabitethernet 1/0/1 vlan 1 to 4094
[IPS-security-zone-Untrust] quit
[IPS] security-zone name Trust
[IPS-security-zone-Trust] import interface ten-gigabitethernet 1/0/2 vlan 1 to 4094
[IPS-security-zone-Trust] quit

# 4. 安全策略先全放通（IPS 只做 IPS 检测，不做访问控制）
[IPS] security-policy ip
[IPS-security-policy-ip] rule name trust-untrust
[IPS-security-policy-ip-rule-trust-untrust] source-zone trust
[IPS-security-policy-ip-rule-trust-untrust] destination-zone untrust
[IPS-security-policy-ip-rule-trust-untrust] action pass
[IPS-security-policy-ip-rule-trust-untrust] quit
[IPS-security-policy-ip] rule name untrust-trust
[IPS-security-policy-ip-rule-untrust-trust] source-zone untrust
[IPS-security-policy-ip-rule-untrust-trust] destination-zone trust
[IPS-security-policy-ip-rule-untrust-trust] action pass
[IPS-security-policy-ip-rule-untrust-trust] quit

# 5. 开启 IPS 策略（按你的模板来，这里只示意）
[IPS] ips policy name BYPASS_IPS
[IPS-ips-policy-BYPASS_IPS] ...（特征库、动作 drop/alert 按你需求）
[IPS-ips-policy-BYPASS_IPS] quit
[IPS] zone-pair security source trust destination untrust
[IPS-zone-pair-security-trust-untrust] ips apply policy BYPASS_IPS
⚠️ 华三 IPS 透明模式下，bypass 网卡 ≠ 逻辑逃生。大多数 SecPath IPS（如 IPS-1200/2200/3200）硬件上是断电/崩溃自动物理导通（网卡 relay bypass），但软关机、IPS 进程卡死、升级重启这几类场景硬件 bypass 不一定触发——所以逻辑逃生链路是必须的，双重保险。
三、逃生链路怎么做（核心部分）
你这个"单防火墙 + 单核心"的架构，最实用的是 Monitor Link + 静态路由优先级方案，不用 NQA 也能跑：
方案 A：Monitor Link（推荐，最简单）
核心交换机上做：
# 核心侧：上行口 XGE1/0/1 连 IPS，逃生口 XGE1/0/2 连防火墙直连
[Core] interface ten-gigabitethernet 1/0/1 # 主 → IPS
[Core-Ten-GigabitEthernet1/0/1] port link-type trunk
[Core-Ten-GigabitEthernet1/0/1] port trunk permit vlan 10
[Core-Ten-GigabitEthernet1/0/1] quit

[Core] interface ten-gigabitethernet 1/0/2 # 逃生 → 防火墙直连
[Core-Ten-GigabitEthernet1/0/2] port link-type trunk
[Core-Ten-GigabitEthernet1/0/2] port trunk permit vlan 99
[Core-Ten-GigabitEthernet1/0/2] quit

# 核心起 VLAN 10 的 SVI（假设原来网关就在核心）
[Core] interface vlan-interface 10
[Core-Vlan-interface10] ip address 192.168.10.254 24
[Core-Vlan-interface10] quit

# 逃生 VLAN 99 的 SVI（跟防火墙直连对面同段）
[Core] interface vlan-interface 99
[Core-Vlan-interface99] ip address 10.0.99.2 30
[Core-Vlan-interface99] quit

# 默认路由走防火墙（主路径经 IPS，下一跳是防火墙 VLAN 10 侧地址）
[Core] ip route-static 0.0.0.0 0 192.168.10.1 # 主，经 IPS
[Core] ip route-static 0.0.0.0 0 10.0.99.1 preference 255 # 逃生，直连防火墙

# Monitor Link：上行 XGE1/0/1（连 IPS）down 了，把下行（内网接入）也 down 掉
# 反过来用：这里更简单的是在防火墙上做 Track
更顺的做法是在防火墙上做 Track + 双静态路由（防火墙作为出口网关更常见）：
# 防火墙侧
[FW] interface vlan-interface 10
[FW-Vlan-interface10] ip address 192.168.10.1 24
[FW-Vlan-interface10] quit
[FW] interface vlan-interface 99
[FW-Vlan-interface99] ip address 10.0.99.1 30
[FW-Vlan-interface99] quit

# 主路径下一跳指向核心（经 IPS）
[FW] ip route-static 192.168.10.0 24 192.168.10.254
# 逃生路径下一跳也指向核心，但走 VLAN 99 直连
[FW] ip route-static 192.168.10.0 24 10.0.99.2 preference 255

# 用 NQA 探测核心可达性（经 IPS 路径）
[FW] nqa entry admin test1
[FW-nqa-admin-test1] type icmp-echo
[FW-nqa-admin-test1-icmp-echo] destination ip 192.168.10.254
[FW-nqa-admin-test1-icmp-echo] frequency 5000
[FW-nqa-admin-test1-icmp-echo] quit
[FW-nqa-admin-test1] quit
[FW] nqa schedule admin test1 start-time now lifetime forever

[FW] track 1 nqa entry admin test1 success
[FW] ip route-static 192.168.10.0 24 192.168.10.254 track 1 # 主路由绑 track
原理：NQA 走的是"防火墙 → 核心 经 IPS"这条路径，IPS 一挂，ICMP 不通，Track 1 变 Negative，主路由撤掉，逃生路由（preference 255）顶上，流量走 VLAN 99 直连绕开 IPS。
方案 B：硬件 bypass 优先（如果 IPS 型号支持）
SecPath IPS 多数型号 XGE 口是 Bypass Pair（比如 1/0/1+1/0/2 是一对），设备断电、死机、看门狗复位时物理继电器吸合，两根线直连——这时候根本不用切逃生链路，业务自动导通，只是没了 IPS 防护。
检查命令：
[IPS] display bypass-status
如果显示 Bypass pair 1/0/1-1/0/2: Enabled, Current state: Normal（正常工作时是断开检测态；断电后变 Bypassed）。
📌 推荐组合拳：硬件 bypass（扛断电/死机） + 逻辑逃生链路（扛 IPS 软故障/升级/进程卡死）。前者自动，后者手动/Track 触发。
四、测试验证清单
上线前必测四项：
正常流：防火墙 ↔ 核心 经 IPS，抓包确认 IPS 日志有命中（display ips log），业务正常。
拔 IPS 上行线：模拟 IPS 上行断，看 Track 是否切逃生（丢包 ≤ NQA 周期，一般 5 秒）。
IPS 软重启 / kill 进程：确认硬件 bypass 不触发（因为是软重启不是断电），此时靠逻辑逃生链路切，业务不中断。
IPS 硬断电：硬件 bypass 继电器吸合，两根线直连导通，逻辑逃生也可以同时切（不冲突），恢复供电后 bypass 自动退出，IPS 重新接管。
五、几个容易踩的坑
VLAN 透传：IPS 透明桥默认只放通你划进 VLAN 的那个，多 VLAN 环境（比如 trunk 带 10/20/30）要么把多个 VLAN 都加到桥里，要么直接用 port link-mode bridge+ interface bridge-aggregation方式做接口对，更干净。
生成树：IPS 透明跑着时，防火墙—IPS—核心这条路径在 STP 眼里是一跳二层，没问题；但逃生直连那条线如果也放同一个 VLAN/instance，STP 会把其中一条 block 掉——这是好事（防环），但要确认 block 的是逃生口不是主口。建议逃生用独立 VLAN 99，不参与原 VLAN 10 的 STP instance。
ARP 超时：IPS 切换 bypass 或逃生时，防火墙和核心之间的 ARP 可能还是旧 MAC（IPS 的桥 MAC），建议在防火墙/核心上 arp timer aging 60调短一点，切的时候收敛快。
单点本质：你这套"单防火墙 + 单 IPS + 单核心"无论怎么逃生，防火墙或核心自己挂了还是没救——IPS 逃生只是保 IPS 这一跳。如果业务等级高，下一步应该把防火墙也换成主备 VRRP + Track。

在出口防火墙和核心交换机之间以透明模式部署入侵防御系统（IPS）并配置逃生链路，是一种兼顾安全与高可用的经典方案。其核心思路是让IPS设备作为“透明网桥”串联在路径中，同时部署一条备用链路，在主设备故障时快速切换，确保业务不中断。

拓扑设计：物理连接

根据你的描述，最简单的物理连接方式如下：

• IPS设备：使用两个接口，例如 GigabitEthernet1/0/1（连接出口防火墙）和 GigabitEthernet1/0/3（连接核心交换机）。

• 逃生链路：在核心交换机上，使用一个额外的三层接口（如 GigabitEthernet1/0/24）连接到出口防火墙的另一个三层接口，作为备用路径。

IPS设备配置（透明模式）

1. 配置接口为二层模式

将连接防火墙和核心交换机的接口设置为二层模式（Bridge）。

2. 将接口加入安全域

将接口加入不同的安全域，以便应用安全策略。通常，连接防火墙（外网侧）的接口加入 Untrust 域，连接核心交换机（内网侧）的接口加入 Trust 域。

3. 配置安全策略

放行从 Trust 到 Untrust 的流量，这是实现通信的基础。

核心交换机配置（逃生链路）

1. 配置逃生接口

将核心交换机上用于逃生链路的接口（如 GigabitEthernet1/0/24）配置为三层路由口，并配置IP地址。

2. 配置浮动静态路由

配置一条优先级较低（数值较大）的静态默认路由，指向逃生链路上的防火墙接口。这条路由在正常情况下不活跃，只有当主链路（经过IPS）中断时才会生效。

• 10.0.0.1 是防火墙逃生接口的IP地址。

• preference 80 设置其优先级低于原有默认路由，使其成为备份路由。

逃生链路工作原理

1. 正常情况：核心交换机通过优先级更高的默认路由（指向出口防火墙），将所有流量经IPS设备转发。IPS设备对流量进行深度检测。

2. 故障切换：当IPS设备因故障、重启或链路中断导致无法转发流量时，核心交换机检测到主路由下一跳不可达，会自动激活优先级较低的浮动静态路由。

3. 流量绕行：所有流量将通过逃生链路（核心交换机 -> 出口防火墙）直接转发，绕过故障的IPS设备，从而保障业务不中断。

4. 故障恢复：当IPS设备恢复后，主路由重新生效，流量会自动切回，重新接受安全检测。

验证与测试

配置完成后，建议通过以下方式验证：

1. 连通性测试：在内网PC上Ping外网地址，确保业务正常。

2. 逃生链路测试：模拟IPS设备故障（如关闭其电源或拔掉主链路网线），再次测试业务连通性，验证逃生链路是否生效。

3. 故障恢复测试：恢复IPS设备，观察流量是否自动切回。

注意事项

• VLAN透传：确保IPS设备的接口允许所有业务VLAN通过。

• 管理地址：为IPS设备配置一个管理IP，以便远程维护。

• 安全策略：确保安全策略正确放行所需流量，并根据实际需求启用IPS、防病毒等安全功能。

• 版本差异：不同厂商或型号的设备，其命令和界面可能存在差异，请以官方文档为准。

• 性能影响：部署IPS设备会增加网络延迟，建议在业务低峰期进行部署和测试。

bypass

一、组网拓扑与方案说明
1. 拓扑结构
plaintext
互联网
↓
出口防火墙（FW）
├─GE1/0/1 主链路VLAN10 → IPS GE1/0/0（untrust）
│ IPS GE1/0/1（trust）→ 核心交换机 GE1/0/1 VLAN10
└─GE1/0/2 逃生链路VLAN99 ─────────────────────→ 核心交换机 GE1/0/2 VLAN99

2. 两套逃生双重保障
硬件 Bypass（IPS 内置）：IPS 断电 / 硬件故障，GE1/0/0 与 GE1/0/1 物理直通，流量绕过 IPS；
逻辑链路逃生（浮动静态路由 + NQA 探测）：IPS 链路断、整机宕机，防火墙 / 核心自动切换至直连逃生链路，适用于升级、软件卡死场景。
3. 接口规划
表格
设备 接口 用途 VLAN
出口 FW GE1/0/1 主链路（过 IPS） 10
出口 FW GE1/0/2 逃生直连核心 99
IPS GE1/0/0 上联防火墙，透明桥 untrust 10
IPS GE1/0/1 下联核心，透明桥 trust 10
核心交换机 GE1/0/1 主链路（过 IPS） 10
核心交换机 GE1/0/2 逃生直连防火墙 99
4. IP 规划
内网业务网段：192.168.1.0/24（VLAN10）
逃生互联网段：10.0.0.0/24（VLAN99）
FW 逃生口 IP：10.0.0.1/24
核心逃生口 IP：10.0.0.2/24
IPS 透明管理 IP：192.168.1.254/24（桥接口 IP，用于登录管理）
二、IPS 完整配置（透明模式 + 硬件 Bypass + 入侵防御）
plaintext
system-view
# 1. 全局基础
sysname IPS
vlan 10
quit
# 2. 接口二层模式，加入桥组
interface GigabitEthernet 1/0/0
port link-mode bridge
port access vlan 10
quit
interface GigabitEthernet 1/0/1
port link-mode bridge
port access vlan 10
quit
# 3. 透明桥配置
bridge 1
port GigabitEthernet 1/0/0
port GigabitEthernet 1/0/1
quit
interface Bridge-Aggregation 1
ip address 192.168.1.254 255.255.255.0
quit
# 4. 硬件自动Bypass（断电/重启自动直通，必配）
interface pair GigabitEthernet 1/0/0 GigabitEthernet 1/0/1
bypass enable
bypass mode external-auto
quit
# 5. 安全域划分（透明模式标准）
security-zone name Untrust
import interface GigabitEthernet 1/0/0
quit
security-zone name Trust
import interface GigabitEthernet 1/0/1
quit
# 6. 基础安全策略，全量放行内网互联网流量
security-policy
rule 0 permit source-zone trust destination-zone untrust
rule 1 permit source-zone untrust destination-zone trust
quit
# 7. 入侵防御全局开启，加载特征库
ips enable
ips signature update auto
# 8. IPS策略绑定所有流量（深度检测攻击）
security-policy
rule 0 ips apply policy default
rule 1 ips apply policy default
quit
# 9. 管理路由（远程登录IPS）
ip route-static 0.0.0.0 0 192.168.1.1

三、出口防火墙配置（NQA 探测 + 浮动主备路由实现逃生）
plaintext
system-view
sysname FW
# 1. 业务主接口
interface GigabitEthernet 1/0/1
port link-mode bridge
port access vlan 10
quit
# 2. 逃生互联接口
interface GigabitEthernet 1/0/2
port link-mode route
ip address 10.0.0.1 255.255.255.0
quit
# 3. NQA探测主链路（检测IPS链路是否正常）
nqa entry admin test
type icmp-echo
destination ip 192.168.1.100 # 核心内网测试IP，用于探测整条主链路
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
quit
nqa schedule admin test start-time now lifetime forever
# 4. Track绑定NQA探测结果
track nqa entry admin test
quit
# 5. 浮动静态路由（主路由优先级60，逃生路由优先级200）
# 主路由：正常走IPS链路
ip route-static 192.168.1.0 255.255.255.0 GigabitEthernet 1/0/1 track nqa admin test preference 60
# 逃生备份路由：主链路故障自动生效，直连核心
ip route-static 192.168.1.0 255.255.255.0 10.0.0.2 preference 200
# 6. 互联网默认路由（根据实际出口调整）
ip route-static 0.0.0.0 0 运营商下一跳
# 7. 安全策略放行逃生网段互访
security-policy
rule 10 permit source-address 10.0.0.0 0.0.0.255 destination-address 10.0.0.0 0.0.0.255

四、单核心交换机配置（双向浮动路由，配合逃生）
plaintext
system-view
sysname Core
vlan 10
vlan 99
quit
# 1. 主链路接口（对接IPS）
interface GigabitEthernet 1/0/1
port link-type access
port access vlan 10
quit
# 2. 逃生直连防火墙接口
interface GigabitEthernet 1/0/2
port link-type route
ip address 10.0.0.2 255.255.255.0
quit
# 3. NQA探测主链路连通性
nqa entry admin test
type icmp-echo
destination ip 防火墙内网侧IP
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
quit
nqa schedule admin test start-time now lifetime forever
track nqa entry admin test
# 4. 双向浮动默认路由
# 主路由：走IPS链路访问互联网
ip route-static 0.0.0.0 0 GigabitEthernet 1/0/1 track nqa admin test preference 60
# 逃生备份路由：直连防火墙
ip route-static 0.0.0.0 0 10.0.0.1 preference 200
# 内网业务VLANIF网关
interface Vlan-interface 10
ip address 192.168.1.1 255.255.255.0
quit

五、切换逻辑说明
正常状态
NQA 探测可达，优先级 60 主路由生效，流量 FW→IPS→核心，IPS 做入侵防御检测；
IPS 链路 / 整机故障
NQA 连续 3 次 ICMP 失败，track 状态失效，主路由从路由表删除，优先级 200 逃生路由自动启用，流量 FW GE1/0/2 直连核心，绕过 IPS；
IPS 断电极端场景
硬件 Bypass 同步生效，GE1/0/0 与 GE1/0/1 物理导通，即使逻辑路由未切换，流量依然可通行；
故障恢复
NQA 探测恢复，主路由重新生效，流量自动切回 IPS 主链路，恢复入侵防御检测。
六、常用验证与排查命令
IPS 查看
plaintext
display interface pair bypass
display bridge 1
display ips policy all

防火墙 / 核心路由切换查看
plaintext
display nqa entry admin test
display track all
display ip routing-table

手动强制逃生（IPS 升级维护）
plaintext
# IPS手动开启静态Bypass，临时直通流量
interface pair GigabitEthernet 1/0/0 GigabitEthernet 1/0/1
bypass mode static
# 维护完成关闭静态Bypass
undo bypass mode static

七、关键注意事项
硬件 Bypass 仅支持成对物理接口，不能跨接口使用；
NQA 探测目标建议选用内网常驻终端 IP，避免探测目标关机导致误切换；
逃生 VLAN 仅做故障备份，正常业务流量不经过逃生链路，无 IPS 防护；
三层逃生网段（VLAN99）仅用于路由探测转发，不承载业务流量；
IPS 升级、特征库更新前，可手动开启 static bypass，业务零中断。
极简总结
两层保障：硬件接口 Bypass（断电直通）+ 逻辑浮动路由 NQA 逃生（软件 / 链路故障）；
正常流量经 IPS 做入侵防御，故障自动切防火墙 - 核心直连线；
三层设备配置浮动静态路由，主路由绑定 NQA 探测，备份路由低优先级做逃生。