Fortinet FortiGate 300, Инструкция по установке и настройке

Страница: 175 / 282

防火墙配置 IP/MAC 绑 定
FortiGate-300 安装和配置指南
161
例如，如果 IP 地址为 1.1.1.1 和 MAC 地址为 12:34:56:78:90:ab:cd 的 IP/MAC 地
址对 已 经 添加 到 IP/MAC 地址绑 定列表 了 ：
· 一个 IP 地址为 1.1.1.1 ， MAC 地址为 12:34:56:78:90:ab:cd 的 数 据包将 被 允 许到
策略 列表中 搜索匹 配的 策略 。
· 一个 IP 地址为 1.1.1.1 ， 但 是 使用 了 不 同 MAC 地址 的 数 据包将 立 即 被丢 弃 ，以防 止
IP 欺骗 攻击 。
· 一个使用 了 不 同 IP 地址 但 是 MAC 地址是 12:34:56:78:90:ab:cd 的 数 据包 也 将 被丢
弃 以防 止 IP 欺骗 。
· 如果 这 个 数 据包的 IP 地址 和 MAC 地址 在 IP/MAC 地址绑 定列表 都 没 有定 义 ：
· 如果 IP/MAC 绑 定 被 设置 为 允 许 流通 ， 则允 许它 继续 去 匹 配防火墙的 策略 。
· 如果 IP/AMC 绑 定 被 设置 为 阻塞流通 ， 那 么 数 据包将 被阻塞 。
为 连接到防火墙的 数 据包配置 IP/MAC 绑 定
对 于可以 正常 连接到防火墙的 数 据包 （例如，管理 员 连接到 FortiGate 以 进 行管
理的时 候 ）， 通 过以 下操作 可以使用 IP/MAC 地址绑 定 对数 据包 进 行过滤。
1 进 入防火墙 > IP/MAC 绑 定 > 设置。
2 选 择 启用到防火墙的 IP/MAC 绑 定。
3 进 入防火墙 > IP/MAC 绑 定 > 静态 IP/MAC 。
4 单击 新 建 在 IP/MAC 地址 列表中 添加 新的 IP/MAC 地址绑 定 对 。
所有能 正常 连接到防火墙的 数 据包 都 将 首 先 在 IP/MAC 绑 定列表中 查找匹 配的
IP/MAC 地址对 。
例如，如果 IP 地址为 1.1.1.1 和 MAC 地址为 12:34:56:78:90:ab:cd 的 IP/MAC 地
址对 已 经 添加 到 IP/MAC 地址绑 定列表 了 ：
· 一个 IP 地址为 1.1.1.1 ， MAC 地址为 12:34:56:78:90:ab:cd 的 数 据包将 被 允 许连
接到防火墙
· 一个 IP 地址为 1.1.1.1 ， 但 是 使用 了 不 同 MAC 地址 的 数 据包将 立 即 被丢 弃 ，以防 止
IP 欺骗 攻击 。
· 一个使用 了 不 同 IP 地址 但 是 MAC 地址是 12:34:56:78:90:ab:cd 的 数 据包 也 将 被丢
弃 以防 止 IP 欺骗 。
· 如果 这 个 数 据包的 IP 地址 和 MAC 地址 在 IP/MAC 地址绑 定列表 都 没 有定 义 ：
· 如果 IP/MAC 绑 定 被 设置 为 允 许 流通 ， 则允 许它连接到防火墙。
· 如果 IP/AMC 绑 定 被 设置 为阻塞流通 ， 那 么 数 据包将 被阻塞 。
添加 IP/MAC 地址
1 进 入防火墙 > IP/MAC 绑 定 > 静态 IP/MAC 。
2 单击 新 建 以 添加 IP 地址 /MAC 地址对 。
3 输 入 IP 地址 和 对应 的 MAC 地址 。
可以在 同 一个 MAC 地址上绑 定多个 IP 地址 。 但 是 不能 把 多个 MAC 地址绑 定到 同 一个
IP 地址上 。
然 而 ，您可以 为 多个 MAC 地址 设置 IP 地址为 0.0.0.0 的 绑 定。 这 意 味着 来 自 这些 地
址 的所有 数 据包 都 可以 匹 配 IP/MAC 地址绑 定列表。
类似 地 ，您 也 可以 为 多个 IP 地址 设置 MAC 地址为 00:00:00:00:00:00 的 IP 地址绑 定。
这 意 味着 所有 来 自 这些 IP 地址 的 数 据包 都 可以 匹 配 IP/MAC 地址绑 定列表。