0x01 前言

有时候在测试开源IDS和IPS软件的时候需要模拟一整套网络环境,而这套环境又需要一个软路由,所以我一直用虚拟化的内联口通过配置vlan实现相互连接。另外需要通过其他虚拟机向目标网络发送恶意数据包,而这则需要用到策略路由来避免误伤到生产环境的网络。

这篇文章里的所有网络设备都是虚拟的,尽可能降低不必要的支出。

0x02 VLAN与端口配置

 

简单的架构图如上,首先要配置分布式端口组,也就是DGP。因为我生产环境的pfSense不能停机,所以通过vlan创建出一个WAN接口。默认情况下,DGP都是处于vlan中继的模式,而这里需要指定vlan id:

这类似给access口配置特定的vlan id,而中继则类似trunk。上图中的配置是提供给pfSense(测试)接入使用的,因为这个pfSense可以随意关机和调整,为了方便,直接改动端口的vlan id即可。

生产环境则需要使用中继模式,然后在Interfaces / VLANs中配置:

紧接着来到Interfaces / Interface Assignments界面添加端口即可:

在配置端口信息之前需要来到System / Routing / Gateways添加一个网关,网关IP为pfSense(测试)的LAN口IP:

然后再回到端口的配置界面,填入相关信息并选择刚刚创建的网关:

至此,应该可以通过生产环境直接访问测试环境的pfSense,而测试环境需要访问公网的话,还需要接入到生产环境的LAN口,如本章节开头的架构图所示。

0x03 策略路由

因为测试需要模拟的设备较多,经常会出现需要添加一大堆IP的情况,所以在配置策略路由之前先配置别名,来到Firewall / Aliases / Edit按需添加即可:

然后来到Firewall / Rules创建一个规则:

按需配置基本信息,其中Destination可以配置反向策略,将内网或者某些特定的IP段剔除。

最后来到页面底部选择刚才创建的网关

最终保存即可,结果如下:

0x04 结语

都是虚拟化的,可以模拟很多常见的网络环境,而pfSense也足够强大,完全可以替代办公网络的路由器。