安全防御:防火墙基本模块

目录

一、接口

[1.1 物理接口](#1.1 物理接口)

[1.2 虚拟接口](#1.2 虚拟接口)

二、区域

三、模式

[3.1 路由模式](#3.1 路由模式)

[3.2 透明模式](#3.2 透明模式)

[3.3 旁路检测模式](#3.3 旁路检测模式)

[3.4 混合模式](#3.4 混合模式)

四、安全策略

五、防火墙的状态检测和会话表技术


一、接口

1.1 物理接口

三层口 --- 可以配置IP地址的接口

二层口:

  1. 普通二层口
  2. 接口对---"透明网线" --- 可以将一个或者两个接口配置成为接口对,则数据从一个接口进,将不需要查看MAC地址表,直接从另一个接口出;
  3. 旁路检测接口

1.2 虚拟接口

环回接口

子接口

Vlanif

Tunnel

链路聚合

4个千兆Bypass其实是两对Bypass接口 --- 如果设备出现故障,则两个bypass将直接短接,形成通路,不影响网络数据的传输。

虚拟系统---VRF

虚拟系统互通使用的接口,每创建一个虚拟系统,将自动生成一个虚拟接口,仅需要配置IP地址即可 。

添加网关,将自动生成一条指向网关的缺省

这里管理的优先级高于安全策略,安全策略未放通,但是,这里勾选,则可以正常访问

接口对默认是trunk干道

二、区域

  • Trust --- 信任区
  • Untrust --- 非信任区
  • Local --- 防火墙上所有的接口都属于这个区域
  • DMZ --- 非军事化管理区域 --- 放置一些对外开放的服务器

将一个接口划入某一个区域,则代表将这个接口所连接的网络划分到对应区域中,而接口本身,永远属于Local。

优先级 --- 1 - 100 --- 从优先级高的区域到优先级低的区域 ---- 出方向 --- Outbound

从优先级低的区域到优先级高的区域 ---- 入方向 ---- inbound

三、模式

3.1 路由模式

1,接口IP地址,区域划分

2,写内网的回报路由

3,安全策略

4,内到外的NAT

5,服务器映射

3.2 透明模式

1,接口配置VLAN,以及划分区域

2,安全策略

3,增加设备的管理接口,用于控制管理设备以及设备的自我升级

3.3 旁路检测模式

3.4 混合模式

四、安全策略

防火墙的安全策略

传统包过滤技术 --- 其本质就是ACL访问控制列表,根据数据包的特征进行过滤,对比规则,执行对应的动作;

这里数据包的特征 --- 数据包的五元组 --- 源IP,目标IP,源端口,目标端口,协议

在安全策略中,可以执行两块内容:

  • 第一块做访问控制,允许或者拒绝通过;
  • 第二块是在允许通过的情况下,可以进行内容安全的检测,一体化检测。

下图中许多都是依靠条件匹配完成策略命中

所有匹配项之间的关系是"与",一条中如果可以多选,则多个选项之间为"或"关系

五、防火墙的状态检测和会话表技术

主要机制就是以数据流作为单位,仅针对首包进行检测,检测之后,将数据包的特征记录在本地的会话表中,之后,数据流中的其他数据包来到防火墙,不再匹配安全策略,则匹配会话表,根据会话表来进行转发。

回来的数据包会被检测是否符合协议定义的后续报文的要求。

1,会话表技术;2,状态检测技术

会话表技术 --- 提高转发效率的关键 --- 老化机制

  • 1,会话表老化时间过长 --- 占用资源,导致一些会话无法正常建立
  • 2,老化时间过短 --- 会导致一些需要长时间发送一次的报文强行终端,影响正常业务

在命令行中查看会话表:

<USG6000V1>display firewall session table
相关推荐
xisghiu43 分钟前
wpf livechart 绘制笛卡尔曲线
前端·网络·wpf
梆子井欢喜坨1 小时前
《Cloud Native Data Center Networking》(云原生数据中心网络设计)读书笔记 -- 05网络虚拟化
网络·云原生·php
SUGERBOOM1 小时前
【计算机网络】名词解释--网络专有名词详解
网络·计算机网络·智能路由器
愤怒的小阿淇这就开摆2 小时前
http的keepalive和tcp的keepalive
网络·tcp/ip·http
**之火2 小时前
HTTP 之 HTTP内容编码(七)
网络·网络协议·http
2401_857636392 小时前
网络缓存:加速网络应用的隐形引擎
网络·缓存
愤怒的小阿淇这就开摆2 小时前
HTTP无状态是什么意思?Cookie又是什么?
网络·网络协议·http
南京峟思工程仪器有限公司2 小时前
MCU数据采集模块:核心功能与工作机制深度解析
网络·人工智能·单片机
一丝晨光2 小时前
Http/Https 请求慢的解决办法
开发语言·网络·网络协议·http·面试·https·编程语言
penguin_bark2 小时前
【网络编程】第七章 应用层-http(url+telnet+请求+响应+https+加密+CA证书+DNS)
网络·http·https