华为防火墙技术基本概念学习笔记

1.防火墙概述

1.1防火墙与交换机、路由器对比

路由器与交换机的本质是转发，防火墙的本质是控制。

防火墙与路由器、交换机是有区别的。路由器用来连接不同的网络，通过路由协议保证互联互通，确保将报文转发到目的地;交换机则通常用来组建局域网，作为局域网通信的重要枢纽，通过二层/三层交换快速转发报文;而防火墙主要部署在网络边界，对进出网络的访问行为进行控制，安全防护是其核心特性。路由器与交换机的本质是转发，防火墙的本质是控制。

现阶段中低端路由器与防火墙有合一趋势，主要也是因为二者互相功能兼具，变成all in one的目标，华为也发布了一系列中低端设备。

1.2防火墙和路由器实现安全控制的区别

综上所述，用户是否使用防火墙的一个根本条件是用户对网络安全的需求。用户的网络拓扑结构的简单与复杂、用户应用程序的难易程度不是决定是否应该使用防火墙的标准。即使用户的网络拓扑结构和应用都非常简单，使用防火墙仍然是必需的和必要的;如果用户的环境、应用比较复杂，那么防火墙将能够带来更多的好处，防火墙将是网络建设中不可或缺的一部分，对于通常的网络来说，路由器将是保护内部网的第一道关口，而防火墙将是第二道关口，也是最为严格的一道关口。

1.3防火墙的发展历史

起初，在上世纪80年代末期，随着计算机网络和互联网的快速发展，防火墙技术应运而生。最早的防火墙主要基于包过滤技术，通过检查数据包的源地址、目的地址和端口号等信息来决定是否允许数据包通过。这种防火墙技术相对简单，但为网络安全提供了基本的防护。

随后，在90年代初，防火墙技术开始发展，出现了状态检测防火墙。这种防火墙能够跟踪每个连接的状态信息，使数据包过滤变得更加智能和准确。同时，代理防火墙技术也开始应用，通过在客户端和服务器之间充当中介来过滤和转发流量，有效检测和防御应用层攻击。

进入90年代中期，防火墙技术进一步发展，出现了更多增值性功能，如VPN、NAT等。同时，商业化的防火墙产品也开始涌现，如以色列的Check Point公司开发出了第一个采用状态检测技术的商业化产品。

到了21世纪初，统一威胁管理（UTM）设备开始出现，将防火墙、入侵检测系统、防病毒、内容过滤等多种安全功能集成到一个设备中，提供更加全面的安全防护。

近年来，随着云计算和大数据技术的兴起，防火墙技术也在不断革新。下一代防火墙（NGFW）应运而生，结合包过滤、状态检测、应用层过滤和其他高级功能，提供更全面和精细的网络安全防护。同时，云防火墙也开始广泛应用，能够在云环境中提供安全防护。

目前，防火墙技术仍在不断发展中，结合人工智能和机器学习等技术，提高威胁检测的准确性和响应速度，并向零信任架构迈进，以更好地应对网络安全威胁。

1.4为什么需要安全区域

为了在防火墙上区分不同的网络，我们在防火墙上引入了一个重要的概念:安全区域(Security Zone),简称为区域(Zone)。安全区域是一个或多个接口的集合，是防火墙区别于路由器的主要特性。防火墙通过安全区域来划分网络、标识报文流动的"路线"一般来说，当报文在不同的安全区域之间流动时，才会受到控制。

我们都知道，防火墙通过接口来连接网络，将接口划分到安全区域后，通过接口就把安全区域和网络关联起来。通常说某个安全区域，就可以表示该安全区域中接口所连接的网络接口、网络和安全区域的关系如图所示。

1.4.1将接口划分到安全区域