DATACOM-防火墙-复习-实验

防火墙

概述

  • 与路由器对比
路由器 防火墙
功能 寻址、流量转发、路由 流量控制、安全区域隔离防护
硬件 - 相较于路由器,多了SPU,用于DDoS攻击防范/匹配会话/状态检测/认证策略/安全策略/NAT 策略/内容安全带宽策略等
  • 发展
  • 安全区域

防火墙转发流量的形式,是从一个安全区域到另一个安全区域

安全区域security zone 默认安全优先级 详情
非受信区域(untrust) 低安全级别区域,优先级为5。 通常定义internet等不安全的网络
非军事化区域(dmz) 中等安全级别区域,优先级为50。 通常定义内网服务器,经常被外网访问,不允许主动访问外网
受信区域(trust) 较高安全级别区域,优先级为85。 通常定义内网终端用户
本地区域(local) Local区域定义的是设备本身,例 如设备的接口。Local区域是最高 安全级别区域,优先级为100。 定义设备本身,local区域特殊,很多应用需要开放local与其他区域之间的安全策略
  • 安全策略

  • 会话表

首包到达防火墙,匹配成功,会建立session表项,后续流量会根据session表项转发

  • 多通道协议问题

防火墙针对固定端口协议可控,但对于多通道的随机端口协议无法匹配,因为随机端口不可预测,无法建立会话表

比如FTP,服务器向客户端传输数据,使用的随机端口
ASPF针对应用层的包过滤功能,可以生产server-map,server-map中的应用层信息可以成功创建会话表

在防火墙配置了ASPF、NAT Server和No-PAT方式的源NAT时,都会生成相应的Server-map表项。

配置

bash 复制代码
# 接口配置
interface [interface]
server-manage [protocal] [permit|deny] # 配置接口允许通过的协议
bash 复制代码
# 安全区域
firewall zone name [name] # 创建安全区域,进入安全区域视图
set priority [1-100] # 优先级
add interface # 接口添加进安全区域
bash 复制代码
# 安全策略
security-policy # 进入安全策略视图
rule name [name] # 创建规则,进入规则视图
source-zone # 匹配源安全区域
destination-zone # 匹配目的安全区域
source-address # 匹配源ip
destination-address # 匹配目的ip
server # 匹配协议服务
action [permit|deny] # 动作 

实验

以前做过相关实验,可以参考一下
https://editor.csdn.net/md/?articleId=126262051

参考

https://support.huawei.com/hedex/hdx.do?docid=EDOC1100343281&id=ZH-CN_XTASK_0178932958

相关推荐
鲸屿1952 小时前
Ansible之playbook
服务器·网络·ansible
绝世剑仙纪宁3 小时前
TCP 三次握手、四次挥手
网络·网络协议·tcp/ip
索迪迈科技3 小时前
HTTP中Payload的含义解析
网络·网络协议·http
时空潮汐4 小时前
我用神卓 NAT 公网 IP 盒子搭建《我的世界》联机的经历
网络·网络协议·tcp/ip
liulilittle4 小时前
HTTP/3.0:网络通信的技术革新与性能飞跃
网络·网络协议·http·https·quic·流媒体·通信
岑梓铭4 小时前
计算机网络第四章(4)——网络层《ARP协议》
网络·笔记·tcp/ip·计算机网络·考研·408
Linux运维技术栈4 小时前
域名网页加载慢怎么解决:从测速到优化的全链路性能优化实战
运维·网络·nginx·性能优化·cloudflare
北极光SD-WAN组网4 小时前
基于智能组网设备的港口网络安全闭环管控方案设计与实践
网络·安全·web安全
妳人話5 小时前
TCP的三次握手和四次挥手
网络·网络协议·tcp/ip
纳祥科技5 小时前
分享:一种为蓝牙、WIFI、U段音频发射设备提供ARC回传数字音频桥接功能的方案
网络·单片机·音视频