防火墙
概述
- 与路由器对比
| 路由器 | 防火墙 | |
|---|---|---|
| 功能 | 寻址、流量转发、路由 | 流量控制、安全区域隔离防护 |
| 硬件 | - | 相较于路由器，多了SPU，用于DDoS攻击防范/匹配会话/状态检测/认证策略/安全策略/NAT 策略/内容安全带宽策略等 |
- 发展
- 安全区域
防火墙转发流量的形式，是从一个安全区域到另一个安全区域
| 安全区域security zone | 默认安全优先级 | 详情 |
|---|---|---|
| 非受信区域（untrust） | 低安全级别区域，优先级为5。 | 通常定义internet等不安全的网络 |
| 非军事化区域（dmz） | 中等安全级别区域，优先级为50。 | 通常定义内网服务器，经常被外网访问，不允许主动访问外网 |
| 受信区域（trust） | 较高安全级别区域，优先级为85。 | 通常定义内网终端用户 |
| 本地区域（local） | Local区域定义的是设备本身，例 如设备的接口。Local区域是最高 安全级别区域，优先级为100。 | 定义设备本身，local区域特殊，很多应用需要开放local与其他区域之间的安全策略 |
- 安全策略
- 会话表
首包到达防火墙，匹配成功，会建立session表项，后续流量会根据session表项转发
- 多通道协议问题
防火墙针对固定端口协议可控，但对于多通道的随机端口协议无法匹配，因为随机端口不可预测，无法建立会话表
比如FTP，服务器向客户端传输数据，使用的随机端口
ASPF针对应用层的包过滤功能，可以生产server-map，server-map中的应用层信息可以成功创建会话表
在防火墙配置了ASPF、NAT Server和No-PAT方式的源NAT时，都会生成相应的Server-map表项。
配置
bash
# 接口配置
interface [interface]
server-manage [protocal] [permit|deny] # 配置接口允许通过的协议
bash
# 安全区域
firewall zone name [name] # 创建安全区域，进入安全区域视图
set priority [1-100] # 优先级
add interface # 接口添加进安全区域
bash
# 安全策略
security-policy # 进入安全策略视图
rule name [name] # 创建规则，进入规则视图
source-zone # 匹配源安全区域
destination-zone # 匹配目的安全区域
source-address # 匹配源ip
destination-address # 匹配目的ip
server # 匹配协议服务
action [permit|deny] # 动作 实验
以前做过相关实验，可以参考一下
https://editor.csdn.net/md/?articleId=126262051
参考
https://support.huawei.com/hedex/hdx.do?docid=EDOC1100343281&id=ZH-CN_XTASK_0178932958