DATACOM-防火墙-复习-实验

防火墙

概述

  • 与路由器对比
路由器 防火墙
功能 寻址、流量转发、路由 流量控制、安全区域隔离防护
硬件 - 相较于路由器,多了SPU,用于DDoS攻击防范/匹配会话/状态检测/认证策略/安全策略/NAT 策略/内容安全带宽策略等
  • 发展
  • 安全区域

防火墙转发流量的形式,是从一个安全区域到另一个安全区域

安全区域security zone 默认安全优先级 详情
非受信区域(untrust) 低安全级别区域,优先级为5。 通常定义internet等不安全的网络
非军事化区域(dmz) 中等安全级别区域,优先级为50。 通常定义内网服务器,经常被外网访问,不允许主动访问外网
受信区域(trust) 较高安全级别区域,优先级为85。 通常定义内网终端用户
本地区域(local) Local区域定义的是设备本身,例 如设备的接口。Local区域是最高 安全级别区域,优先级为100。 定义设备本身,local区域特殊,很多应用需要开放local与其他区域之间的安全策略
  • 安全策略

  • 会话表

首包到达防火墙,匹配成功,会建立session表项,后续流量会根据session表项转发

  • 多通道协议问题

防火墙针对固定端口协议可控,但对于多通道的随机端口协议无法匹配,因为随机端口不可预测,无法建立会话表

比如FTP,服务器向客户端传输数据,使用的随机端口
ASPF针对应用层的包过滤功能,可以生产server-map,server-map中的应用层信息可以成功创建会话表

在防火墙配置了ASPF、NAT Server和No-PAT方式的源NAT时,都会生成相应的Server-map表项。

配置

bash 复制代码
# 接口配置
interface [interface]
server-manage [protocal] [permit|deny] # 配置接口允许通过的协议
bash 复制代码
# 安全区域
firewall zone name [name] # 创建安全区域,进入安全区域视图
set priority [1-100] # 优先级
add interface # 接口添加进安全区域
bash 复制代码
# 安全策略
security-policy # 进入安全策略视图
rule name [name] # 创建规则,进入规则视图
source-zone # 匹配源安全区域
destination-zone # 匹配目的安全区域
source-address # 匹配源ip
destination-address # 匹配目的ip
server # 匹配协议服务
action [permit|deny] # 动作 

实验

以前做过相关实验,可以参考一下
https://editor.csdn.net/md/?articleId=126262051

参考

https://support.huawei.com/hedex/hdx.do?docid=EDOC1100343281&id=ZH-CN_XTASK_0178932958

相关推荐
guts°1 小时前
10-ACL技术
网络·网络协议
群联云防护小杜1 小时前
深度隐匿源IP:高防+群联AI云防护防绕过实战
运维·服务器·前端·网络·人工智能·网络协议·tcp/ip
2301_780789666 小时前
UDP和TCP的主要区别是什么
服务器·网络协议·web安全·网络安全·udp
_丿丨丨_7 小时前
XSS(跨站脚本攻击)
前端·网络·xss
一只栖枝8 小时前
HCIA-Security 认证精讲!网络安全理论与实战全掌握
网络·web安全·网络安全·智能路由器·hcia·it·hcia-security
FileLink跨网文件交换8 小时前
文件摆渡系统十大软件|文件摆渡系统如何构建网络安全呢?
网络
晨欣11 小时前
大型语言模型(LLM)在网络安全中最具商业价值的应用场景(Grok3 回答 DeepSearch模式)
网络·web安全·语言模型
有书Show11 小时前
个人IP的塑造方向有哪些?
网络·网络协议·tcp/ip
HHRL-yx11 小时前
C++网络编程 5.TCP套接字(socket)通信进阶-基于多线程的TCP多客户端通信
网络·c++·tcp/ip
迈威通信11 小时前
接口黑洞?破!安全堡垒?筑!冰火炼狱?战!MES7114W终极掌控
网络·安全