防御保护小结

第三天

安全策略

传统的包过滤防火墙 --- 其本质为ACL列表，根据 数据报中的特征 进行过滤，之后对比规制，

执行动作。

五元组 --- 源IP，目标IP，源端口，目标端口，协议

安全策略 --- 相较于ACL的改进之处在于，首先，可以在更细的颗粒度下匹配流量，另一方面

是可以完成 内容安全 的检测。

安全策略 --- 1，访问控制（允许和拒绝）

2，内容检测 --- 如果允许通过，则可以进行内容检测

需求：DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间（9：00 - 18：00）

访问，办公区的设备全天都可以访问。

以上部分均为流量匹配条件

每一项之间的关系为“与”关系，如果不进行选择，则默认为any；

多选的里面，每一项之间的关系为“或”

防火墙的状态检测和会话表

基于流的流量检测 --- 即设备仅对流量的第一个数据包进行过滤，并将结果作为这一条数据流

的“特征”记录下来（记录在本地的 “会话表” ），之后，该数据流后续的报文都将基于这个

特征来进行转发，而不再去匹配安全策略。这样做的目的是为了提高转发效率。

当web服务器给PC进行回报时，来到防火墙上，防火墙会将报文中的信息和会话表的信

息进行性比对，如果，发现报文中的信息与会话表中的信息相匹配，并且， 符合协议规

范对后续报文的定义 ，则认为该数据包属于PC，可以允许该数据包通过。

1，会话表；2，状态检测

分区 20240121防御保护寒假班 的第 4

1，会话表 --- 会话表本身也是基于5元组来区分流量，会话表在比对时，会通过计算

HASH来比较五元组。因为HASH定长，所以，可以基于硬件进行处理，提高转发效

率。

因为会话表中的记录只有在流量经过触发时才有意义，所以，如果记录长时间不被触

发，则应该删除掉。即会话表中的记录应该存在 老化时间 。如果会话表中的记录被删除

掉之后，相同五元组的流量再通过防火墙，则应该由其首包重新匹配安全策略，创建会

话表， 如果无法创建会话表，则将丢弃该数据流的数据 。

如果会话表的老化时间过长：会造成系统资源的浪费，同时，有可能导致新的会话表项

无法正常建立

如果会话表的老化时间过短：会导致一些需要长时间首发一次的报文连接被系统强行中

断，影响业务的转发。

不同协议的会话表老化时间是不同

数据通过防火墙的流程：

第四天

ftp 文件传输协议

FTP协议是一个典型的C/S架构的协议

Tftp --- 简单文件传输协议

1，FTP相较于Tftp存在认证动作

2，FTP相较于Tftp拥有一套完整的命令集

FTP工作过程中存在两个进程，一个是控制进程，另一个是数据的传输进程，所以，需要使用

两个端口号20，21

并且，FTP还存在两种不同的工作模式 --- 主动模式，被动模式

主动模式：

被动模式：

防火墙的用户认证

防火墙管理员登录认证 --- 检验身份的合法性，划分身份权限

用户认证 --- 上网行为管理的一部分

用户，行为，流量 --- 上网行为管理三要素

用户认证的分类

上网用户认证 --- 三层认证 --- 所有的跨网段的通信都可以属于上网行为。正对这些行

为，我们希望将行为和产生行为的人进行绑定，所以，需要进行上网用户认证。

入网用户认证 --- 二层认证 --- 我们的设备在接入网络中，比如插入交换机或者接入wifi

后，需要进行认证才能正常使用网络。

接入用户认证 --- 远程接入 --- VPN --- 主要是校验身份的合法性的

防火墙的NAT

静态NAT --- 一对一

动态NAT --- 多对多

NAPT --- 一对多的NAPT --- easy ip

--- 多对多的NAPT

服务器映射

源NAT --- 基于源IP地址进行转换。我们之前接触过的静态NAT，动态NAT，NAPT都属于源

NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网

目标NAT --- 基于目标IP地址进行转换。我们之前接触过的服务器映射就属于目标NAT。是为

了保证公网用户可以访问内部的服务器

双向NAT --- 同时转换源IP和目标IP地址

第五天

配置黑洞路由

--- 黑洞路由即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指

向空接口的路由，不然，在特定环境下会出现环路。（主要针对地址池中的地址和出接口地址

不再同一个网段中的场景。）

决定了使用的是动态NAT还是NAPT的逻辑。

高级

NAT类型 --- 五元组NAT --- 针对源IP，目标IP，源端口，目标端口，协议 这五个参数识别出

的数据流进行端口转换

三元组NAT --- 针源IP，源端口，协议 三个参数识别出的数据流进行端口转换

在保留地址中的地址将不被用于转换使用

动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记

录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况

下，是可以访问到内网的设备。

基于端口的NAT转换，是不会生成server-map表的。

三元组

因为P2P应在端口转换的情况下，识别五元组，将导致P2P客户端之间无法直接访问，不符合

五元组的筛选条件，所以，这种场景下可以使用三元组NAT，放宽筛选条件，保证P2P客户端

之间可以正常通信。

第六天

防火墙的智能选路

就近选路 --- 我们希望在访问不同运营商的服务器是，通过对应运营商的链路。这样可以提高

通信效率，避免绕路。

策略路由 -- PBR

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对

一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一。

策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维

度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐

含一条不做策略的规则，即所有没有匹配上策略路由的流量，都将匹配传统路由表进行

转发。

如果存在多条策略路由，则匹配规则也是自上而下，逐一匹配，如果匹配上了，则按照

对应动作执行，不再向下匹配；

DSCP优先级 --- 相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），

之后下游设备会根据优先级来差异化保证流量的通过。

动作：

转发 --- 可以定义其转发的方式

转发其他虚拟系统 --- VRF

不做策略路由

监控 --- 当策略是单出口时，如果这里写的下一跳和出接口不可达，报文将直接被FW丢

弃。为了提高可靠性，我们可以配置针对下一跳的监控，即使下一跳不可达，也可以继

续查找本地路由表，而不是直接丢弃.

智能选路 --- 全局路由策略

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过

载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以

从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中

按照比例转发。

权重是由网络管理员针对每一条链路手工分配的，分配之后，将按照权重比例分配流

量。

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1，接口没有配置过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故

障，则优先级次高的链路开始转发流量。其余链路依旧不工作。

2，接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超

过保护阈值，则优先级次高的链路开始工作。