防火墙 安全策略

介绍安全策略的定义和特点。

设备能够识别出流量的属性，并将流量的属性与安全策略的条件进行匹配。如果所有条件都匹配，则此流量成功匹配安全策略。流量匹配安全策略后，设备将会执行安全策略的动作。

1.如果动作为“允许”，则对流量进行内容安全检测。最终根据内容安全检测的结论来判断是否对流量进行放行。

2.如果动作为“禁止”，则禁止流量通过。

内容安全一体化检测是指使用设备的智能感知引擎对一条流量的内容只进行一次检测和处理，就能实现包括反病毒、入侵防御、URL过滤、DNS过滤、文件过滤、内容过滤、应用行为控制、邮件过滤、APT防御在内的内容安全功能，通过各种内容安全功能来保证网络安全。

传统防火墙的包过滤

   传统防火墙根据五元组（源地址、目的地址、源端口、目的端口、协议类型）来控制流量在安全区域间的转发。如图1所示，如果希望只有市场部的主机（192.168.1.0/24网段）能够浏览Internet网页，则需要在trust和untrust区域间配置源地址为192.168.1.0/24、目的地址为any、协议为HTTP（或目的端口为80）、动作为允许的包过滤规则。

下一代防火墙的安全策略

下一代防火墙的安全策略不仅可以完全替代包过滤的功能，还进一步实现了基于用户和应用的流量转发控制，而且还可以对流量的内容进行安全检测和处理。下一代防火墙的安全策略可以更好的适应新时代网络的特点，满足新时代网络的需求。

如图2所示，制定安全策略1可以阻止市场部的用户使用IM和游戏应用，制定安全策略2允许市场部的用户浏览Internet网页并且对浏览的内容进行检测，防止病毒和黑客的入侵。默认安全策略会禁止研发部员工访问Internet。

下一代防火墙的安全策略体现了以下优势：

能够通过“用户”来区分不同部门的员工，使网络的管理更加灵活和可视。
能够有效区分协议（例如HTTP）承载的不同应用（例如网页IM、网页游戏等），使网络的管理更加精细。
能够通过安全策略实现内容安全检测，阻断病毒、黑客等的入侵，更好的保护内部网络。

实验拓补图

实验步骤

s1的配置

[s1]interface Vlanif  10 
[s1-Vlanif10]ip address 192.168.10.254 24
[s1-Vlanif10]interface Vlanif 100
[s1-Vlanif100]ip address 192.168.12.2 24
[s1]interface GigabitEthernet 0/0/1
[s1-GigabitEthernet0/0/1]port link-type access
[s1-GigabitEthernet0/0/1]port default vlan 100
[s1]interface GigabitEthernet 0/0/2
[s1-GigabitEthernet0/0/2]port link-type access 
[s1-GigabitEthernet0/0/2]port default vlan 10
[s1-GigabitEthernet0/0/2]interface GigabitEthernet 0/0/3
[s1-GigabitEthernet0/0/3]port link-type access
[s1-GigabitEthernet0/0/3]port default vlan 10
[s1]interface Vlanif 10
[s1-Vlanif10]dhcp select interface   //给vlan10自动分配IP地址
[s1]ip route-static 0.0.0.0 0.0.0.0 10.0.12.1   //配置一条默认路由

fw1的配置

[FW1]interface GigabitEthernet 1/0/2
[FW1-GigabitEthernet1/0/2]ip address 10.0.12.1 24
[FW1-GigabitEthernet1/0/2]un shutdown 
[FW1-GigabitEthernet1/0/2]interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 172.16.1.1 24
[FW1]firewall zone  trust          //进入区域
[FW1-zone-trust]add interface GigabitEthernet 1/0/2       //将接口放入区域
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/1
[FW1]ip route-static 192.168.10.0 24 10.0.12.2
[FW1]ip route-static 0.0.0.0 0.0.0.0 172.16.1.2

开始定义安全策略

[FW1]security-policy
[FW1-policy-security]rule name t_2_u
[FW1-policy-security-rule-t_2_u]source-zone trust 
[FW1-policy-security-rule-t_2_u]destination-zone untrust 
[FW1-policy-security-rule-t_2_u]source-address 192.168.10.0 mask 255.255.255.0
[FW1-policy-security-rule-t_2_u]action permit

配置r1

[r1]interface GigabitEthernet 0/0/0
[r1-GigabitEthernet0/0/0]ip address 172.16.1.2 24
[r1]interface LoopBack 0
[r1-LoopBack0]ip address 1.1.1.1 32
[r1]ip route-static 192.168.10.0 24 172.16.1.1     //配置路由
[r1]user-interface vty 0 4      //配置vty
[r1-ui-vty0-4]authentication-mode password     //配置模式
Please configure the login password (maximum length 16):hwawei   //配置密码

这样就有了去10网段的路由

<swl>telnet -a 192.160.10.254-1.1.1.1
Trying 1.1.1.1 ...
Press CTRL+K to abort
Connected to 1.1.1.1 ...
Login authentication
Password: