网络安全1.0

什么是防火墙

防火墙是一种隔离（非授权用户在区域间）并过滤（对受保护网络有害流量或数据包）的设备。

包过滤防火墙----访问控制列表技术---三层技术

简单、速度快

检查的颗粒度粗

代理防火墙----中间人技术---应用层

降低包过滤颗粒度的一种做法，区域之间通信使用固定设备。

代理技术只能针对特定的应用来实现，应用间不能通用。

技术复杂，速度慢

能防御应用层威胁，内容威胁

什么是状态防火墙

在包过滤（ACL表）的基础上增加一个会话表，数据包需要查看会话表来实现匹配。

会话表可以用hash来处理形成定长值，使用CAM芯片处理，达到交换机的处理速度。

首包机制

细颗粒度

速度快

默认状态下只有首包（会话建立的第一个包非信息的第一个包）才能创建会话表

实验一

在云上配备端口

启动防火墙进入接口配置ip开启允许所有

在浏览器输入169.254.83.1登录防火墙

配置防火墙接口g1/0/0和trust区域

配置untrust区域和g1/0/1

对用户设备完成基础ip配置

配置策略

测试策略

二层交换

修改一个同pc1相同的网段

配置接口对

实验二

配置防火墙

给r1配置ip

配置sever1

在接口列表里面给GE1/0/0接口配置IP，启动访问管理选ping

在防火墙GE1/0/0接口上写一条静态路由

配置trust区

先给交换机LSW1接口配置划分VLAN2和VLAN3

vlan2 g0/0/1接口

vlan3 g0/0/2接口

PC1上

防火墙上

写一条到达10.1.2.0/24网段的路由

最后用PC1ping防火墙的接口

接口聚合

交换机上

做接口汇聚

做两条vlan接口

测试

区域内部已经互通

配置防火墙策略

trust 到 untrust

给路由器r1上写一条缺省，作为回包路由

给交换机上写一条缺省

PC1ping外网

命中该条策略

trust 到 dmz

给dmz区建立地址组

写策略

untrust 到指定dmz