学习笔记：FW的虚拟系统

总体介绍

• 虚拟防火墙（Virtual System）是在一台物理设备上划分出的多台相互独立的逻辑设备。每个虚拟防火墙相当于一台真实的设备，有自己的接口、地址集、用户/组、路由表项以及策略，并可通过虚拟防火墙管理员进行配置和管理。

虚拟防火墙特点：

• 管理独立
每个虚拟防火墙由独立的管理员进行管理，使得多个虚拟防火墙的管理更加清晰简单，所以非常适合大规模的组网环境。
• 表项独立
每个虚拟防火墙拥有独立的配置及路由表项，这使得虚拟防火墙下的局域网即使使用了相同的地址范围，仍然可以正常进行通信。
• 资源固定
可以为每个虚拟防火墙分配固定的防火墙资源，保证不会因为一个虚拟防火墙的业务繁忙而影响其他虚拟防火墙。
• 流量隔离
虚拟防火墙之间的流量相互隔离，更加安全。在需要的时候，虚拟防火墙之间也可以进行安全互访。
• 虚拟防火墙实现了硬件资源的有效利用，节约了空间、能耗以及管理成本。

应用场景

• 通常大中型企业的网络为多地部署，设备数量众多，网络环境复杂。而且随着企业业务规模的不断增大，各业务部门的职能和权责划分也越来越清晰，每个部门都会有不同的安全需求。这些将导致防火墙的配置异常复杂，管理员操作容易出错。通过防火墙的虚拟化技术，可以在实现网络隔离的基础上，使得业务管理更加清晰和简便。
• 通过多个虚拟防火墙将各部门的网络隔离开来。各部门的虚拟防火墙由本部门的IT管理员管理。各管理员可以根据自身部门要求配置不同的上网认证策略、安全策略、带宽策略等。
• 各部门之间可以根据权限互相访问，不同部门的管理员权限区分明确。各部门通过共享根防火墙的接口进行Internet互联。企业内网用户可以根据不同部门的权限访问Internet的特定网站（或者内网资源）。

• 新兴的云计算技术，其核心理念是将网络资源和计算能力存放于网络云端。网络用户只需通过网络终端接入公有网络，就可以访问相应的网络资源，使用相应的服务。在这个过程中，不同用户之间的流量隔离、安全防护和资源分配是非常重要的一环。通过配置虚拟防火墙，就可以让部署在云计算中心出口的防火墙具备云计算网关的能力，对用户流量进行隔离的同时提供强大的安全防护能力。

虚拟防火墙原理

• NGFW上存在两种类型的虚拟防火墙：
• 根防火墙(public)：
o 根防火墙是防火墙上缺省存在的一个特殊的虚拟防火墙。即使虚拟防火