防火墙简单介绍

最新推荐文章于 2024-05-14 17:05:47 发布

CS@DN@LHG

最新推荐文章于 2024-05-14 17:05:47 发布

阅读量622

点赞数

文章标签：计算机网络网络 Powered by 金山文档

本文链接：https://blog.csdn.net/lovelhg/article/details/129542941

版权

防火墙

华为防火墙

防火墙用于隔离LAN与WAN

所有进出内网的流量都要经过防火墙

强化安全策略

使用策略限制内外网互访

防止来自外部的威胁

记录用户的上网行为

隐藏内部站点或拓扑

防火墙和路由器实现安全控制的区别

防火墙发展历史

DPI系统

防火墙分类

防火墙对比

防火墙工作模式

路由模式

透明模式

混合模式

安全区域划分

Trust 85

用于连接内网区域，安全性高

Untrust 5

连接外网区域，安全性低

DMZ 50

用于连接需对外发布的服务器区安全性中等

Local 100

用于连接防火墙本身网络，安全性最高

安全区域	安全级别	说明
Local	100	设备本身，包括设备的各接口本身。
Trust	85	通常用于定义内网终端用户所在区域。
DMZ	50	通常用于定义内网服务器所在区域。
Untrust	5	通常用于定义Internet等不安全的网络。

默认情况下华为防火墙拒绝任何区域之间的流量，如需放行指定的流量，需要管理员设置策略

状态检测和会话机制

1、

2、

防火墙收到客户的访问请求后会建立一个连接表，把目的地址和源地址进行对应

3、

4、

安全策略

可以设置多条策略

类似于ACL，每条策略都有匹配条件

满足条件后执行的动作

当动作为允许是，可以基于配置文件对应用层监控

可以针对匹配规则情况记录日志

安全策略是按一定规则设备安全域间的流量进行转发和内容安全一体化检测的策略

规则的本质是包过滤

FW安全策略的处理流程

安全策略配置流程

ASPF与Server-map表

单通道协议：通信过程中只需占用一个端口的协议。如：WWW只需占用80端口。

多通道协议：通信过程中需占用两个或两个以上端口的协议。如FTP被动模式下需占用21号端口以及一个随机端口。

大部分多媒体应用协议（如H.323、SIP音视频传输）、FTP、netmeeting等协议使用约定的固定端口来初始化一个控制连接，再动态的选择端口用于数据传输。端口的选择是不可预测的，其中的某些应用甚至可能要同时用到多个端口。传统的包过滤防火墙可以通过配置ACL过滤规则匹配单通道协议的应用传输，保障内部网络不受攻击，但只能阻止一些使用固定端口的应用，无法匹配使用协商出随机端口传输数据的多通道协议应用

由于某些特殊应用会在通信过程中临时协商端口号等信息，所以需要设备通过检测报文的应用层数据，自动获取相关信息并创建相应的会话表项，以保证这些应用的正常通信。这个功能称为ASPF应用层报文过滤（Application Specific Packet Filter），所创建的会话表项叫做Server-map表。

Server-map表相当于在防火墙上开通了“隐形通道”，使得像FTP这样的特殊应用的报文可以正常转发。当然这个通道不是随意开的，是防火墙分析了报文的应用层信息之后，提前预测到后面报文的行为方式，所以才打开了这样的一个通道。

Server-map通常只是用检查首个报文，通道建立后的报文还是根据会话表来转发。

Server-map表在防火墙转发中非常重要，不只是ASPF会生成，NAT Server等特性也会生成Server-map表。

Server-map表与会话表的关系：

Server-map表记录了应用层数据中的关键信息，报文命中该表后，不再受安全策略的控制；

会话表是通信双方连接状态的具体体现；

Server-map表不是当前的连接信息，而是防火墙对当前连接分析后得到的即将到来报文的预测；

防火墙收到报文先检查是否命中会话表；

如果没有命中则检查是否命中Server-map表；

命中Server-map表的报文不受安全策略控制；

防火墙最后为命中Server-map表的数据创建会话表。

双机热备

双机热备要求：

两台防火墙用于心跳线的接口加入相同的安全区域

两台防火墙用于心跳线的接口的设备编号必须一致，如都是G1/0/1

建议用于双机热备的两台防火墙采用相同的型号、相同的VRP版本

双机热备：

同一时间只有一台防火墙转发数据包，其他防火墙不转发数据包，但是会同步会话表以及server-map表

负载均衡：

同一时间多台防火墙同时转发数据包，但每个防火墙又作为其他防火墙的备用设备，即每个防火墙既是主用设备也是备用设备。防火墙之间同步会话表以及server-map表

VRRP

热备模式

负载均匀模式

HSRP和VRRP

	HSRP	VRRP
协议类型	专有协议	公有协议
虚拟IP	不可以是成员路由器IP	可以是成员路由器IP
虚拟MAC	00-00-0C-07-AC-组号	00-00-5e-00-01-VRID
工作状态	五个	三个
报文	三种（hello、政变、辞职）	一种（VRRP通告报文）
特性	支持接口跟踪	不支持接口跟踪