防火墙处理双通道协议以及实现高可靠

防火墙处理双通道协议

多通道协议是控制进程和传输进程使用的端口不同
缺陷：
如果用防火墙策略来进行规则匹配，由于使用的端口不同，所以要使服务正常进行就会导致防火墙的颗粒度过大，匹配不够精细。可能会使防火墙失效
解决方案：
使用ASPF技术可以抓取和分析多通道协议的控制进程的报文，分析出传输进程所使用的详细的网络参数，生成server-map表，放行传输进程的报文
传输进程在匹配到server-map表之后会生成会话表。后续的传输报文就会匹配会话表

ASPF（Application Specific Packet Filter，针对应用层的包过滤）
也叫基于状态的报文过滤，ASPF功能可以自动检测某些报文的应用层信息
并根据应用层信息放开相应的访问规则,开启ASPF功能后，FW通过检测协商报文
的应用层携带的地址和端口信息，自动生成相应的Server-map表，
用于放行后续建立数据通道的报文，相当于自动创建了一条精细的“安全策略”。

防火墙处理NAT

在路由器上nat针对多通道协议也会项防火墙那样抓取控制进程中协商传输进程网络参数的报文，进而生成传输进程返回的nat映射

缺陷：

普通NAT实现了对UDP或TCP报文头中的的IP地址及端口转换功能，但对应用层数据载荷中的字段无能为力，在许多应用层协议中，比如多媒体协议（H.323、SIP等）、FTP、SQLNET等，TCP/UDP载荷中带有地址或者端口信息，这些内容不能被NAT进行有效的转换，就可能导致问题。

例如，FTP应用就由数据连接和控制连接共同完成，而且数据连接的建立动态地由控制连接中的载荷字段信息决定，这就需要ALG来完成载荷字段信息的转换，以保证后续数据连接的正确建立。

解决方案：

NAT ALG（Application Level Gateway，应用层网关）技术能对多通道协议进行应用层报文信息的解析和地址转换，将载荷中需要进行地址转换的IP地址和端口或者需特殊处理的字段进行相应的转换和处理，从而保证应用层通信的正确性。

NAT ALG为内部网络和外部网络之间的通信提供了基于应用的访问控制，具有以下优点：

• ALG统一对各应用层协议报文进行解析处理，避免其它模块对同一类报文应用层协议的重复解析，可以有效提高报文转发效率。
• 可支持多种应用层协议：FTP、H.323（包括RAS、H.225、H.245）、SIP、DNS、ILS、MSN/QQ、NBT、RTSP、SQLNET、TFTP等

防火墙处理报文的顺序是目标地址转换→安全策略→源地址转换，所以在NAT环境中，安全策略的源地址应该是源地址转换之前的地址，目标地址应该是目标地址转换之后的地址

防火墙支持的NAT类型以及适用场景

源NAT

适用场景： 源NAT是指对报文中的源地址进行转换，通过源NAT技术将私网IP地址转换成公网IP地址，使私网用户可以利用公网地址访问Internet

server NAT

适用场景：主要应用于实现私网服务器以公网IP地址对外提供服务的场景

域内双向NAT

适用场景：内网PC以公网形式访问内网服务器 — 通过服务器公网地址访问服务器，内网PC先转换私网地址为公网地址，然后访问服务器。公网地址访问服务器过程就是域内NAT双向转换

解决的问题：

对于域内NAT，是为了内网的用户能通过公网地址访问服务器，如果不做域内NAT，则服务器对内网访问的回应的目标地址则是内网的地址，其数据流不会经过USG，其数据连接也不成功。所以要在USG的安全区域内做域内NAT。使得内网用户通过公网访问服务器，其数据在USG上的目标地址转换为私网服务器地址，源地址转换为公网地址。

域间双向NAT

适用场景：解决内网服务器没有外网路由的问题

双出口NAT

适用场景：使用多个运营商进行通信链路的冗余
缺陷：双出口NAT会出现NAT转换错乱，链路不能正常跳转
解决方案：启动防火墙多出口选项，网关、缺省、源进源出路由控制三种必须启用。不管是多出口是在一个安全区域还是多个安全区域都是如此做法
原理：就是通过上述手段把路由与NAT转换通过下一跳做了关联，因为防火墙不同于路由器在接口做NAT转换，防火墙在做冗余备份时切换路由但不会切换NAT。
可以理解为防火墙NAT是一种策略，将路由和NAT转换关联，在路由故障切换时将对应的NAT也切换

防火墙实现双机热备

问题1：

防火墙需要检测到链路故障，防火墙检测到链路故障需要进行切换
解决方案：
在上行和下行业务端口都配置VRRP组，实现链路切换
但是两个VRRP组是独立运行的，可能会出现运行状态不一致的情况
由于双机热备导致设备出问题时可能会来回路径不一致，因为主备切换了，所以引入了VGMP来进行VRRP的管理

问题2：

在主备切换后不能继续未完成的会话
解决方案：
使用HRP来同步会话表
状态检测防火墙对于每一个会话连接都有一个会话表项与之对应，主用设备处理业务过程中创建了很多动态会话表项，而备用设备没有流量经过，因此没有创建会话表。如果备用设备切换为主用设备前，会话表项没有备份到备用设备，则会导致先前经过主用设备的业务流量因为无法匹配会话表而中断。为了实现主用备用设备平滑切换，必须在主用和备用设备之间备份关键配命令和会话表状态信息，为此防火培引入了HRP ( Huawei Redundancy Protocol) 协议，实现防火墙双机之间动态状态数据和关键配置命令的实时备份。在双机热备组网中，指定心跳线作为专门的备份通道，用于备份配置命令和状态信息。

防火墙支持的接口模式

1、路由模式
适用场景：防火墙的接口三层路由接口的形式参与组网 。
2、交换模式
适用场景：防火墙的接口二层交换接口的形式参与组网。
3、接口对模式
适用场景：
接口对模式是一种特殊的二层模式，该模式的接口是成对出现，这一对接口之间转发数据不经过二层的 MAC寻址，也就类似网线的形式转发，速度快。相当于一根虚拟网线。
4、旁路模式：
旁路模式的接口也是二层的交换机接口，该接口一般用于接收镜像流量，向主机一样旁观在设备上。通 过旁观设备的端口镜像技术收集流量给给旁路接口，这个场景防火墙可以做IPS ，审计，流量分析等任 务，功能是最少的。