学习日志8.13--防火墙安全策略进阶

目录

防火墙安全策略-区域内策略

防火墙接口策略-特殊性问题

防火墙安全策略-顺序问题

防火墙特殊接口的说明

---

防火墙安全策略-区域内策略

在之前学习的是防火墙的不通区域之间的安全策略，实验的内容是从trust到untrust。这节学习防火墙区域内的安全策略。防火墙相同区域内的不同接口是否可以实现策略管控。

实验拓扑结构按照配置信息，给主机进行配置，给防火墙接口配置IP信息，开启接口的ping服务功能
命令：[FW01-GigabitEthernet1/0/1]service-manage ping permit，开启接口1/0/1的ping服务功能
命令：[FW01-GigabitEthernet1/0/2]service-manage ping permit，开启接口1/0/2的ping服务功能

将接口1/0/和接口1/0/2划分到两个trust的安全区域
命令：[FW01]firewall zone trust ，进入trust安全区域
命令：[FW01-zone-trust]add interface  GigabitEthernet 1/0/1，将g1/0/1划分到安全区域
命令：[FW01-zone-trust]add interface  GigabitEthernet 1/0/2，将g1/0/2划分到安全区域

命令：[FW01]display current-configuration ，查看当前防火墙配置

都配置好后，用主机PC1去尝试ping他的网关

防火墙只要在接口配置了地址就会产生和路由器一样的路由表

然后尝试看看PC1pingPC2能不能通

由此可以知道，防火墙的相同的安全区域的接口流量是放行的，默认不拦截。

现在在防火墙做一个从trust（左边）到trust（右边）的安全策略。创建一个这样的安全策略，区域都在trust，网段是192.168.1.0和192.168.2.0之间通信。
让两个主机ping通测试一下。成功通信。

在接口上设置了server-manage接口的服务允许，在没有设置安全策略的前提下，接口之间是可以通信的，也就是说，在同一安全区域，在没有配置安全策略的情况下，接口之间的流量是允许通过的。在有打开接口的服务的情况下，去配置同一区域的安全策略，其接口上的流量也是通过的。

现在将安全策略的接口流量设置为拒绝通过
命令：[FW01-policy-security-rule-tru-to-tru]action deny
然后再用PC1去pingPC2发现这次，在同一区域的不通接口，在设置了接口的服务，但是安全策略拒绝同一区域不通接口之间的流量通过，主机之间是无法通信的，也就是，同一区域的不通接口之间流量是拒绝的。在仅仅设置接口的服务权限，没有配置安全策略的情况下是可以通信的；在即设置接口的服务权限又设置安全策略允许流量通过的情况下，同一区域不通接口之间的流量也是允许的；在设置接口的服务权限，配置安全策略是同一区域不通接口之间的流量是拒绝的的时候，接口之间的流量是拒绝通过的。

这是因为，这个涉及到流量过不过墙的问题，在有的厂商的防火墙的同一区域的不通接口，他的流量是不过墙的，意味着不过墙的流量就不进行拦截，华为的防火墙同一区域的不通接口他的流量是过墙的，能被安全策略拦截。所以在配置安全策略同一区域的不同接口的流量是拒绝通过的时候，两主机会无法通信。

总结就是，防火墙的相同的安全区域的不同接口默认是放行流量；防火墙相同安全区域不通接口之间流量访问可以被防火墙的安全策略所管控的。防火墙不同安全区域之间的不同接口默认拒绝流量；防火墙不同安全区域之间的不同接口之间的流量访问是可以被墙的安全策略所管控的。

那在防火墙流量进出不同的安全区域防火墙会进行安全状态监测，会创建会话表，然后返回的流量会通过会话表匹配是否允许流量通过。那是不是在防火墙的相同安全区域的不同接口之间也会进行安全状态检测。
用主机PC1去ping主机PC2，然后再回到防火墙看是否会生成会话表生成会话表。
现在删除安全策略，看是否还会有会话表生成
命令：[FW01-policy-security]undo rule name tru-to-tru，删除刚刚创建的安全策略
再用PC1pingPC2到防火墙上看是否会有会话表生成有会话表生成。

正常情况下是，在流量首包进入防火墙之后匹配到安全策略，防火墙就会生成会话表，现在是删除了防火墙的安全策略，但是在相同的安全区域的不同接口，流量是默认通过的，就会生成会话表。

防火墙接口策略-特殊性问题

防火墙的接口，自身的安全区域是属于Local。防火墙是通过policy（策略）来对流量来进行管控的。

防火墙的接口安全策略是要高于系统下的安全策略

现在写这样一条策略。从trust到Local的安全策略
命令：[FW01-policy-security]rule name tru-to-local，建立一个安全策略名字是tru-to-loacl
命令：[FW01-policy-security-rule-tru-to-local]source-zone trust，源区域是trust
命令：[FW01-policy-security-rule-tru-to-local]destination-zone local，目的区域是local
命令：[FW01-policy-security-rule-tru-to-local]action deny，不允许流量通过配置一个安全策略，从trust安全区域到防火墙的local区域，然后配置流量拒绝通过。

在1/0/1的接口下，允许接口被ping，这是接口下的安全策略，但是刚刚配置系统安全策略，不允许流量通过。实验看能不能用主机PC1ping防火墙接口1/0/1。能ping成功。

 同样，我们可以把接口的安全策略关闭掉，然后系统下的安全策略依旧拒绝流量，不做修改。
命令：[FW01-GigabitEthernet1/0/1]undo service-manage enable，关闭接口策略
现在接口安全策略和系统安全策略都已经拒绝流量通过了，现在用PC1去ping一下192.168.1.254。这次就不允许流量通过了。

现在，在接口策略关闭的情况下，打开系统下的安全策略，即接口策略不允许流量通过，配置的安全策略允许流量通过。然后再用PC1去ping一下192.168.1.254。这次就允许通过。

现在将接口的安全策略打开，然后再配置一个local到trust的安全策略
命令：[FW01-GigabitEthernet1/0/1]service-manage enable，打开接口的安全策略
命令：[FW01-GigabitEthernet1/0/1]service-manage ping permit，允许ping流量通过
然后再配置系统安全策略，名字叫local-to-tru
配置好后，用防火墙ping192.168.1.1。现在是接口策略说允许流量通过，但是系统安全策略不允许流量通过。不能通过。这是应为接口策略server-manage功能只能控制inbound方向的流量，无法控制防火墙自身向外发出的流量，而且只对当前接口生效，而local到trust是outbound方向的流量，需要由系统安全策略来管控。而在默认的安全策略下，outbound的流量是默认拒绝的需要security-policy来管控。

防火墙安全策略-顺序问题

防火墙的安全策略是按照配置的安全策略的顺序来进行匹配的。

现在在原有的安全策略下再增添安全策略为了区分将这个安全策略命名为tru-to-tru01，配置从trust到trust。​​​​​​​现在配置有四条安全策略一条默认的，三条是手动配置的。

用PC1去ping一下PC2，看看能不能通能通
然后再手动配置一条策略
配置一条和tru-to-tru01相反的策略，这条策略不允许流量通过。查看安全策略的顺序。
防火墙流量是按照顺序匹配的，如果现在是PC1192.168.1.1网络到PC2192.168.2.1网络的流量，会按顺序先匹配到tru-to-tru01，这条策略是允许流量通过的。匹配之后直接跳出，不在和下一条安全策略匹配。用PC1pingPC2测试一下能通。
现在就将tru-to-tru02移动到tru-ti-tru01之前，让PC1pingPC2不通。
命令：[FW01-policy-security]rule move tru-to-tru02 top，将tru-to-tru02安全策略放到顶端现在tru-to-tru02安全策略就放在最顶端。安全策略的移动有许多命令，可以after（在某条策略之后）、before（在某条策略之前）、bottom（在安全策略的最后一个）、down（将这条策略向下移一条）、top（将这条安全策略移动到顶端）、up（将这条策略向上移一条）。
移动好安全策略之后，再用PC1pingPC2。现在就是不通。

所以说防火墙流量的匹配是按照配置的安全策略的顺序来匹配的，而且安全策略的顺序是可以调整的。

防火墙对安全策略的操作可以有，copy（复制）、move（移动）、name（新建一个）、rename（重命名）。

防火墙特殊接口的说明

防火墙的接口g0/0/0是管理接口，单独用作管理使用，管理接口的网络和业务接口的网络是隔离的。管理接口默认属于vpn instance default，是一个单独隔离的路由表

防火墙g1/0/x是业务接口，可以对接路由器，对接交换机。查看管理接口的信息，默认的配置这个意思是这个接口是管理接口，起的简称。

防火墙是三层设备，再接口上配上地址之后，就会产生路由表
命令：[FW01-GigabitEthernet1/0/1]ip address 192.168.100.1 24，在接口g1/0/1上配置IP地址防火墙产生的路由表。但是管理接口0/0/0默认有地址，为什么不出现在路由表上呢。

管理接口的路由表信息被隔离开了，需要在特定视图下才能查询到。
命令：[FW01]display ip routing-table vpn-instance default，在vpn-instance里面，名字是default

管理接口的路由和业务接口的路由是隔开的，管理接口的网络和业务接口的网络也是隔开的。

当然，管理接口也可以配置为业务接口使用，只要将两者之间的隔离关闭就可以
命令：[FW01-GigabitEthernet0/0/0]undo ip binding vpn-instance default，关闭隔离vpn-instance名字是default。注意在关闭网络隔离的时候，同时会把管理接口的默认IP地址删除，后面需要我们重新配过IP地址。
命令：[FW01-GigabitEthernet0/0/0]ip address 192.168.0.1 24，重新给管理接口配地址
查看路由表的信息看到192.168.0.0的网段已经添加上去了，而且192.168.0.0和192.168.100.0网段都在同一个路由表里面，隔离就解除。
[FW01-GigabitEthernet0/0/0]undo ip binding vpn-instance default，这句话意思是说，关闭掉管理接口隔离，和业务接口融合，路由表也融合在一起。