网络安全防御

第二天

防火墙的职责

防火墙的主要职责在于：控制和防护 --- 安全策略 --- 防火墙可以根据安全策略来抓取流量之

后做出对应的动作。

防火墙的分类

防火墙的发展史

传统防火墙（包过滤防洪墙）——一个严格的规则表

缺点：

1，很多安全风险集中在应用层的，所以，仅关注三四层的数据无法做到完全隔离安全风险

2，逐包进行包过滤检测，将导致防火墙的转发效率过低，成为网络中的瓶颈。

在ACL列表中，华为体系下，末尾是没有隐含规则的，即如果匹配不到ACL列表，则认为ACL列

表不存在，之前可以通过，则还可以通过；但是，在防火墙的安全策略中，为了保证安全，末

尾会隐含一条拒绝所有的规则，即只要没有放通的流量，都是不能通过的。

传统防火墙（应用代理防火墙）——每个应用添加代理

缺点：

1，因为需要防火墙进行先一步安全识别，所以，转发效率会降低（原来的三层握手就会变成

6次握手）

2，可伸缩性差：每一种应用程序需要代理的话，都需要开发对应对应的代理功能，如果没有

开发，则无法进行代理。

传统防火墙（状态检测防火墙）——首次检查建立会话表

入侵检测系统（IDS）——网络摄像头

IDS——一种侧重于风险管理的安全机制——滞后性

工作场景

入侵防御系统（IPS）——抵御2-7层已知威胁

防病毒网关（AV）——基于网络侧识别病毒文件

 Web应用防火墙（WAF）——专门用来保护web应用

因为众多的专用设备导致企业在部署安全防护时需要同时不是大量的设备进行防护，则设备维

护成本大大提高，所有设备都需要对流量进行检测，所以，效率很低

统一威胁管理（UTM）——多合一安全网关

在UTM中，各功能模块是串联工作，所以，检测效率并没有得到提升。但是，因为继承在了一台设备中，所以，维护成本得到降低。

下一代防火墙（NGFW）——升级版的UTM

改进点核心：相较于之前UTM中各模块的串联部署，变为了并联部署，仅需要一次检测，所有

功能模块都可以做出对应的处理。大大提高了工作效率。

传统UTM产品与下一代防火墙的具体功能图

防火墙的其他功能

防火墙的控制

带内管理

通过网络环境对设备进行控制 --- telnet，ssh，web --- 登录设备和被登录设备之间网络需要联通

带外管理

使用console线，mini usb线连接

防火墙的web管理

华为防火墙的MGMT接口（G0/0/0）出厂时默认配置的有IP地址：192.168.0.1/24，并且

该接口默认开启了DHCP和web登录的功能，方便进行web管理。再浏览器中输入你设置的G0/0/0口的IP地址，再加端口号8443，就能登陆防火墙进行管理。

防火墙的初始账号密码：admin/Admin@123

登陆后强制你修改密码。

浏览器搜索之前还得在防火墙上配置如下命令。

[USG6000V1-GigabitEthernet0/0/0]service-manage all permit --- 开启管理口web登录服务

防火墙的管理员

本地认证

用户信息存储在防火墙上，登录时，防火墙根据输入的用户名和密码进行判断，如果通过验证，则成功登录。

服务器认证

和第三方的认证服务器对接，登录时，防火墙将登录信息发送给第三方服务器，之后由第三方服务器来进行验证，通过则反馈给防火墙，防火墙放行。

一般适用于企业本身使用第三方服务器来存储用户信息，则用户信息不需要重复创建。

服务器/本地认证

优先使用服务器认证，如果服务器认证失败，则也不进行本地认证。只有在服务器对接不上的时候，采用本地认证。

防火墙的组网

物理接口

二层口---不能配ip

普通的二层口

接口对 --- “透明网线” --- 可以将两个接口绑定成为接口对，如果流量从一个接口进入，则必定从另一个接口出去，不需要查看MAC地址表。 --- 其实一个接口也可以做接口对，从该接口进再从该接口出

旁路检测接口 --- 主要用于防火墙的旁路部署，用于接收镜像口的流量。

三层口---可以配ip

虚拟接口

换回接口

子接口

链路聚合

隧道接口

虚拟系统

VRF技术，相当于逻辑上将一台设备分割为多台设备，平行工作，互不影响。需要通过接口区分虚拟系统的范围。

管理口和其余物理接口默认不在同一个虚拟系统中。

在对接口进行配置时一定要勾选下图的选项，才能更好的进行测试检验。

这个设置是高于安全策略的。

安全区域

Trust

一般企业内网会被规划在trust区域中。

Untrust

一般公网区域被规划在untrust区域中。

Local

指设备本身。凡是由设备构造并主动发出的报文均可以认为是从local区域发出的，凡是需要设备响应并处理的报文均可以认为是由Local区接受。我们无法修改local区的配置，并且我们无法将接口划入该区域。接口本身属于该区域。

DMZ

非军事化管理区域 --- 这个区域主要是为内网的服务器所设定的区域。这些服务器本身在内网，但是需要对外提供服务。他们相当于处于内网和外网之间的区域。所以，这个区域就代表是严格管理和松散管理区域之间的部分管理区域。

我们将一个接口规划到某一个区域，则代表该接口所连接的所有网络都被规划到该区域。

优先级 --- 1 - 100 --- 越大越优 --- 流量从优先级高的区域到优先级低的区域 --- 出方向（outbound）

流量从优先级低的区域到高的区域 --- 入方向 （inbound）

进行防火墙实验的配置流程

1，接口，区域配置完成

2，内网配置回包路由

3，是否需要配置服务器映射

4，配置内网访问外网的NAT

5，针对内外网的安全策略

路由模式

透明模式

旁路模式

第三天

传统的包过滤防火墙

其本质为ACL列表，根据数据报中的特征 进行过滤，之后对比规制，执行动作。

五元组

源IP，目标IP，源端口，目标端口，协议

传统网络与新时代网络的特点

安全策略

相较于ACL的改进之处在于，首先，可以在更细的颗粒度下匹配流量，另一方面是可以完成内容安全 的检测。

安全策略的实现过程

安全策略的配置表

基于流的流量检测

即设备仅对流量的第一个数据包进行过滤，并将结果作为这一条数据流的“特征”记录下来（记录在本地的“会话表” ），之后，该数据流后续的报文都将基于这个特征来进行转发，而不再去匹配安全策略。这样做的目的是为了提高转发效率。

状态检测防火墙访问过程

当web服务器给PC进行回报时，来到防火墙上，防火墙会将报文中的信息和会话表的信息进行性比对，如果，发现报文中的信息与会话表中的信息相匹配，并且，符合协议规范对后续报文的定义，则认为该数据包属于PC，可以允许该数据包通过。

会话表

会话表本身也是基于5元组来区分流量，会话表在比对时，会通过计算HASH来比较五元组。因为HASH定长，所以，可以基于硬件进行处理，提高转发效率。

因为会话表中的记录只有在流量经过触发时才有意义，所以，如果记录长时间不被触发，则应该删除掉。即会话表中的记录应该存在老化时间。如果会话表中的记录被删除掉之后，相同五元组的流量再通过防火墙，则应该由其首包重新匹配安全策略，创建会话表，如果无法创建会话表，则将丢弃该数据流的数据。

如果会话表的老化时间过长：会造成系统资源的浪费，同时，有可能导致新的会话表项无法正常建立

如果会话表的老化时间过短：会导致一些需要长时间首发一次的报文连接被系统强行中断，影响业务的转发。

不同协议的会话表老化时间是不同。

会话表详情

状态检测技术

状态检测主要检测协议逻辑上的后续报文，以及仅允许逻辑上的第一个报文通过后创建会话表。可以选择开启或者关闭该功能。

数据通过防火墙的流程

第四天

FTP概述

FTP——文件传输协议

FTP协议是一个典型的C/S架构的协议

Tftp --- 简单文件传输协议

FTP与Tftp的比较

1，FTP相较于Tftp存在认证动作

2，FTP相较于Tftp拥有一套完整的命令集

FTP工作过程中存在两个进程，一个是控制进程，另一个是数据的传输进程，所以，需要使用两个端口号20，21并且，FTP还存在两种不同的工作模式 --- 主动模式，被动模式。

主动模式

被动模式

192，168，1，1，8，2 --- 前面是IP地址信息，后面的8，2代表的是端口号信息，计算方法 --- 8 * 256 + 2 = 2050

ASPF --- 针对应用层的包过滤 --- 用来抓取多通道协议中协商端口的关键数据包，之后，将端

口算出，将结果记录在sever-map表中，相当于开辟了一条隐形的通道。

防火墙的用户认证

防火墙管理员登录认证

检验身份的合法性，划分身份权限

用户认证

上网行为管理的一部分

用户，行为，流量 --- 上网行为管理三要素

用户认证分类

上网用户认证

三层认证 --- 所有的跨网段的通信都可以属于上网行为。正对这些行为，我们希望将行为和产生行为的人进行绑定，所以，需要进行上网用户认证。

入网用户认证

二层认证 --- 我们的设备在接入网络中，比如插入交换机或者接入wifi后，需要进行认证才能正常使用网络。

接入用户认证

远程接入 --- VPN --- 主要是校验身份的合法性的

认证方式

本地认证

用户信息在防火墙上，整个认证过程都在防火墙上执行

服务器认证

对接第三方服务器，防火墙将用户信息传递给服务器，之后，服务器将认证结果返回，防火墙执行对应的动作即可。

单点登录

和第三方服务器认证类似。

认证策略

Portal

这是一种常见的认证方式。我们一般见到的网页认证就是portal认证。我们做上网认证，仅需要流量触发对应的服务时，弹出窗口，输入用户名和密码进行认证。

免认证

需要在IP/MAC双向绑定的情况下使用，则对应用户在对应设备上登录时，就可以选择免认证，不做认证。

匿名认证

和免认证的思路相似，认证动作越透明越好，选择匿名认证，则登录者不需要输入用户名和密码，直接使用IP地址作为其身份进行登录。

防火墙的NAT

静态NAT --- 一对一

动态NAT --- 多对多

NAPT --- 一对多的NAPT --- easy ip

--- 多对多的NAPT

服务器映射

源NAT

基于源IP地址进行转换。我们之前接触过的静态NAT，动态NAT，NAPT都属于源NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网。

目标NAT

基于目标IP地址进行转换。我们之前接触过的服务器映射就属于目标NAT。是为了保证公网用户可以访问内部的服务器。

双向NAT

同时转换源IP和目标IP地址。

第五天

配置黑洞路由 --- 黑洞路由即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指向空接口的路由，不然，在特定环境下会出现环路。（主要针对地址池中的地址和出接口地址不再同一个网段中的场景。）

NAT类型

五元组NAT

针对源IP，目标IP，源端口，目标端口，协议 这五个参数识别出的数据流进行端口转换。

三元组NAT

针源IP，源端口，协议 三个参数识别出的数据流进行端口转换

动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况下，是可以访问到内网的设备。

基于端口的NAT转换，是不会生成server-map表的。

三元组

因为P2P应在端口转换的情况下，识别五元组，将导致P2P客户端之间无法直接访问，不符合五元组的筛选条件，所以，这种场景下可以使用三元组NAT，放宽筛选条件，保证P2P客户端之间可以正常通信。

目标NAT

服务器映射

安全区域 --- 值的是需要访问服务器的设备所在的区域。

源NAT在安全策略之后执行，目标NAT在安全策略之前执行（因为自动生成的安全策略的目标地址是转换后的地址，说明需要先进行转换，再触发安全策略）

双向NAT

第六天

防火墙智能选路

就近选路

我们希望在访问不同运营商的服务器是，通过对应运营商的链路。这样可以提高通信效率，避免绕路。

策略路由——PBR

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一。

策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐含一条不做策略的规则，即所有没有匹配上策略路由的流量，都将匹配传统路由表进行转发。

如果存在多条策略路由，则匹配规则也是自上而下，逐一匹配，如果匹配上了，则按照对应动作执行，不再向下匹配；

DSCP优先级

相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），之后下游设备会根据优先级来差异化保证流量的通过。

监控

当策略是单出口时，如果这里写的下一跳和出接口不可达，报文将直接被FW丢弃。为了提高可靠性，我们可以配置针对下一跳的监控，即使下一跳不可达，也可以继续查找本地路由表，而不是直接丢弃。

智能选路——全局路由策略

基于链路带宽的负载分担

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中按照比例转发。

会话保持

开启该功能后，流量首次通过智能选路的接口后，会创建会话表，后续命中会话表的流量都将通过同一个接口来进行转发，选择源IP和目的IP的效果时，所有相同源IP或者目标IP的流量将通过同一个接口转发。 --- 应对于不希望链路频繁切换的场景。

丢包率

FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回应报文个数除以探测报文个数。丢包率是最重要的评判依据。

时延

应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均时延作为结果进行评判。

延时抖动

两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时 抖动的平均值。

首次探测后会将结果记录在链路质量探测表中，之后，将按照表中的接口来进行选路。表中的老化时间结束后，将重新探测。

基于链路权重进行负载分担

权重是由网络管理员针对每一条链路手工分配的，分配之后，将按照权重比例分配流量。

基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1，接口没有配置过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故障，则优先级次高的链路开始转发流量。其余链路依旧不工作。

2，接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超过保护阈值，则优先级次高的链路开始工作。

DNS透明代理

DNS透明代理的前提是开启就近选路。

防火墙的可靠性

防火墙和路由器在进行可靠性备份时，路由器备份可能仅需要同步路由表中的信息就可以了，但是，防火墙是基于状态检测的，所以，还需要同步记录状态的会话表等。所以，防火墙需要使用到双击热备技术。

双机 --- 目前防火墙的双机热备技术仅支持两台设备

热备 --- 两台设备同时运行，在一台设备出现故障的情况下，另一台设备可以立即替代 原设备。