防护墙安全策略

最新推荐文章于 2024-11-10 15:23:27 发布

datacom_chen

最新推荐文章于 2024-11-10 15:23:27 发布

阅读量142

点赞数

分类专栏：华为数通文章标签：网络华为

本文链接：https://blog.csdn.net/qq2353177176/article/details/134402863

版权

华为数通专栏收录该内容

7 篇文章 3 订阅

订阅专栏

本文详细介绍了防火墙中的安全区域概念，包括Trust、DMZ、Untrust和Local区域的特性和优先级，以及如何配置安全策略，如精确优先匹配和状态检测机制。还提到了ASPF的应用层包过滤功能和server-map表的作用。

摘要由CSDN通过智能技术生成

基本概念

安全区域（security zone）：它是一个或多个接口的集合，是防火墙区别于路由器的主要特性。防火墙通过安全区域来划分网络，表示报文流动的“路线”，当报文在不同的安全区域之间流动时，才会触发安全检查。

默认安全区域

Trust区域

网络的受信任程度高；
通常用来定义内部用户所在的网络

优先级默认为85

DMZ区域

网络的受信任程度中等
通常用来定义内部服务器所在的网络

优先级默认为50

Untrust区域

网络受信任程度低
通常用来定义Internet等不安全的网络

优先级默认为5

Local区域

防火墙上提供的local区域，代表防火墙本身
凡是由防火墙主动发出的报文均可认为是从local区域中发出，凡是需要防火墙响应并处理（而不是转发）的报文均可认为由local区接收。

local区域中不能添加任何端口，但防火墙上所有业务接口本身都属于local区域

由于local区域的特殊，在很多需要设备本身进行报文收发的应用中，需要开放对端所在安全区域与local区域之间的安全策略。例如telnet登陆，网页登陆，接入snmp网管等

优先级默认为100

每一个区域都有一个唯一的优先级，用1到100的数字表示，数字越大，则代表该区域内的网络越可信

报文在不同区域中流动受到防火墙干涉

安全策略

安全策略是由匹配条件（五元组，用户，时间段等）和动作组成的控制规则，防火墙收到流量后，对流量的属性（五元组，用户，时间段等）进行识别，并将流量的属性与安全策略的匹配条件进行匹配  //五元组：源IP，目的IP，源端口，目的端口，协议  五元组一样的被称为一个数据流  加用户，时间段就是七元组

安全策略的组成

请添加图片描述

安全策略匹配规则

请添加图片描述

精确优先

每条安全策略中包含多个匹配条件，各个匹配条件之间是“与”的关系，报文的属性与各个条件必须全部匹配，才认为该报文匹配这条规则。
一个匹配条件中可以匹配多个值，多个值之间是“或“的关系，报文的属性只要匹配任意一个值，就认为报文的属性匹配了这个条件。

匹配上才会去看动作

实例

//接口加入区域
firewall zone trust
    add interface gigabitethernet 1/0/1   //加入trust区

firewall zone untrust
    add interface gigabitethernet 1/0/2   //加入untrust区

//创建拒绝特殊的3个IP地址访问internet的安全策略规则（先精确）
security-policy
    rule name policy1
    	source-zone trust
    	destination-zone untrust
    	source-address 172.16.1.1 32
    	source-address 172.16.1.2 32
    	source-address 172.16.1.3 32
    	action deny

//再创建允许172.16.1.0/24网段访问internet的安全策略规则（再宽泛）
security-policy
    rule name policy2
    	source-zone trust
    	destination-zone untrust
    	source-address 172.16.1.0 24
    	action permit

//移动安全策略顺序（先在前面的策略优先查询）
security-policy
    rule move policy2 before policy1    //把policy2移动到policy前面

状态检测

我们都知道icmp的ping 报文是有echo request（请求）	和 echo reply（回复）是有发送跟回复的
为什么上面只设置了出的安全策略，回来的安全策略没有设置也能互相访问呢
因为防火墙有状态检测功能

状态检测防火墙使用基于连接状态的检测机制，将通信双方之间交互的属于同一连接的所有报文都作为整个数据流来对待。在状态检测防火墙看来，同一个数据流内的报文不再是孤立的个体，而是存在联系的

状态检测机制开启状态下，只有首包通过设备才能建立会话表项，后续包直接匹配会话表项进行转发

防火墙会将属于同一连接的所有报文作为一个整体的数据流（会话）来对待。会话表是用来记录TCP,UDP,ICMP等协议连接状态的表项，是防火墙转发报文的重要依据

华为防火墙的会话的老化时间为20s

ASPF

ASPF是针对应用层的包过滤

通过检测协商报文的应用层携带的地址和端口信息，自动生成相应的server-map表，当数据通道的首包经过防火墙时，防火墙根据server-map生成一条session，用于放行后续数据通道报文，相当于自动创建了一条精细的“安全策略”。对于特定应用协议的所有连接，每一个连接状态信息都将被ASPF维护并用于动态的决定数据包是否被允许通过防火墙丢弃

server-map表是通过ASPF功能自动生成的精细安全策略，是防火墙上的“隐形通道”