NGFW转发流程

一，简介

        防火墙数据包的转发流程总体分为三个阶段：

        （1）查询会话前的基本处理。

        （2）查询会话，进行相应的处理。

        （3）查询会话后，对流量进行相应的安全检测处理并转发。

        由于报文在处理过程中，由于某些特性可能会修改报文的一些字段，因此掌握FW的报文转发流程可以帮助我们对FW的配置和维护。

二，查询会话前

        这个阶段的主要目的是解析出报文的帧头部和IP报文头部。根据信息进行一些基础的安全检测。流程图如下：

        首先根据接收报文的接口是二层还是三层接口有两种处理方式。

        ①对于三层接口接收的报文，FW需要根据报文中的目的地址来查找路由表，以决定这个报文的出接口。所以此类会在解析和剥离头部信息后，进入后续的处理。

        ②对于二层接口接收的报文，FW需要判断这个帧是否需要跨VLAN转发。对于同一VLAN内的报文，FW根据报文中的目的MAC地址查询MAC地址转发表，以找到对应的子接口或者VLAN-IF接口。

        ③入接口带宽阈值：管理员在接口上配置接收报文的带宽阈值。如果当前流量带宽已经超过了阈值，入接口就会将超出报文进行丢弃。

        ④白名单：将特定源目的地址加入白名单后，FW将跳过黑名单，内容安全和DDoS这三个环节的检查，再按照正常的报文转发流程转发来自该源地址的报文。

        ⑤DDoS攻击防范：FW根据管理员开启的DDoS攻击防范类型，阻断攻击流量。

        ⑥IP/MAC地址绑定：为了防止IP地址欺骗和ARP类的攻击，管理员配置IP和MAC的对应关系

三，查询会话中