防火墙安全策略配置

安全策略原理

防火墙的基本作用是保护特定网络免受“不信任”网络的攻击，同时还必须允许两个网络之间可以进行合法的通信。
安全策略是控制设备对流量转发以及对流量进行内容安全一体化检测的策略。
安全策略的作用就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。

防火墙安全区域

安全区域（Security Zone），或者简称为区域（Zone）。
Zone是本地逻辑安全区域的概念。
Zone是一个或多个接口所连接的网络。

Zone的作用：

• 安全策略都基于安全区域实施；
• 在同一安全区域内部发生的数据流动是不存在安全风险的，不需要实施任何安全策略；
• 只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相应的安全策略；
• 在防火墙中，同一个接口所连网络的所有网络设备一定位于同一安全区域中，而一个安全区域可以包含多个接口所连的网络。

默认四种：

受信区域Trust——信任值85
非受信区域Untrust——5
非军事化区域Dmz——50
本地区域Local——100

防火墙安全策略工作流程

流量通过NGFW时，安全策略的处理流程如下：
1.NGFW会对收到的流量进行检测，检测出流量的属性，包括：源安全区域、目的安全区域、源地址地区、目的地址地区、用户、服务（源端口、目的端口、协议类型）、应用和时间段。
2.NGFW将流量的属性与安全策略的条件进行匹配。如果所有条件都匹配，则此流量成功匹配安全策略。如果其中有一个条件不匹配，则继续匹配下一条安全策略。以此类推，如果所有安全策略都不匹配，则NGFW会执行缺省安全策略的动作（默认为“禁止”）。
3.如果流量成功匹配一条安全策略，NGFW将会执行此安全策略的动作。如果动作为“禁止”，则NGFW会阻断此流量。如果动作为“允许”，则NGFW会判断安全策略是否引用了安全配置文件。如果引用了安全配置文件，则继续进行下一步处理；如果没有引用安全配置文件，则允许此流量通过。
4.如果安全策略的动作为“允许”且引用了安全配置文件，则NGFW会对流量进行内容安全一体化检测。一体化检测是指根据安全配置文件的条件对流量的内容进行一次检测，根据检测的结果执行安全配置文件的动作。如果其中一个安全配置文件阻断此流量，则NGFW阻断此流量。如果所有的安全配置文件都允许此流量转发，则NGFW允许此流量转发。

防火墙安全策略配置

安全策略配置思路：
1.管理员首先应明确需要划分哪几个安全区域，接口如何连接，分别加入哪些安全区域。
2.管理员可选择根据“源地址”或“用户”来区分企业员工。
3.先确定每个用户组的权限，然后再确定特殊用户的权限。包括用户所处的源安全区域和地址，用户需要访问的目的安全区域和地址，用户能够使用哪些服务和应用，用户的网络访问权限在哪些时间段生效等。如果想允许某种网络访问，则配置安全策略的动作为“允许”；如果想禁止某种网络访问，则配置安全策略的动作为“禁止”。
4.确定对哪些通过防火墙的流量进行内容安全检测，进行哪些内容安全检测。
5.将以上步骤规划出的安全策略的参数一一列出，并将所有安全策略按照先精确（条件细化的、特殊的策略）再宽泛（条件为大范围的策略）的顺序排序。在配置安全策略时需要按照此顺序进行配置。

实验

命令行方式

1）各接口IP地址配置
各接口需开启网管功能，后续才能进行ping通测试！

2）安全区域划分

3）安全策略配置

4）按照实验要求进行ping测试即可。