穿越流量，终结流量，防火墙发起流量多厂商讨论

引言

        穿越流量，及穿过防火墙的流量。

        终结流量，及发往防火墙的流量。

        防火墙发起的流量顾名思义即从防火墙发出的流量。

以上三则由于在web界面上的不同，以及华三华为独自存在的local安全区域存在细小的差别，在此做实验讨论如下

思科

穿越流量

    安全级别高到低

        思科高到低默认允许通过

   安全级别低到高                 

        理所应当，要一定的安全策略才能实现通信

终结流量

   高安全级别到防洪墙

在安全策略上关闭了trust区域发来的所有报文，由第一个ping包可以验证安全策略关闭，但是仍然可以ping通防洪墙，终结流量可以发送

    低安全级别到防火墙

        在关闭所有安全策略在outside进接口方向的时候发现，仍然可以ping通

防火墙发起流量

        由于在配置里面安全策略我都配置的是接口进方向，所以所在这里也不会匹配上任何安全策略

        但是都ping通了，所以说与安全策略策略也没有关系

华三

穿越流量

    安全级别高到低

        虽然是高到低

        没配置安全策略还是ping不通的

        在配置安全策略之后

        才能实现ping通

    安全级别低到高

        安全策略理所应当了噻，毕竟高到低都需要

终结流量

   高安全级别到防火墙

        在没有配置安全策略或则在接口上接受控制协议是ping不通的

        配置上安全策略后仍然通不了

        最后在接口上打开接受协议

        实现通信

   高安全级别到防火墙

        在没有配置安全策略或则在接口上接受控制协议是ping不通的

        配置上安全策略以后仍然通不了

        最后在接口上打开接受协议

        实现通信

防火墙发起的流量

       从防火墙发起的报文，我先什么都没有打开（既没有配置安全策略也没有配置接口上打开协议）

       但是ping通不了，即使local安全级别是100

       但是当我建立安全策略的时候

       都可以实现通信

       反之关闭安全策略

       在接口上打开接口处发出ping协议

       也都可以实现ping通

华为

穿越流量

        省略，和华三一致

终结流量

        啥也没有不行，配置了安全策略也不行，只有在接口上打开了才行，和华三一致

防洪墙发起流量

        啥也没有不行，配置了安全策略就行了，接口上的控制安全协议只默认进方向，所以开了也不行，所以说只有安全策略可以

总结

        思科与华为华三不同之处在于由于local区域

        在穿越流量上，除了思科高到低不需要安全策略以外，其他三者保持一致不管安全级别高到低还是低到高，都要安全策略来放行流量

        在终结流量上，思科默认放行所有，华为华三安全策略配置不能匹配，只能在接口上放行控制协议

        在防火墙发起流量上，思科默认放行所有，华为华三有一小不同为华为web界面接口上无法放行控制协议，只能接受，所以说俩则都能通过安全策略放行流量，除此之外华三可以在接口上放行控制协议。

尾言

        本人网络小白一枚，如有知识点或则逻辑不清楚的，望大佬指出，如果大伙有其他问题，留在评论区，我会尽快为大伙解决。