防火墙学习汇总

sgg236

于 2024-01-29 12:46:07 发布

阅读量1.4k

点赞数 44

文章标签：服务器网络 php

本文链接：https://blog.csdn.net/sgg236/article/details/135908488

版权

文章目录

- 介绍防火墙
- 登录并了解防火墙
- 防火墙的组网
- 安全区域
- 安全策略
- 数据通过防火墙的流程
- 防火墙的状态检测和会话表
- NAT与NAPT
- 三元组的介绍
- 防火墙的智能选路
- 全局路由策略
- 防火墙的可靠性

介绍防火墙

（1）防火墙的主要职责在于：控制和防护---安全策略---防火墙可以根据安全策略来抓取流量之后做出对应的动作。

（2）防火墙分类

（3）传统防火墙

1，很多安全风险集中在应用层的，所以，仅关注三四层的数据无法做到完全隔离安全风险

2，逐包进行包过滤检测，将导致防火墙的转发效率过低，成为网络中的瓶颈。在ACL列表中，华为体系下，末尾是没有隐含规则的，即如果匹配不到ACL列表，则认为ACL列表不存在，之前可以通过，则还可以通过；但是，在防火墙的安全策略中，为了保证安全，末尾会隐含一条拒绝所有的规则，即只要没有放通的流量，都是不能通过的。（吞吐量---防火墙同一时间处理的数据量）

（4）防火墙的其他功能

防火墙的控制带内管理---通过网络环境对设备进行控制---telnet，ssh，web ---登录设备和被登录设备之间网络需要联通

登录并了解防火墙

华为防火墙的MGMT接口（G0/0/0）出厂时默认配置的有IP地址：192.168.0.1/24，并且该接口默认开启了DHCP和web登录的功能，方便进行web管理。

admin/Admin@123

[USG6000V1-GigabitEthernet0/0/0]service-manage all permit ---开启管理口web登录服务

管理员身份和权限介绍

本地认证---用户信息存储在防火墙上，登录时，防火墙根据输入的用户名和密码进行判断，如果通过验证，则成功登录。

服务器认证---和第三方的认证服务器对接，登录时，防火墙将登录信息发送给第三方服务器，之后由第三方服务器来进行验证，通过则反馈给防火墙，防火墙放行。一般适用于企业本身使用第三方服务器来存储用户信息，则用户信息不需要重复创建。

服务器/本地认证---优先使用服务器认证，如果服务器认证失败，则也不进行本地认证。只有在服务器对接不上的时候，采用本地认证

防火墙的组网

物理接口

二层口---不能配IP

普通的二层口

接口对---“透明网线”---可以将两个接口绑定成为接口对，如果流量从一个接口进入，则必定从另一个接口出去，不需要查看MAC地址表。---其实一个接口也可以做接口对，从该接口进再从该接口出。

旁路检测接口---主要用于防火墙的旁路部署，用于接收镜像口的流量。

三层口---可以配IP

虚拟接口

换回接口，子接口，链路聚合，隧道接口。。。

安全区域

Trust ---一般企业内网会被规划在trust区域中

Untrust ---一般公网区域被规划在untrust区域中我们将一个接口规划到某一个区域，则代表该接口所连接的所有网络都被规划到该区域。

Local ---指设备本身。凡是由设备构造并主动发出的报文均可以认为是从local区域发出的，凡是需要设备响应并处理的报文均可以认为是由Local区接受。我们无法修改local区的配置，并且我们无法将接口划入该区域。接口本身属于该区域。

Dmz ---非军事化管理区域---这个区域主要是为内网的服务器所设定的区域。这些服务器本身在内网，但是需要对外提供服务。他们相当于处于内网和外网之间的区域。所以，这个区域就代表是严格管理和松散管理区域之间的部分管理区域。

优先级---1 -100 ---越大越优---流量从优先级高的区域到优先级低的区域---出方向（outbound）流量从优先级低的区域到高的区域---入方向（inbound）

安全策略

传统的包过滤防火墙---其本质为ACL列表，根据数据报中的特征进行过滤，之后对比规制，执行动作。

五元组---源IP，目标IP，源端口，目标端口，协议

数据通过防火墙的流程

防火墙的状态检测和会话表

基于流的流量检测---即设备仅对流量的第一个数据包进行过滤，并将结果作为这一条数据流的“特征”记录下来（记录在本地的“会话表”），之后，该数据流后续的报文都将基于这个特征来进行转发，而不再去匹配安全策略。这样做的目的是为了提高转发效率。

当web服务器给PC进行回报时，来到防火墙上，防火墙会将报文中的信息和会话表的信息进行性比对，如果，发现报文中的信息与会话表中的信息相匹配，并且，符合协议规范对后续报文的定义，则认为该数据包属于PC，可以允许该数据包通过。

1，会话表:会话表---会话表本身也是基于5元组来区分流量，会话表在比对时，会通过计算HASH来比较五元组。因为HASH定长，所以，可以基于硬件进行处理，提高转发效率。因为会话表中的记录只有在流量经过触发时才有意义，所以，如果记录长时间不被触发，则应该删除掉。即会话表中的记录应该存在老化时间。如果会话表中的记录被删除掉之后，相同五元组的流量再通过防火墙，则应该由其首包重新匹配安全策略，创建会话表，如果无法创建会话表，则将丢弃该数据流的数据。如果会话表的老化时间过长：会造成系统资源的浪费，同时，有可能导致新的会话表项无法正常建立如果会话表的老化时间过短：会导致一些需要长时间首发一次的报文连接被系统强行中断，影响业务的转发。不同协议的会话表老化时间是不同

2，状态检测:状态检测技术状态检测主要检测协议逻辑上的后续报文，以及仅允许逻辑上的第一个报文通过后创建会话表。可以选择开启或者关闭该功能。

NAT与NAPT

配置黑洞路由---黑洞路由即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指向空接口的路由，不然，在特定环境下会出现环路。（主要针对地址池中的地址和出接口地址不再同一个网段中的场景。）

决定了使用的是动态NAT还是NAPT的逻辑。

NAT类型---五元组NAT ---针对源IP，目标IP，源端口，目标端口，协议这五个参数识别出的数据流进行端口转换

三元组NAT ---针源IP，源端口，协议三个参数识别出的数据流进行端口转换在保留地址中的地址将不被用于转换使用

动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况下，是可以访问到内网的设备。基于端口的NAT转换，是不会生成server-map表的。

三元组的介绍

P2P ---peer to peer

因为P2P应在端口转换的情况下，识别五元组，将导致P2P客户端之间无法直接访问，不符合五元组的筛选条件，所以，这种场景下可以使用三元组NAT，放宽筛选条件，保证P2P客户端之间可以正常通信。

防火墙的智能选路

就近选路---我们希望在访问不同运营商的服务器是，通过对应运营商的链路。这样可以提高通信效率，避免绕路。

策略路由--PBR

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一。策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐含一条不做策略的规则，即所有没有匹配上策略路由的流量，都将匹配传统路由表进行转发。如果存在多条策略路由，则匹配规则也是自上而下，逐一匹配，如果匹配上了，则按照对应动作执行，不再向下匹配；

DSCP优先级

相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），之后下游设备会根据优先级来差异化保证流量的通过。

动作：转发---可以定义其转发的方式转发其他虚拟系统---VRF不做策略路由

监控---当策略是单出口时，如果这里写的下一跳和出接口不可达，报文将直接被FW丢弃。为了提高可靠性，我们可以配置针对下一跳的监控，即使下一跳不可达，也可以继续查找本地路由表，而不是直接丢弃。