华为防火墙理论与管理

前言：随着网络的发展，层出不穷的新应用虽然给人们的网络生活带来了更多的便利，但是同时也带来更多的安全风险，为了解决新网络带来的新威胁，华为防火墙（称叫 Next Generation Firewall 下一代防火墙）应运而生

一、华为防火墙理论

1.特征

• 通常要求下一代防火墙产品具有以下特征
  • 使用签名和特征，而不是端口号和协议来对应用进行定义，以识别报文的真实属性和所携带的不安全因素
  • 集成SA（Service Awareness，业务感知）功能，并且使用专业的硬件系统来检测报文的真实应用和内容
  • 集成IPS功能，性能更高，威胁的识别和阻断结合得更加紧密
  • 丰富而完善的可视化管理、审计、报表功能，使得网络管理员可以掌握全面真实的网络状况，以帮助管理员更好地做出防护措施
    

2.防火墙外观结构

1）百兆防火墙USG6507

2）千兆防火墙USG6550

3.防火墙的工作模式

• 路由模式
  • 当防火墙处于内部网路和外部网络中间时，需要将防火墙的内部网络、外部网络、DMZ三个区域分配不同地址段的时候
  • 这个时候防火墙首先是台路由器，人后在提供其他的防火墙功能
• 透明模式
  • 华为防火墙通过二层和外相连接时候，则防火墙处于透明模式下
• 混合模式
  • 既处于路由接口模式又处于透明模式下，则防火墙是混合模式
  • 目前只用于透明模式下的双机热备的特殊应用中。别的环境不用

4.华为防火墙的安全区域划分

• 华为防火墙通常划分4个区域：trust、untrust、DMZ、Local
  • trust
    • 主要用户连接公司内部网络，优先级是85，安全等级较高
  • DMZ
    • 非军事化区域、是一个军事用语，是介于军事管事区和公共区域之间的一个区域，优先级50，安全等级中
  • UNtrust
    • 外部网络，优先级5，安全等级低
  • Local
    • 通常定义防火墙本身，优先级100，防火墙除了转发的流量外，其自己也有收发流量，如控制流量、动态路由协议等，这些报文通常都是从Local区域发送的。
• 其他区域：用户自定义区域，默认最多16个区域，默认没有优先级，所以要自己配置优先级
  

5.防火墙的inbound和outbound

• 防火墙的访问规则和策略（如ACL）不是应用在端口上，而是在区域间之间࿰