防火墙笔记

1.什么是防火墙

         防火墙主要用于保护一个网络区域免受来自另一个网络区域的网络攻击和网络入侵行为。因其隔离、防守的属性，灵活应用于网络边界、子网隔离等位置， 具体如企业网络出口、大型网络内部子网隔离、数据中心边界等等。

2.防火墙的发展史

3、防护墙的分类

1.包过滤防火墙

2.传统防火墙（应用代理）

3.传统防火墙（状态检测）

5.传统防火墙（UTM）

UTM缺点：在UTM中，各功能模块是串联工作，所以，检测效率并没有得到提升。但是，因为继承在了一 台设备中，所以，维护成本得到降低

FW、IDS、IPS、AV等技术

6.下一代防火墙

4.防火墙的安全区域

 防火墙通过接口来连接网络，将接口划分到安全区域后，通过接口就把安全区 域和网络关联起来。通常说某个安全区域，就可以表示该安全区域中接口所连接的网络。 通过安全区域，防火墙上划分出了等级森严、关系明确的网络，防火墙成为连接各个网络的 节点。以此为基础，防火墙就可以对各个网络之间流动的报文进行安全检查和实施管控策略。

华为防火墙产品上默认已经为大家提供了三个安全区域，分别是 Trust、DMZ 和 Untrust，光 从名字看就知道这三个安全区域很有内涵：

Trust 区域，该区域内网络的受信任程度高，通常用来定义内部用户所在的网络。

DMZ 区域，该区域内网络的受信任程度中等，通常用来定义内部服务器所在的网络。 Untrust 区域，该区域代表的是不受信任的网络，通常用来定义 Internet 等不安全的网络

安全级别，用 1～100 的 数字表示，数字越大，则代表该区域内的网络越可信。

 5.防火墙安全策略

安全策略

传统的包过滤防火墙 --- 其本质为ACL列表，根据 数据报中的特征 进行过滤，之后对比规制，

执行动作。

五元组 --- 源IP，目标IP，源端口，目标端口，协议

当web服务器给PC进行回报时，来到防火墙上，防火墙会将报文中的信息和会话表的信

息进行性比对，如果，发现报文中的信息与会话表中的信息相匹配，并且， 符合协议规

范对后续报文的定义 ，则认为该数据包属于PC，可以允许该数据包通过。

1，会话表；2，状态检测

1，会话表 --- 会话表本身也是基于5元组来区分流量，会话表在比对时，会通过计算

HASH来比较五元组。因为HASH定长，所以，可以基于硬件进行处理，提高转发效

率。

因为会话表中的记录只有在流量经过触发时才有意义，所以，如果记录长时间不被触

发，则应该删除掉。即会话表中的记录应该存在 老化时间 。如果会话表中的记录被删除

掉之后，相同五元组的流量再通过防火墙，则应该由其首包重新匹配安全策略，创建会

话表， 如果无法创建会话表，则将丢弃该数据流的数据 。

如果会话表的老化时间过长：会造成系统资源的浪费，同时，有可能导致新的会话表项

无法正常建立

如果会话表的老化时间过短：会导致一些需要长时间首发一次的报文连接被系统强行中

断，影响业务的转发。

不同协议的会话表老化时间是不同的

防火墙数据通过的过程

6.防火墙的用户认证

防火墙管理员登录认证 --- 检验身份的合法性，划分身份权限

用户认证 --- 上网行为管理的一部分

用户，行为，流量 --- 上网行为管理三要素

（1）用户认证的分类
上网用户认证 --- 三层认证 --- 所有的跨网段的通信都可以属于上网行为。正对这些行 为，我们希望将行为和产生行为的人进行绑定，所以，需要进行上网用户认证。

入网用户认证 --- 二层认证 --- 我们的设备在接入网络中，比如插入交换机或者接入wifi 后，需要进行认证才能正常使用网络。

接入用户认证 --- 远程接入 --- VPN --- 主要是校验身份的合法性的

（2）认证方式
本地认证--- 用户信息在防火墙上，整个认证过程都在防火墙上执行

服务器认证 --- 对接第三方服务器，防火墙将用户信息传递给服务器之后，服务器将认证结果返回，防火墙执行对应的动作即可

单点登录 --- 和第三方服务器认证类似。

2.认证域

   认证域作用：决定认证的方式和组织结构，不同的认证域之间是或的关系

 登录名 --- 作为登录凭证使用，一个认证域下不能重复

显示名 --- 显示名不能用来登录，只用来区分和标识不同的用户。如果使用登录名区分，则也可以不用写显示名。显示名可以重复

账号过期时间 --- 可以设定一个时间点到期，但是，如果到期前账号已登录，到期后，防火墙不会强制下线该用户

允许多人同时使用该账号登录：
私有用户 --- 仅许一个人使用，第二个人使用时，将顶替到原先的登录
公有用户 --- 允许多个人同时使用一个账户

IP/MAC绑定--- 用户和设备进行绑定 (P地址/MAC地址)

绑定方式：

单向绑定 --- 该用户只能在这个IP或者这个MAC或者这个IP/MAC下登录，但是，其他用户可以在该设备下登录
双向绑定 --- 该用户只能在绑定设备下登录，并且该绑定设备也仅允许该用户登录
安全组和用户组的区别 --- 都可以被策略调用，但是，用户组在调用策略后，所有用户组成员以及子用户组都会生效，而安全组仅组成员生效，子安全组不生效

3.认证策略

Portal--- 这是一种常见的认证方式。我们一般见到的网页认证就是portal认证。我们做上网认证，仅需要流量触发对应的服务时，弹出窗口，输入用户名和密码进行认证
免认证--- 需要在IP/MAC双向绑定的情况下使用，则对应用户在对应设备上登录时，就可以选择免认证，不做认证。
选择匿名认证，则登录者不需要输匿名认证 --- 和免认证的思路相似，认证动作越透明越好，入用户名和密码，直接使用IP地址作为其身份进行登录。

防火墙的NAT

静态NAT --- 一对一

动态NAT --- 多对多

NAPT --- 一对多的NAPT --- easy ip --- 多对多的NAPT

服务器映射

源NAT --- 基于源IP地址进行转换。我

们之前接触过的静态NAT，动态NAT，NAPT都属于源NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网

目标NAT --- 基于目标IP地址进行转换。我们之前接触过的服务器映射就属于目标NAT。是为了保证公网用户可以访问内部的服务器

双向NAT --- 同时转换源IP和目标IP地址

源NAT是在安全策略之后执行。

配置黑洞路由

配置黑洞路由 --- 黑洞路由即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指向空接口的路由，不然，在特定环境下会出现环路。（主要针对地址池中的地址和出接口地址不再同一个网段中的场景。）

允许端口地址转换决定了使用的是动态NAT还是NAPT的逻辑

display firewall server-map  //查看server-map表

动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况下，是可以访问到内网的设备。

基于端口的NAT转换，是不会生成server-map表的。 

NAT类型 --- 五元组NAT --- 针对源IP，目标IP，源端口，目标端口，协议 这五个参数识别出的数据流进行端口转换

三元组NAT --- 针源IP，源端口，协议 三个参数识别出的数据流进行端口转换

目标NAT

服务器映射.

安全区域 --- 是需要访问服务器的设备所在的区域。

源NAT在安全策略之后执行，目标NAT在安全策略之前执行（因为自动生成的安全策略的目标

地址是转换后的地址，说明需要先进行转换，再触发安全策略）

双向NAT

多出口NAT

源NAT

第一种：根据出接口，创建多个不同的安全区域，再根据安全区域来做NAT

第二种：出去还是一个区域，选择出接口来进行转换

目标NAT

第一种：也可以分两个不同的区域做服务器映射

第二种：可以只设置一个区域，但是要注意，需要写两条策略分别正对两个接口的地址

池，并且，不能同时勾选允许服务器上网，否则会造成地址冲突。

防火墙的智能选路

就近选路 --- 我们希望在访问不同运营商的服务器是，通过对应运营商的链路。这样可以提高

通信效率，避免绕路

策略路由 -- PBR

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对

一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一。

策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维

度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐

含一条不做策略的规则，即所有没有匹配上策略路由的流量，都将匹配传统路由表进行

转发。

如果存在多条策略路由，则匹配规则也是自上而下，逐一匹配，如果匹配上了，则按照

对应动作执行，不再向下匹配；

DSCP优先级 --- 相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），

之后下游设备会根据优先级来差异化保证流量的通过。

动作：

转发 --- 可以定义其转发的方式

转发其他虚拟系统 --- VRF

不做策略路由

智能选路 --- 全局路由策略

基于链路带宽的负载分担

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过

载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以

从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中

按照比例转发

会话保持 --- 开启该功能后，流量首次通过智能选路的接口后，会创建会话表，后续命

中会话表的流量都将通过同一个接口来进行转发，选择源IP和目的IP的效果时，所有相

同源IP或者目标IP的流量将通过同一个接口转发。 --- 应对于不希望链路频繁切换的场

景。

基于链路质量进行负载分担

丢包率 --- FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回

应报文个数除以探测报文个数。丢包率是最重要的评判依据。

时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均

时延作为结果进行评判

延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时

抖动的平均值

基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1，接口没有配置过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故

障，则优先级次高的链路开始转发流量。其余链路依旧不工作。

2，接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超

过保护阈值，则优先级次高的链路开始工作