防御保护---防火墙的智能选路

文章目录

• 目录

  文章目录

  一.智能选路概述

  就近选路

   策略路由

  智能选路 

  DNS透明代理

  练习

---

一.智能选路概述

        防火墙的智能选路是指防火墙根据不同的网络流量和安全策略，通过智能算法选择最佳的通信路径。智能选路主要涉及以下几个方面：

就近选路

        防火墙的就近选路是指在多个出口连接的情况下，防火墙会根据网络流量和目标地址的不同选择最近的出口进行路由。这样可以提高网络数据传输的效率和速度。

        现实生活中，我们希望在访问不同运营商的服务器是，通过对应运营商的链路从而提高通信效率，避免绕路。

防火墙就近选路Web页面

 

 策略路由

       策略路由是一种基于策略的路由选择方法，根据特定的策略条件来动态选择最佳的路由路径。防火墙通过分析数据包的源IP地址、目的IP地址、端口号等信息，并结合预设的策略条件，来决定数据包应该通过哪条路由路径进行转发，这样可以实现对不同类型的流量进行差异化的路由控制。

 防火墙策略路由Web页面

注： DSCP优先级 --- 相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段）， 之后下游设备会根据优先级来差异化保证流量的通过。

•  转发 :可以定义其转发的方式
• 转发其他虚拟系统 : VRF
• 不做策略路由
• 监控 :当策略是单出口时，如果这里写的下一跳和出接口不可达，报文将直接被FW丢 弃。为了提高可靠性，我们可以配置针对下一跳的监控，即使下一跳不可达，也可以继 续查找本地路由表，而不是直接丢弃。

智能选路 

防火墙智能选路Web页面

 注：基于带宽的负载分担会按照多条链路的比例来分配流量；当一条链路达到过载保护阈值后，除已创建会话表的流量可以继续通过外，该接口将不参与智能选路，需要新建会话表将流量从其余链路按照比例转发。

 注：会话保持：根据源IP/目标IP确定该流量走哪条链路

 基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过 载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以 从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中 按照比例转发。

会话保持 --- 开启该功能后，流量首次通过智能选路的接口后，会创建会话表，后续命 中会话表的流量都将通过同一个接口来进行转发，选择源IP和目的IP的效果时，所有相 同源IP或者目标IP的流量将通过同一个接口转发。 --- 应对于不希望链路频繁切换的场 景。 

 丢包率 --- FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回 应报文个数除以探测报文个数。丢包率是最重要的评判依据。 时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均 时延作为结果进行评判 延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时 抖动的平均值。

 优先级也是由网络管理员针对每一条链路手工分配的。 执行逻辑： 1，接口没有配置过载保护： 优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故 障，则优先级次高的链路开始转发流量。其余链路依旧不工作。 2，接口配置了过载保护： 优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超 过保护阈值，则优先级次高的链路开始工作。

DNS透明代理

        DNS透明代理是指将DNS查询请求通过防火墙进行转发和代理，以实现对DNS流量的监控和过滤。在防火墙中配置DNS透明代理的方法如下：

1. 利用防火墙的功能，在网络中建立一个DNS转发器。该转发器可以是一台具备防火墙功能的服务器，也可以是一个专用的DNS服务器。

2. 在防火墙中配置规则，将所有发往外部DNS服务器的DNS查询请求重定向到DNS转发器。这可以通过配置源NAT规则或者防火墙策略规则来实现。

3. 配置DNS转发器，使其能够代理查询请求，并将结果返回给客户端。可以使用DNS软件如Bind或者Dnsmasq来实现DNS代理功能。

4. 在DNS转发器中配置相关策略，实现对DNS查询流量的监控和过滤。可以根据域名、IP地址、协议等条件进行流量过滤和访问控制。

 配置替换的DNS服务器的IP地址Web页面

---

练习