防火墙

华为防火墙

防火墙用于隔离LAN与WAN

所有进出内网的流量都要经过防火墙

强化安全策略

使用策略限制内外网互访

防止来自外部的威胁

记录用户的上网行为

隐藏内部站点或拓扑

防火墙和路由器实现安全控制的区别

防火墙发展历史

DPI系统

防火墙分类

防火墙对比

防火墙工作模式

• 路由模式

• 透明模式

• 混合模式

安全区域划分

• Trust 85

• 用于连接内网区域，安全性高

• Untrust 5

• 连接外网区域，安全性低

• DMZ 50

• 用于连接需对外发布的服务器区安全性中等

• Local 100

• 用于连接防火墙本身网络，安全性最高

默认情况下华为防火墙拒绝任何区域之间的流量，如需放行指定的流量，需要管理员设置策略

状态检测和会话机制

1、

2、

防火墙收到客户的访问请求后会建立一个连接表，把目的地址和源地址进行对应

3、

4、

安全策略

• 可以设置多条策略

• 类似于ACL，每条策略都有匹配条件

• 满足条件后执行的动作

• 当动作为允许是，可以基于配置文件对应用层监控

• 可以针对匹配规则情况记录日志

安全策略是按一定规则设备安全域间的流量进行转发和内容安全一体化检测的策略

规则的本质是包过滤

FW安全策略的处理流程

安全策略配置流程

ASPF与Server-map表

单通道协议：通信过程中只需占用一个端口的协议。如：WWW只需占用80端口。

多通道协议：通信过程中需占用两个或两个以上端口的协议。如FTP被动模式下需占用21号端口以及一个随机端口。

大部分多媒体应用协议（如H.323、SIP音视频传输）、FTP、netmeeting等协议使用约定的固定端口来初始化一个控制连接，再动态的选择端口用于数据传输。端口的选择是不可预测的，其中的某些应用甚至可能要同时用到多个端口。传统的包过滤防火墙可以通过配置ACL过滤规则匹配单通道协议的应用传输，保障内部网络不受攻击，但只能阻止一些使用固定端口的应用，无法匹配使用协商出随机端口传输数据的多通道协议应用

由于某些特殊应用会在通信过程中临时协商端口号等信息，所以需要设备通过检测报文的应用层数据，自动获取相关信息并创建相应的会话表项，以保证这些应用的正常通信。这个功能称为ASPF应用层报文过滤（Application Specific Packet Filter），所创建的会话表项叫做Server-map表。

Server-map表相当于在防火墙上开通了“隐形通道”，使得像FTP这样的特殊应用的报文可以正常转发。当然这个通道不是随意开的，是防火墙分析了报文的应用层信息之后，提前预测到后面报文的行为方式，所以才打开了这样的一个通道。

Server-map通常只是用检查首个报文，通道建立后的报文还是根据会话表来转发。

Server-map表在防火墙转发中非常重要，不只是ASPF会生成，NAT Server等特性也会生成Server-map表。

Server-map表与会话表的关系：

Server-map表记录了应用层数据中的关键信息，报文命中该表后，不再受安全策略的控制；

会话表是通信双方连接状态的具体体现；

Server-map表不是当前的连接信息，而是防火墙对当前连接分析后得到的即将到来报文的预测；

防火墙收到报文先检查是否命中会话表；

如果没有命中则检查是否命中Server-map表；

命中Server-map表的报文不受安全策略控制；

防火墙最后为命中Server-map表的数据创建会话表。

双机热备

双机热备要求：

两台防火墙用于心跳线的接口加入相同的安全区域

两台防火墙用于心跳线的接口的设备编号必须一致，如都是G1/0/1

建议用于双机热备的两台防火墙采用相同的型号、相同的VRP版本

双机热备：

同一时间只有一台防火墙转发数据包，其他防火墙不转发数据包，但是会同步会话表以及server-map表

负载均衡：

同一时间多台防火墙同时转发数据包，但每个防火墙又作为其他防火墙的备用设备，即每个防火墙既是主用设备也是备用设备。防火墙之间同步会话表以及server-map表

VRRP

热备模式

负载均匀模式

HSRP和VRRP

VGMP

概念

• VRRP组管理协议

• 实现对VRRP备份组的统一管理

• 保证设备在各个备份组中的状态一致性

特点

• VGMP组的状态决定了VRRP备份组的状态

• VGMP组的状态通过比较优先级决定

• 默认情况下，VGMP组的优先级为45000

• 通过心跳线协商VGMP状态信息

• 一旦检测到备份组的状态变成Initialize状态，VGMP组的优先级会自动减2

华为防火墙在默认情况下放行组播流量，禁止单播流量，所以如果配置了remote参数，还需要配置local区域和心跳接口所在安全区域之间安全策略

eNSP模拟器中，即使心跳接口之间相连，也必须配置remote参数，否则无法配置