什么是防火墙
防火墙是一种隔离(非授权用户在区域间)并过滤(对受保护网络有害流量或数据包)的设备。
包过滤防火墙----访问控制列表技术---三层技术
简单、速度快
检查的颗粒度粗
代理防火墙----中间人技术---应用层
降低包过滤颗粒度的一种做法,区域之间通信使用固定设备。
代理技术只能针对特定的应用来实现,应用间不能通用。
技术复杂,速度慢
能防御应用层威胁,内容威胁
什么是状态防火墙
在包过滤(ACL表)的基础上增加一个会话表,数据包需要查看会话表来实现匹配。
会话表可以用hash来处理形成定长值,使用CAM芯片处理,达到交换机的处理速度。
首包机制
细颗粒度
速度快
默认状态下只有首包(会话建立的第一个包非信息的第一个包)才能创建会话表
实验一

在云上配备端口

启动防火墙进入接口配置ip开启允许所有

在浏览器输入169.254.83.1登录防火墙
配置防火墙接口g1/0/0和trust区域

配置untrust区域和g1/0/1

对用户设备完成基础ip配置
配置策略

测试策略

二层交换
修改一个同pc1相同的网段





配置接口对




实验二

配置防火墙
给r1配置ip

配置sever1

在接口列表里面给GE1/0/0接口配置IP,启动访问管理选ping

在防火墙GE1/0/0接口上写一条静态路由

配置trust区
先给交换机LSW1接口配置划分VLAN2和VLAN3
vlan2 g0/0/1接口

vlan3 g0/0/2接口


PC1上

防火墙上

写一条到达10.1.2.0/24网段的路由

最后用PC1ping防火墙的接口

接口聚合
交换机上


做接口汇聚

做两条vlan接口


测试


区域内部已经互通
配置防火墙策略
trust 到 untrust

给路由器r1上写一条缺省,作为回包路由

给交换机上写一条缺省

PC1ping外网


命中该条策略
trust 到 dmz
给dmz区建立地址组
写策略



untrust 到指定dmz


