5、网络安全设备的模式、安全级别与地址转换解析

网络安全设备的模式、安全级别与地址转换解析

1. 路由模式的工作原理与特性

路由模式下，设备可视为具备高级安全特性的三层路由器，各网络接口对应唯一子网，需分配不重叠的 IP 地址。许可证按上下文分配，而非每个桥接组单独购买，例如 20 个上下文许可证可支持 160 个桥接组。

在路由模式中，支持的路由协议因模式而异：
| 模式 | 支持的路由协议 |
| ---- | ---- |
| 单上下文模式 | OSPF、RIP（3.x 代码版本），4.x 版本支持 EIGRP |
| 多上下文模式 | 仅支持静态和 BGP 存根路由 |

使用路由协议时需谨慎，要确保协议经过身份验证。若从其他域交换路由信息，最好在不可信接口上设置独立的路由实例，并在两者间重新分发特定信息，以降低恶意注入路由信息导致拒绝服务的风险。

路由模式有诸多优点：
- 支持多接口，可在三层连接多个网络并应用安全策略。
- 配置为支持动态路由时，能在子网设备间动态交换路由更新，链路或设备故障时可快速实现网络收敛。
- 内部网络使用动态路由协议便于管理，能快速响应拓扑变化，减少对生成树作为故障转移机制的依赖。

然而，路由模式也存在一些缺点：
- 多上下文和单路由模式下路由协议选择有限。
- 配置复杂，易出现配置错误。
- 组播支持有限，仅支持八个出站接口。

例如，内部客户端通过外部接口的 PAT 连接外部主机时，具体流程如下：
1. 客户端发送 ARP 请求获取网关 MAC 地址。
2. 设备将客户端 MAC/IP 对添加到本地 ARP 表并