16、中型网络防火墙设计与QoS优化实践

中型网络防火墙设计与QoS优化实践

1. 防火墙设计概述

乍一看，为该网络设计防火墙似乎很复杂，但实际上构建起来相当简单。主要关注点在于数据库安全，通过在不同地点之间建立隧道，加密为我们提供了所需的大部分保护，确保数据库复制时数据不会被拦截。中间人若想嗅探站点间的数据包，看到的是加密的GRE数据包，没有密钥就无法使用捕获的数据。

对于第三方数据库开发人员，可以通过信任其IP地址（信任通往他们的路由，即沿途的服务提供商），或者让他们通过VPN连接到站点或总部，以加密连接的方式工作。在实际案例中，由于信任中间的服务提供商，允许他们直接从其IP地址进行工作。

2. 防火墙具体配置

2.1 通用配置

首先，需要拒绝所有人访问用于MSSQL的1433/TCP端口，然后允许并对第三方开发人员的可信IP地址进行DNAT，使其能够访问每个地点的数据库。

对于站点A，有特殊配置。可以更改MSSQL运行的端口，或者给开发人员另一个端口，并将该端口DNAT到1433/TCP。在示例中，MSSQL仍运行在1433/TCP，给开发人员9001/TCP端口连接站点A的MSSQL服务器，然后将其DNAT到1433/TCP。

IP模拟电话适配器（ATA）使用H.323协议，该协议不太适合NAT，因为它使用UDP传输语音。标准呼叫信令端口是1720/TCP，并且可以将每个ATA的呼叫信令端口设置为任意端口，也可以设置每个ATA用于RTP（实时协议）的UDP端口，RTP用于通过IP传输语音。若不进行防火墙配置，IP ATA可以拨打电话但听不到对方音频，也无法接收呼叫。因此，需要在Linux路由器中对RTP端口进行DNAT。对于站