防火墙原理与配置

防火墙原理与配置

一、防火墙的原理

1.什么是防火墙？

        在通信领域，防火墙是一种安全设备；它用于保护一个网络区域免受来自另一个网络区域的攻击和入侵，通常应用于网络边界，例如企业互联网出口、企业内部业务边界、数据中心边界等。

2.防火墙的应用场景

防火墙主要应用于以下三种场景：

（1）普通网络和数据中心之间。例如子公司与总公司机房之间。

（2）内网和外网之间，即局域网与互联网之间。

（3）服务器区域与内网之间。防范服务器被黑，被当做跳板攻击内网设备。

二、防火墙的配置

（一）配置安全域

1.内网区域--trust区域（信任区域）；

2.外网区域--untrust（非信任区域）；

3.dmz--服务器区域；

4.分别进入trust、untrust、dmz区域，并分配指定防火墙接口；例如：进入信任域（firewall zone trust）添加接口（add interface g0/0/0）;进入非信任域（firewall zone untrust）添加接口（add interface g0/0/1）;进入dmz域（firewall zone dmz）添加接口（add interface g0/0/2）。

5.自定义创建域：firewall zone name [域名称]，即firewall zone name trust1。

（二）配置安全策略

        广义上的防火墙安全策略指管控数据包的通行，即根据实际需求配置什么数据包允许通过防火墙，什么数据包禁止通过防火墙。

1.内网用户要访问互联网，这是允许的，那么防火墙配置为允许出站；但外网陌生的数据包要访问内网，这是禁止的，那么防火墙配置为禁止进站。

2.内网用户访问内网服务器，服务器正常回馈数据包，这是允许的，那么防火墙配置为放行；但内网用户未访问内网服务器，服务器主动连接访问内网用户，这是禁止的，那么防火墙配置为禁止。

3.配置安全策略样例：允许信任区域访问外网

security-policy ---进入安全策略的配置

rule name to_internet ---创建策略，名称叫to_internet

source-zone trust ---从trust（信任区域）来

destination-zone untrust ---到untrust（外网）去

action permit ---放行

注:任何厂家的防火墙，只要没配置允许，一律禁止通过。

（三）配置nat策略

nat-policy ---进入防火墙nat配置

rule name to_internet ---创建一个nat规则，名字为to_internet

source-zone trust ---从trust（信任区域）来

destination-zone untrust ---到untrust（外网）去

action source-nat easy-ip ---执行源地址转换,easy-ip意思为自动转换成设备出接口的公网ip地址。

注：详见实验二实验二：通过防火墙搭建相对安全的网络环境-优快云博客https://blog.youkuaiyun.com/jiangzubing520/article/details/139042830?spm=1001.2014.3001.5501