防火墙安全策略

关注

原创最新推荐文章于 2026-02-27 01:23:13 发布 846 阅读 AI 写同款· GEO 优化 ›

防火墙ASPF（针对应用层包过滤技术） FTP（主动模式）本文描述了防火墙(FW1)配置FTP服务的过程及问题解决。首先配置了trust到dmz区的安全策略，允许FTP访问。关闭ASPF后发现FTP主动模式无法查看文件列表，通过创建FTP数据通道服务对象并配置相应安全策略临时解决问题，但该方法存在安全隐患。随后禁用该策略并重新启用ASPF检测，利用Server-Map表动态处理FTP数据连接，无需配置单独安全策略即可实现流量放行。整个方案解决了FTP主动模式的数据通道问题，同时保证了安全性。阅读详情

一、防火墙安全策略定义

防火墙安全策略定义：安全策略是按一定规则控制设备对流量转发以及对流量进行内容安全一体化检测的策略。（规则的本质还是包过滤）

二、防火墙报文处理规则

防火墙收到一个报文处理原则：

1、查询会话表，看会话表是否匹配会话表流量五元组的会话。

2、有会话进行简单安全性检查，刷新会话表，然后转发。

3、没有会话要检查是否有创建会话的能力（是否是首包，只有首包可以创建会话），是首包的话会查看server map表、查找路由表、查包过滤原则、NAT转换，然后创建会话，创建好会话后转发报文。

三、状态检测机制

状态检测机制：

1、状态检测机制开启状态下，只有首包通过设备才能建立会话表项，后续包直接匹配会话表项进行转发。

2、状态检测机制关闭状态下，即使首包没有经过设备，后续包只要通过设备也可以生成会话表项。

首包特指三个报文：TCP的SYN，所有UDP都是首包，ping的请求包。

状态检测开启和关闭的唯一区别

1、开启：只有首包才能创建会话。

2、关闭：所有报文都能创建会话。

什么时候要关闭状态检测？

旁挂和来回路径不一致需要关闭。

查看会话表信息

多通道协议技术

1、单通道协议：通信过程中只需要占用一个端口协议（比如www只需要占用80端口）。

2、多通道协议：通信过程中需要占用两个或两个以上端口协议（比如FTP被动模式下需要占用21号端口以及一个随机端口）。

FTP（文件传输协议）使用TCP：

这两条信道五元组不一样

（1）、控制信道TCP【认证】：

（2）、数据信道TCP【传文件】：在控制信道建立好的基础上创建。

两种建立数据信道模式：

	控制信道	数据信道
主动模式	21	20
被动模式	21	随机端口

（1）主动模式：FTP-server主动向客户端建立数据信道连接。

（2）被动模式：FTP-server被动接受客户端发起的数据信道连接。

防火墙对于FTP这种多通道协议，PC——AF——FTP-server，会导致控制信道可以建立，数据信道因为五元组不一样无法建立，解决这个问题防火墙实现动态策略，因为控制隧道建立完毕后，会发送port Command告诉服务器接下来访问我的哪个端口建立数据信道，防火墙如果可以识别，动态的建立策略放行port Command（携带一个ip和端口）中的端口就可以让数据信道正常建立。