防火墙的基本概念与配置

基本概念

安全区域

接口被添加到区域，该接口所连接的网络都属于该区域。
接口属于local区域

安全策略

控制防火墙对流量转发以及对流量进行内容安全一体化检测的策略
对流量的属性（五元组、用户、时间段等）进行识别，然后与安全策略的条件进行匹配。如果条件匹配，则此流量被执行对应的动作。

• 五元组
  源地址、源端口、目的地址、目的端口和协议

• 安全策略匹配过程
  当配置多条安全策略规则时，安全策略的匹配按照策略列表的顺序执行，即从策略列表顶端开始逐条向下匹配。如果流量匹配了某个安全策略，将不再进行下一个策略的匹配。
  默认为拒绝所有

会话表

会话表是用来记录TCP、UDP、ICMP等协议连接状态的表项，是防火墙转发报文的重要依据。
只对首包或者少量报文进行检测即可确定一条连接的状态，后续报文直接根据所属连接的状态进行后续包处理流程
一条会话若长时间没有被匹配，则会被会话表删除。

不足之处

• 碰见长连接的会话，可能会被中断
• 单向安全策略，在一些协议需要多协议通道进行工作时无法进行

ASPF与Server-map

ASPF(Application Specific Packet Filter，针对应用层的包过滤)
ASPF也称作基于状态的报文过滤，ASPF功能可以自动检测某些报文的应用层信息并根据应用层信息放开相应的访问规则，即生成Server-map表。
Server-map表也记录了类似会话表中连接的状态,但比较简单,在真实流量到达前生成,真实流量到达时会根据此表进行转发.

配置命令

• 接口视图可设置允许/拒绝通过的协议

[Huawei-GigabitEthernet0/0/1] service-manage telnet deny
[Huawei-GigabitEthernet0/0/1] service-manage http permit

• 将接口配置到安全区域

[FW]firewall zone dmz
[FW-zone-dmz]add in g1/0/2

• 配置安全策略
  从trust区域去往untrust区域,源地址为10.0.2.0被放行

[FW]security-policy
[FW-policy-security]rule name policy_sec_1
[FW-policy-security-rule-policy_sec_1]source-zone trust
[FW-policy-security-rule-policy_sec_1]destination-zone untrust
[FW-policy-security-rule-policy_sec_1]source-address 10.0.2.0 mask 255.255.255.0
[FW-policy-security-rule-policy_sec_1]action permit

• 配置基于源的NAT

创建地址池
[FW]nat address-group group1
[FW-nat-address-group-group1]section 1.1.1.254 1.1.1.254

配NAT策略
[FW]nat-policy 
[FW-policy-nat]rule name policy_nat_1
[FW-policy-nat-rule-policy_nat_1]source-zone trust
[FW-policy-nat-rule-policy_nat_1]destination-zone untrust
[FW-policy-nat-rule-policy_nat_1]source-address 10.0.2.2 24
[FW-policy-nat-rule-policy_nat_1]action nat address-group group1 

配置NAt Server
[FW]nat server policy_natserver_1 protocol tcp global 1.1.1.254 2323 inside 10.0.4.4 telnet no-reverse