防火墙安全策略（基本配置）

原创

于 2025-01-06 22:06:21 发布 · 1.3k 阅读

9 ·

CC 4.0 BY-SA版权

文章标签：

#php #服务器 #apache

防火墙基本概念
1. 安全区域（Security Zone），简称为区域（Zone），是防火墙的重要概念。防火墙大部分的安全策略都基于安全区域实施。
2. 一个安全区域是防火墙若干接口所连网络的集合，一个区域内的用户具有相同的安全属性。
默认安全区域

华为防火墙确认已创建四个区域，untrust、dmz、trust和local区域。安全区域有以下特性：

1. 默认的安全区域不能删除，也不允许修改安全优先级。
2. 每个Zone都必须设置一个安全优先级（Priority），值越大，则Zone的安全优先级越高。
3. 用户可根据自己的需求创建自定义的Zone。
4. 防火墙默认安全区域均为小写字母，且大小写敏感，包括：
  1. 非受信区域（untrust）：通常用于定义Internet等不安全的网络。
  2. 非军事化区域（dmz）：通常用于定义内网服务器所在区域。因为这种设备虽然部署在内网，但是经常需要被外网访问，存在较大安全隐患，同时一般又不允许其主动访问外网，所以将其部署一个优先级比trust低，但是比untrust高的安全区域中。
  3. DMZ（Demilitarized Zone）起源于军方，是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。防火墙设备引用了这一术语，指代一个逻辑上和物理上都与内部网络和外部网络分离的安全区域。
    1. DMZ安全区域很好地解决了服务器的放置问题。该安全区域可以放置需要对外提供网络服务的设备，如WWW服务器、FTP服务器等。上述服务器如果放置于内部网络，外部恶意用户则有可能利用某些服务的安全漏洞攻击内部网络；如果放置于外部网络，则无法保障它们的安全。
5. 受信区域（trust）：通常用于定义内网终端用户所在区域。
6. 本地区域（local）：local区域定义的是设备本身，包括设备的各接口本身。凡是由设备构造并主动发出的报文均可认为是从Local区域中发出，凡是需要设备响应并处理（而不仅是检测或直接转发）的报文均可认为是由local区域接收。用户不能改变local区域本身的任何配置，包括向其中添加接口。
  1. 1. 由于local区域的特殊性，在很多需要设备本身进行报文收发的应用中，需要开放对端所在安全区域与local区域之间的安全策略。
区域间（Interzone）示例
1. 流量的源、目的地址决定了互访的区域。本例1中PC访问防火墙的接口的流量实际上是从trust zone到达local zone；本例2中PC访问Internet的流量实际上是从trust zone到达untrust zone。
防火墙基本概念：安全策略
1. 安全策略是控制防火墙对流量转发以及对流量进行内容安全一体化检测的策略。
2. 当防火墙收到流量后，对流量的属性（五元组、用户、时间段等）进行识别，然后与安全策略的条件进行匹配。如果条件匹配，则此流量被执行对应的动作。
安全策略组成
1. 安全策略的组成有匹配条件、动作和安全配置文件（可选）。安全配置文件实现内容安全。
2. 安全策略动作如果为“允许”则可配置安全配置文件，如果为“禁止”则可配置反馈报文。
3. 动作说明：
  1. 允许：如果动作为“允许”，则对流量进行如下处理：
  2. 如果没有配置内容安全检测，则允许流量通过。
  3. 如果配置内容安全检测，最终根据内容安全检测的结论来判断是否对流量进行放行。内容安全检测包括反病毒、入侵防御等，它是通过在安全策略中引用安全配置文件实现的。如果其中一个安全配置文件阻断该流量，则防火墙阻断该流量。如果所有的安全配置文件都允许该流量转发，则防火墙允许该流量转发。
4. 禁止：表示拒绝符合条件的流量通过。
  1. 如果动作为“禁止”，防火墙不仅可以将报文丢弃，还可以针对不同的报文类型选择发送对应的反馈报文。发起连接请求的客户端/服务器收到防火墙发送的阻断报文后，可以快速结束会话并让用户感知到请求被阻断。
  2. Reset客户端：防火墙向TCP客户端发送TCP reset报文。
  3. Reset服务器：防火墙向TCP服务器发送TCP reset报文。
  4. ICMP不可达：FW向报文客户端发送ICMP不可达报文。
5. 更多详细信息，可以参考文档，“安全策略”章节，https://support.huawei.com/hedex/hdx.dodocid=EDOC1100084128&lang=zh&idPath=24030814%7C9856724%7C21430823%7C22984765%7C23176238。
安全策略的匹配过程
1. 当配置多条安全策略规则时，安全策略的匹配按照策略列表的