初始华为防火墙

╰半橙微兮° 2023-07-24 09:03 12阅读 0赞

## 前言 ##

防火墙作为一种安全设备被广泛使用于各种网络环境中，它在网络间起到隔离作用。华为作为著名的网络设备厂商，2001年便发布了首款防火墙插卡，而后根据网络发展及技术需求，推出了一代又一代防火墙及安全系列产品。在近二十年的历程中，华为在业界立下了一个又一个丰碑。

#### 华为防火墙介绍 ####

USG2000、USG5000、USG6000和USG9500构成了华为防火墙的四大部分，分别适合于不同环境的网络需求，其中，USG2000和USG5000系列定位于UTM（ Unified Threat Management，统一威胁管理 ）产品，USG6000系列属于下一代防火墙产品，USG9500系列属于高端防火墙产品。

##### USG2110 #####

`USG2110为华为针对中小企业及连锁机构、SOHO企业等发布的防火墙设备，`其功能涵盖防火墙，UTM、VPN、路由、无线等。USG2110其具有性能高、可靠性高、配置方便等特性，且价格相对较低，支持多种VPN组网方式，为用户提供安全、灵活、便捷的一体化组网解决方案  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70]

##### USG6600 #####

USG6600是华为面向下一代网络环境防火墙产品，`适用于大中型企业及数据中心等网络环境，`具有访问控制精准、防护范围全面、安全管理简单、防护性能高等特点，可进行企业内网边界防护、互联网出口防护、云数据中心边界防护、VPN远程互联等组网应用  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 1]

##### USG9500系列 #####

USG9500系列包含USG9520、USG9560、USG9580三种系列，`适用于云服务提供商、大型数据中心、大型企业园区网络等，`它拥有最精准的访问控制、最实用的NGFW特性、最领先的 “ NP＋多核＋分布式 ” 构架及最丰富的虚拟化，被称为最稳定可靠的安全网关产品，可用于大型数据中心边界防护、广电和二级运营商网络出口安全防护、教育网出口安全防护等网络场景  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 2]

##### NGFW #####

NGFW，全称是 Next Generation Firewall，即下一代防火墙，最早由 Gartner提出。`NGFW更适用于新的网络环境。NGFW在功能方面不仅要具备标准的防火墙功能，`如网络地址转换、状态检测、VPN和大企业需要的功能，而且要`实现IPS和防火墙真正的一体化`，而不是简单地基于模块。

传统的防火墙只能基于`时间、IP和端口`进行感知，而NGFW防火墙基于六个维度进行管控和防护，分别是`应用、用户、内容、时间、威胁、位置。`

目前，华为的NGFW产品主要是`USG6000系列`，覆盖从低端的固定化模块产品到高端的可插拔模块产品，华为下一代防火墙的应用识别能力范围领先同行业产品20％，超出国产品牌3－5倍。

#### 防火墙的工作模式 ####

华为防火墙具有三种工作模式：`路由模式，透明模式、混合模式`

**路由模式**  
`如果华为防火墙连接网络的接口配置IP地址则认为防火墙工作在路由模式下`，当华为防火墙位于内部网络和外部网络之间时，需要将防火墙与内部网络、外部网络以及DMZ三个区域相连的接口分别配置成不同网段的IP地址，所以需要重新规划原有的网络拓扑，此时防火墙首先是一台路由器，然后提供其他防火墙功能。路由模式需要对网络拓扑进行修改（内部网络用户需要更改网关、路由器需要更改路由配置等）。  
**透明模式**  
`如果华为防火墙通过第二层对外连接（接口无IP地址），则防火墙工作在透明模式下`,如果华为防火墙采用透明模式进行工作，只需在网络中像连接交换机一样连接华为防火墙设备即可，其最大的优点是无须修改任何已有的IP配置：此时防火墙就像一个交换机一样工作，内部网络和外部网络必须处于同一个子网，此模式下，报文在防火墙当中不仅进行二层的交换，还会对报文进行高层分析处理。

**混合模式**  
`如果华为防火墙既存在工作在路由模式的接口（接口具有IP地址），又存在工作在透明模式的接口（接口无IP地址 ），则防火墙工作在混合模式下`，这种工作模式基本上是透明模式和路由模式的混合，目前只用于透明模式下提供双机热备的特殊应用中，别的环境下不建议使用。

#### 华为防火墙的安全区域划分 ####

<table> 
 <thead> 
  <tr> 
   <th>区域</th> 
   <th>描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>trust</td> 
   <td>通常定义为内部网络优先级为85，安全等级较高</td> 
  </tr> 
  <tr> 
   <td>dmz</td> 
   <td>通常定义为需要对外提供服务的网络，优先级为50，非军事化区域，也称‘隔离区’，安全性介于Trust区域和Untrust区域之间</td> 
  </tr> 
  <tr> 
   <td>untrust</td> 
   <td>通常定义外部网络，优先级为5，安全级别很低</td> 
  </tr> 
  <tr> 
   <td>local</td> 
   <td>通常定义防火墙本身，优先级为100</td> 
  </tr> 
  <tr> 
   <td>其他区域</td> 
   <td>用户自定义区域，默认最多自定义16个区域，自定义区域没有默认优先级，所以需要手工指定</td> 
  </tr> 
 </tbody> 
</table>

**注：**

*  安全区域的优先级必须是`唯一`的，即每个安全区域都需要对应不同的优先级，因为防火墙会根据优先級大小来确定网络的受信任级别。
 *  默认情况下，`华为NGFW防火墙拒绝任何区域之间的一切流量`，如需放行指定的流量，需要管理员设置策略。但同一域间默认流量是放行。
 *  但是华为传统的防火墙默认情况下对`从高优先级区域到低优先级区城方向的流量默认放行`。

#### 防火墙 Inbound和 Outbound ####

防火墙基于区域之间处理流量，即使由防火墙自身发起的流量也属于Local区域和其他区域之间的流量传递，当数据流在`安全区域之间流动`时，才会激发华为防火墙进行`安全策略的检查`，即华为防火墙的安全策略通常都是`基于域间`（ 如 Untrust区域和Trust区域之间 ）的，不同的区域之间可以设置不同的安全策略，域间的数据流分两个方向：

入方向（ Inbound ）：`数据由低级别的安全区域向高级别的安全区域传输的方向(风险高)。`例如，从Untrust区域（ 优先级5 ）的流量到 Trust区域（ 优先级85 ）的流量就属于 Inbound方向。

出方向（ Outbound ）：`数据由高级别的安全区域向低级别的安全区域传输的方向（风险低），`例如，从DMZ区域（ 优先级50 ）的流量到 Untrust区域的流量就属于 Outbound方向。

#### 状态化信息 ####

防火墙对于`数据流`的处理，是针对`首个报文`在访问发起的方向检查安全策略，如果允许转发，同时将生成状态化信息一`会话表`，而后续的报文及返回的报文如果匹配到会话表，将直接转发而不经过策略的检查，进而提高转发效率，这也是状态化防火墙的典型特性。这也是访问的双向流量不需要同时配置安全策略的原因。

`注：`

**数据流**: 防火墙通过五元组来唯一的区分一个数据流，`即源IP、目标IP、协议、源端口及目标端口。`防火墙把具有相同五元组内容的数据当作一个数据流。

**其他流量**：但是对于其他流量，依然要经过防火墙的`安全策略检查`，防火墙的这种特性使每个数据流都至少一个包必须匹配安全策略，而非法的流量在执行安全策略时将被`丢弃。`

**会话表**: 一条会话就表示通信双方的一个连接。防火墙上多条会话的`集合`就称为会话表（ Session Table ）

需要注意的是，会话是`动态生成的，但不是永远存在的`。如果长时间没有报文匹配，则说明通信双方已经断开了连接，不再需要该条会话了。此时，为了节约系统资源，防火墙会在一段时间后删除会话，该时间称为`会话的老化时间`。

#### 安全策略 ####

防火墙的基本作用是保护特定网络`免受`“不信任”的网络的`攻击`，但是同时还必须允许两个网络之间可以进行合法的通信。安全策略的作用就是对通过防火墙的数据流进行`检验`，符合安全策略的合法数据流才能通过防火墙。可以在不同的域间方向应用不同的安全策路进行不同的`控制`。

华为新一代防火墙对报文的检测除了基于传统的五元组（ 源IP、目标IP、协议、源端口、目标端口 ）之外，还可以基于上面的`六个维度`进行管理和维护，真正实现全方位立体化的检测能力及精准的访问控制和安全检测

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 3]  
目前`USG6000系列`防火墙的V100R001版本采用的是一体化安全策略。所谓的一体化，可以体现在两个方面，其一是配置上的一体化，其二是业务上一体化。一体化的安全策略由若干`规则`组成，而规则由`条件、动作、配置文件和选项`构成,如下图所示。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 4]  
**规则：** 一条规则可以引用一个或多个配置文件，不同类型的规则包含对应的默认配置文件，管理员也可以手动引用其他一个或多个配置文件。配置文件只有在动作允许时，才能够被引用。

**条件：** 条件是匹配某条规则的`依据`，条件中的各个元素之间是 “与” 的关系,满足规则的所有条件才算匹配该条规则。

**动作：** 动作是防火墙对于匹配的流量所采取的`处理方式`，包含允许、拒绝等。

**选项：** 选项是规则的一些`附加功能`，如是否针对该规则记录日志、本条规则是否生效等。

配置实例：

[USG6000V1]security-policy               //配置安全策略
    
    [USG6000V1-policy-security]rule name allow_Telnet   //策略名字
    
    [USG6000V1-policy-security-rule-allow_Telnet]source-zone trust  //指定条件
      
    [USG6000V1-policy-security-rule-allow_Telnet]destination-zone local //指定条件
    
    [USG6000V1-policy-security-rule-allow_Telnet]action permit     //指定动作
    
    [USG6000V1-policy-security-rule-allow_Telnet]quit
    
    [USG6000V1-policy-security]quit

安全策略中的默认动作代替了默认包过滤。传统防火墙的包过滤是基于区间的，只针对指定的区域间生效，而新一代防火墙的默认动作全局生效，且默认动作为拒绝，即`拒绝一切流量`，除非允许。

同时为了灵活应对各种组网情况，华为防火墙还支持配置域内（ 同一个安全区域内 ）策路，对同一个安全区域内经过防火墙的流量进行安全检查（ 默认情况下是`允许所有域内报文通过`防火墙的 ）。

**默认情况下，华为防火墙的策路有如下特点：**

（1）任何两个安全区域的`优先级`不能相同。  
（2）本域内不同接口间的报文不过滤直接转发。  
（3）`接口`没有加入域之前不能转发包文。  
（4）在USG6000系列的防火墙上默认是没有安全策略的，也就是说，不管是什么区域之间要相互访问，都必须要配置安全策略，除非是同一区域报文传递。

*  
 *  
 *

`下一篇: 华为防火墙的管理方式`

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70]: /images/20230528/45ca18c4220c431fa75dce51f13b6d2b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 1]: /images/20230528/88726a38f3d64d4b8014db2bd093a788.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 2]: /images/20230528/5bca9e2537f144f2b96f99a5d3d69dec.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 3]: /images/20230528/ec2007cb1f9749f19d9ed39dbeaa7995.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 4]: /images/20230528/096bdb57e5804c8ca34975b5ec9d2dc6.png