簡(jiǎn)介
安全區(qū)域（Security Zone），或者簡(jiǎn)稱為區(qū)域（Zone），是設(shè)備所引入的一個(gè)安全概念，大部分的安全策略都基于安全區(qū)域?qū)嵤?/p>
定義
一個(gè)安全區(qū)域是若干接口所連網(wǎng)絡(luò)的集合，這些網(wǎng)絡(luò)中的用戶具有相同的安全屬性。
目的
在網(wǎng)絡(luò)安全的應(yīng)用中，如果網(wǎng)絡(luò)安全設(shè)備對(duì)所有報(bào)文都進(jìn)行逐包檢測(cè)，會(huì)導(dǎo)致設(shè)備資源的大量消耗和性能的急劇下降。而這種對(duì)所有報(bào)文都進(jìn)行檢查的機(jī)制也是沒有必要的。所以在網(wǎng)絡(luò)安全領(lǐng)域出現(xiàn)了基于安全區(qū)域的報(bào)文檢測(cè)機(jī)制。
引入安全區(qū)域的概念之后，網(wǎng)絡(luò)管理員可以將具有相同優(yōu)先級(jí)的網(wǎng)絡(luò)設(shè)備劃入同一個(gè)安全區(qū)域。由于同一安全區(qū)域內(nèi)的網(wǎng)絡(luò)設(shè)備是“同樣安全”的，F(xiàn)W認(rèn)為在同一安全區(qū)域內(nèi)部發(fā)生的數(shù)據(jù)流動(dòng)是不存在安全風(fēng)險(xiǎn)的，不需要實(shí)施任何安全策略。只有當(dāng)不同安全區(qū)域之間發(fā)生數(shù)據(jù)流動(dòng)時(shí)，才會(huì)觸發(fā)設(shè)備的安全檢查，并實(shí)施相應(yīng)的安全策略。
所以FW在支持報(bào)文直接轉(zhuǎn)發(fā)的基礎(chǔ)上，還支持了安全區(qū)域的創(chuàng)建，并且允許網(wǎng)絡(luò)管理員在安全區(qū)域的基礎(chǔ)上實(shí)施各種特殊的報(bào)文檢測(cè)與安全功能。
安全區(qū)域有優(yōu)先級(jí)的區(qū)分。優(yōu)先級(jí)通過1～100的數(shù)字表示，數(shù)字越大表示優(yōu)先級(jí)越高。
（系統(tǒng)默認(rèn)的安全區(qū)域不能被刪除，優(yōu)先級(jí)也無(wú)法被重新配置或者刪除。用戶可以根據(jù)實(shí)際組網(wǎng)需要，自行創(chuàng)建安全區(qū)域并定義其優(yōu)先級(jí)。）
設(shè)備上缺省的安全區(qū)域如表1所示。
| 區(qū)域名稱 |
優(yōu)先級(jí) |
說明 |
|---|---|---|
| 非受信區(qū)域（untrust） |
低安全級(jí)別的安全區(qū)域，優(yōu)先級(jí)為5。 |
通常用于定義Internet等不安全的網(wǎng)絡(luò)。 |
| 非軍事化區(qū)域（dmz） |
中等安全級(jí)別的安全區(qū)域，優(yōu)先級(jí)為50。 |
通常用于定義內(nèi)網(wǎng)服務(wù)器所在區(qū)域。因?yàn)檫@種設(shè)備雖然部署在內(nèi)網(wǎng)，但是經(jīng)常需要被外網(wǎng)訪問，存在較大安全隱患，同時(shí)一般又不允許其主動(dòng)訪問外網(wǎng)，所以將其部署一個(gè)優(yōu)先級(jí)比trust低，但是比untrust高的安全區(qū)域中。 說明：dmz（Demilitarized Zone）起源于軍方，是介于嚴(yán)格的軍事管制區(qū)和松散的公共區(qū)域之間的一種有著部分管制的區(qū)域。FW設(shè)備引用了這一術(shù)語(yǔ)，指代一個(gè)邏輯上和物理上都與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分離的安全區(qū)域。 dmz安全區(qū)域很好地解決了服務(wù)器的放置問題。該安全區(qū)域可以放置需要對(duì)外提供網(wǎng)絡(luò)服務(wù)的設(shè)備，如WWW服務(wù)器、FTP服務(wù)器等。上述服務(wù)器如果放置于內(nèi)部網(wǎng)絡(luò)，外部惡意用戶則有可能利用某些服務(wù)的安全漏洞攻擊內(nèi)部網(wǎng)絡(luò)；如果放置于外部網(wǎng)絡(luò)，則無(wú)法保障它們的安全。 |
| 受信區(qū)域（trust） |
較高安全級(jí)別的安全區(qū)域，優(yōu)先級(jí)為85。 |
通常用于定義內(nèi)網(wǎng)終端用戶所在區(qū)域。 |
| 本地區(qū)域（local） |
最高安全級(jí)別的安全區(qū)域，優(yōu)先級(jí)為100。 |
local區(qū)域定義的是設(shè)備本身，包括設(shè)備的各接口本身。凡是由設(shè)備構(gòu)造并主動(dòng)發(fā)出的報(bào)文均可認(rèn)為是從local區(qū)域中發(fā)出，凡是需要設(shè)備響應(yīng)并處理（而不僅是檢測(cè)或直接轉(zhuǎn)發(fā)）的報(bào)文均可認(rèn)為是由local區(qū)域接收。 用戶不能改變local區(qū)域本身的任何配置，包括向其中添加接口。 說明：由于local區(qū)域的特殊性，在很多需要設(shè)備本身進(jìn)行報(bào)文收發(fā)的應(yīng)用中，需要開放對(duì)端所在安全區(qū)域與local區(qū)域之間的安全策略。包括：
向安全區(qū)域中添加接口，只是認(rèn)為該接口所連的網(wǎng)絡(luò)屬于該安全區(qū)域，而接口本身還是屬于local區(qū)域。 |
安全域間與方向
安全域間這個(gè)概念用來描述流量的傳輸通道，它是兩個(gè)“區(qū)域”之間的唯一“道路”。如果希望對(duì)經(jīng)過這條通道的流量進(jìn)行檢測(cè)等，就必須在通道上設(shè)立“關(guān)卡”，如ASPF等功能。
任意兩個(gè)安全區(qū)域都構(gòu)成一個(gè)安全域間（Interzone），并具有單獨(dú)的安全域間視圖。
安全域間的數(shù)據(jù)流動(dòng)具有方向性，包括入方向（Inbound）和出方向（Outbound）。
-
入方向：數(shù)據(jù)由低優(yōu)先級(jí)的安全區(qū)域向高優(yōu)先級(jí)的安全區(qū)域傳輸。
-
出方向：數(shù)據(jù)由高優(yōu)先級(jí)的安全區(qū)域向低優(yōu)先級(jí)的安全區(qū)域傳輸。
通常情況下，通信雙方一定會(huì)交互報(bào)文，即安全域間的兩個(gè)方向上都有報(bào)文的傳輸。而判斷一條流量的方向應(yīng)以發(fā)起該條流量的第一個(gè)報(bào)文為準(zhǔn)。
例如，發(fā)起連接的終端位于trust區(qū)域，它向位于untrust區(qū)域的Web服務(wù)器發(fā)送了第一個(gè)報(bào)文，以請(qǐng)求建立HTTP連接。由于untrust區(qū)域的優(yōu)先級(jí)比trust區(qū)域低，所以FW設(shè)備將認(rèn)為這個(gè)報(bào)文屬于Outbound方向，并根據(jù)Outbound方向上的域間配置決定是否匹配并進(jìn)一步處理該數(shù)據(jù)流。文章來源：http://www.zghlxwxcb.cn/news/detail-405716.html
##本文參考自華為官方usg產(chǎn)品文檔##文章來源地址http://www.zghlxwxcb.cn/news/detail-405716.html
到了這里，關(guān)于#華為 #usg 華為防火墻安全區(qū)域的概念的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
