防火墻
- 防火墻是一種隔離非授權(quán)用戶所在區(qū)間并過(guò)濾對(duì)受保護(hù)網(wǎng)絡(luò)有害流量或數(shù)據(jù)包的設(shè)備
防御對(duì)象
- 授權(quán)用戶
- 非授權(quán)用戶
防火墻的區(qū)域
- 區(qū)域的劃分，根據(jù)安全等級(jí)來(lái)劃分
- 區(qū)域擁有不同的安全等級(jí)，內(nèi)網(wǎng)（trust）一般是100，外網(wǎng)（untrust）一般是0，服務(wù)器區(qū)域（DMZ）一般是50
包過(guò)濾防火墻：訪問(wèn)控制列表技術(shù)—三層技術(shù)
- 簡(jiǎn)單，速度快
- 檢查的顆粒度粗
代理防火墻：中間人技術(shù)—應(yīng)用層
- 降低包過(guò)濾顆粒度的一種做法，區(qū)域之間通信使用固定設(shè)備
- 代理技術(shù)只能針對(duì)特定的應(yīng)用來(lái)實(shí)現(xiàn)
- 技術(shù)復(fù)雜，速度慢
- 能防御應(yīng)用層威脅，內(nèi)容威脅
狀態(tài)防火墻：會(huì)話追蹤技術(shù)—三層、四層
在包過(guò)濾的基礎(chǔ)上增加一個(gè)會(huì)話表，數(shù)據(jù)包需要查看會(huì)話表來(lái)實(shí)現(xiàn)匹配，會(huì)話表課可以使用hash來(lái)處理形成定長(zhǎng)值，使用CAM芯片處理，達(dá)到交換機(jī)的處理速度。
- 首包機(jī)制
- 細(xì)顆粒粒度
- 速度快
UMT：深度包檢查技術(shù)—應(yīng)用層
把應(yīng)用網(wǎng)管和ISP等設(shè)備在狀態(tài)防火墻的基礎(chǔ)上進(jìn)行整合和統(tǒng)一
- 把原來(lái)分散的設(shè)備進(jìn)行統(tǒng)一管理，有利于節(jié)約資金和學(xué)習(xí)成本
- 統(tǒng)一有利于各設(shè)備的之間的協(xié)作
- 設(shè)備負(fù)荷較大并且檢查也是逐個(gè)功能模塊來(lái)進(jìn)行的，速度慢
?文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-776473.html
下一代防火墻
2008年P(guān)alo Alto Networks 公司發(fā)布了下一代防火墻(Next-Generation Firewal)，解決了多個(gè)功能同時(shí)運(yùn)行時(shí)性能下降的問(wèn)題。同時(shí)，下
一代防火墻還可以基于用戶、應(yīng)用和內(nèi)容來(lái)進(jìn)行管控。2009年 Gartner (一家IT咨詢公司)對(duì)下一代防火墻進(jìn)行了定義，明確下一代防火墻
應(yīng)具備的功能特性。Gartner把NGFW看做不同信任級(jí)別的網(wǎng)絡(luò)之間的一個(gè)線速(wire-speed)實(shí)時(shí)防護(hù)設(shè)備，能夠?qū)α髁繄?zhí)行深度檢測(cè)，并阻斷攻擊。Gartner認(rèn)為，NGFW必須具備以下能力:
- 傳統(tǒng)防火墻的功能
NGFW是新環(huán)境下傳統(tǒng)防火墻的替代產(chǎn)品，必須前向兼容傳統(tǒng)防火墻的基本功能，包括包過(guò)濾、協(xié)議狀態(tài)檢測(cè)、NAT、VPN等.
- IPS 與防火墻的深度集成
NGFW要支持IPS功能，且實(shí)現(xiàn)與防火墻功能的深度融合，實(shí)現(xiàn)11>2的效果。Gartner特別強(qiáng)調(diào)IPS與防火墻的"集成"而不僅僅是“聯(lián)動(dòng)”。例如，防火墻應(yīng)根據(jù)IPS檢測(cè)到的惡意流量自動(dòng)更新下發(fā)安全策略，而不需要管理員的介入。換言之，集成IPS的防火墻將更加智能。
Gartner發(fā)現(xiàn)，NGFW產(chǎn)品和獨(dú)立IPS產(chǎn)品的市場(chǎng)正在融合，尤其是在企業(yè)邊界的部署場(chǎng)景下，NGFW正在吸收獨(dú)立IPS產(chǎn)品的市場(chǎng)。
- 應(yīng)用感知與全?？梢暬?/strong>
具備應(yīng)用感知能力，并能夠基于應(yīng)用實(shí)施精細(xì)化的安全管控策略和層次化的帶寬管理手段，是NGFW引進(jìn)的最重要的能力。傳統(tǒng)的狀態(tài)檢
測(cè)防火墻工作在二到四層，不會(huì)對(duì)報(bào)文的載荷進(jìn)行檢查。NGFW能對(duì)七層檢測(cè)，可以清楚地呈現(xiàn)網(wǎng)絡(luò)中的具體業(yè)務(wù)，并實(shí)行管控。
- 利用防火墻以外的信息，增強(qiáng)管控能力
防火墻能夠利用其他IT系統(tǒng)提供的用戶信息、位置信息、統(tǒng)，實(shí)現(xiàn)基于用戶的安全策略，以應(yīng)對(duì)移動(dòng)辦公場(chǎng)景下，IP地址變化帶來(lái)的管控難題。漏洞和網(wǎng)絡(luò)資源信息等，幫助改進(jìn)和優(yōu)化安全策略。例如，通過(guò)集成用戶認(rèn)證系
防火墻的策略
- 定義與原理：
防火墻的基本作用是保護(hù)特定網(wǎng)絡(luò)免受”不信任”的網(wǎng)絡(luò)的攻擊，但是同時(shí)還必須允許兩個(gè)網(wǎng)絡(luò)之間可以進(jìn)行合法的通信。
安全策略是控制設(shè)備對(duì)流量轉(zhuǎn)發(fā)以及對(duì)流量進(jìn)行內(nèi)容安全一體化檢測(cè)的策略，作用就是對(duì)通過(guò)防火墻的數(shù)據(jù)流進(jìn)行檢驗(yàn)，符合安全策略的合法數(shù)據(jù)流才能通過(guò)防火墻。
- 防火墻的基本配置
1、在cloud上進(jìn)行進(jìn)行網(wǎng)卡的綁定
?2、連接cloud和防火墻的0/0/0端口，在防火墻上配置IP，此時(shí)IP和cloud上綁定的網(wǎng)卡為同一網(wǎng)段。注意：在進(jìn)入防火墻首先要進(jìn)行登錄，用戶名為：admin，密碼為 Admin@123，登陸后需要修改密碼
?
?3、配置完成后在瀏覽器中輸入防火墻配置的IP地址即可登錄防火墻的web配置界面，登錄后即可進(jìn)行配置
?
?首先以下圖為例，使用三層協(xié)議進(jìn)行配置
?首先將防火墻的1/0/0端口加入到trust區(qū)域，并配置IP地址，將1/0/1端口加入到untrust區(qū)域，并配置IP地址
?分別在兩臺(tái)PC上配置IP，掩碼和網(wǎng)關(guān)，此時(shí)，兩臺(tái)PC是無(wú)法ping通的，因?yàn)樵诜阑饓ι洗嬖谝粭l安全策略默認(rèn)拒絕所有
?
所以要使得PC1能夠ping通PC2，需要編寫(xiě)一條安全策略放通trust區(qū)域至untrunst區(qū)域的流量
?完成安全策略的編寫(xiě)后，再次使用PC1 ping PC2可以ping通
?再次使用此拓?fù)洌褂枚訁f(xié)議實(shí)現(xiàn)trunst區(qū)域至untrunst區(qū)域的通信
?將防火墻的1/0/0接口和1/0/1接口修改為二層接口并設(shè)置vlan
?分別為PC1和PC2配置IP和掩碼
?
?此時(shí)用PC1 ping PC 2，即使兩臺(tái)PC是同一網(wǎng)段，依舊是無(wú)法ping通，原因也是在防火墻上存在一條安全策略默認(rèn)拒絕所有，所以我們需要編寫(xiě)一條安全策略來(lái)實(shí)現(xiàn)trust區(qū)域與untrust區(qū)域的通信，由于此時(shí)我們使用的是二層協(xié)議，所以我們需要添加VLAN ID
?
?以上就是防火墻的二層、三層基本配置。
實(shí)驗(yàn)練習(xí)
?
?1、在cloud1上綁定網(wǎng)卡，完成配置后與防火墻的0/0/0口相連
?2、啟動(dòng)防火墻，配置0/0/0口的IP，使用瀏覽器登錄防火墻的web界面
?配置untrust區(qū)域
1、首先在路由器上為兩個(gè)接口配置IP地址
2. PC配置IP、掩碼和網(wǎng)關(guān)
?3、在防火墻上配置1/0/3為untrust區(qū)域
?此時(shí)，使用ISP路由器ping防火墻，即使路由器與防火墻為直連，但是依舊是無(wú)法ping通的，原因是在配置防火墻時(shí)，沒(méi)有啟用訪問(wèn)管理，設(shè)置啟動(dòng)訪問(wèn)管理，并選擇放通ping流量即可ping通
?但是，此時(shí)，untrust區(qū)域的PC沒(méi)有至防火墻的路由，所以需要手動(dòng)添加一條靜態(tài)路由
?
配置trust區(qū)域：
在防火墻上將1/0/0接口加入trust區(qū)域，并配置IP地址
?
在trust區(qū)域的交換機(jī)上創(chuàng)建vlan，配置IP地址，結(jié)果如下：
?
在trust區(qū)域的PC上配置IP，掩碼，網(wǎng)關(guān)
?
此時(shí)，PC到防火墻之間缺少路由，所以需要手動(dòng)添加一條靜態(tài)路由
?
靜態(tài)路由配置完成后，trust區(qū)域的PC可以和防火墻完成通信
?
配置DMZ區(qū)域
在防火墻上配置eth-trunk
?在DMZ區(qū)域的交換機(jī)上配置eth-trunk，創(chuàng)建虛擬接口，在服務(wù)器上配置IP地址，掩碼，網(wǎng)關(guān)
?
?
?拓?fù)渲械娜齻€(gè)區(qū)域內(nèi)能夠完成通信，但是區(qū)域間不能完成通信，所以需要按照實(shí)際需求編寫(xiě)安全策略來(lái)實(shí)現(xiàn)區(qū)域間的通信
編寫(xiě)安全策略
trust-untrust區(qū)域的安全策略
?
編寫(xiě)完成后使用trust區(qū)域的PC ping untrust區(qū)域的PC，依舊是無(wú)法ping通，原因是缺少路由，我們需要在trust區(qū)域的交換機(jī)和 untrust區(qū)域路由器上編寫(xiě)路由從而使得路由可達(dá)。
PC可以訪問(wèn)外網(wǎng)，但是外網(wǎng)的PC不能夠訪問(wèn)內(nèi)網(wǎng)
?
trust-DMZ區(qū)域的安全策略
?
untrust-DMZ區(qū)域的安全策略
?
文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-776473.html
?
到了這里，關(guān)于防火墻安全配置的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
