1.安全區(qū)域的概念
安全區(qū)域（Security Zone），簡稱為區(qū)域（Zone）。安全區(qū)域是一個或多個接口的集合，防火墻通過安全區(qū)域來劃分網(wǎng)絡(luò)、標識報文流動的“路線”。一般來說，當報文在不同的安全區(qū)域之間流動時才會受到控制。
默認情況下，報文在不同的安全區(qū)域之間流動時受到控制，報文在同一個安全區(qū)域內(nèi)流動時不受控制??
防火墻通過接口來連接網(wǎng)絡(luò)，將接口劃分到安全區(qū)域后，通過接口就能把安全區(qū)域和網(wǎng)絡(luò)關(guān)聯(lián)起來。通常說某個安全區(qū)域，也可以表示該安全區(qū)域中接口所連接的網(wǎng)絡(luò)。
2.華為防火墻的安全區(qū)域?qū)嵺`
華為防火墻上已經(jīng)默認為大家提供三個安全區(qū)域，分別是Trust、DMZ和Untrust。光從名字看就知道這三個安全區(qū)域很有內(nèi)涵。
- Trust區(qū)域。該區(qū)域內(nèi)網(wǎng)絡(luò)的受信任程度高，通常用來定義內(nèi)部用戶所在的網(wǎng)絡(luò)。
- DMZ區(qū)域。該區(qū)域內(nèi)網(wǎng)絡(luò)的受信任程度中等，通常用來定義內(nèi)部服務(wù)器所在的網(wǎng)絡(luò)
- Untrust區(qū)域。該區(qū)域代表的是不受信任的網(wǎng)絡(luò)，通常用來定義Internet等不安全的網(wǎng)絡(luò)。
當內(nèi)部網(wǎng)絡(luò)中的用戶訪問Internet時，報文在防火墻上的路線是從Trust區(qū)域到Untrust區(qū)域；當Internet上的用戶訪問內(nèi)部服務(wù)器時，報文在防火墻上的路線是從Untrust區(qū)域到DMZ區(qū)域。
3.防火墻Local區(qū)域
防火墻上提供Local區(qū)域，代表防火墻本身。凡是由防火墻主動發(fā)出的報文均可認為是從Local區(qū)域中發(fā)出，凡是需要防火墻響應(yīng)并處理（而不是轉(zhuǎn)發(fā)）的報文均可認為是由Local區(qū)域接收。
4.報文在安全區(qū)域之間流動的方向
在華為防火墻上，每個安全區(qū)域都必須有一個安全級別，該安全級別是唯一的，用1～100的數(shù)字表示，數(shù)字越大，則代表該區(qū)域內(nèi)的網(wǎng)絡(luò)越可信。對于默認的安全區(qū)域，它們的安全級別是固定的：Local區(qū)域的安全級別是100, Trust區(qū)域的安全級別是85, DMZ區(qū)域的安全級別是50, Untrust區(qū)域的安全級別是5。
報文從低級別的安全區(qū)域向高級別的安全區(qū)域流動時為入方向（Inbound），報文從由高級別的安全區(qū)域向低級別的安全區(qū)域流動時為出方向（Outbound）??
那么，防火墻如何判斷報文在哪兩個安全區(qū)域之間流動呢？
源安全區(qū)域很容易確定，防火墻從哪個接口接收到報文，該接口所屬的安全區(qū)域就是報文的源安全區(qū)域。
確定目的安全區(qū)域時分兩種情況：
- 三層模式下，防火墻通過查找路由表確定報文將要從哪個接口發(fā)出，該接口所屬的安全區(qū)域就是報文的目的安全區(qū)域；
- 二層模式下，防火墻通過查找MAC地址轉(zhuǎn)發(fā)表確定報文將要從哪個接口發(fā)出，該接口所屬的安全區(qū)域就是報文的目的安全區(qū)域。源安全區(qū)域和目的安全區(qū)域確定后，就可以知道報文是在哪兩個安全區(qū)域之間流動了。
源安全區(qū)域不能簡單地根據(jù)收到報文的接口來確定，此時防火墻會采用“反向查找路由表”的方式來確定原始報文的源安全區(qū)域。具體來說，防火墻會把原始報文中的源地址假設(shè)成是目的地址，然后通過查找路由表確定這個目的地址的報文將要從哪個接口發(fā)出，該接口所屬的安全區(qū)域是報文將要去往的安全區(qū)域。反過來說，報文也就是從該安全區(qū)域發(fā)出的，所以反查路由表得到的這個安全區(qū)域就是報文的源安全區(qū)域??
5.安全區(qū)域的配置
物理接口的配置
安全區(qū)域的配置主要包括創(chuàng)建安全區(qū)域以及將接口加入安全區(qū)域，下面給出了創(chuàng)建一個新的安全區(qū)域test，然后將接口GE0/0/1加入該安全區(qū)域的過程。接口GE0/0/1可以工作在三層模式也可以工作在二層模式。
配置命令非常簡單，唯一需要注意的是，新創(chuàng)建的安全區(qū)域是沒有安全級別的，我們必須為其設(shè)置安全級別，然后才能將接口加入安全區(qū)域。當然，鑒于安全級別的唯一性，設(shè)置的安全級別不能和已經(jīng)存在的安全區(qū)域的級別相同。
[FW]firewall zone name test //創(chuàng)建安全區(qū)域test
[FW-zone-test]set priority 10 //將安全級別設(shè)置為10
[FW-zone-test]add interface GigabitEthernet 0/0/1 //將接口GE0/0/1加入安全區(qū)域
前面我們介紹的都是將物理接口加入安全區(qū)域的內(nèi)容，除了物理接口，防火墻還支持邏輯接口，如子接口、VLANIF接口等，這些邏輯接口在使用時也需要加入安全區(qū)域。下面給出了將子接口和VLANIF接口加入安全區(qū)域的示例。
子接口的配置
如圖所示，PC A和PC B屬于不同的子網(wǎng)，交換機上通過兩個VLAN將PC A和PC B所屬的子網(wǎng)隔離，交換機連接到防火墻的接口GE0/0/1上。對于防火墻來說，這種組網(wǎng)是典型的“單臂”環(huán)境。
我們在接口GE0/0/1下創(chuàng)建兩個子接口GE0/0/1.10和GE0/0/1.20，分別對應(yīng)VLAN 10和VLAN 20，然后將這兩個子接口劃分到不同的安全區(qū)域，而接口GE0/0/1不用加入安全區(qū)域，即可實現(xiàn)將PC A和PC B劃分到不同安全區(qū)域的目的
其具體配置如下：文章來源地址http://www.zghlxwxcb.cn/news/detail-788821.html
[FW]interface GigabitEthernet 0/0/1.10
[FW-GigabitEthernet0/0/1.10]vlan-type dot1q 10
[FW-GigabitEthernet0/0/1.10]ip address 192.168.10.1 24
[FW-GigabitEthernet0/0/1.10]quit
[FW]interface GigabitEthernet 0/0/1.20
[FW-GigabitEthernet0/0/1.20]vlan-type dot1q 20
[FW-GigabitEthernet0/0/1.20]ip address 192.168.20.1 24
[FW-GigabitEthernet0/0/1.20]quit
[FW]firewall zone name trust1
[FW-zone-trust1]set priority 10
[FW-zone-trust1]add interface GigabitEthernet 0/0/1.10
[FW-zone-trust1]quit
[FW]firewall zone name trust2
[FW-zone-trust2]set priority 20
[FW-zone-trust2]add interface GigabitEthernet 0/0/1.20
[FW-zone-trust2]quit
VLANIF接口的配置
我們可以在防火墻上創(chuàng)建兩個VLAN并為各自的VLANIF接口配置IP地址，然后配置接口GE0/0/1工作在二層模式（透明模式），允許VLAN 10和VLAN 20的報文通過。將VLANIF10和VLANIF20劃分到不同的安全區(qū)域，而接口GE0/0/1不用加入安全區(qū)域，即可實現(xiàn)將PC A和PC B劃分到不同安全區(qū)域的目的文章來源：http://www.zghlxwxcb.cn/news/detail-788821.html
其具體配置如下：
[FW]vlan 10
[FW-vlan-10]quit
[FW]interface Vlanif 10
[FW-Vlanif10]quit
[FW]vlan 20
[FW-vlan-20]quit
[FW]interface Vlanif 20
[FW-Vlanif20]quit
[FW]interface GigabitEthernet 0/0/1
[FW-GigabitEthernet0/0/1]portswitch
[FW-GigabitEthernet0/0/1]port link-type trunk
[FW-GigabitEthernet0/0/1]port trunk permit vlan 10 20
[FW-GigabitEthernet0/0/1]quit
[FW]firewall zone name trust1
[FW-zone-trust1]set priority 10
[FW-zone-trust1]add interface Vlanif 10
[FW-zone-trust1]quit
[FW]firewall zone name trust2
[FW-zone-trust2]set priority 20
[FW-zone-trust2]add interface Vlanif 20
[FW-zone-trust2]quit
到了這里，關(guān)于防火墻技術(shù)之安全區(qū)域的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
