防火墙安全策略

article/2025/11/9 2:59:52

安全区域

安全区域（Security Zone）：一个或多个接口的集合。

  • 在同一个区域内的主机通信是不受安全策略的控制的；

  • 在不同区域之间的主机通信是需要经过安全检查的。

安全区域（默认）信任程度优先级描述
Local最高100设备本身，包括设备的各接口本身
Trust高85通常用来定义内部用户所在的网络
DMZ中50通常用来定义内部服务器所在的网络
Untrust低5通常用来定义Internet等不安全的网络

Local安全区域

  • 防火墙上提供的Local，代表防火墙本身；
  • 凡是有防火墙主动发出的报文可认为是从Local区域中发出的；
  • 凡是需要防火墙响应并处理（而不是转发）的报文均可认为是由Local区域接收；
  • Local区域中不能添加任何接口，到防火墙上所有业务接口本身都属于Local区域；

⚠️ 由于Local区域的特殊性，在很多需要设备本身进行报文收发的应用中，需要开放对端所在安全区域与Local区域之间的安全策略。（例如：Telnet，网页登录）

在这里插入图片描述

安全策略

安全策略由匹配条件（五元组、用户、时间等）和动作组成的控制规则。

匹配过程

  • 防火墙最基本的设计原则：没有明确允许的流量默认都会被禁止

  • 不同/相同 安全区域的流量受缺省安全策略控制的情况：

    • 相同安全区域流量：默认不受缺省安全策略控制（可以开启管控）
    • 不同安全区域流量：受缺省安全策略控制（包括但不限于从防火墙发出的流量、防火墙接收的流量、不同安全区域间传输的流量 ）

  • 安全策略匹配过程如下：

在这里插入图片描述

安全策略配置举例

在这里插入图片描述

配置流程：安全区域——》配置接口——》配置安全策略

在这里插入图片描述

状态检测

状态检测防火墙使用基于连接状态的检测机制，将通双方之间交互的属于同一连接的所有报文都作为整个数据流对待。

状态检测机制：

  • 开启：仅首包通过设备才能建立会话表项，后续包直接匹配会话表项进行转发。

  • 关闭：即使首包没有经过设备，后续包只要通过设备也可以生成会话表项。

注：在报文来回路径不一致的组网环境中，防火墙可能只会收到通信过程中的后续报文。在这种情况下，为了保证业务正常，就需要关闭防火墙的状态检测功能。当关闭状态检测功能后，可以通过后续报文建立会话，保证业务的正常运行。

在这里插入图片描述

会话机制

防火墙将属于同一连接的所有报文作为一个整体的数据流（会话）来对待。

会话表是用来记录 TCP、UDP、ICMP等协议连接状态的表项，是防火墙转发报文的重要依据。

通过会话中的五元组可以唯一确定通信双方的一条连接（多条会话的集合叫做会话表）

防火墙采用了基于“状态”的报文控制机制：只对首包或者少量报文进行检测就确定一条连接的状态，大量报文直接根据所属连接的状态进行控制。这种状态检测机制迅速提高了防火墙的检测和转发效率。会话表就是为了记录连接的状态而存在的。设备在转发TCP、 UDP和ICMP报文时都需要查询会话表，来判断该报文所属的连接并采取相应的处理措施

查看会话表

[FW]display firewall session table 
2022-10-06 02:57:53.770 Current Total Sessions : 29tcp  VPN: public --> public  10.1.2.2:12113 --> 10.1.2.1:8443tcp  VPN: public --> public  10.1.2.2:12110 --> 10.1.2.1:8443
....[FW]display firewall session table verbose 
2022-10-06 02:58:10.720 Current Total Sessions : 6tcp  VPN: public --> public  ID: c287f77a4c44200d9633e442dZone: trust --> local  TTL: 00:20:00  Left: 00:19:40Recv Interface: GigabitEthernet1/0/0Interface: InLoopBack0  NextHop: 127.0.0.1  MAC: 0000-0000-0000<--packets: 306 bytes: 413,816 --> packets: 177 bytes: 27,45710.1.2.2:12113 --> 10.1.2.1:8443 PolicyName: ---TCP State: established

ASPF技术

ASPF（application specific packet filter）针对应用层的包过滤

  • 通过检测协商报文的应用层携带的地址和端口信息，自动生成响应的server-map表，当数据通道的首包经过防火墙时，防火墙根据server-map生成一条session，用于放行后续数据通道的报文，相当于自动创建了一条精细的”安全策略“。
  • 对于特定的应用层协议的所有连接，每一个连接状态信息都将被ASPF维护并用于动态的决定数据包是否被允许通过防火墙或丢弃。

在这里插入图片描述

单通道协议：通信过程中只需要占用一个端口的协议。（如：telnet）

多通道协议：通信过程中需占用两个或两个以上端口的协议。（如：FTP）

传统防火墙对多通道协议访问控制的不足：传统防火墙只能阻止固定端口的单通道协议。

FTP主动模式的ASPF

  • Server-map表是通过ASPF功能自动生成的精细安全策略，是防火墙上的”隐形通道“。

在这里插入图片描述

  • FTP主动模式下，客户端使用随机端口xxxx向服务器的21端口发起连接请求建立控制通道，然后使用PORT命令协商两者建立数据通道的端口号，协商得出的端口是yyyy。然后服务器主动向客户端的yyyy端口发起连接请求，建立数据通道。数据通道建立成功后再进行数据传输。

  • 在配置安全策略时，如果只配置了允许客户端访问服务器的21端口的安全策略，即控制连接能成功建立。但是当服务器访问客户端yyyy端口的报文到达防火墙后，对于防火墙来说，这个报文不是前一条连接的后续报文，而是代表着一条新的连接。要想使这个报文顺利到达FTP客户端，防火墙上就必须配置了安全策略允许其通过，如果没有配置服务器到客户端这个方向上的安全策略，该报文无法通过防火墙，导致数据通道建立失败。结果是用户能访问服务器，但无法请求数据。

  • 由于PORT命令的应用层信息中携带了客户端的IP地址和向服务器随机开放的端口，防火墙通过分析PORT命令的应用层信息，提前预测到后续报文的行为方式，根据应用层信息中的IP和端口创建Server-map表。服务器向客户端发起数据连接的报文到达防火墙后命中该Server-map表项，不再受安全策略的控制。

Server-map表与会话表的关系

在这里插入图片描述


http://chatgpt.dhexx.cn/article/IjxXXUw0.shtml

相关文章

华为防火墙安全策略

华为防火墙安全策略

1初识安全策略 小伙伴们&#xff0c;我们试想下如果防火墙把所有流量都拒绝了&#xff0c;内部用户将无法畅游网络&#xff0c;外部合法用户将无法访问内部资源。因此我们需要配置防火墙的一个特性&#xff0c;让它更好的实现防火墙的功能&#xff0c;这个特性就是安全策略。平…
阅读更多...
Windows 本地安全策略

Windows 本地安全策略

Windows本地安全策略 一、本地安全策略1. 概述2. 打开方式 二、帐户策略1. 密码策略2. 帐户锁定策略 三、本地策略1. 审核策略2. 用户权限分配3. 安全选项 四、本地安全策略应用1. 案例一2. 案例二3. 案例三4. 更新策略 一、本地安全策略 1. 概述 对登陆到计算机上的账号定义…
阅读更多...
防火墙技术之安全策略

防火墙技术之安全策略

防火墙技术之安全策略 1.什么是安全策略2.缺省包过滤3.安全策略发展历程4.Local区域的安全策略5.ASPF 1.什么是安全策略 安全策略基于安全区域的域间关系来呈现&#xff0c;其内容包括两个组成部分。 条件。检查报文的依据&#xff0c;防火墙将报文中携带的信息与条件逐一对比…
阅读更多...
Windows 10 布置IP安全策略

Windows 10 布置IP安全策略

文章目录 Windows 10 布置IP安全策略1.winR进入windows10运行窗口2.输入secpol.msc3.进入本地安全策略窗口4.右键点击 IP 安全策略&#xff0c;选中创建 IP 安全策略&#xff0c;都点击下一步5.回到本地安全策略&#xff0c;右键点击 IP 安全策略选中管理 IP 筛选器列表和筛选器…
阅读更多...
修改服务器组策略,修改服务器组策略

修改服务器组策略,修改服务器组策略

修改服务器组策略 内容精选 换一换 华为云帮助中心&#xff0c;为用户提供产品简介、价格说明、购买指南、用户指南、API参考、最佳实践、常见问题、视频帮助等技术文档&#xff0c;帮助您快速上手使用华为云服务。 SAP S/4HANA实例运行在弹性云服务器上。需要根据部署场景&…
阅读更多...
Linux服务器安全策略

Linux服务器安全策略

1.常见的服务器攻击类型 &#xff08;1&#xff09;密码暴力破解攻击 密码暴力破解攻击的目的是破解用户的密码&#xff0c;从而进入服务器获取系统资源或者是进行破坏。 &#xff08;2&#xff09;拒绝服务攻击 拒绝服务攻击基本原理就是利用合理的服务请求来占用过多的服…
阅读更多...
如何配置服务器安全策略？

如何配置服务器安全策略？

如何配置服务器安全策略&#xff1f; 内容摘要&#xff1a;如何配置服务器安全策略&#xff1f;服务器安全策略的核心价值在于保障数据中心服务器的安全性。数据中心是应用虚拟化的基础平台&#xff0c;保证了这个平台的稳定和安全&#xff0c;各种操作才会流畅无阻。 1、功能描…
阅读更多...
Windows服务器安全策略设置

Windows服务器安全策略设置

Windows服务器安全策略设置 1.非必要共享服务和端口-操作系统2.密码复杂度和定期更新-操作系统3.登陆失败锁定和超时锁定-操作系统4.禁用guest和administrator改名-操作系统5.三员设置-操作系统6.信息资源分级分类和依据敏感标签访问控制-操作系统7.限制终端接入地址-操作系统8…
阅读更多...
Windows服务器安全策略配置——简单实用

Windows服务器安全策略配置——简单实用

Windows服务器安全策略配置——简单实用！ Windows服务器安全策略怎么做？不要觉得这是一个非常深奥遥不可及的问题，其实也是从各个方面去加固系统的安全性而已，它没有一个定论，今天我和你们分享一下windows服务器基本安全策略保障服务器基本安全的一些简单实用的加固方法。…
阅读更多...
服务器实战部署安全策略

服务器实战部署安全策略

一、防火墙 防火墙是服务器的第一道防线&#xff0c;虽然不能百分百防护得到&#xff0c;但至少能阻挡大多数黑客的DOS或DDOS以及利用部分开源软件的漏洞进行病毒植入等攻击。 1.防火墙设置开机自启动 systemctl enable firewalld 2.防火墙常用命令 (1)防火墙状态查看(开启…
阅读更多...
服务器安全策略经验总结

服务器安全策略经验总结

1.服务器安全概述 随着计算机网路技术的发展&#xff0c;网络安全面临的威胁日益加剧&#xff0c;各类应用系统的复杂性和多样性导致系统漏洞层出不穷&#xff0c;病毒和恶意代码网上肆虐&#xff0c;和篡改网站的安全事件时有发生。作为网络的核心部分&#xff0c;服务器处于…
阅读更多...
GLSL入门

GLSL入门

着色器语言 GLSL (opengl-shader-language)入门大全 基本类型: 类型说明void空类型,即不返回任何值bool布尔类型 true,falseint带符号的整数 signed integerfloat带符号的浮点数 floating scalarvec2, vec3, vec4n维浮点数向量 n-component floating point vectorbvec2, bvec3,…
阅读更多...
【我的OpenGL学习进阶之旅】如何抽取着色器代码到assets目录下的GLSL文件，以及如何通过Java或者C++代码来加载着GLSL文件?

【我的OpenGL学习进阶之旅】如何抽取着色器代码到assets目录下的GLSL文件，以及如何通过Java或者C++代码来加载着GLSL文件?

目录 一、着色器代码以字符串形式写在代码里的现状二、抽取着色器代码为单独的GLSL文件2.1 Java中的字符串抽取为GLSL文件并加载2.1.1 Java中的字符串抽取为GLSL文件2.1.2 Java加载GLSL文件 2.2 C中的字符串抽取为GLSL文件并加载2.2.1 C中的字符串为抽取GLSL文件2.2.2 C加载GLS…
阅读更多...
11.GLSL ES

11.GLSL ES

1.数据类型&#xff1a;GLSL ES支持两种数据值类型&#xff1a;数值类型&#xff08;整型、浮点型&#xff09;和布尔值类型。GLSL ES不支持字符串类型 2.矩阵和矢量&#xff1a; GLSL ES中&#xff0c;矢量和矩阵的初始化方法遵从一般规律&#xff0c;特别的&#xff1a;初始…
阅读更多...
opengl GLSL

opengl GLSL

GLSL 着色器是使用一种叫GLSL的类C语言写成的。GLSL是为图形计算量身定制的&#xff0c;它包含一些针对向量和矩阵操作的有用特性。 着色器的开头总是要声明版本&#xff0c;接着是输入和输出变量、uniform和main函数。每个着色器的入口点都是main函数&#xff0c;在这个函数…
阅读更多...
glsl效果2——灰度图

glsl效果2——灰度图

glsl效果2——灰度图 原始图及代码 1.1. 原始图1.2. 原始代码 灰度图效果图及glsl代码 2.1. 效果图2.2. glsl代码 加权的灰度图的效果图和glsl代码 3.1. 效果图3.2. glsl代码 git地址 以下的效果建立在使用帧缓冲&#xff0c;渲染到纹理后进行的相关操作&#xff0c;具体代…
阅读更多...
Cesium glsl 学习

Cesium glsl 学习

const CircleRippleMaterialSource uniform vec4 color;uniform float speed;uniform float count;uniform float gradient;czm_material czm_getMaterial(czm_materialInput materialInput){// 生成默认的基础材质czm_material material czm_getDefaultMaterial(materialInp…
阅读更多...
GLSL 中文手册

GLSL 中文手册

GLSL 中文手册 基本类型: 类型说明void空类型,即不返回任何值bool布尔类型 true,falseint带符号的整数 signed integerfloat带符号的浮点数 floating scalarvec2, vec3, vec4n维浮点数向量 n-component floating point vectorbvec2, bvec3, bvec4n维布尔向量 Boolean vectori…
阅读更多...
opengl glsl shader vscode安装插件glsl_canvas 和 shader languagesupportForVS Code

opengl glsl shader vscode安装插件glsl_canvas 和 shader languagesupportForVS Code

u_resolution 是画布尺寸&#xff0c;即代表画布宽高 //给内置变量gl_PointSize赋值像素大小&#xff0c;注意值是浮点数 gl_PointSize20.0; // 片元沿着x方向渐变 gl_FragColor vec4(gl_FragCoord.x/500.0*1.0,1.0,0.0,1.0); // 接收插值后的纹理坐标 varying vec2 v…
阅读更多...
【GLSL】glsl常用函数

【GLSL】glsl常用函数

1.smoothstep(float edgo0,float edge1, float x); 其中的 edge0 是样条线插值的下界&#xff0c;edge1 是样条线插值的下界&#xff0c;当 x 小于下界返回 0&#xff0c;当 x 大于上界返回 1&#xff0c;介于上界下界之间生成0到1的平滑过渡 使用技巧&#xff1a; smoothstep…
阅读更多...
推荐文章

Copyright @ 2022~2023