防火墙之安全策略_防火墙安全策略

一、什么是安全策略

安全策略指的是用于保护网络的规则。 它是由管理员在系统中配置，决定了哪些流量可以通过，哪些流量应该被阻断。 安全策略是防火墙产品的一个基本概念和核心功能。 防火墙通过安全策略来提供业务管控能力，以保证网络的安全。

以下是传统网络和新时代网络的一些特点：

        每一条安全策略都是由匹配条件和动作组成的规则。防火墙接收到报文以后，将报文的属性与安全策略的匹配条件进行匹配。如果所有条件都匹配，则此报文成功匹配安全策略，防火墙按照该安全策略的动作处理这个报文及其后续双向流量。因此，安全策略的核心元素是匹配条件和动作。

匹配条件

安全策略的匹配条件描述了流量的特征，用于筛选出符合条件的流量。安全策略的匹配条件包括以下要素。

• 谁：谁发出的流量，即用户。 
• 从哪里来，到哪里去：流量的来源和目的，包括源/目的安全区域、源/目的IP地址、源/目的地区和VLAN。地区本质上是IP地址在地理区域上的映射。
• 干什么：访问的服务、应用或者URL分类。
• 什么时候：即时间段。

       以上匹配条件，在一条安全策略中都是可选配置；但是一旦配置了，就必须全部符合才认为匹配，即这些匹配条件之间是“与”的关系。一个匹配条件中如果配置了多个值，多个值之间是“或”的关系，只要流量匹配了其中任意一个值，就认为匹配了这个条件。

        一条安全策略中的匹配条件越具体，其所描述的流量越精确。你可以只使用五元组（源/目的IP地址、端口、协议）作为匹配条件，也可以利用防火墙的应用识别、用户识别能力，更精确、更方便地配置安全策略。

动作

安全策略的基本动作有两个：允许和禁止，即流量能否通过。

• 如果动作为允许，你还可以对此符合此策略的流量执行进一步的内容安全检查。华为防火墙的内容安全检查功能包括反病毒AV、入侵防御IPS、URL过滤、文件过滤、内容过滤、应用行为控制、邮件过滤、APT防御、DNS过滤等。每项内容安全检查都有各自的适用场景和处理动作。防火墙如何处理流量，由所有内容安全检查的结果共同决定。
• 如果动作为禁止，你还可以选择发送向服务端或客户端反馈报文，快速结束会话，减少系统资源消耗。

用户、终端设备、时间段、地址、地区、服务、应用、URL分类等匹配条件，以及内容安全检查所需的各种配置文件，在防火墙上都以对象的形式存在。你可以先创建对象，然后在多个安全策略中引用

策略标识

为了便于管理，安全策略还提供了如下属性。

• 名称：用于唯一标识一条安全策略，不可重复。为每一条安全策略指定一个有意义的名称（如安全策略的目的），能提高维护工作效率。
• 描述：用于记录安全策略的其他相关信息。例如，你可以在这个字段记录触发此安全策略的的申请流程编号。这样，在例行审计时可以快速了解安全策略的背景，比如什么时间引入此安全策略，谁提出的申请，其有效期多久，等等。
• 策略组：把相同目的的多条安全策略加入到一个策略组中，可以简化管理。你可以移动策略组，启用/禁用策略组等。
• 标签：标签是安全策略的另一种标识方式，你可以给一条安全策略添加多个标签，通过标签可以筛选出具有相同特征的策略。例如，你可以根据安全策略适用的应用类型，添加高风险应用、公司应用等标签。在为安全策略设置标签时，建议使用固定的前缀，如用“SP_”代表安全策略，并用颜色区分不同的动作。这会使标签更容易理解。

安全策略的配置方式

华为防火墙提供了多种配置方式，你可以选择命令行、Web界面 来配置安全策略。接下来，我们将以一个实例来展示 Web界面 配置。

例如：为了允许Trust安全区域内的、192.168.1.0/24和192.168.2.0/24网段的设备能够正常上网，需要创建一条安全策略（如图）

Web界面配置如图：