防火墙的原理和配置

“防火墙”一词起源于建筑领域，用来隔离火灾，阻止火势从一个区域蔓延到另一个区域。引入到通信领域，防火墙这一具体设备通常用于两个网络之间有针对性的、逻辑意义上的隔离。这种隔离是选择性的，隔离“火”的蔓延，而又保证“人”可以穿墙而过。这里的“火”是指网络中的各种攻击，而“人”是指正常的通信报文。

11.1防火墙概述

11.1.1 防火墙发展历程

纵观防火墙的发展历史，防火墙经历了从低级到高级、从功能简单到功能复杂的过程。网络技术的不断发展和新需求的不断提出，推动着防火墙的发展。

防火墙从包过滤防火墙发展起经历了状态检测、统一威胁管理、NGFW等到AI防火墙，有以下特点：

1. 访问控制越来越精细
2. 防护能力越来越强
3. 性能越来越高

防火墙的发展历程如图11-1所示。

                             图11-1：防火墙的发展历程

11.1.2 防火墙基本概念

1、默认安全区域

防火墙的默认安全区域如图11-2所示。

                          表11-1：防火墙的默认安全区域

2、安全区域的特性

• 默认的安全区域不能删除，也不允许修改安全优先级。
• 每个Zone都必须设置一个安全优先级（Priority），值越大，则Zone的安全优先级越高。
• 用户可根据自己的需求创建自定义的Zone。

11.2 实验1：防火墙的配置

1. 实验目的：

1. 熟悉防火墙的应用场景
2. 掌握防火墙的配置方法

1. 实验拓扑：

实验拓扑如图11-2所示。

                              图11-2：防火墙的配置

【技术要点】

某公司网络使用防火墙作为出口路由器，要求将公网设置为untrust区域，对外http服务器所在区域设置为dmz区域，内网的其他pc所在区域设置为trust区域。最终实现外网设备client1能够通过nat server访问server1，内网PC1能够通过nat访问公网ISP。

1. 实验步骤：

1. 登录防火墙（防火墙使用usg6000v，登录的默认账户为admin、密码为Admin@123,登录后需要修改密码）

Username:admin

Password: Admin@123

The password needs to be changed. Change now? [Y/N]: y

Please enter old password: Admin@123

Please enter new password: Huawei@123

Please confirm new password: Huawei@123

 Info: Your password has been changed. Save the change to survive a reboot.

*************************************************************************

*         Copyright (C) 2014-2018 Huawei Technologies Co., Ltd.         *

*                           All rights reserved.                        *

*               Without the owner's prior written consent,              *

*        no decompiling or reverse-engineering shall be allowed.        *

*************************************************************************

<USG6000V1>

1. 配置防火墙和路由器的接口ip地址

FW1的配置

[USG6000V1]sysname FW1

[FW1]interface  g1/0/2

[FW1-GigabitEthernet1/0/2]ip address 172.16.2.1 24

[FW1]interface  g1/0/0

[FW1-GigabitEthernet1/0/0]ip address 172.16.2.1 24

[FW1]interface  g1/0/1

[FW1-GigabitEthernet1/0/1]ip address  200.1.1.1 24

ISP的配置

[Huawei]sysname ISP

[ISP]interface  g0/0/0

[ISP-GigabitEthernet0/0/0]ip address  200.1.1.2 2

[ISP]interface  g0/0/1

[ISP-GigabitEthernet0/0/1]ip address  100.1.1.1 24

1. 将对应的接口后的网络划分到防火墙的安全区域

[FW1]firewall zone  trust //进入trust区域视图

[FW1-zone-trust]add interface g1/0/2 //将G1/0/2接口划分到trust区域

[FW1]firewall zone  untrust //进入untrust区域视图

[FW1-zone-untrust]add interface g1/0/1//将G1/0/1接口划分到untrust区域

[FW1]firewall zone dmz //进入dmz区域视图

[FW1-zone-dmz]add  interface  g1/0/0 //将G1/0/0接口划分到dmz区域

1. 配置默认路由指向ISP

[FW1]ip route-static 0.0.0.0 0.0.0.0 200.1.1.2

1. 配置nat、nat server以及防火墙区域间策略

1. 配置nat，让pc1能够访问isp网络

[FW1]nat-policy //进入nat策略视图

[FW1-policy-nat]rule name 1 //创建nat策略，命名为1

[FW1-policy-nat-rule-1]source-zone trust //源安全区域为trust

[FW1-policy-nat-rule-1]destination-zone untrust //目标安全区域为untrust

[FW1-policy-nat-rule-1]source-address 172.16.2.0 24  //定义源ip地址为172.16.2.0/24

[FW1-policy-nat-rule-1]action  source-nat easy-ip //匹配以上调整则执行esay-ip动作

1. 配置PC访问isp网络的防火墙区域间策略

[FW1]security-policy   //进入安全策略视图模式

[FW1-policy-security]rule name trusttountrust //策略名字为trusttountrust

[FW1-policy-security-rule-trusttountrust]source-zone trust //源安全区域为trust

[FW1-policy-security-rule-trusttountrust]destination-zone untrust //目标安全区域为untrust

[FW1-policy-security-rule-trusttountrust]source-address 172.16.2.0 24 //定义源ip地址为172.16.2.0/24

[FW1-policy-security-rule-trusttountrust]action permit //执行动作为允许

1. 测试PC1是否能够访问ISP

PC1的配置如图11-3所示。

                      图11-3：在PC1上访问200.1.1.2

1. 查看防火墙的会话表项

[FW1]display  firewall session table  verbose

2022-11-01 03:24:06.270

 Current Total Sessions : 5

 icmp  VPN: public --> public  ID: c387fcfe6a60878ca46360918c

 Zone: trust --> untrust  TTL: 00:00:20  Left: 00:00:17

 Recv Interface: GigabitEthernet1/0/2

 Interface: GigabitEthernet1/0/1  NextHop: 200.1.1.2  MAC: 00e0-fc83-073e

 <--packets: 1 bytes: 60 --> packets: 1 bytes: 60

 172.16.2.2:63377[200.1.1.1:2064] --> 200.1.1.2:2048 PolicyName: trusttountrust

可以看到会话的安全区域放行为trust到untrust区域，该会话的老化时间（TTL）为20s，接收到报文的接口为G1/0/2，发送报文的接口为G1/0/1。可以看到该会话匹配的安全策略规则名称为：trusttountrust。

1. 配置nat server，让clinet1能访问内部服务器server1

[FW1]nat server http protocol tcp global 200.1.1.1 www inside 172.16.1.2 www //配置nat server，将公网地址200.1.1.1的80端口映射到私网地址172.16.1.2的80端口

1. 配置外网untrust区域访问dmz区域的区域间策略

[FW1]security-policy

[FW1-policy-security]rule name untrusttodmz

[FW1-policy-security-rule-untrusttodmz]source-zone untrust

[FW1-policy-security-rule-untrusttodmz]destination-zone dmz

[FW1-policy-security-rule-untrusttodmz]destination-address 172.16.1.2 24

[FW1-policy-security-rule-untrusttodmz]service http

[FW1-policy-security-rule-untrusttodmz]action permit

1. 测试client1是否能够访问server1

第一步：在Server1开启http服务，配置如图11-4所示。

                          图11-4：在在Server1开启http服务

第二步：在Client 1测试，配置如图11-5所示。

                          图11-5：在Client 1上访问200.1.1.1

结果表明，外网设备能够通过nat server访问服务器。