防火墙学习笔记.doc

5防火墙一、防火墙基础防火墙通常位于两个信任程度不同的网路间（如：企业内部和internet之间），可以对两个网络之间的通信进行控制，从而保护内部网络的安全。防火墙特征：1、 逻辑区域过滤器2、 使用NAT技术可以隐藏内部的网络结构3、 自身的安全是有保障的4、 可以主动防御攻击防火墙的组成：硬件+软件+控制策略控制策略分为两种：1、 宽松的控制策略：除非明确禁止，否则就允许2、 限制的控制策略：除非明确允许，否则就禁止按形态分类：硬件防火墙、软件防火墙按保护对象分类：单机防火墙、网络防火墙按防火墙的实现方式，分为三类：1、 包过滤防火墙：只检测数据的报头，缺点是：a、 无法关联数据包之间的关系b、 无法适应多通道协议（比如：VPN）c、 不检测应用层的数据2、 代理型防火墙：所有的数据包都要经过防火墙才能访问到server，访问速度很慢3、 状态检测防火墙：现在运用的防火墙主要都是状态检测防火墙华为防火墙的工作模式：1、 路由模式：所有接口均有IP2、 透明模式：所有接口均无IP3、 混合模式：有的接口有IP，有的接口没有IP防火墙的局限性：1、 防外不防内2、 不能防御全部的安全威胁，特别是新产生的危险3、 在提供深度监测功能和处理转发性能之间需要做平衡4、 当使用端到端的加密时，防火墙不能对加密的隧道进行处理5、 防火墙本身会存在一些瓶颈，如抗攻击能力，会话限制等防火墙的区域和优先级：1、 local区域，优先级1002、 trust区域，优先级853、 DMZ区域，优先级504、 untrust区域，优先级5这些防火墙内设区域的优先级和名字都是无法改变的，优先级低的区域不能访问优先级高的区域（思科），华为设备如果防火墙策略允许可以突破区域访问限制。防火墙上的所有接口本身都属于local区域，如果把一个接口划分到了trust区域，是指该接口下的设备属于trust区域，接口本身永远属于local区域。Inbound与Outbound定义：高优先级的访问低优先级：Outbound，反之则是：Inbound安全区域与接口的关系：1、 防火墙不允许存在两个具有完全相同安全级别（既优先级相同）的安全区域2、 防火墙不允许同一物理接口分属于两个不同的安全区域3、 防火墙的不同接口可以属于同一个安全区域防火墙支持的功能：路由器、交换机支持的功能，防火墙都支持衡量防火墙好坏的指标：1、 吞吐量：防火墙能同时处理的最大数据量有效吞吐量：除掉因TCP的丢包和超时重发的数据，实际每秒传输的有效速率2、 延时：数据包的最后一个比特进入防火墙到第一个比特输出防火墙的时间间隔，是用来衡量防火墙处理数据的速度的理想指标3、 每秒新建连接数：指每秒可以通过防火墙建立起来的完整的TCP链接数4、 并发连接数：指防火墙可以同时容纳的最大连接数目，一个连接就是一个TCP/UDP的访问防火墙实验拓扑图以后章节所讲的内容都基于此图：二、防火墙的基本配置默认的情况下，防火墙是有一些配置的：G0/0/0接口的IP地址为：/24，配置了基于接口的DHCP，且G0/0/0默认属于trust区域。在连接该端口的PC自动获取到IP后，就可以在浏览器中输入对防火墙进行图形化的配置。但模拟器是不支持图形化配置的。一旦对G0/0/0接口配置了其他IP地址，原来的默认配置将被覆盖，DHCP服务也将被删除。display current-configuration 显示当前设备的所有配置(交换机、路由器、防火墙通用)划分防火墙的安全区域：Firewall zone trust 进入到trust区域Add interface g0/0/1 将g0/0/1接口加入到trust区域Firewall zone dmz 进入到DMZ区域Add interface g0/0/2 将g0/0/2接口加入到DMZ区域Firewall zone untrust 进入到untrust区域Add interface g0/0/3 将g0/0/3接口加入到untrust区域安全区域间的过滤规则：1、 默认local到任何区域都是可以访问的2、 同一区域内的访问是允许的3、 其他区域间的访问要看区域间的过滤规则Display firewall packet-filter default all 显示防火墙区域间的过滤规则Permit：允许 deny：禁止实验需求：trust中的设备可以访问DMZ，而DMZ中的设备不能访问trust（Firewall packet-filter default permit all 全放行，将使防火墙失去过滤功能）Firewall packet-filter default permit interzone trust dmz direction outbound y 允许trust和dmz之间的outbound访问，效果是：trust区域能访问DMZ区域防火墙的会话表：会话表中存在的项目，防火墙是不检测，直接放行的Display firewall session table 查看防火墙的会话表项临时会话表项：当被允许的访问发生时，防火墙会产生临时的会话表项，使反向的数据包可以回来，以保证会话的正常进行。临时会话表项是有时效的，根据不同的协议临时会话表项的有效时间是不同的，比如ICMP协议的有效时间只有12秒，所以过滤规则允许的ping命令结束后，很快产生的临时会话表项就从会话表中消失了。防火墙的基本管理：开启防火墙的Telnet功能：User-interface vty 0 4 开启04的虚拟链路以允许5台终端可以Telnet到防火墙Authentication-mode password cipher 123 以密码访问方式开启Telnet功能（密码为：123）Authentication-mode aaa 以aaa认证方式开启Telnet功能aaa认证的 默认账号为：admin 默认密码：Admin123 (A为大写)如何使用特定的用户账号了Telnent登陆防火墙：aaa 进入3alocal-user lewis password cipher 123 在3a中创建一个用户账号：lewis 密码为：123用户的权限问题：级别范围：0-150：参观级别 新建用户的默认级别1：监控级别2：配置级别3-15：管理级别提升用户权限的三种方法：1、针对具体的账户来提升权限aaa 进入3aLocal-user lewis level 3 将用户lewis 的账号级别提升到管理级别Undo local-user lewis level 取消对lewis账号的权限更改，恢复默认2、针对局部账号来提升权限Super password level 3 cipher Admin456 设定super的秘密为：Admin456（super密码：必须包含大小写英文+符号+数字）Super 3 密码 终端用super指令并输入密码，临时提升已登陆的账号权限等级到3级3、设置虚拟链路的用户权限User-interface vty 0 4 进入04的虚拟链路User privilege level 3 设置虚拟链路的用户权限为等级3 ，设置后使用04虚拟链路登陆的任何账号都具有等级3的权限Display user 查看有哪些用户登录了防火墙Display user-interface 查看有哪些虚拟链路登录了防火墙三、防火墙的过滤策略区域内流量过滤：实验要求：pc1不能访问pc2可以采用ACL来做，但这里使用过滤策略来做Policy zone trust 进入trust区域的策略设置Policy 1 创建并进入策略1Policy source （可简略写成：policy source 0）反掩码精确匹配源地址为：Policy destination 0 反掩码精确匹配目标地址为：Action deny 禁止通过（源地址为且目标地址为的访问被禁止）区域间流量过滤：实验要求：防火墙DMZ和untrust区域间默认过滤inbound deny，路由器AR1保持默认配置（untrust区域模拟外网条件），配置网络使untrust区的client1能够ping通DMZ区的Server1服务器，并能访问服务器上的WEB和FTP资源。第一步 创建服务集ip service-set toserver type object 创建一个名为“toserver”的服务器，类型为objectservice 0 protocol icmp ping所使用的ICMP协议对应service 0service 1 protocol tcp destination-port 80 www所使用的tcp协议的80端口对应service 1service 2 protocol tcp destination-port 21 ftp所使用的tcp协议的21端口对应service 2第二步 开启策略Policy interzone dmz untrust inbound进入dmz和untrust区域间inbound方向的策略设置Policy 10 创建序号为10的策略Policy service service-set toserver 把服务集toserver中的服务设置为当前策略的源Policy destination 0 0 设置当前策略的目标IPAction permit 允许满足策略条件（源、目的条件都满足）的数据包通过第三步 开启防火墙的ASPF（应用层的安全检查）技术（针对FTP的特殊处理）Firewall interzone dmz untrust 进入防火墙的dmz和untrust区域间设置Detect ftp 使用ASPF技术，检测到是ftp使用的就放行通过第四步 运用静态一对一技术映射服务器0为外网IP Nat server global inside 0 四、防火墙的NAT技术数据包在传输的过程中，可以改变源或目的地址静态NAT转换 PAT（NAT超载）Nat address-group 1 创建NAT地址转换组Nat-policy interzone trust untrust outbound 进入trust和untrust区域间的outbound方向的NAT策略设置Policy 1 若当前没有编号为1的策略，则创建策略1，并进入设置Action source-nat 设置当前策略的动作为：源地址转换Policy source mask 24 设置地址转换针对的源地址范围Address-group 1 设置转换成哪个NAT地址组Easy-ip技术Nat-policy interzone trust untrust outbound进入trust和untrust区域间的outbound方向的NAT策略设置Policy 2 若当前没有编号为2的策略，则创建策略2，并进入设置Action source-nat 设置当前策略的动作为：源地址转换Policy source mask 2