華為防火墻的默認(rèn)策略組合及方向

防火墻的默認(rèn)策略組合

1.默認(rèn)防火墻和內(nèi)網(wǎng)區(qū)域允許進(jìn)和出，即相互通信;

2.防火墻和外網(wǎng)區(qū)域之間，只能出，不能進(jìn)。即防火墻可以ping通外網(wǎng)，外網(wǎng)無(wú)法ping通防火墻；

3.同樣防火墻訪問(wèn)DMZ也是只能出，不能進(jìn)。即防火墻可以ping通DMZ的server，但server無(wú)法ping通防火墻。

防火墻策略的方向

1.outbound：高優(yōu)先級(jí)訪問(wèn)低優(yōu)先級(jí)

2.inbound：低優(yōu)先級(jí)訪問(wèn)高優(yōu)先級(jí)

注意：“訪問(wèn)”僅指的是出包即主動(dòng)發(fā)起的di一個(gè)報(bào)文，即建立會(huì)話（session）的過(guò)程。

默認(rèn)高優(yōu)先級(jí)可以訪問(wèn)低優(yōu)先級(jí)，但是低優(yōu)先級(jí)無(wú)法回包，相當(dāng)于回執(zhí)路由回不來(lái)。所以無(wú)法ping通。但是我的確是訪問(wèn)了，防火墻就會(huì)記錄這一條信息。

華為防火墻應(yīng)用層過(guò)濾技術(shù)

1.文件類(lèi)型過(guò)濾：主要針對(duì)不同類(lèi)型（擴(kuò)展名不同）的文件過(guò)濾，USG防火墻可以識(shí)別數(shù)據(jù)包攜帶的應(yīng)用層文件類(lèi)型。其檢查過(guò)程并非只查詢文件的擴(kuò)展名，而是基于文件內(nèi)容進(jìn)行識(shí)別，如果發(fā)送方將a.exe文件改為a.docx，防火墻根據(jù)內(nèi)容將識(shí)別為EXE文件。

2.內(nèi)容過(guò)濾：基于HTTP中發(fā)送博客內(nèi)容、論壇發(fā)送帖子內(nèi)容、SMTP中的發(fā)送郵件主題及正文內(nèi)容、FTP中上傳和xia載文件的名稱(chēng)，文件共享服務(wù)中的文件名稱(chēng)等過(guò)濾，可以基于特定的文本過(guò)濾，也可以通過(guò)正則表達(dá)式過(guò)濾。

3.URL過(guò)濾：主要針對(duì)用戶訪問(wèn)的互聯(lián)網(wǎng)頁(yè)面URL進(jìn)行過(guò)濾，允許或拒絕用戶訪問(wèn)某些類(lèi)型的URL網(wǎng)站資源，以控制用戶對(duì)互聯(lián)網(wǎng)資源的使用。

華為防火墻的網(wǎng)絡(luò)層防火墻

網(wǎng)絡(luò)層防火墻可視為一種 IP 封包的過(guò)濾器（允許或拒絕封包資料通過(guò)的軟硬結(jié)合裝置），運(yùn)作在底層的 TCP/IP 協(xié)議堆棧上。我們可以以枚舉的方式，只允許符合特定規(guī)則的封包通過(guò)，其余的一概禁止穿越防火墻（病毒除外，防火墻不能防止病毒侵入）。這些規(guī)則通常可以經(jīng)由管理員定義或修改，不過(guò)某些防火墻設(shè)備可能只能套用內(nèi)置的規(guī)則。

我們也能以另一種較寬松的角度來(lái)制定防火墻規(guī)則，只要封包不符合任何一項(xiàng)“否定規(guī)則”就予以放行。現(xiàn)在的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備大多已內(nèi)置防火墻功能。

較新的防火墻能利用封包的多樣屬性來(lái)進(jìn)行過(guò)濾，例如：來(lái)源 IP 地址、來(lái)源端口號(hào)、目的 IP 地址或端口號(hào)、服務(wù)類(lèi)型(如 WWW 或是 FTP)。也能經(jīng)由通信協(xié)議、TTL 值、來(lái)源的網(wǎng)域名稱(chēng)或網(wǎng)段...等屬性來(lái)進(jìn)行過(guò)濾。