華爲防火牆產品介紹及工做原理

華爲防火牆產品介紹:
USG2000、USG5000、USG6000和USG9500構成了華爲防火牆的四大部分，分別適用於不一樣的環境需求，其中，USG2000和USG5000系列定位於UTM（統一威脅管理）產品，USG6000系列屬於下一代防火牆產品，USG9500系列屬於高端防火牆產品。、

各個系列的產品介紹以下：

一、USG2110：USG2110是華爲針對中小企業及連鎖機構、eSOHO企業等發佈的防火牆設備，其功能涵蓋防火牆、UTM、Virtual Private Network（請自行看首字母，我寫簡寫的話就被和諧了）、路由、無線等。USG2110其具備性能高、可靠性高、配置方便等特性，並且價格相比較低，支持多種Virtual Private Network組網方式。

二、USG6600：是華爲面向下一代網絡環境防火牆產品適用於大中型企業及數據中心等網絡環境，具備訪問控制精準、防禦範圍全面、安全管理簡單、防禦性能高等特色，可進行企業網邊界防禦、互聯網出口防禦、雲數據中心邊界防禦、Virtual Private Network遠程互聯等組網應用。

三、USG9500：該系列包含USG9520、USG9560、USG9580三種系列，適用於雲服務提供商、大型數據中心、大型企業園區網絡等。它擁有最精準的訪問控制、最實用的NGFW特性，最領先的「NP+多核+分佈式」構架及最豐富的虛擬化，被稱爲最穩定可靠的安全網關產品，可用於大型數據中心邊界防禦、廣電和二級運營商網絡出口安全防禦、教育網出口安全防禦等網絡場景。

四、NGFW：全稱就是下一代防火牆，NGFW更適用於新的網絡環境。NGFW在功能方面不只要具有標準的防火牆功能，如網絡地址轉換、狀態檢測、virtual private Network和大企業須要的功能，並且要實現IPS（Invasion 防護系統）和防火牆真正的一體化，而不是簡單的基於模塊。另外，NGFW還須要具有強大的應用程序感知和應用可視化能力，基於應用策略、日誌統計、安全能力與應用深度融合，使用更多的外部信息協助改進安全策略，如身份識別等。

傳統防火牆與NGFW防火牆的區別：

• 傳統的防火牆只能基於時間、IP和端口進行感知，而NGFW防火牆基於六個維度進行管控和防禦，分別是應用、用戶、內容、時間、威脅、位置。其中：

• 基於應用：運用多種手段精確識別web應用內超過6000以上的應用層協議及其附屬功能，從而進行精準的訪問控制和業務加速。其中也包含移動應用，如能夠經過防火牆區分微信流量中的語音和文字，進而實現不一樣的控制策略。

• 基於用戶：藉助於AD活動目錄、目錄服務器或AAA服務器等，基於用戶進行訪問控制、QoS管理和深度防禦。
• 基於位置：結合全球位置信息，智能識別流量的發起位置，從而獲取應用和***的發起位置。其根據位置信息實現對不一樣區域訪問流量的差別化控制，同時支持根據IP信息自定義位置。

在實際應用中，應用可能使用任意端口，而傳統防火牆沒法根據端口識別和控制應用。NGFW的進步在於更精細的訪問控制。其最佳使用原則爲基於應用+白名單控制+最小受權。

接下來，我將圍繞着USG6600型號的防火牆產品寫出它的工做原理。
防火牆的工做原理
1、防火牆的工做模式

華爲防火牆具備三種工做模式：路由模式、透明模式、混合模式。
.
一、路由模式：防火牆鏈接網絡的接口配置IP地址，則認爲防火牆工做在路由模式下，此時防火牆首先是一臺路由器，而後提供其餘防火牆功能。大多數防火牆都處於路由模式下，介於公司內外與外網之間。

二、透明模式：就把它當成交換機吧，接口沒有配置IP就是工做在透明模式下，通常沒有公司會把路由器當成交換機使用的，這太奢侈了。

三、混合模式：若是華爲防火牆即存在路由模式的接口（接口配置了IP），又存在工做在透明模式的接口（接口無IP地址），則防火牆工做在混合模式下，這種工做模式基本上是透明模式和路由模式的混合，目前只用於透明模式下提供雙機熱備的特殊應用中，別的環境下不建議使用。
2、華爲防火牆的安全區域劃分

華爲防火牆默認存在的區域有：

• Trust區域：主要用於鏈接公司內部網絡，優先級爲85，安全等級較高。
• UNtrust區域：一般鏈接外部網絡，優先級爲5，安全級別很低。該區域表示不受信任的區域，互聯網上的安全隱患太多，因此通常把Internet劃入UNtrust區域。
• DMZ區域：非軍事化區域，通常用來鏈接須要對外提供服務的服務器，其安全性介於Trust和Untrust區域之間，優先級爲50，安全等級中等。
• Local區域：指防火牆自己，優先級爲100，防火牆除了轉發區域之間的報文以外，還須要自身接受或發送流量，如遠程管理，運行動態路由協議等。
• 其它區域：用戶自定義區域，默認最多自定義16個區域，自定義區域沒有默認優先級，須要手動指定。

關於區域配置須要知道的幾點：

• 安全區域的優先級必須是惟一的；
• 一個接口只能加入一個安全區域，但一個安全區域能夠有多個接口；
• 默認狀況下，華爲NGFW防火牆拒絕任何區域之間的流量，如需放行指定的流量，須要設置策略（華爲傳統的防火牆默認對高優先級區域到低優先級區域方向流量默認放行，但最新的NGFW防火牆默認禁止一切流量）

3、防火牆的Inbound和Outbound是什麼？
防火牆基於區域之間處理流量，當數據流在安全區域之間流動時，纔會激發防火牆進行安全策略的檢查，因此能夠看出，防火牆的安全策略一般都是基於域間（如UNtrust區域和Trust區域之間）的，域間的數據流分爲兩個方向：
.
入方向（Inbound）：數據由低級別的安全區域向高級別的安全區域傳輸的方向。如Untrust區域（優先級爲5）的流量到trust區域（優先級爲85）的流量就屬於Inbound方向。
.
出方向（Outbound）：數據由高級別的安全區域向低級別的安全區域傳輸的方向。如trust區域（優先級爲85）的流量到Untrust區域（優先級爲5）的流量就屬於Outbound方向。
4、狀態化信息的含義
在防火牆技術中，一般把兩個方向的流量區別對待，由於防火牆的狀態化檢測機制，因此針對數據流一般只重點處理首個報文，安全策略一旦容許首個報文容許經過，那麼將會造成一個會話表，後續報文和返回的報文若是匹配到會話表將會直接放行，而再也不查看策略，從而提升防火牆的轉發效率。如，Trust區域的客戶端訪問UNtrust區域的互聯網，只須要在Trust到UNtrust的Outbound方向應用安全策略便可，不須要作UNtrust到Trust區域的安全策略。

.
防火牆經過五元組來惟一的區分一個數據流，即源IP、目標IP、協議、源端口號、目標端口。防火牆把具備相同五元組內容的數據當作一個數據流，數據包必須同時匹配指定的五元組纔算匹配到這條策略，不然會繼續匹配後續策略，它的匹配規則一樣是匹配即停。
.
前面說到，在防火牆上，首個報文經過後會建立一個會話表，該會話表只能匹配元組相同的流量，沒法匹配其餘流量（可能目標IP不一樣，可能目標端口不一樣），這也正保證了同一會話的數據流高效轉發及嚴格的安全策略檢查。須要注意的是，會話表是動態生成的，但不是永久存在的，若是長時間沒有報文匹配該會話，則證實通訊雙方已經斷開了鏈接，再也不須要這條會話，爲了節約系統資源，會在必定時間後刪除該會話，這個時間被稱爲會話的老化時間。通常不會過久，記得Cisco防火牆上的會話表默認老化時間好像是300s吧。
.
5、安全策略的相關概念
防火牆的基本做用是保護特定網絡免受「不信任」的網絡的威脅，可是同時還必須容許兩個網絡之間能夠進行合法的通訊。安全策略的做用就是對經過防火牆的數據流進行檢驗，符合安全策略的合法流量才能經過防火牆。能夠在不一樣的域間方向應用不一樣的安全策略進行不一樣的控制。
.
華爲針對當前的網絡需求，提出了一體化安全策略，目前USG6000系列防火牆的V100R001版本採用的是一體化安全策略。所謂一體化，能夠體如今兩個方面，其一是配置上的一體化，如反 病 毒，郵件過濾、內容過濾、應用行爲過濾等安全檢查經過在策略中引用配置文件實現，其二是業務上的一體化，一體化的策略只對報文進行一次檢測，多業務功能能夠並行處理，從而提升處理效率。而傳統的防火牆如UTM產品，採用串行方式，流量每通過一個模塊便進行一次檢測。
.
華爲新一代防火牆對報文的檢測除了基於傳統的五元組（源IP、目的IP、源端口、目的端口、協議）以外，還能夠基於應用、內容、時間、用戶、威脅及位置對流量進行深層探測，真正實現全方位立體化的檢測能力及精準的訪問控制等。
.
一體化的安全策略是多個規則組成，而規則由條件、動做、配置文件和選項構成，其中配置文件的做用是對報文進行內容安全檢測，其中包括反 病 毒、入 e侵 防護、URL過濾、文件過濾、內容過濾、應用行爲控制及郵件過濾。一條規則能夠引用一個或多個配置文件。配置文件只有在動做容許時，纔可以被引用。上個圖吧！

在上圖中，能夠看到一個條件包含多個元素，條件中的各個元素是「與」的關係，也就是數據包必須同時匹配這些元素，才認爲該數據包匹配這條規則。而條件中的同一個元素的多個對象之間是「或」的關係，也就是說，數據包只要匹配其中的一個對象，就認爲這個數據包匹配這個元素。舉個栗子，當條件中的源地址同時定義了A、B、C三個地址，只要數據包中的源地址屬於其中任意一個，則表示匹配這個源地址的元素。但該報文同時又要匹配條件中的其餘屬性，如目標地址、時間段、服務、用戶等，纔算匹配這個規則。

區別於傳統的安全策略，一體化的安全策略具備以下特色：

• 策略配置基於全局，再也不基於區域間配置，安全區域只是條件的可選配置項，也可在一條規則中配置多個源區域或目標區域。
• 默認狀況拒絕全部區域間的流量，必須經過策略配置放行所需流量。

• 安全策略中的默認動做代替了默認包過濾。傳統的防火牆的包過濾基於區域間的，只針對指定的區域間生效，而新一代防火牆的默認動做全局生效，且默認動做爲拒絕，即拒絕一切流量，除非容許。
  默認狀況下，華爲防火牆的策略有以下特色：

• 任何兩個安全區域的優先級不能相同。
• 本域內不一樣接口間的報文不過濾直接轉發。
• 接口沒有加入域以前不能轉發報文。
• 在USG系列的防火牆上默認是沒有安全策略的，也就是說，不論是什麼區域之間相互訪問，都必需要配置安全策略，除非是同一區域報文傳遞。