初始华为防火墙华为与H3C

前言防火墙作为一种安全设备被广泛使用于各种网络环境中，它在网络间起到隔离作用。华为作为著名的网络设备厂商，2001年便发布了首款防火墙插卡，而后根据网络发展及技术需求，推出了一代又一代防火墙及安全系列产品。在近二十年的历程中，华为在业界立下了一个又一个丰碑。
华为防火墙介绍 USG2000、USG5000、USG6000和USG9500构成了华为防火墙的四大部分，分别适合于不同环境的网络需求，其中，USG2000和USG5000系列定位于UTM（ Unified Threat Management，统一威胁管理）产品，USG6000系列属于下一代防火墙产品，USG9500系列属于高端防火墙产品。
USG2110 USG2110为华为针对中小企业及连锁机构、SOHO企业等发布的防火墙设备，其功能涵盖防火墙，UTM、VPN、路由、无线等。USG2110其具有性能高、可靠性高、配置方便等特性，且价格相对较低，支持多种VPN组网方式，为用户提供安全、灵活、便捷的一体化组网解决方案

文章图片

USG6600 USG6600是华为面向下一代网络环境防火墙产品，适用于大中型企业及数据中心等网络环境，具有访问控制精准、防护范围全面、安全管理简单、防护性能高等特点，可进行企业内网边界防护、互联网出口防护、云数据中心边界防护、VPN远程互联等组网应用

文章图片

USG9500系列 USG9500系列包含USG9520、USG9560、USG9580三种系列，适用于云服务提供商、大型数据中心、大型企业园区网络等，它拥有最精准的访问控制、最实用的NGFW特性、最领先的 “ NP＋多核＋分布式 ” 构架及最丰富的虚拟化，被称为最稳定可靠的安全网关产品，可用于大型数据中心边界防护、广电和二级运营商网络出口安全防护、教育网出口安全防护等网络场景

文章图片

NGFW NGFW，全称是 Next Generation Firewall，即下一代防火墙，最早由 Gartner提出。NGFW更适用于新的网络环境。NGFW在功能方面不仅要具备标准的防火墙功能，如网络地址转换、状态检测、VPN和大企业需要的功能，而且要实现IPS和防火墙真正的一体化，而不是简单地基于模块。
传统的防火墙只能基于时间、IP和端口进行感知，而NGFW防火墙基于六个维度进行管控和防护，分别是应用、用户、内容、时间、威胁、位置。
目前，华为的NGFW产品主要是USG6000系列，覆盖从低端的固定化模块产品到高端的可插拔模块产品，华为下一代防火墙的应用识别能力范围领先同行业产品20％，超出国产品牌3－5倍。
防火墙的工作模式华为防火墙具有三种工作模式：路由模式，透明模式、混合模式
路由模式
如果华为防火墙连接网络的接口配置IP地址则认为防火墙工作在路由模式下，当华为防火墙位于内部网络和外部网络之间时，需要将防火墙与内部网络、外部网络以及DMZ三个区域相连的接口分别配置成不同网段的IP地址，所以需要重新规划原有的网络拓扑，此时防火墙首先是一台路由器，然后提供其他防火墙功能。路由模式需要对网络拓扑进行修改（内部网络用户需要更改网关、路由器需要更改路由配置等）。
透明模式
如果华为防火墙通过第二层对外连接（接口无IP地址），则防火墙工作在透明模式下,如果华为防火墙采用透明模式进行工作，只需在网络中像连接交换机一样连接华为防火墙设备即可，其最大的优点是无须修改任何已有的IP配置：此时防火墙就像一个交换机一样工作，内部网络和外部网络必须处于同一个子网，此模式下，报文在防火墙当中不仅进行二层的交换，还会对报文进行高层分析处理。
混合模式
如果华为防火墙既存在工作在路由模式的接口（接口具有IP地址），又存在工作在透明模式的接口（接口无IP地址），则防火墙工作在混合模式下，这种工作模式基本上是透明模式和路由模式的混合，目前只用于透明模式下提供双机热备的特殊应用中，别的环境下不建议使用。
华为防火墙的安全区域划分

区域	描述
trust	通常定义为内部网络优先级为85，安全等级较高
dmz	通常定义为需要对外提供服务的网络，优先级为50，非军事化区域，也称‘隔离区’，安全性介于Trust区域和Untrust区域之间
untrust	通常定义外部网络，优先级为5，安全级别很低
local	通常定义防火墙本身，优先级为100
其他区域	用户自定义区域，默认最多自定义16个区域，自定义区域没有默认优先级，所以需要手工指定

注：

安全区域的优先级必须是唯一的，即每个安全区域都需要对应不同的优先级，因为防火墙会根据优先級大小来确定网络的受信任级别。
默认情况下，华为NGFW防火墙拒绝任何区域之间的一切流量，如需放行指定的流量，需要管理员设置策略。但同一域间默认流量是放行。
但是华为传统的防火墙默认情况下对从高优先级区域到低优先级区城方向的流量默认放行。

防火墙 Inbound和 Outbound 防火墙基于区域之间处理流量，即使由防火墙自身发起的流量也属于Local区域和其他区域之间的流量传递，当数据流在安全区域之间流动时，才会激发华为防火墙进行安全策略的检查，即华为防火墙的安全策略通常都是基于域间（如 Untrust区域和Trust区域之间）的，不同的区域之间可以设置不同的安全策略，域间的数据流分两个方向：
入方向（ Inbound ）：数据由低级别的安全区域向高级别的安全区域传输的方向(风险高)。例如，从Untrust区域（优先级5 ）的流量到 Trust区域（优先级85 ）的流量就属于 Inbound方向。
出方向（ Outbound ）：数据由高级别的安全区域向低级别的安全区域传输的方向（风险低），例如，从DMZ区域（优先级50 ）的流量到 Untrust区域的流量就属于 Outbound方向。
状态化信息防火墙对于数据流的处理，是针对首个报文在访问发起的方向检查安全策略，如果允许转发，同时将生成状态化信息一会话表，而后续的报文及返回的报文如果匹配到会话表，将直接转发而不经过策略的检查，进而提高转发效率，这也是状态化防火墙的典型特性。这也是访问的双向流量不需要同时配置安全策略的原因。
注：
数据流: 防火墙通过五元组来唯一的区分一个数据流，即源IP、目标IP、协议、源端口及目标端口。防火墙把具有相同五元组内容的数据当作一个数据流。
其他流量：但是对于其他流量，依然要经过防火墙的安全策略检查，防火墙的这种特性使每个数据流都至少一个包必须匹配安全策略，而非法的流量在执行安全策略时将被丢弃。
会话表: 一条会话就表示通信双方的一个连接。防火墙上多条会话的集合就称为会话表（ Session Table ）
需要注意的是，会话是动态生成的，但不是永远存在的。如果长时间没有报文匹配，则说明通信双方已经断开了连接，不再需要该条会话了。此时，为了节约系统资源，防火墙会在一段时间后删除会话，该时间称为会话的老化时间。
安全策略防火墙的基本作用是保护特定网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。安全策略的作用就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。可以在不同的域间方向应用不同的安全策路进行不同的控制。
华为新一代防火墙对报文的检测除了基于传统的五元组（源IP、目标IP、协议、源端口、目标端口）之外，还可以基于上面的六个维度进行管理和维护，真正实现全方位立体化的检测能力及精准的访问控制和安全检测

文章图片

目前USG6000系列防火墙的V100R001版本采用的是一体化安全策略。所谓的一体化，可以体现在两个方面，其一是配置上的一体化，其二是业务上一体化。一体化的安全策略由若干规则组成，而规则由条件、动作、配置文件和选项构成,如下图所示。

文章图片

规则：一条规则可以引用一个或多个配置文件，不同类型的规则包含对应的默认配置文件，管理员也可以手动引用其他一个或多个配置文件。配置文件只有在动作允许时，才能够被引用。
条件：条件是匹配某条规则的依据，条件中的各个元素之间是 “与” 的关系,满足规则的所有条件才算匹配该条规则。
动作：动作是防火墙对于匹配的流量所采取的处理方式，包含允许、拒绝等。
选项： ?选项是规则的一些附加功能，如是否针对该规则记录日志、本条规则是否生效等。
配置实例：

[USG6000V1]security-policy//配置安全策略[USG6000V1-policy-security]rule name allow_Telnet//策略名字[USG6000V1-policy-security-rule-allow_Telnet]source-zone trust//指定条件[USG6000V1-policy-security-rule-allow_Telnet]destination-zone local //指定条件[USG6000V1-policy-security-rule-allow_Telnet]action permit//指定动作[USG6000V1-policy-security-rule-allow_Telnet]quit[USG6000V1-policy-security]quit

安全策略中的默认动作代替了默认包过滤。传统防火墙的包过滤是基于区间的，只针对指定的区域间生效，而新一代防火墙的默认动作全局生效，且默认动作为拒绝，即拒绝一切流量，除非允许。
同时为了灵活应对各种组网情况，华为防火墙还支持配置域内（同一个安全区域内）策路，对同一个安全区域内经过防火墙的流量进行安全检查（默认情况下是允许所有域内报文通过防火墙的）。
默认情况下，华为防火墙的策路有如下特点：
（1）任何两个安全区域的优先级不能相同。
（2）本域内不同接口间的报文不过滤直接转发。
（3）接口没有加入域之前不能转发包文。
（4）在USG6000系列的防火墙上默认是没有安全策略的，也就是说，不管是什么区域之间要相互访问，都必须要配置安全策略，除非是同一区域报文传递。

【初始华为防火墙】下一篇: 华为防火墙的管理方式