防火墙的基本概念

防火墙的定义

具备网络防护功能的网络设备

  • 隔离网络
    • 将需要保护的网络与不可信任网络进行隔离，隐藏信息并进行安全防护。防火墙拥有路由器的所有功能，在配置完成后，防火墙默认是不允许任何流量通过（和路由器相反），通过硬件隔离（一般将其部署在公司总出口）。

防火墙的基本功能

  • 访问控制
    • 在防火墙中称之为策略，相当于路由器中的ACL
  • 攻击防护
    • 路由器没有此功能
    • 主要针对三、四层攻击
    • 对于DDOS防御会影响性能，可以通过在运营商处清洗流量进行防御
  • 冗余设计
  • 路由、交换
    • 可以完全替代路由器和交换机，但由于价格贵，一般不这么做
  • 日志记录
  • VPN
  • NAT

区域隔离

防火墙的区域概念

  • trust（思科称之为inside）
  • DMZ区域（Demilitarazed Zone），称为“隔离区”，也称“非军事化区/停火区”
  • untrust（思科称之为outside）

在防火墙做流量过滤时通过区域进行匹配，如果将trust区域到untrust区域全部允许，则untrust区域无法主动通过防火墙，只允许被动回包。

防火墙的分类

  • 按防火墙形态
    1. 软件防火墙
    2. 硬件防火墙
  • 按技术实现
    1. 包过滤防火墙
      最早的防火墙技术之一，功能简单，配置复杂
    2. 状态监测过滤防火墙
      现代主流防火墙，速度快，配置方便，功能较多
    3. 应用（代理）防火墙
    4. WAF防火墙
    5. 应用层防火墙

状态检测防火墙

工作过程

  1. 数据包进入防火墙先进行会话状态检测
  2. 如没有会话状态，则进行策略匹配
  3. 策略通过后进行PAT转换和路由
  4. 该数据包的后续数据到达防火墙时会进行会话状态检测（会话状态包括源IP，目标IP，源端口，目标端口，物理端口，NAT转后后的IP和端口号，数据链路层的源MAC和目标MAC）
  5. 如果检测到会话状态则直接转发数据包，不再检查策略，路由表，地址转换表，也不再做ARP缓存

通过会话状态可以确认数据包是否是回包

防火墙的工作模式

透明模式

一般用于用户网络已经建设完毕，网络功能基本已经实现的情况下，用户需要加装防火墙以实现安全区域隔离的需求

此模式下防火墙工作在二层

路由（标准）模式