概述

• 与路由器对比

	路由器	防火墙
功能	寻址、流量转发、路由	流量控制、安全区域隔离防护
硬件	-	相较于路由器，多了SPU，用于DDoS攻击防范/匹配会话/状态检测/认证策略/安全策略/NAT 策略/内容安全带宽策略等

• 发展

• 安全区域

防火墙转发流量的形式，是从一个安全区域到另一个安全区域

安全区域security zone	默认安全优先级	详情
非受信区域（untrust）	低安全级别区域，优先级为5。	通常定义internet等不安全的网络
非军事化区域（dmz）	中等安全级别区域，优先级为50。	通常定义内网服务器，经常被外网访问，不允许主动访问外网
受信区域（trust）	较高安全级别区域，优先级为85。	通常定义内网终端用户
本地区域（local）	Local区域定义的是设备本身，例 如设备的接口。Local区域是最高 安全级别区域，优先级为100。	定义设备本身，local区域特殊，很多应用需要开放local与其他区域之间的安全策略

• 安全策略
  
  
• 会话表

首包到达防火墙，匹配成功，会建立session表项，后续流量会根据session表项转发

• 多通道协议问题

防火墙针对固定端口协议可控，但对于多通道的随机端口协议无法匹配，因为随机端口不可预测，无法建立会话表
比如FTP，服务器向客户端传输数据，使用的随机端口

ASPF针对应用层的包过滤功能，可以生产server-map，server-map中的应用层信息可以成功创建会话表

在防火墙配置了ASPF、NAT Server和No-PAT方式的源NAT时，都会生成相应的Server-map表项。

配置

# 接口配置
interface [interface]
server-manage [protocal] [permit|deny] # 配置接口允许通过的协议

# 安全区域
firewall zone name [name] # 创建安全区域，进入安全区域视图
set priority [1-100] # 优先级
add interface # 接口添加进安全区域

# 安全策略
security-policy # 进入安全策略视图
rule name [name] # 创建规则，进入规则视图
source-zone # 匹配源安全区域
destination-zone # 匹配目的安全区域
source-address # 匹配源ip
destination-address # 匹配目的ip
server # 匹配协议服务
action [permit|deny] # 动作 

实验

以前做过相关实验，可以参考一下
https://editor.csdn.net/md/?articleId=126262051

参考

https://support.huawei.com/hedex/hdx.do?docid=EDOC1100343281&id=ZH-CN_XTASK_0178932958