华为防火墙的工作模式
华为防火墙具有三种工作模式:路由模式、透明模式、混合模式。
路由模式:如果华为防火墙链接网络的接口配置IP地址,则认为防火墙工作在路由模式下。如果防火墙位于内部网络和外部网络之间时,这时候需要从新规划自己内部网络的拓扑。
透明模式:如果华为防火墙通过二层对外链接(接口无IP地址),则防火墙工作在透明模式下。工作在透明模式的优点是:无须修改任何已有的IP配置,此时防火墙就像一个交换机一样工作。
混合模式:如果华为防火墙工作在路由模式的接口(接口具有IP地址),又工作在透明模式的接口(接口无IP地址),这时候防火墙则工作在混合模式下。目前这种模式只用于双机热备的特殊应用中,别的环境不建议使用。
华为防火墙状态化信息的含义
在防火墙技术中,通常把两个方向的流量区别对待,因为防火墙的状态化检测机制,所以针对数据流通常只重点处理首ge报文,安全策略一旦允许首ge报文允许通过,那么将会形成一个会话表,后续报文和返回的报文如果匹配到会话表将会直接放行,而不再查看策略,从而提高了防火墙的转发效率。如,Trust区域的客户端访问UNtrust区域的互联网,只需要在Trust到UNtrust的Outbound方向应用安全策略即可,不需要做UNtrust到Trust区域的安全策略。
防火墙通过五元组来唯yi的区分一个数据流,即源IP、目标IP、协议、源端口号、目标端口。防火墙把具有相同五元组内容的数据当做一个数据流,数据包必须同时匹配zhi定的五元组才算匹配到这条策略,否则会继续匹配后续策略,它的匹配规则同样是匹配即停。
前面说到,在防火墙上,首ge报文通过后会创建一个会话表,该会话表只能匹配元组相同的流量,无法匹配其他流量(可能目标IP不同,可能目标端口不同),这也正保证了同一会话的数据流gao效转发及严格的安全策略检查。需要注意的是,会话表是动态生成的,但不是长久存在的,如果长时间没有报文匹配该会话,则证明通信双方已经断开了连接,不再需要这条会话,为了节约系统资源,会在一定时间后删除该会话,这个时间被称为会话的老化时间。一般不会太久,记得Cisco防火墙上的会话表默认老化时间好像是300s。
华为防火墙透明模式
透明模式
如果华为防火墙通过第二层对外连接(接口无IP地址),则防火墙工作在透明模式下。如果华为防火墙采用透明模式进行工作,只需要在网络中像连接交换机一样连接华为防火墙设备即可,其比较大的优点是无须修改任何已有的IP配置;此时防火墙就像一个交换机一样工作,内部网络和外部网络必须处于同一个子网。此模式下,报文在防火墙当中不仅进行二层的交换,还会对报文进行高层分析处理。
华为防火墙对于数据流的处理
状态化信息防火墙对于数据流的处理,是针对首报文在访问发起的方向检查安全策略,如果允许转发。同时将生成状态化信息-会话表,而后续的报文及返回的报文如果匹配到该会话表,将直接转发而不经过策略的检查,进而提高转发效率。
防火墙通过五元组来区分一个数据流,即源IP、目标IP、协议、源端口号、目标端口。防火墙把具有相同五元组内容的数据当做一个数据流。
如果长时间没有报文匹配,则说明双方已经断开链接,不需要该会话了。此时防火墙会在一定时间后删除该会话。
以上信息由专业从事华三H3C下一代防火墙公司的北京盈富迈胜于2024/6/17 10:34:37发布
转载请注明来源:http://m.tz1288.com/qynews/bjyfms-2771325808.html