防火墙相关技术内容

防火墙的状态检测和会话技术

一、防火墙的检测机制

1. 早期包过滤防火墙

   • 采用逐包检测机制，对每个报文独立检测其源地址、目的地址、端口等信息，根据预设规则决定转发或丢弃。
   • 安全隐患：仅基于单包信息判断，无法识别连接状态。例如，若规则允许 PC（1.1.1.1）访问 Web 服务器（2.2.2.2:80），则可能存在伪造回复报文的风险。

2. 状态检测机制

   • 以流量为单位检测：对一条流量的第一个报文（首包）执行包过滤规则检测，记录判断结果作为 “状态”；后续报文直接沿用该 “状态” 转发或丢弃，无需重复检测内容。
   • 优势：减少重复检测，提升转发效率，同时通过记录连接状态增强安全性。

二、会话与会话表

1. 会话的定义

   • 会话是通信双方在防火墙上的连接状态体现，一条会话代表一个连接，多个会话的集合称为会话表。
   • 核心作用：通过记录连接状态，确保后续报文快速匹配转发。

2. 会话表的查看命令

   • 查看所有会话表：[FW]display firewall session table
     
   • 查看会话详情（含五元组等）：[FW]display firewall session table verbose

3. 五元组

   • 用于唯一标识一条会话，包括：源 IP 地址、目的 IP 地址、源端口、目的端口、协议类型。

4. 会话的 TTL（生存时间）

   • 会话并非永久存在，会随时间老化，不同协议的 TTL 不同：
     • ICMP：20 秒
     • DNS：30 秒
     • HTTP：10 秒
     • 长连接：匹配 ACL 规则的报文可延长老化时间。

三、TCP 状态检测特殊逻辑

1. 会话创建条件：仅当防火墙收到 TCP 的SYN 报文，且安全策略允许时，才会创建会话；后续的 SYN+ACK、ACK 报文直接匹配会话转发。
2. 异常处理：若未收到 SYN 报文，仅收到 SYN+ACK 或后续报文，防火墙会丢弃该报文（因无法创建会话）。
3. 报文路径不一致问题：若首包未经过防火墙，后续报文因无会话信息会被丢弃，解决方式为关闭状态检测（退回包过滤机制）。

四、ASPF 机制（应用层状态检测）

1. 原理：针对应用层协议（如 FTP），检测报文的应用层信息，记录关键数据到Server-map 表，使未在安全策略中明确定义的报文（如 FTP 数据连接）可正常转发。
2. Server-map 表与会话表的区别：
   • 会话表：记录当前连接的状态，基于首包生成。
   • Server-map 表：记录 “预测信息”（如 FTP 数据连接的端口），用于放行后续动态协商的报文。
3. 默认开启场景：FTP 协议的 ASPF 机制默认开启，以支持其控制连接与数据连接的动态协商。

传输模式

主动模式

 被动模式PASV

防火墙的用户认证

一、用户分类

1. 上网用户：内部网络用户，可直接通过防火墙访问网络资源。
2. 接入用户：外部网络用户，需先通过 VPN 接入企业网络，再访问内部资源。

二、认证方式

三、用户架构

1. 认证域：用于区分用户所属范围，默认存在default认证域；新建认证域的用户登录时需携带完整用户名（如user002@aaa，其中aaa为认证域）。
2. 层级关系：认证域包含用户组（如部门），用户组包含用户；支持跨部门群组（对应安全组）。

四、认证策略与动作

1. 认证策略：定义需要认证的流量，匹配策略的流量必须通过身份认证才能放行（默认不对任何流量认证）。
2. 认证动作：
   • 会话认证：针对 HTTP 业务，防火墙主动推送认证界面。
   • 事前认证：针对非 HTTP 业务，用户需主动访问认证页面。
   • 免认证：无需输入账号密码，但防火墙会记录用户的 IP/MAC 绑定信息。

认证流程

第八章 NAT（网络地址转换）与智能选路

一、NAT 基本概念

• 作用：解决私网地址无法直接访问公网的问题，通过替换 IP 地址（或端口）实现私网与公网的通信。
• 核心逻辑：将私网地址 + 端口转换为（公网地址 + 端口），或反之。

二、NAT 分类及特点

1. 源 NAT（内部用户访问外部）

2. 服务器映射（外部用户访问内部服务器）

• 静态映射：公网地址与私网服务器地址一对一绑定，实现外部用户访问。

三、NAT 配置关键逻辑

1. 地址池：存放用于转换的公网 IP，配置命令示例（以 NAT No-PAT 为例）：

   [FW]nat address-group nat_address_1  # 创建地址池
   [FW-address-group-nat_address_1]mode no-pat global  # 设定模式
   [FW-address-group-nat_address_1]section 202.10.1.10  # 添加公网IP
   

2. NAT 策略：由条件（源 / 目的区域、地址等）和动作（如source-nat address-group nat_address_1）组成，需与安全策略配合（安全策略检测先于 NAT 转换）。

四、Server-map 表在 NAT 中的作用

• NAT No-PAT 和三元组 NAT 会生成正反两条 Server-map 表项，用于快速匹配转换规则，避免重复执行 NAT 策略检测。
• 示例（NAT No-PAT 的 Server-map 表）：

  Type:No-Pat,192.168.1.1[202.10.1.10]->ANY  # 私网到公网方向
  Type:No-Pat Reverse,ANY->202.10.1.10[192.168.1.1]  # 公网到私网反向
  

五、特殊说明

• NAPT 不生成 Server-map 表项，依赖会话表转发。
• 三元组 NAT 通过full-cone模式实现端口一致性，支持外网主动访问，可通过firewall endpoint-independent filter enable关闭安全策略控制。