華為防火墻簡介及其工作原理

防火墻作為一種安全設備被廣泛使用于各種網絡環境中，他在網絡間起到了間隔作用。華為作為著名的網絡設備廠商，2001年便發布了首款防火墻插卡，而后根據網絡發展及技術需求，推出了一代又一代防護墻及安全系列產品。這篇博文主要介紹華為防火墻產品及其工作原理。

博文大綱：
一、華為防火墻產品簡介
1.USG2110
2.USG6600
3.USG9500
4.NGFW
二、防火墻的工作原理
1.防火墻的工作模式
（1）路由模式
（2）透明模式
（3）混合模式
2.華為防火墻的安全區域劃分
3.防火墻Inbound和Outbound
4.狀態化信息
5.安全策略

一、華為防火墻產品簡介

USG2000、USG5000、USG6000和USG9500構成了華為防火墻的四大部分，分別適用于不同的網絡需求。其中，USG2000和USG5000系列定位于UTM（統一威脅管理）產品，USG6000系列屬于下一代防火墻產品，USG9500系列屬于高端防火墻產品。接下來詳細介紹一下各個版本系列防火墻的區別！

1.USG2110

USG2110系列是華為針對中小型企業及連鎖機構等發布的防火墻設備，其功能包含防火墻、UTM、虛擬專用網、路由、無線等。USG2110系列防火墻具有性能高、可靠性高、配置方便等特性，且價格相對較低，支持多種虛擬專用網組網方式，為用戶提供安全、靈活、便捷的一體化組網解決方案。如圖：

2.USG6600

USG6600系列是華為面向下一代網絡環境防火墻產品，適用于大中型企業及數據中心等網絡環境，具有訪問控制精準、防護范圍全面、安全管理簡單、防護性能高等特點。可進行企業內網邊界防護、互聯網出口防護、云數據中心邊界防護、虛擬專用網遠程互聯等組網應用。如圖：

3.USG9500

USG9500系列包含USG9520、USG9560、USG9580三種系列，適用于云服務提供商、大型數據中心、大型企業園區網絡等。它擁有最精準的訪問控制、最實用的NGFW特性、最領先的“NP+多核+分布式”結構即最豐富的虛擬化，被稱為最穩定可靠的安全網關產品，可用于大型數據中心邊界防護、廣電和二級運營商網絡出口安全防護、教育網出口安全防護等網絡場景等。如圖：

4.NGFW

NGFW即下一代防火墻，更適用于新的網絡環境。NGFW在功能方面不僅要具備標準的防火墻功能，如網絡地址轉換、狀態檢測、虛擬專用網和大企業需要的功能，而且要實現IPS和防火墻真正的一體化，而不是簡單地基于模塊。另外，NGFW還需要具備強大的應用程序感知和應用可視化能力，基于應用策略、日志統計、安全能力與應用識別深度融合，使用更多的外部信息協助改進安全策略，如用戶身份識別等。

傳統的防火墻只能基于時間、IP和端口進行感知，而NGFW防火墻基于六個維度進行管理控制和防護，分別是應用、用戶、內容、時間、威脅、位置。

其中：

• 基于應用：運用多種手段準確識別Web應用內超過6000以上的應用協議及其附屬功能，從而進行精確的訪問控制和業務加速。其中也包含移動應用，如可以通過防火墻區分微信流量中的語音和文字，進而實現不同的控制策略；
• 基于用戶：借助于AD活動目錄、目錄服務或AAA服務器等，基于用戶進行訪問控制、QoS管理和深度防護；
• 基于位置：結合全球位置信息，智能識別流量的發起位置，從而獲取應用和***的發起位置。其根據位置信息實現對不同區域訪問流量的差異化控制，同時支持根據IP信息自定義位置；

在實際應用中，應用可能使用任意端口，而傳統FW無法根據端口識別和控制應用。NGFW的進步在于更精細的訪問控制。其最佳使用原則為“基于應用+白名單控制+最小授權”。

目前，華為的NGFW產品主要是USG6000系列，覆蓋從低端的固定化模塊產品到高端的可插拔模塊產品。華為下一代防火墻的應用識別能力范圍領先同行業產品20%，超出國產品牌3~5倍。

二、防火墻的工作原理

1.防火墻的工作模式

華為防火墻具有三種工作模式：路由模式、透明模式、混合模式。

（1）路由模式

如果華為防火墻連接網絡的接口配置IP地址，則認為防火墻工作在路由模式下。當華為防火墻位于內部網絡與外部網絡之間，需要將防火墻與內部網絡、外部網絡以及DMZ三個區域相連的接口分別布配置成不同網段的IP地址，所以需要重新規劃原有的網絡拓補，此時防火墻首先是一臺路由器，然后提供其他防火墻功能。路由模式需要對網絡拓補進行修改，比較麻煩！

（2）透明模式

如果華為防火墻通過第二層對外連接（接口無IP地址），則防火墻工作在透明模式下。如果華為防火墻采用透明模式進行工作，只需在網絡中像連接交換機一樣連接華為防火墻即可，其最大的優點是武俠修改任何已有的IP配置；此時防火墻就像一個交換機一樣工作，內部網絡和外部網絡必須處于同一個子網。此模式下，報文在防火墻當中不僅進行二層的交換，還會對報文進行高層分析處理。

（3）混合模式

如果華為防火墻既存在工作在路由模式的接口（接口具有IP地址），又存在工作在透明模式的接口（接口無IP地址），則防火墻工作在混合模式下。這種工作模式基本上是透明模式和路由模式的混合，目前只用于透明模式下提供雙機熱備的特殊應用中，別的環境下不建議使用！

2.華為防火墻的安全區域劃分

安全區域，簡稱區域。防火墻通過區域區分安全網絡和不安全網絡，在華為防火墻上安全區域是一個或多個接口的集合，是防火墻區分于路由器的主要特性。防火墻通過安全區域來劃分網絡，并基于這些區域控制區域間的報文傳遞。當數據報文在不同的安全區域之間傳遞時，將會觸發安全策略進行檢查。

當給一個接口指定安全區域之后，該接口及身后的網絡就被當做一個安全區域，一個安全區域可以包含一個或多個網段。安全區域是基于網絡的信任區域程度或保護程度來劃分的。將不同的接口劃分相應的安全區域后，防火墻通過接口就可以把安全區域與網絡關聯到一起。當我們提到某個安全區域中的流量時，就會聯想到這個安全區域下所管理的接口與網絡的對應關系。

華為防火墻默認有四個區域，分別是Trust、Untrust、DMZ和Local。不同的區域擁有不同的受信優先級，防火墻則根據這些區域的受信優先級來區分區域的保護級別。

在華為防火墻上，每個安全區域都有唯一的安全級別，用數字1~100來表示，數字越大，則代表該區域內的網絡越可信。對于默認的安全區域，他們的安全區域是固定的：Local區域的安全級別是100，Trust區域的安全級別是85，DMZ區域的安全級別是50，Untrust區域的安全級別是5。

用戶可以根據自己的實際情況，自行創建更多的安全區域，并為這些安全區域配置優先級，在配置優先級時需要注意安全級別之間的相互關系，如一個自定義網絡的安全性比目前已經存在的DMZ區域要差，但是比互聯網安全，那么優先級的取值應該是5~50范圍內。

華為防火墻常見的幾種區域：

• Trust區域：主要用于連接公司內部網絡，優先級為85，安全等級較高；
• DMZ區域：非軍事化區域，是介于嚴格的軍事管制區和公共區域之間的一種區域，在防火墻中通常定義為需要對外提供服務的網絡，其安全性介于Trust區域和Untrust區域之間，優先級為50，安全等級中等；
• Untrust區域：通常定義外部網絡，優先級為5，安全級別很低。Untrust區域表示不受信任的區域，互聯網上威脅較多，所以一般把Internet等不安全網絡劃入Untrust區域；
• Local區域：通常定義防火墻本身，優先級為100。防火墻除了轉發區域之間的報文之外，還需要自身接收和發送流量，如網絡管理、運行動態路由協議等。由防火墻主動發起的報文被認為是從Local區域傳出的，需要防火墻響應并處理（不是穿越）的報文被認為是由Local區域接收并進行相應處理的。Local區域并不需要添加接口，但所有接口隱含屬于Local區域，雖然我們一個接口劃分到某個區域中，但也只是表示由這個接口發送或接受的報文屬于該區域，并不代表接口本身；
• 其他區域：用戶自定義區域，默認最多自定義16個區域，自定義區域沒有默認優先級，所以需要手工指定；

注意：

• 華為防火墻中，一個接口只能加入一個安全區域；
• 華為傳統防火墻默認情況下，對從高優先級區域到低優先級區域方向的流量默認放行，但是華為最新的NGFW防火墻默認禁止一切流量。如需放行指定的流量，需要管理員設置策略；

3.防火墻Inbound和Outbound

防火墻基于區域之間處理流量，即使由防火墻自身發起的流量也屬于Local區域和其他區域之間的流量傳遞。當數據流在安全區域之間流動時，才會激發華為防火墻進行安全策略的檢查，即華為防火墻的安全策略通常都是基于域間的，不同的區域之間可以設置不同的安全策略。

域間的數據流分為兩個方向：

• 入方向（Inbound）：數據由低級別的安全區域向高級別的安全區域傳輸的方向；
• 出方向（Outbound）：數據由高級別的安全區域向低級別的安全區域傳輸的方向；

在防火墻技術中，通常把兩個方向的流量區別來看待。因為防火墻的狀態化檢測機制，所以針對數據流通常只重點處理首個報文。

如圖：內網計算機屬于Trust區域，互聯網計算機屬于Untrust區域。當內網計算機訪問互聯網計算機時，屬于正常的公司業務流量，請求包屬于Outbound流量，而且是第一個包，所以防火墻需要基于策略處理該Outbound流量，而返回響應包時，流量屬于Inbound流量，直接查詢狀態化信息放行流量。而外部Untrust區域的互聯網計算機訪問內網計算機可能是來自于外部的非法行為，此時流量風險較大，請求包屬于Inbound流量，而且是第一個包，所以防火墻需要基于安全策略處理該Inbound流量。而返回響應包時，流量屬于Outbound流量，直接查詢狀態化信息放行流量。所以首個包是Inbound的入站包的風險遠遠大于首個包的是Outbound的出站包。在指定防火墻策略時，也應該重點指定嚴格的Inbound域間策略和相對寬松的OUtbound域間策略。

4.狀態化信息

狀態化檢測防火墻使用的狀態化檢測和會話機制，目前已經成為防火墻產品的基本功能，也是防火墻實現安全防護的基礎技術。

防火墻對于數據流的處理，是針對首個報文在訪問發起的方向檢查安全策略，如果允許轉發，同時將生成狀態化信息——會話表。而后續的報文及返回的報文如果匹配到會話表，將直接轉發而不經過策略的檢查，進而提高轉發效率，這也是狀態化防火墻的典型特性。

防火墻通過五元組來唯一地區分一個數據流，即源IP、目標IP、協議、源端口和目標端口。防火墻把具有相同五元組內容的數據當做一個數據流。防火墻對于同一個數據流只對首個報文檢查一次安全策略，同時創建會話表來匹配數據流中的后續報文及返回報文。該會話表無法匹配其他流量，所以防火墻的這種狀態化機制保證了同一會話的數據流高效轉發。但是對于其他流量，依然要經過防火墻的安全策略檢查，防火墻的這種特性使每個數據流都至少一個包必須匹配安全策略，而非法的流量在執行安全策略時將會被丟棄。

狀態檢測防火墻使用基于連接狀態的檢測機制，將通信雙方交互的屬于同一連接的所有報文都作為整體的數據流來對待。在狀態檢測防火墻看來，同一個數據流內的報文不再是孤立的個體，而是存在聯系的，如果為數據流的第一個報文建立會話，數據流內的后續報文將直接根據會話進行轉發，從而提高了效率。

會話是通信雙方的連接在防火墻上的具體體現，代表兩者的連接狀態，一條會話就表示通信雙方的一個連接。防火墻上多余會話的集合就稱為會話表。在華為防火墻上，執行以下命令可以查看當前的會話表：

重點介紹這個表中的關鍵字段：

• http代表協議；
• 1.1.1.1代表源地址；
• 2049代表源端口；
• 2.2.2.2代表目的地址；
• 80表示目標端口；
• 通過“-->”號可以直觀的區分源和目標，符號前是源，符號后是目標。

注意：會話時動態生成的，不可能會永久存在。如果長時間沒有報文匹配，則說明通信雙方已經斷開了連接，不再需要該條會話。此時，為了節約資源，防火墻會在一段時間后刪除會話，該時間成為會話老化時間。

5.安全策略

防火墻的基本作用是保護特定網絡免受“不信任”網站的非法操作，但是同時還必須允許兩個網絡之間可以進行合法的通信。安全策略的作用就是對通過防火墻的數據流進行檢驗，符合安全策略的合法數據流才能通過防火墻。可以在不同的域間方向應用不同的安全策略進行不同的控制。

隨著網絡的高速發展，應用的不斷增加，大量基于Web的應用和基于移動的應用越來越多，網絡安全對防火墻提出了新的挑戰。傳統的基于IP、端口及協議的訪問控制已經不能滿足當前的網絡需求。華為針對當前的網絡需求。提出了一體化的安全策略。目前USG6000系列防火墻的V100R001版本采用的是一體化安全策略。

所謂一體化，可以體現在兩個方面：

• 其一是配置上的一體化，如郵件過濾、內容過濾、應用行為過濾等安全監測通過策略中引用配置文件就可實現，降低了網絡管理員的配置難度；
• 其二是業務上的一體化，一體化的策略只對報文進行一次檢測，多業務功能可以并行處理，從而大大提高了處理效率；而傳統的防火墻是采用串行方式，流量每經過一個模塊便進行一次檢測；

華為新一代防火墻對報文的檢測除了基于傳統的五元組（源IP、目標IP、協議、源端口、目標端口）之外，還可以基于應用、內容、時間、用戶、威脅及位置對流量進行深層檢測，真正實現全方位立體化的檢測能力及精準的訪問控制和安全策略。如圖：

一體化的安全策略由若干規則組成，而規則由條件、動作、配置文件和選項構成。如圖：

其中配置文件的作用是對報文進行內容安全檢測，其中包括反病毒、非法進入防御、URL過濾、文件過濾、內容過濾、應用行為及郵件過濾。一條規則可以引用一個或多個配置文件。不同類型的規則包含對應對應的默認配置文件，管理員也可以手動引用一個或多個配置文件。配置文件只有在動作允許時，才能被引用。

條件是匹配某條規則的依據，如報文的源區域、目標地址、時間等。滿足規則的所有條件才算匹配該條規則，如報文匹配規則1的源區域、源地址、用戶、應用、服務。但是就是沒有匹配時間，那么該報文也不能匹配第一條規則，而是應該繼續往下繼續匹配。一條規則中，不需要配置所有的條件，可以指定一個或多個條件。

• 條件中的各個元素如果在多條規則中重復使用，或者該元素本身包含多個相關內容，可以考慮配置為對象，對象可被多條規則調用。如果定義一個地址類型的對象，包含公司中多個網段，那么該對象就可以在規則條件中被源地址或目標地址引用；
• 動作是防火墻對于匹配的流量采用的處理方式，包含允許、拒絕等。不同的策略可以選擇不同的處理方式。如果處理方式時運管系，那么還可以繼續基于配置文件對報文做后續處理；
• 選項時規則中的附加功能，如是否針對該條規則記錄日志，本條規則是否生效等；

注意：條件中的各個元素之間是“并且”的關系，報文的屬性與各個元素必須全部匹配，才認為該報文匹配這條規則；而條件中的同一元素的多個對象之間是“或者”的關系，報文的屬性只要匹配其中的一個對象，就認為報文的屬性匹配這個元素。

區別于傳統的安全策略，一體化的安全策略具有如下特點：

• 策略配置基于全局，不再基于區域間配置，安全區域只是條件的可選配置項，也可以在一條規則中配置多個源區域或目標區域；
• 默認情況下，所有的區域間通信都被拒絕，包括Outbound流量。必須通過策略配置放行所需流量；
• 安全策略中的默認動作代替了默認包過濾。傳統防火墻的包過濾是基于區間的，只針對指定的區域間生效，而新一代防火墻的默認動作全局生效，且默認動作為拒絕，且拒絕一切流量，除非允許；

防火墻對規則的處理順序和ACL非常類似。從上往下依次匹配，找到即停，默認拒絕！

默認情況下，華為防火墻的策略有如下特點：

• 任何兩個安全區域的優先級不能相同；
• 本域內不同接口間的報文不過濾直接轉發；
• 接口沒有加入域之前不能轉發報文；
• 在USG6000系列的防火墻上是沒有安全策略的，也就是說，不管是什么區域之間互相訪問，都必須配置安全策略，除非是同一區域報文傳遞；

———————— 本文至此結束，感謝閱讀 ————————