防御与安全4

目录

安全策略      

会话表和状态检测

servermap

用户认证

NAT

选路

可靠性


安全策略      

在接口和路由配置完成的基础上直接增加安全策略,设置允许和拒绝的动作,如果允许通过后续还需要进行内容检测,相较于acl更精确

五元组:源ip、目标ip、源端口、目标端口、传输层协议

会话表和状态检测

会话表是基于流的包交换,只有首包需要检测,后续核对hash直接传,提高效率

状态检测就是检测是否符合协议规范对后续报文的定义,就是检测是否是同一个协议,再决定传输或者不传,避免客户端的端口全开启等着收包。

数据通过防火墙流程:如果是首包,匹配不上会话表且路由可达,就判断是否创建会话表,如果不是首包还不可达就直接丢弃。

servermap

ftp-网络传输协议-c/s架构(客户端/服务端)21用于控制链接端口,20用于数据传输。认证阶段都是客户端向服务端21发tcp建立链接,主动模式是客户端通过随机端口给服务器发包,然后服务器通过20建立连接,被动模式是服务器告知客户端一个随机端口等客户端连接。这种协议也叫多通道协议 。

        随机端口:

        计算公式:8x256+2=2050

tfpt-简单文件传输协议。

这两个的区别是tcp/udp的区别;有认证/无认证;对文件的可操作性高/仅上传下载。

ASPF是针对应用层的包过滤,抓取多通道协议的协商端口,将结果记录在server-map中,相当于开辟一个隐形通道。

用户认证

上网行为管理三要素是用户、行为、流量。

用户认证包括上网(三层认证,所有的跨网段通信,全网包括二层和三层)、入网(二层设备接入,例如网线接入交换机或者连接wifi)、接入(远程接入,)。

认证方式包括本地认证(用户信息在防火墙上,整个认证过程都在防火墙上执行)、服务器认证 (对接第三方服务器,防火墙将用户信息传递给服务器,之后,服务器将认证结果返回,防火墙执行对应的动作即可)、单点登录 (和第三方服务器认证类似)。

认证策略包括Portal (仅需要流量触发对应的服务时,弹出窗口,输入用户名和密码进行认证)、免认证(需要在IP/MAC双向绑定的情况下使用)、匿名认证(登录者不需要输入用户名和密码,直接使用IP地址作为其身份进行登录)。

NAT

nat包括静态(1对1,多用于服务器映射)、动态(多对多)和napt(一对多(easyip),多对多)、服务器映射。

在防火墙组网环境下分类分成源nat(基于源IP地址进行转化,内网用户访问公网)、目标nat(基于目标地址进行转化,外网用户访问内网服务器)、双向nat(同时具备前两者功能)。

源nat在安全策略之后执行,目标nat在安全策略之前执行(安全策略的目标地址是nat转换后的地址,所以需要先转换地址才能走过这个安全策略)

配置nat地址池的时候配置黑洞路由可以避免出现环路(地址池中的地址和出接口地址不在同一个网段

动态nat+server-map:在动态nat触发访问流量后会生成两条server-map的记录,其中一条是反向记录。反向记录存在时,相当于是一条静态NAT记录,外网的任意地址,在安全策略放通的情况

下,可以访问到内网的设备;基于端口的NAT转换,是不会生成server-map表的。

三元组nat:在p2p(peer to peer)情况下端口转换的时候会导致使用五元组的客户端无法直接访问。利用三元组(去除源、目标端口)可以正常通信

选路

选路包括:就近选路、策略路由(策略主要先匹配流量,再执行动作。策略路由可以从多维度去匹配流量,之后,执行的动作就是定义其转发的出接口和下一跳)、智能选路(带宽、质量、权重负载分担、优先级主备备份)、DNS透明代理 (配合就近选路)

可靠性

做冗余!因为状态检测机制,也就是会话表是临时的,所以要依靠双机热备技术(目前防火墙的双机热备技术仅支持两台设备,两台设备同时运行,在一台设备出现故障的情况下,另一台设备可以立即替代原设备。)来同步会话表

主备分别称为Active和Standby。

vrrp:

备份组之间是相互独立的,当一台设备上出现多个VRRP组时,他们之间的状态无法同步。

然后有VGMP(VRRP Group Management Protocol)这个协议就是将一台设备上的多个VRRP组看成一个组,之后统一进行管理,统一切换的协议。以此来保证VRRP组状态的一致性。

HRP(Huawei Redundancy Protocol)传输备份配置信息和状态信息。前提是两台设备之间必须专门连一根用于备份的线路,这跟线路我们称为心跳线(广义上,任何两台设备之间的链路都可以叫做心跳线)心跳线的接口必须是一个三层接口,需要配置对应的IP地址。这条备份数据的链路不受路由策略限制(直连场景。非直连场景依然需要配置安全策略。);HRP协议本身算是VGMP协议的一部分,HRP的心跳线也会传递心跳报文,用于检测对端是否处于工作状态。这个周期时间默认1s,逻辑和vrrp一样,只有主设备会周期发送,备设备仅监听即可,如果在三个周期内都没有收到HRP的心跳报文,则将认定原主设备故障,则将进行失效判断,认定自身Active。(VGMP的报文也是通过这条心跳线发送的) 。

备份方式包括自动备份(默认开启,但是有10s左右延迟同步)、手工备份(看立即手工配置)、快速备份(在负载均衡场景下,两台设备都需要处于工作状态,为了避免因为状态信息同步不及时而导致业务流量中断。快速备份可以实时同步状态信息,但是不同步配置信息)。

场景:主故障,主备切换。主恢复后有两种情况,没有开启抢占原主设备仍保持备份,开启抢占就切换回来。

你可能感兴趣的:(网络)