防火墙基本原理

内容：

什么是防火墙？
状态防火墙工作原理？
防火墙如何处理双通道协议？
防火墙如何处理nat？
你知道那些防火墙？以及防火墙的技术分类？

总结：

1.什么是防火墙？

** **防火墙是一种隔离(非授权用户在区域间)并过滤(对受保护网络有害的流量或数据包)的设备

百度词条上防火墙是指一种将内部网和公众访问网分开的方法

防火墙的区域：

            区域的划分，根据安全等级来划分(外，DMZ，内)

2.状态防火墙工作原理？

状态防火墙：是一种能够提供状态封包检查或状态检视功能的防火墙

工作原理：在包过滤(ACL表)的基础上增加一个会话表，数据包需要查看会话表来实现匹配。

状态会话表可以用hash来处理形成定长值，使用CAM芯片处理，达到交换机的处理速度。

首包机制
细颗粒度
速度快

** 3. 防火墙如何处理双通道协议？**

○ 单通道协议：通信过程中只需占用一个端口的协议。如：WWW只需占用80端口

○ 多通道协议：通信过程中需占用两个或两个以上端口的协议。如：FTP被动模式下需占用21号端口以及一个随机端口（FTP主动模式下是20和21号端口）

使用单纯的包过滤方法，如何精确定义（端口级别）多通道协议所使用的端口呢？遇到使用随机协商端口的协议，单纯的包过滤方法无法进行数据流定义。

防火墙处理双通道是使用ASPF技术，查看协商端口号并动态建立Server-map表放过协商通道的数据。

ASPF(针对应用层的包过滤)：也叫基于状态的报文过滤，ASPF功能可以自动检测某些报文的应用层信息并根据应用层信息放开相应的访问规则,开启ASPF功能后，FW通过检测协商报文的应用层携带的地址和端口信息，自动生成相应的Server-map表，用于放行后续建立数据通道的报文，相当于自动创建了一条精细的“安全策略”。

ASPF对多通道协议的支持：创建Server-map→匹配Server-map（存在时间很短）

Server Map的作用

○ Server-map是一种映射关系，当数据连接匹配了动态Server-map表项时，不需要再查找包过滤策略，保证了某些特殊应用的正常转发。（NAT Server、NAT No-PAT产生的Server-map需要查找安全策略）

○ 另一种情况，当数据连接匹配Server-map表，会对报文中IP和端口进行转换。

○ Server-map通常只是用检查某个报文，通道建立后的报文还是根据会话表来转发。

Server Map的产生：转发多通道协议；转发QQ/MSN、TFTP等STUN类型协议；NAT Server或SLB时；NAT No-PAT

4. 防火墙如何处理nat？

华为防火墙收到报文后，查找NAT Server生成的Server-Map表，如果报文匹配到Server-Map表，则根据表项转换报文的目的地址，然后进行步骤4处理，如果报文没有匹配到Server-Map表，则进行步骤2处理
查找基于ACL的目的NAT，如果报文符合匹配条件，则转换报文的目的地址，然后进行步骤4处理，如果报文不符合基于ACL的目的NAT的匹配条件，则进行步骤3处理
查找NAT策略中目的NAT，如果报文符合匹配条件，则转换报文的目的地址后进行路由处理，如果报文不符合目的NAT的匹配条件，则直接进行路由处理
根据报文当前的信息查找路由（包括策略路由），如果找到路由，则进入步骤5处理，如果没有找到路由，则丢弃报文
查找安全策略，如果安全策略允许报文通过且之前并未匹配过NAT策略（目的NAT或者双向NAT），则进行步骤6处理，如果安全策略允许报文通过且之前匹配过双向NAT，则直接进行源地址转换，然后创建会话并进入步骤7处理，如果安全策略允许报文通过且之前匹配过目的NAT，则直接创建会话，然后进行步骤7处理，如果安全策略不允许报文通过，则丢弃报文
查找NAT策略中源NAT，如果报文符合源NAT的匹配条件，则转换报文的源地址，然后创建会话，如果报文不符合源NAT的匹配条件，则直接创建会话
华为防火墙发送报文

5. 你知道那些防火墙？以及防火墙的技术分类？

包过滤防火墙---访问控制列表技术---三层技术