入方向inbound：數(shù)據(jù)由低級(jí)別的安全區(qū)域向更高一層級(jí)別的安全區(qū)域傳輸?shù)姆较颉?/p>
出方向outbound：數(shù)據(jù)由更高一層級(jí)別的安全區(qū)域向低級(jí)別的安全區(qū)域傳輸?shù)姆较颉?/p>
因?yàn)榉阑饓Φ臓顟B(tài)化檢測(cè)機(jī)制，遼寧防御系統(tǒng)硬件設(shè)備，所以針對(duì)數(shù)據(jù)流通常只重點(diǎn)處理首報(bào)文，安全策略一旦允許首報(bào)文允許通過(guò)，那么將會(huì)形成一個(gè)會(huì)話表，后續(xù)報(bào)文和返回的報(bào)文如果匹配到會(huì)話表將會(huì)直接放行，而不再查看策略，華三h3c防御系統(tǒng)硬件設(shè)備，從而提升防火墻的轉(zhuǎn)發(fā)效率。如，trust區(qū)域的-訪問(wèn)untrust區(qū)域的互聯(lián)網(wǎng)，只需要在trust到untrust的outbound方向應(yīng)用安全策略即可，不需要做untrust到trust區(qū)域的安全策略。
1.通過(guò)telnet方式管理配置
這個(gè)的網(wǎng)絡(luò)環(huán)境沒(méi)什么好說(shuō)的，我這里使用ensp拉了一臺(tái)防火墻，連接上宿主機(jī)即可，連接宿主機(jī)主要是為了驗(yàn)證，華三h3c防御系統(tǒng)硬件設(shè)備，若需要在ensp上驗(yàn)證效果，需要給模擬器上的防火墻導(dǎo)入系統(tǒng)，我這里使用的是usg6000的防火墻，可以xia載我提供的防火墻系統(tǒng)文件。
2、配置web方式登錄防火墻配置
3、配置ssh方式登錄設(shè)備和telnet相比，ssh安全性更高，所以一般不使用telnet方式登錄設(shè)備，而是通過(guò)ssh來(lái)登錄設(shè)備，下面開(kāi)始配置ssh方式登錄設(shè)備注意：防火墻所有配置都沒(méi)了，華為防御系統(tǒng)硬件設(shè)備，現(xiàn)在又是重新開(kāi)始配置
防火墻的基本作用是保護(hù)特定網(wǎng)絡(luò)免受“不-”的網(wǎng)絡(luò)的威脅，但是同時(shí)還必須允許兩個(gè)網(wǎng)絡(luò)之間可以進(jìn)行-的通信。安全策略的作用就是對(duì)通過(guò)防火墻的數(shù)據(jù)流進(jìn)行檢驗(yàn)，符合安全策略的-流量才能通過(guò)防火墻。可以在不同的域間方向應(yīng)用不同的安全策略進(jìn)行不同的控制。
華為針對(duì)當(dāng)前的網(wǎng)絡(luò)需求，提出了一體化安全策略，目前usg6000系列防火墻的v100r001版本采用的是一體化安全策略。所謂一體化，可以體現(xiàn)在兩個(gè)方面，其一是配置上的一體化，如反 病 毒，郵件過(guò)濾、內(nèi)容過(guò)濾、應(yīng)用行為過(guò)濾等安全檢查通過(guò)在策略中引用配置文件實(shí)現(xiàn)，其二是業(yè)務(wù)上的一體化，一體化的策略只對(duì)報(bào)文進(jìn)行一次檢測(cè)，多業(yè)務(wù)功能可以并行處理，從而提高處理效率。而傳統(tǒng)的防火墻如utm產(chǎn)品，采用串行方式，流量每經(jīng)過(guò)一個(gè)模塊便進(jìn)行一次檢測(cè)。
華為新一代防火墻對(duì)報(bào)文的檢測(cè)除了基于傳統(tǒng)的五元組源ip、目的ip、源端口、目的端口、協(xié)議之外，還可以基于應(yīng)用、內(nèi)容、時(shí)間、用戶、威脅及位置對(duì)流量進(jìn)行深層探測(cè)，真正實(shí)現(xiàn)quan方位立體化的檢測(cè)能力及準(zhǔn)確的訪問(wèn)控制等。
一體化的安全策略是多個(gè)規(guī)則組成，而規(guī)則由條件、動(dòng)作、配置文件和選項(xiàng)構(gòu)成，其中配置文件的作用是對(duì)報(bào)文進(jìn)行內(nèi)容安全檢測(cè)，其中包括反 病 毒、url過(guò)濾、文件過(guò)濾、內(nèi)容過(guò)濾、應(yīng)用行為控制及郵件過(guò)濾。一條規(guī)則可以引用一個(gè)或多個(gè)配置文件。配置文件只有在動(dòng)作允許時(shí)，才能夠被引用。
|
登錄后臺(tái)
滇公網(wǎng)安備 53011202000392