https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/Recent content in 防火墙 on ClearSec WikiHugozh-cnFri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/<h3 id="防火墙概述">防火墙概述</h3> <p>防火墙：边界隔离设备。既可以是内外网之间，也可以是内网中的不同区域。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/b18ea6bab29fecabeabd3d0aaa918019_MD5.png" alt=""></p> <p>DMZ一般放对外提供服务的服务器</p> <h3 id="防火墙区域划分">防火墙区域划分</h3> <p>重点：：：：</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/41ec996c130ee0c7c85ab21b7a88331f_MD5.png" alt=""></p> <p>教材划分方法：公共外部网络、内联网、外联网、DMZ</p> <p>华为/安全厂商常用：local、trust、DMZ、Untrust。</p> <h3 id="防火墙工作原理">防火墙工作原理</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/871f53c5bde33abfa5ddbbbf23adf552_MD5.png" alt=""></p> <h3 id="防火墙安全策略-黑白名单">防火墙安全策略-黑白名单</h3> <p>白名单很明显，安全性更高，默认禁止。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/f5f9867ca7020126e50932dda62c6a85_MD5.png" alt=""></p> <p>如图8-2 外到内是白名单，内到外是黑名单。</p> <h3 id="防火墙功能与安全风险">防火墙功能与安全风险</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.1_%E9%98%B2%E7%81%AB%E5%A2%99%E6%A6%82%E8%BF%B0/b64c81606c75bd68334a53dc32fe5f7e_MD5.png" alt=""></p> <p><strong>防火墙类似门岗，但难以防止有人翻墙。</strong></p> <p><strong>IDS入侵检测类似巡逻队，可以防止有人翻墙。</strong></p>https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.2%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.2%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/<h3 id="包过滤防火墙">包过滤防火墙</h3> <p>传输层知道端口-TCP-UDP</p> <p>网络层知道ip</p> <ul> <li><strong>传输层</strong>（如TCP或UDP）负责在源端和目标端之间建立连接和传输数据，它知道<strong>端口号</strong>，通过端口号来确定哪一个应用程序或服务应该接收数据。</li> <li><strong>网络层</strong>（通常指的是IP层）负责在不同的网络之间传输数据，它知道<strong>IP地址</strong>，通过IP地址来找到目的地计算机。</li> </ul> <p>因此，网络层知道IP地址，传输层知道端口号，是符合计算机网络协议栈中的基本概念的。</p> <p>Q： 包不是在网络层传输的吗，包过滤防火墙怎么能知道端口</p> <p>A：你提出的问题非常关键，涉及到网络模型中不同层之间的关系。虽然<strong>包</strong>确实是在网络层传输的，但当我们谈论包过滤时，它通常包括对<strong>传输层</strong>信息的检查。</p> <p>让我们分层来看：</p> <ol> <li><strong>网络层（IP层）传输的是IP包</strong>，IP包中包含源IP地址、目标IP地址等信息，但它不包含传输层的端口号。网络层只负责把包发送到目的IP地址。</li> <li><strong>传输层</strong>（如TCP或UDP）传输的是<strong>段</strong>或<strong>报文</strong>，这些段包含了源端口号和目标端口号等信息，用于在主机内部识别具体的应用程序。</li> </ol> <p>当我们提到<strong>包过滤</strong>时，虽然过滤是在网络层进行的，许多防火墙和路由器同时可以查看数据包中的更高层（如传输层）信息。这是因为在IP包的负载部分，实际上包含了<strong>传输层报文</strong>（如TCP或UDP段），其中有端口号信息。包过滤设备会深入解析IP包的负载部分，提取出传输层的端口号信息来进行过滤决策。</p> <p>因此，尽管端口号属于传输层信息，包过滤设备依然可以通过检查数据包中的<strong>传输层头部</strong>（比如TCP或UDP头部）来基于端口号进行过滤。这是一种多层解析的技术。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/9f5b08b2e7977649dd6b4f27203b8900_MD5.png" alt=""></p> <p>包过滤防火墙**主要工作在网络层（IP层）**但也能检测传输层的报文。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/91c2f6fcc83d46c197a979205a31061d_MD5.png" alt=""></p> <p><strong>25端口</strong>是用于<strong>SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）的标准端口。SMTP 是用于在邮件服务器之间发送电子邮件的协议，特别是用来发送出站邮件</strong>。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/0bcb8dea3920828f98e7762765da3708_MD5.png" alt=""></p> <p>访问控制列表（ACL，Access Control List）中，定义匹配条件的运算符</p> <ul> <li><code>**gt**</code><strong>（greater than， 大于）</strong>：</li> <li>用于匹配<strong>大于某个端口号</strong>的流量。例如，<code>gt 1024</code> 表示匹配所有端口号大于1024的流量（即1025及以上的端口）。</li> <li><code>**eq**</code><strong>（equal， 等于）</strong>：用于匹配<strong>等于某个特定端口号</strong>的流量。例如，<code>eq 80</code> 表示只匹配端口号为80的流量（通常是HTTP流量）。</li> <li><code>**lt**</code>：小于（less than），用于匹配小于指定端口号的流量。</li> <li><code>**neq**</code>：不等于（not equal），用于匹配不等于某个端口号的流量。</li> <li><code>**range**</code>：用于指定一个端口号范围，如 <code>range 1000 2000</code> 表示匹配端口号在1000到2000之间的流量。</li> </ul> <h3 id="包过滤防火墙案例分析">包过滤防火墙案例分析</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/bd3d86df45be04cbe27adce390d7d3c9_MD5.png" alt=""></p> <p>包过滤、网络、源ip地址、目的ip地址、协议类型</p> <h3 id="状态检测技术">状态检测技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/72a4be5de1edb54276455831bc1759fa_MD5.png" alt=""></p> <p>应用服务代理防火墙会慢，能分析应用层的东西，WAF对用户不透明。</p> <h3 id="应用服务代理防火墙">应用服务代理防火墙</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/94c2a0fd3b086f2bc5936dc9ebb59630_MD5.png" alt=""></p> <h3 id="网络地址转换技术nat">网络地址转换技术NAT</h3> <p>静态nat内网和公网的ip是永久映射一一对应的，因此基本不被使用。</p> <p>实际常用 端口NAT，例如sakura内网穿透。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/0a6bbf85cbc878ed1716538845456fbb_MD5.png" alt=""></p> <p>私网网段：</p> <p>10.0.0.0 - 10.255.255.255</p> <p>172.16.0.0 - 172.31.255.255</p> <p>172.168.0.0 - 172.168.255.255</p> <h3 id="下一代防火墙技术">下一代防火墙技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.2%E2%AD%90%E9%98%B2%E7%81%AB%E5%A2%99%E7%B1%BB%E5%9E%8B%E4%B8%8E%E5%AE%9E%E7%8E%B0%E6%8A%80%E6%9C%AF/0bd4e886d420c2c73b5b8c8610920803_MD5.png" alt=""></p>https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/<h3 id="防火墙防御体系结构类型">防火墙防御体系结构类型</h3> <p>安全性最弱的是双宿主主机防火墙。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/0ddac0b355d1259a22b771844569a5ab_MD5.png" alt=""></p> <h3 id="基于双宿主主机防火墙结构">基于双宿主主机防火墙结构</h3> <p><strong>一个主机两个网卡</strong>，安全检测在主机上处理。安全则外部与内部网可以通信。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/0dc649692213aa728db4d77fb5ca30d1_MD5.png" alt=""></p> <h3 id="代理型防火墙">代理型防火墙</h3> <p>，代理服务器主机易变成单点缺陷。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/800a177844198c5351ffe84d0911ef0e_MD5.png" alt=""></p> <h3 id="基于屏蔽子网的防火墙结构">基于屏蔽子网的防火墙结构</h3> <p>经过两个路由器隔离，代理服务器与内网不处于同一个网段中</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.3_%E9%98%B2%E7%81%AB%E5%A2%99%E9%98%B2%E5%BE%A1%E4%BD%93%E7%B3%BB%E7%BB%93%E6%9E%84%E7%B1%BB%E5%9E%8B/25aeef1ef3daf02a2e427676bd72ab6d_MD5.png" alt=""></p> <p>应用代理位于被屏蔽的子网中。</p>https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/08_%E9%98%B2%E7%81%AB%E5%A2%99/8.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/<h3 id="防火墙安全功能指标">防火墙安全功能指标</h3> <p>流量管理&amp;应用层控制：<strong>DPI技术</strong>，深度包检测</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/28d195fb805d15d331d28228e2f3e4ad_MD5.png" alt=""></p> <h3 id="防火墙性能指标">防火墙性能指标</h3> <p>防火墙吞吐量一般指网络层，如果检测深度达到应用层，吞吐量肯定会下降。</p> <p>最主要的指标是网络接口10G？，和最大吞吐量。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/d2aa9a8b432310d7efa851cc3589028c_MD5.png" alt=""></p> <h3 id="防火墙部署">防火墙部署</h3> <p>控制点 边界关键处 也就是防火墙设备</p> <p>实际的项目大多都是用的双宿主机那一种</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/d30475e39bc9dd1bd984dfd2838436fc_MD5.png" alt=""></p> <h3 id="linux防火墙-iptable必须掌握">Linux防火墙 iptable必须掌握</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/cb0f412a789112f8a861bb5ac749d12f_MD5.png" alt=""></p> <p>22 SSH 23 Telnet 25 SMTP 53 DNS 69 TFTP 110 POP3 143 IMAP</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/51230b8f8e46857c3ccc32376dffa570_MD5.png" alt=""></p> <p>华为2000-2999ACL是基本ACL，匹配源地址。</p> <p>高级的ACL3000-3999，可以匹配源和目的地址。</p> <h3 id="华为包过滤防火墙acl">华为包过滤防火墙ACL</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/d3b87c85e75247426b222a84ddff000b_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/e2a4aa405b0681066244715f6142874c_MD5.png" alt=""></p> <h3 id="工控防火墙部署">工控防火墙部署</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A78.4_%E9%98%B2%E7%81%AB%E5%A2%99%E5%BA%94%E7%94%A8/be51055a5733e2ebaca3e515ee055976_MD5.png" alt=""></p> <p>防火墙主要部署在边界，EDR（终端安全设备）一般安装在终端主机上。</p>