网络安全学习 day4

防火墙的安全策略

规则--策略

条件 --- 检查报文的依据，防火墙将报文中携带的信息与条件逐一进行对比， 以此来判断报文是否是

匹配的 。不同的匹配条件之间属于 “ 与 ” 关系；相同的匹配条件中不同的参数信息之间的关系为 “ 或 ” 关系。

安全策略的匹配顺序

会按照从上到下的顺序逐条查找域间存在的安全策略 。如果存在某条匹配信息，则立即执行对应动

作，不再向下匹配。 --- 在配置安全策略时，需要遵循 “ 先精细，后粗狂 ” 的原则。

缺省包过滤规则 ---- 本质还是一种安全策略。没有具体的条件，对所有的报文均生效；动作是被分为允许和拒绝两种。--- 防火墙处理数据报文的最后的手段 。

默认情况下，缺省包过滤机制的动作是拒绝通过 。

虽然缺省包过滤机制可以将动作设定为允许，但是尽量不要轻易的进行改变，而是选择通过配置条

件更加精准的安全策略来控制报文的转发逻辑。

安全策略的发展历程

第一阶段，基于 ACL 的包过滤

五元组信息过滤

第二阶段，融合 UTM 的安全策略

 

核心点：安全策略是由 条件 + 动作 +UTM 策略组成

UTM 策略仅仅在报文匹配动作为允许的策略中才会执行。因为如果动作拒绝，流量将会被丢

弃，也就不需要进一步的检查了 。

第三阶段，一体化安全策略

一体化体现在两个方面

    配置

    业务

 规则：防火墙的安全策略，只针对单播数据流量进行检查，不对组播或广播流量进行检查。

安全策略配置

1、地址
[FW1]ip address-set BG ---创建地址集，名称为BG
[FW1-object-address-set-BG]address 192.168.1.0 mask 25 ---创建地址内容
2、时间段
[FW1]time-range working-time ---创建时间段名称
[FW1-time-range-working-time]period-range 08:00:00 to 18:00:00 working-day
3、创建安全策略
[FW1]security-policy ---进入安全策略配置视图
[FW1-policy-security]rule name policy_1
[FW1-policy-security-rule-policy_1]description BG_to_OA --描述信息
[FW1-policy-security-rule-policy_1]source-zone trust
[FW1-policy-security-rule-policy_1]destination-zone dmz
[FW1-policy-security-rule-policy_1]source-address address-set BG
[FW1-policy-security-rule-policy_1]destination-address address-set "OA Server"
[FW1-policy-security-rule-policy_1]time-range working-time
[FW1-policy-security-rule-policy_1]action permit ---动作
[FW1-policy-security]rule move policy_2 before policy_1 ---移动规则顺序
[FW1-policy-security]default action deny ---修改默认包过滤规则动作