防火墙安全区域的注意事项

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了防火墙安全区域的注意事项相关的知识,希望对你有一定的参考价值。

防火墙的安全区域

安全区域介绍

? 安全区域是一个或多个接口(物理和逻辑接口)的集合 是防火墙区别于路由器的主要特征
? 防火墙是不允许同一物理接口分属于两个不同的安全区域
? 防火墙不允许一个接口不属于任何区域
? 防火墙的不同接口可以属于同一个安全区域
? NGFW认为在同一安全区域内部发生的数据流动是不存在安全风险的,不需要实施任何安全策略
? 只有当不同安全区域之间发生数据流动时,才会触发设备的安全检查,并实施相应的安全策略
技术图片
? 系统预定义Local、Trust、DMZ、Untrust共4个安全区域
? 4个安全区域无需创建 也不能删除 防火墙最多支持32个安全区域
技术图片

安全区域的优先级

? 每个安全区域都有一个唯一的安全级别 用1-100的数字表示 NGFW中的这个数字只具有管理意义
? Local区域优先级为100 trust区域优先级为85 untrust区域优先级为5 dmz区域优先级为50
? 只能为自定义的安全区域设定安全级别
? 同一个防火墙(系统)上面 两个安全区域不允许配置相同的安全级别
? 新建的安全区域 未设定其安全级别前 系统规定其安全级别为0

安全区域的用法

LOCAL区域

? 优先级是100 local区域中不能添加任何接口 但防火墙上的所有接口(物理和逻辑)都是本地区域
? 从防火墙LOCAL去往任意区域,都需要安全策略(security-policy)
? 从任意区域访问防火墙LOACL区域,也需要安全策略(除了管理访问几个 ping ssh telnet http https snmp)

TRUST区域

? 优先级是85 信任区域 一般连接公司内部网络

UNTRUST区域

? 优先级是5 不信任区域 一般连接外部网络(运营商网络)

DMZ区域

? 优先级是50 非军事区域 一般连接公司内网服务器

安全区域的配置

firewall zone name key
 set priority 1  ------------只是管理意义,无其它意义。但必须配置,不能100 85 50 5

检查防火墙的区域

[FW1]display zone 
21:43:48  2019/03/05
local
 priority is 100
#
trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0

#
untrust
 priority is 5
 interface of the zone is (1):

#
dmz
 priority is 50
 interface of the zone is (1):

#
key
 priority is 1
 interface of the zone is (0):

注意:删除ZONE,只能是自定义的ZONE,不能是默认的

[FW1]undo firewall zone name local
20:35:33  2019/09/05
 Error: The security zone defined by system, can‘t delete.
[FW1]undo firewall zone name key

以上是关于防火墙安全区域的注意事项的主要内容,如果未能解决你的问题,请参考以下文章

防火墙技术之安全区域

Firewalld--01 防火墙安全基本指令区域配置

HuaWei ❀ Firewalld 安全区域

华为防火墙系统默认的几个区域的优先级可以更改吗

防火墙五个安全域和三种工作模式

网络安全之防火墙