计算机素质测试 | 深圳市考

Appearance

防火墙技术核心知识笔记 ​

一、防火墙基础概念 ​

1.1 定义与核心功能 ​

防火墙（Firewall） 是位于不同网络安全域之间的安全屏障，通过监控和控制网络流量，实现对进出网络的访问行为进行安全过滤的技术系统。
核心功能：

  • 访问控制：根据安全策略允许/拒绝特定流量（如禁止外部访问内部数据库端口）
  • 安全隔离：划分安全域（如DMZ区、内网区、外网区），限制跨域访问
  • 威胁防护：抵御常见攻击（如DDoS、端口扫描、恶意代码传播）
  • 地址转换：实现私有IP与公网IP的转换（NAT技术）
  • 日志审计：记录网络流量日志，用于安全事件溯源

1.2 与其他安全设备的区别 ​

设备工作层次核心功能典型场景
防火墙网络层~应用层流量过滤、访问控制、NAT网络边界防护
IDS应用层~会话层攻击检测与报警旁路监控异常流量
IPS应用层~会话层攻击检测与实时阻断串联部署阻断恶意流量
WAF应用层Web应用攻击防护（SQLi/XSS等）保护Web服务器安全

1.3 CIA三要素保障 ​

  • 保密性：阻止未授权的数据访问（如禁止外部扫描内部端口）
  • 完整性：检测篡改的网络包（如校验HTTP请求完整性）
  • 可用性：抵御DoS/DDoS攻击，确保服务正常运行

二、防火墙分类与技术原理 ​

类型工作原理优缺点
包过滤防火墙基于IP、端口、协议等包头信息过滤流量优点：速度快、配置简单；缺点：无法检测应用层攻击（如SQL注入）。
应用网关防火墙代理模式，客户端与服务器通信需通过防火墙中转，支持应用层协议深度检测优点：安全性高；缺点：性能低、不支持动态端口协议（如FTP）。
状态检测防火墙维护连接状态表，动态判断数据包合法性（如仅允许已建立连接的返回流量）优点：兼顾性能与安全；缺点：无法检测加密流量（如HTTPS）。
复合型防火墙集成包过滤、状态检测、应用层代理及病毒防护功能优点：多维度防护；缺点：配置复杂、成本高。

2.1 按技术实现分类（核心考点） ​

2.1.1 包过滤防火墙（Packet Filtering） ​

  • 工作层次：网络层（IP）+ 传输层（TCP/UDP端口）
  • 原理：根据ACL（访问控制列表）规则，对数据包的源/目IP、端口、协议进行过滤
  • 优点：性能高（无需解析应用层数据）、部署简单
  • 缺点：
    • 无法检测应用层攻击（如SQL注入藏于HTTP载荷）
    • 不支持状态化检测（允许返回包时需手动配置端口）
  • 典型应用：早期路由器内置防火墙、简单网络边界防护

2.1.2 状态检测防火墙（Stateful Inspection） ​

  • 工作层次：网络层~传输层，记录会话状态（Session Table）
  • 原理：
    1. 建立会话时检查首包是否符合规则
    2. 后续包通过会话表自动放行（无需逐包检查规则）
  • 核心技术：
    • 会话状态表：记录TCP连接状态（SYN、ESTABLISHED、FIN）
    • 动态端口支持：自动放行FTP被动模式等动态端口连接
  • 优点：
    • 支持状态化过滤，减少规则配置复杂度
    • 性能优于应用代理，安全性高于包过滤
  • 缺点：对应用层深度检测能力有限

2.1.3 应用代理防火墙（Application Proxy） ​

  • 工作层次：应用层（如HTTP、FTP协议解析）
  • 原理：
    1. 代理客户端与服务器的连接，充当中间节点
    2. 对应用层数据进行深度解析和过滤（如检查HTTP头部字段）
  • 分类：
    • 正向代理：客户端通过代理访问外网（隐藏客户端IP）
    • 反向代理：服务器通过代理对外提供服务（隐藏服务器真实IP）
  • 优点：
    • 细粒度应用层控制（如禁止HTTP上传文件）
    • 支持协议合规性检查（如FTP禁止匿名登录）
  • 缺点：
    • 性能开销大（每个连接需建立两次代理）
    • 支持协议有限（需为每个协议开发代理模块）

2.1.4 下一代防火墙（NGFW, Next-Generation Firewall） ​

  • 核心特征：
    1. 深度应用检测（DPI, Deep Packet Inspection）：解析SSL加密流量、识别应用层协议（如识别微信、迅雷等应用）
    2. 威胁情报集成：对接外部威胁库（如恶意IP/域名实时阻断）
    3. 统一安全管理：融合防火墙、IPS、WAF、URL过滤等功能
  • 典型功能：
    • 应用识别与控制（禁止P2P下载占用带宽）
    • 入侵防御（内置IPS规则库，实时阻断漏洞利用）
    • 数据泄露防护（DLP，检测敏感数据外传）
  • 适用场景：复杂网络环境（如多云架构、混合IT基础设施）

2.2 按形态分类 ​

类型部署方式优点典型产品
硬件防火墙独立硬件设备（如机架式）高性能、稳定性强华为USG、Cisco ASA
软件防火墙安装在通用服务器/PC上成本低、灵活定制pfSense、iptables（Linux）
云防火墙云平台原生安全服务弹性扩展、多云协同阿里云防火墙、AWS WAF
分布式防火墙多节点协同（如SDN架构）适应大规模网络环境深信服AF、Palo Alto NGFW

三、核心技术与工作模式 ​

3.1 关键技术解析 ​

3.1.1 访问控制列表（ACL） ​

  • 规则匹配顺序：
    1. 按规则优先级（如Cisco防火墙按编号从小到大匹配）
    2. 隐含最后一条规则：deny any any（拒绝所有未明确允许的流量）
  • 典型规则示例：
    allow tcp source 192.168.1.0/24 destination 202.103.1.100 80  
deny udp any any 53 （禁止外部DNS查询）

3.1.2 网络地址转换（NAT, Network Address Translation） ​

  • 类型：
    • SNAT（源NAT）：修改数据包源IP（内网主机访问外网时转换为公网IP）
    • DNAT（目的NAT）：修改数据包目的IP（外网访问内网服务器时映射端口）
  • 应用场景：
    • 内网IP复用（解决公网IP地址短缺问题）
    • 隐藏服务器真实IP（通过DNAT映射公网端口到内网服务器）

3.1.3 虚拟专用网（VPN, Virtual Private Network） ​

  • 防火墙集成功能：
    • IPsec VPN：加密网络层数据，用于站点间互联（如总部与分支连接）
    • SSL VPN：加密应用层数据，支持远程用户接入（如Web浏览器直接访问内网）
  • 核心协议：
    • IKE（密钥交换协议）、ESP（封装安全载荷）、AH（认证头）

3.2 部署模式 ​

3.2.1 透明模式（桥模式） ​

  • 网络架构：防火墙相当于二层交换机，不改变原有IP配置
  • 适用场景：
    • 无需改变现有网络IP规划
    • 对性能要求高（如数据中心内部安全域隔离）

3.2.2 路由模式（三层模式） ​

  • 网络架构：防火墙作为三层设备，配置独立IP地址，实现不同子网间路由
  • 适用场景：
    • 网络边界防护（如连接公网与内网）
    • 多安全域划分（DMZ区、服务器区、用户区隔离）

3.2.3 混合模式 ​

  • 组合使用：部分接口透明模式，部分接口路由模式
  • 典型场景：
    • 内网区域使用透明模式保持原有IP，边界接口使用路由模式连接公网

四、部署策略与应用场景 ​

4.1 典型部署架构 ​

4.1.1 企业边界防护 ​

公网 → 防火墙（路由模式） → DMZ区（Web服务器） → 防火墙（透明模式） → 内网（办公区/数据库区）
  • 安全策略：
    • 公网→DMZ：允许HTTP/HTTPS访问Web服务器
    • DMZ→内网：仅允许特定端口（如Web服务器访问数据库的3306端口）
    • 内网→公网：限制P2P流量（如封锁BT下载端口）

4.1.2 数据中心防护 ​

  • 东西向流量控制：
    • 不同业务集群间部署防火墙（如电商平台的用户中心与支付中心隔离）
  • 南北向流量控制：
    • 外部用户访问数据中心需通过防火墙认证（如SSL VPN接入）

4.1.3 云环境防护 ​

  • 云防火墙特点：
    • 弹性扩展：根据流量动态调整防护能力
    • 镜像流量分析：与云平台日志服务联动（如阿里云SLS分析防火墙日志）
  • 部署方式：
    • 入口防护：云平台边界防火墙（如AWS Shield防护DDoS）
    • 微隔离：容器环境中部署分布式防火墙（如K8s集群内Pod间访问控制）

4.2 漏洞攻击防范场景 ​

4.2.1 端口扫描防护 ​

  • 策略：
    • 封锁常见扫描端口（如135/139/445等Windows共享端口）
    • 启用SYN Flood防护（限制单IP并发连接数）

4.2.2 应用层攻击阻断 ​

  • NGFW功能：
    • 识别SQL注入Payload（如阻断包含UNION SELECT的HTTP流量）
    • 阻止恶意文件传输（如禁止FTP上传.exe文件到Web服务器）

4.2.3 DDoS攻击缓解 ​

  • 技术手段：
    • 流量清洗：识别并丢弃异常流量（如超大ICMP包、SYN Flood半开连接）
    • 连接限速：对单个IP的并发连接数设置阈值（如限制为1000连接/秒）

五、管理与配置最佳实践 ​

5.1 安全策略设计原则 ​

  1. 最小权限原则：仅允许完成业务必需的流量通过
    • 错误示例：开放0.0.0.0/0访问80端口（允许所有外部IP访问Web服务）
    • 正确示例：限定源IP为可信区域（如allow tcp 202.100.1.0/24 any 80）
  2. 规则顺序优化：
    • 具体规则在前（如针对特定IP的允许规则）
    • 通用规则在后（如默认拒绝所有流量）
  3. 定期审计：
    • 每月检查未使用的规则（如旧业务遗留的开放端口规则）
    • 禁用“allow any any”等高风险规则

5.2 日志与监控 ​

  • 关键日志字段：
    • 源/目IP、端口、协议、动作（允许/拒绝）、时间戳
  • 分析工具：
    • 内置日志系统：查看实时攻击事件（如Cisco ASA的Syslog日志）
    • 第三方平台：ELK Stack分析海量日志（提取高频攻击IP）

5.3 高可用性（HA）配置 ​

  • 部署方式：
    • Active-Passive：主防火墙故障时，备防火墙接管业务（切换时间<5秒）
    • Active-Active：双防火墙同时处理流量，提高吞吐量（需会话同步技术）
  • 核心技术：
    • 会话同步：通过专用HA接口复制会话状态表
    • 心跳检测：定期发送心跳包监测对端设备状态

六、相关标准与合规要求 ​

6.1 国内标准 ​

  1. 等保2.0（GB/T 22239-2019）
    • 三级及以上系统要求：
      ✅ 边界部署防火墙，实现安全域隔离
      ✅ 制定访问控制策略，限制默认账户权限
      ✅ 日志留存不少于6个月（包含源IP、访问时间、操作类型）
  2. 《网络安全法》第二十一条
    • 要求采取技术措施监测网络运行状态，防火墙日志需满足合规审计

6.2 国际标准 ​

  1. ISO 27001
    • 控制目标A.9.4.1：网络访问控制，要求部署防火墙划分安全域
  2. PCI-DSS（支付卡行业标准）
    • 要求：
      • 非军事区（DMZ）与内部网络之间部署防火墙
      • 禁止从公网直接访问持卡人数据环境

练习题 ​

单选题 ​

  1. 以下属于状态检测防火墙核心技术的是？

A. 逐包匹配ACL规则
B. 记录会话状态表
C. 代理客户端与服务器连接
D. 深度解析应用层协议

答案：B
解析：状态检测防火墙通过会话状态表（Session Table）实现动态过滤，A是包过滤技术，C是应用代理，D是NGFW的DPI技术。

  1. 下一代防火墙（NGFW）区别于传统防火墙的核心功能是？

A. 支持NAT技术
B. 深度应用检测（DPI）
C. 基于ACL的访问控制
D. 透明模式部署

答案：B
解析：NGFW的核心特征是深度应用检测（如识别微信、SSL解密），其他选项为传统防火墙基本功能。

多选题 ​

  1. 以下属于防火墙部署模式的有？（多选）

A. 透明模式（桥模式）
B. 路由模式（三层模式）
C. 混合模式
D. 代理模式

答案：ABC
解析：代理模式是应用代理防火墙的工作原理，非部署模式；部署模式包括透明、路由、混合模式。

  1. 等保2.0对三级系统防火墙的要求包括？（多选）

A. 日志留存不少于6个月
B. 实现安全域隔离
C. 支持NGFW所有功能
D. 定期进行策略审计

答案：ABD
解析：等保未强制要求必须使用NGFW，C错误；ABD均为等保2.0明确要求。

判断题 ​

  1. 包过滤防火墙可以检测应用层的SQL注入攻击。（ ）

答案：×
解析：包过滤仅处理网络层和传输层数据，无法检测应用层Payload（如SQL注入藏于HTTP正文）。

  1. 状态检测防火墙会自动放行同一会话的返回流量，无需手动配置规则。（ ）

答案：√
解析：状态检测通过会话表记录连接状态，后续返回包匹配会话表时自动放行，无需重复检查ACL规则。

粤ICP备2025395972号-1

Copyright © 2025-present szsk.info | 本站总访问量 次