课堂随手笔记snpa asa防火墙.pdfVIP

1基本概念

1WhatisaFirewall？

在路由器对数据包进行转发的基础下(硬件设备)

提供了对网络之间的的控制和管理功能

2技术的演变

1滤型

本质概念就是一台路由器配置一些规则（ACL）

通过ACL对数据包进行匹配并且根据最后的规则

决定数据包是否能够通过网络

缺点：1所有的规则都是死的

2管理员去定义什么样的流量是合法的/不

合法

3不适合在大规模环境中部署

2服务器型

住网络之间的流量

强制的对者进行认证

通过认证后，流量可以穿越

好处：灵活/脱离了IP层，用户认证，基于用户

名

缺点：1基于用户也不灵活，用户的行为无法进

行控制

2安全隐患/额外的部署一台服务器

3状态化滤型

今天所有主流厂商的主流技术

SPIstaefulpacketinspectionSPI

1安全级别的概念0-100的数值

0代表最不安全，最不信任的网络outside

100代表安全，信任的网络inside

50DMZ区域非区/非区DMZ

2从低安全级别到高安全级别的默认

除非管理配置ACL允许通过

从高安全级别到低安全级别的，默认放行

除非管理员配置ACL

3会对出入的流量，进行状态化的包检测

构建一张状态表，基于状态表来放行从到外部

并且是带回来的流量

发起到外部的正常业务，也能正常运行

服务器可以存放在DMZ区域，并配合ACL允许

如果服务器被控制，依然无法通过服务器到inside网络

（50--100）