防火墙知识总结
目录
1.防火墙如何处理双通道协议？
2.防火墙如何处理nat？
3.防火墙支持那些NAT技术，主要应用场景是什么 ？
4. 当内网PC通过公网域名解析访问内网服务器时，会存在什么问题，如何解决？
5. 防火墙使用VRRP实现双机热备时会遇到什么问题，如何解决？详细说明
6. 防火墙支持那些接口模式，一般使用在那些场景？
7.什么是IDS？
8.IDS和防火墙有什么不同？
9. IDS工作原理？
10.IDS的主要检测方法有哪些详细说明？
11. IDS的部署方式有哪些？
12. IDS的签名是什么意思？
13.签名过滤器有什么作用？签名配置作用是什么？
防火墙NAT+服务器映射
防火墙双机热备
1.防火墙如何处理双通道协议？
使用ASPF技术，查看协商端口号并动态建立server-map表放行协商通道的数据
ASPF（Application Specific Packet Filter，针对应用层的包过滤）也叫基于状态的报文过滤，ASPF功能可以自动检测某些报文的应用层信息并根据应用层信息放开相应的访问规则,开启ASPF功能后，FW通过检测协商报文的应用层携带的地址和端口信息，自动生成相应的Server-map表，用于放行后续建立数据通道的报文，相当于自动创建了一条精细的“安全策略”。
2.防火墙如何处理nat？
（1）内部网络地址转换为公共网络地址：防火墙将内部网络中的私有地址转换为Internet上的公共地址，从而使内部网络可以访问Internet上的其他设备和服务。
（2）公共网络地址转换为内部网络地址：外部设备通过Internet向内部网络发送数据包时，防火墙会将公共地址转换为内部网络的私有地址，从而保护内部网络的安全性和隐私。
（3）NAT端口映射：防火墙还可以对NAT进行端口映射，将Internet上的公共地址和端口号映射到内部网络的某个具体设备或端口上，以提供特定的服务和功能。
3.防火墙支持那些NAT技术，主要应用场景是什么 ？
（1）静态NAT（Static NAT）：静态NAT将一个公共IP地址和一个内部网络的私有IP地址进行一对一的映射，从而实现访问Internet上的其他设备和服务。静态NAT适用于需要固定、稳定的网络连接场景，如物联网设备、服务器等。
（2）动态NAT（Dynamic NAT）：动态NAT允许内部网络中的多个设备共享一组公共IP地址，通过自动分配端口号来实现不同设备之间的区分。动态NAT适用于较大规模的内部网络，并可以提高网络的可伸缩性和灵活性。
（3）PAT（Port Address Translation，端口地址转换）：PAT是在动态NAT基础上发展而来，通过同时映射多个内部设备的私有IP地址和端口到单个公共IP地址和端口上，以实现更加高效的地址重用和网络连接管理。PAT是最常用的NAT技术之一，适用于大型企业和云服务提供商等。
主要应用场景包括：
（1）网络扩展：使用NAT技术可以将私有地址转换为公共地址，从而实现不同网络之间的连接和扩展，满足不同场景下的网络需求。
（2）网络安全：NAT可用于隐蔽内部网络架构和地址信息，提高网络安全性和保密性，防范网络攻击和非法访问。
（3）负载均衡：使用NAT技术可实现负载均衡和流量控制，平衡网络负载，提高网络性能和可靠性。
4. 当内网PC通过公网域名解析访问内网服务器时，会存在什么问题，如何解决？
（1）DNS解析问题：由于公网DNS服务器无法解析内网服务器的私有IP地址，导致无法访问。
（2）NAT转换问题：如果使用NAT技术将内网服务器映射到公网IP地址上，但是内网PC无法直接通过公网IP地址访问内网服务器，需要进行地址转换和端口映射等配置。
为了解决这些问题，可以采取以下方法：
（1）内部DNS解析：在内网中部署自己的DNS服务器，将内部服务器的私有IP地址解析为内部域名，从而实现内网PC的直接访问。
（2）NAT域内双向转换
（3）VPN隧道：通过建立VPN隧道，将内网和公网连通起来，从而实现内网服务器的远程访问和管理。VPN隧道可以使用PPTP、L2TP、IPSec等协议实现。
（4）公网代理服务器：在公网上部署代理服务器，将内网服务器映射到代理服务器的公网地址上，并通过代理服务器提供服务。内网PC可以通过公网地址访问代理服务器，再由代理服务器转发请求到内网服务器。
（5）NAT端口映射：使用防火墙或路由器等设备进行NAT端口映射配置，将公网IP地址和端口转换为内网服务器的私有IP地址和端口，从而实现内网PC的远程访问。
5. 防火墙使用VRRP实现双机热备时会遇到什么问题，如何解决？详细说明
（1）主备切换延迟：当主防火墙出现故障或不可达时，备防火墙需要较长时间（通常为数秒）才能接管主防火墙的IP地址和MAC地址，期间会发生网络中断，导致业务中断或数据丢失。
（2）数据同步问题：在主备切换过程中，应用程序需要保证数据的一致性和完整性，否则可能会导致数据错乱或损坏。
为了解决这些问题，可以采取以下方法：
（1）VRRP优化：通过调整VRRP协议参数，如优先级、预选项等，可以实现更快的主备切换时间，并提高网络可靠性和稳定性。
（2）HRP技术（huawei）增加心跳线，两个接口要对称。实现了主备同步
6. 防火墙支持那些接口模式，一般使用在那些场景？
（1）交换机（Switch）模式：防火墙可以通过交换机端口和VLAN来实现不同网段之间的隔离和流量控制，通常用于中小型企业的内部网络隔离和访问控制。
（2）路由器（Router）模式：防火墙可以通过路由协议和路由表来实现不同网段之间的互联和流量转发，通常用于中大型企业的多机房互联和多层次安全防护。
（3）混合模式（Transparent Mode）：防火墙可以在透明模式下工作，无需改变网络拓扑结构，即可实现流量监测和访问控制，通常用于数据中心和关键业务系统的安全保护。
（4）虚拟化模式（Virtualization Mode）：防火墙可以在虚拟化环境中工作，利用虚拟局域网（VLAN）、虚拟交换机（vSwitch）等技术来隔离和控制虚拟机之间的流量，通常用于云计算平台和虚拟化桌面环境中的安全管理。
使用场景
小型企业的网络规模较小，可采用交换机模式；大型企业的网络规模较大，可采用路由器模式或混合模式；云计算和虚拟化环境中需要更加灵活和高效的安全控制，可采用虚拟化模式。总之，选择合适的接口模式可以提高防火墙的安全性和性能，并满足不同业务场景下的安全需求。
7.什么是IDS？
IDS表示入侵检测系统(Intrusion Detection System)，是一种安全管理设备，用于监测网络流量并识别异常流量，以便及时探测到攻击行为。IDS通常分为两种类型：基于主机的IDS和基于网络的IDS。
基于主机的IDS是安装在单个主机上的软件，用于检测单个主机上发生的任何活动，并向管理员发送警报。它可以在本地对单个主机进行保护，并且不需要在网络中拥有专门的设备。
基于网络的IDS则是安装在网络节点上的硬件或软件，用于监测网络流量并检测入侵、攻击等安全事件。这种IDS通常需要在网络中部署多个设备来实现更广泛的覆盖范围，并与其他安全设备协同工作，例如防火墙、安全信息与事件管理器等。
IDS的工作原理是通过对网络流量进行深度分析，来寻找与已知攻击模式相匹配的特征，以及异常活动行为。如果IDS检测到安全事件，则会立即触发警报，并向管理员发送警告通知。IDS不仅可以帮助企业及时识别并应对威胁，还可以提高网络的安全性，预防未来可能出现的安全问题。
8.IDS和防火墙有什么不同？
防火墙主要用于阻止未经授权的访问和网络攻击，以保护网络不受入侵。防火墙可以通过控制流量、过滤数据包、限制网络访问等方式来实现这一目标。防火墙通常设置在网络边界处，与对外联网的路由器相连，并且根据特定规则过滤或允许流经防火墙的数据包。
而IDS则是一种主动监测和检测网络流量的设备，用于检测各种入侵行为，例如恶意代码、端口扫描、漏洞利用等。IDS通过对网络流量进行深度分析来识别特定的攻击行为，并向管理员发出警报。IDS可以检测不同层次的网络协议，如网络层、传输层和应用层等，并且可以分析流量的多个方面，如源地址、目标地址、端口号等。
防火墙主要用于防范未经授权的访问和网络攻击，IDS则主要用于检测网络中的安全事件。
9. IDS工作原理？
（1）流量捕获：IDS需要捕获网络流量数据以进行分析，一般使用网卡或集线器来捕获网络数据包。
（2）流量分析：IDS对捕获到的网络数据包进行深度分析，并根据事先定义的规则、特征或行为来检测是否存在恶意行为。这种分析包括对数据包头部和有效载荷的内容分析。
（3）检测和告警：如果IDS检测到流量中存在异常或恶意行为，则会立即向管理员发出告警通知。告警主要包括事件类型、攻击时间、攻击源IP地址、攻击目标IP地址、攻击方式、攻击规模等相关信息。
（4）记录和报告：IDS会将检测到的异常或恶意行为记录在事件日志中，并生成相应的报告用于汇总和分析。
IDS在工作过程中还需要注意以下问题：
（1）IDS的性能：IDS需要处理大量的网络流量数据，需要具有优秀的计算能力和吞吐量才能正常工作。
（2）IDS的规则：IDS的检测规则是关键因素之一，规则可以基于签名、行为、统计方法等多种解决方案，在实际应用中需要不断优化和升级。
（3）IDS的误报率：IDS可能会产生误报，即判定正常流量为异常流量。为了尽可能减少误报率，可以通过设置规则、阈值等方式来提高精度。
10.IDS的主要检测方法有哪些详细说明？
（1）基于签名的检测：基于签名的IDS使用已知攻击的网络数据包来识别类似攻击的流量。签名是一个字符串，指示了一组特定的字节序列，该序列在网络上以某个特定的方式传输。如果网络数据包与签名匹配，IDS将标识出该数据包为恶意网络流量。基于签名的检测方法效率较高，但需要维护大量的签名库。
（2）基于行为的检测：基于行为的IDS没有预定义的标志，而是监视网络流量，以检测异常的网络行为。例如，IDS可以监控多次连接失败、端口扫描和其他非常规流量模式。基于行为的检测方法能够识别新的威胁，并且不需要维护特定的签名库。但是，这种方法通常需要耗费更多的资源。
（3）基于异常的检测：基于异常的IDS建立网络流量的正常模型，并检测与该模型不符合的流量，例如大量流向单个系统的流量。由于威胁模型经常发生变化，因此基于异常的检测系统通常需要频繁地更新正常模型。
（4）协议分析：通过对传输层和应用层协议进行分析，IDS可以捕获诸如僵尸网络、DDoS攻击、IP欺骗等高级攻击，以及诸如端口扫描、SQL注入等常见攻击。
（5）主机IDS：主机IDS是安装在服务器或终端设备上的IDS。主机IDS可以检测到主机上的异常活动，例如潜在恶意软件的行为、未经授权的访问等。
综上所述，IDS使用多种方法进行网络流量的检测，其中基于签名的检测方法效率高、准确度高，但需要维护较大的签名库。基于行为的检测方法能够识别新的威胁，但可能需要更多的资源。而基于异常的检测则可以检测不规则的流量模式，但也需要定期更新正常模型。
11. IDS的部署方式有哪些？
（1）网络入口部署：IDS可以部署在网络入口处，接收整个网络流量，并对所有的数据包进行分析和检测。这种方式可以监视整个网络，但是需要处理大量的流量数据，需要使用高性能的硬件设备。
（2）分布式部署：IDS可以部署在多个位置上，每个位置都有一个或多个IDS设备对局部流量进行分析。这种方式可以减轻单个IDS设备的处理压力，提高检测效率。
（3）内部部署：IDS设备可以直接安装在企业内部网络中的服务器、交换机、路由器等设备上，以实时监控和分析内部流量。这种方式可以监控内部网络中的所有流量，但需要针对特定设备进行适配和部署。
（4）主机内部部署：主机IDS可以直接安装在要监控的主机上，以实时监控和分析主机上的行为和流量。这种方式可以监控主机上的所有事件和活动，但需要在每台主机上分别安装IDS，并且可能会影响主机本身的性能。
12. IDS的签名是什么意思？
IDS的签名指的是一种特定的格式，用于描述已知威胁的网络数据包特征。签名通常由攻击类型、攻击载荷、协议等组成，是一组具有特定规则和格式的文本字符串。
IDS可以使用这些签名来检测已知的恶意流量并进行拦截。例如，如果IDS检测到一个网络数据包中包含了一个与特定攻击向量匹配的攻击载荷，那么IDS就会标记该数据包为恶意流量，并选择相应的响应策略，如丢弃、阻止、警告等。
使用签名允许IDS在流量通过时快速确定是否有恶意流量存在，因此签名是IDS检测方法中的一种重要技术。但是签名也存在限制，它只能应对已知的攻击，对于新出现的攻击或变种攻击可能无法识别，而此时需要使用其他的IDS技术，如基于行为和基于异常的IDS技术。
13.签名过滤器有什么作用？签名配置作用是什么？
签名过滤器是指IDS设备中的一种功能模块，用于根据预定义的签名规则过滤和识别网络数据包。其主要作用是提供基于签名的检测机制，检测已知的威胁，例如特定的攻击载荷、恶意软件或其他网络攻击。
签名配置是指IDS设备管理员在系统中指定、更新或管理签名规则库的过程。签名配置的作用是实现基于签名的IDS检测机制，保持IDS设备在不断变化的威胁中的有效性。管理员可以根据特定的需求，选择合适的签名规则并进行配置。签名规则需要及时更新，以便IDS能够识别新的威胁。
签名过滤器可以对流量进行深度分析，并对其中的威胁流量进行拦截和处理。在IDS中，签名过滤器作为核心组件之一，需要进行优化和调整，以确保最佳的性能和准确的检测结果。同时，签名配置也需要及时更新，以保证IDS能够检测最新的威胁。因此，签名过滤器和签名配置是IDS技术中的两个重要组成部分。
防火墙NAT+服务器映射
注：AR2可去掉 （用于测试）
各设备地址：pc1:10.1.1.2/24
Client2:10.1.1.3/24
Client3:100.1.1.3/24
Server2:100.1.1.2/24
Server3:10.1.2.2/24
防火墙接口地址为所在网段的第一个ip地址，，（防火墙作为各设备网关）
一：实现client2可以登录server2上的ftp服务
思路：由于ftp是双通道协议，服务器的路由在回来时的端口不固定，导致策略只能放行所有端口，但是这么做会导致外网不仅可以访问ftp服务还可以访问同一台服务器下的不同服务，存在安全隐患，在这种情况下就要用到ASPF技术了，该技术可以抓取控制流的特殊包进行分析，算出回去的端口，添加到server-map表(三元组)中，生成会话，确保了ftp服务的正常通行（开启ASPF功能后，FW通过检测协商报文的应用层携带的地址和端口信息，自动生成相应的Server-map表，用于放行后续建立数据通道的报文，）
安全策略：
NAT策略：
ASPF配置（aspf技术支持华为设备上的多种多通道协议）：如果不打√，则控制流量能过去，传输流量回不来，即不能使用ftp下载文件
到这client就可以正常访问ftp服务器了
二：实现untrust-dmz
方法一：服务器映射
注：公网地址不能写接口地址
测试（正常访问http服务）
方法二：（NAT策略）：公网访问dmz区域，所以转换模式应为转换目的地址，目的地址同样不能为接口地址，应为ISP给的公网地址，目的地址转换为dmz区域中服务器的地址（私网地址）
测试
三：要求trust访问dmz区域时的源目ip都为私网的ip（域间双转）
注：源地址转换为与私网同一网段的地址即可，目的地址转换为dmz服务器地址
测试（可看到访问http服务的源目ip都为私网网段的ip地址）
四：要求内网pc使用公网地址访问dmz（域内双转）
测试
防火墙双机热备
为什么防火墙双机热备需要心跳线，而vrrp不需要？
答：因为防火墙看的是会话表，而路由器看的是包，看会话表就牵扯到首包问题了，会话的建立只能由首包完成（不改默认设置的情况），如果不用心跳线同步配置，那么当主防火墙down了后，有可能后续的包被转移至备防火墙，而这些包不是首包，过不去，所以会造成数据丢失，不仅如此，防火墙还要做双面的vrrp。
拓扑（三层），FW3主、FW1备
LSW2配置：
vlan batch 2 to 3
interface Vlanif2 //做pc1网关
ip address 10.1.1.1 255.255.255.0
interface Vlanif3 //做防火墙的对端接口
ip address 10.1.2.1 255.255.255.0
interface GigabitEthernet0/0/1
port link-type access
port default vlan 2
interface GigabitEthernet0/0/2
port link-type access
port default vlan 3
interface GigabitEthernet0/0/3
port link-type access
port default vlan 3
ip route-static 0.0.0.0 0.0.0.0 10.1.2.254 //下一跳为防火墙上的虚拟网关LSW3相似配置
防火墙配置
测试（断开LSW2上的GE0/0/2）：
成功切换到FW1,继续访问