防火墙用户认证、NAT、策略路由、DNS透明代理以及双机热备笔记

用户认证

防火墙管理员登录认证 --- 检验身份的合法性，划分身份权限

用户认证 --- 上网行为管理的一部分

用户，行为，流量 --- 上网行为管理三要素

用户认证的分类

• 上网用户认证 --- 三层认证 --- 所有的跨网段的通信都可以属于上网行为。正对这些行为，我们希望将行为和产生行为的人进行绑定，所以，需要进行上网用户认证。
• 入网用户认证 --- 二层认证 --- 我们的设备在接入网络中，比如插入交换机或者接入wifi后，需要进行认证才能正常使用网络。
• 接入用户认证 --- 远程接入 --- VPN --- 主要是校验身份的合法性的

认证方式

本地认证 --- 用户信息在防火墙上，整个认证过程都在防火墙上执行

服务器认证 --- 对接第三方服务器，防火墙将用户信息传递给服务器，之后，服务器将认证结果返回，防火墙执行对应的动作即可

单点登录 --- 和第三方服务器认证类似。

认证策略

Portal --- 这是一种常见的认证方式。我们一般见到的网页认证就是portal认证。我们做上网认证，仅需要流量触发对应的服务时，弹出窗口，输入用户名和密码进行认证。

免认证 --- 需要在IP/MAC双向绑定的情况下使用，则对应用户在对应设备上登录时，就可以选择免认证，不做认证。

匿名认证 --- 和免认证的思路相似，认证动作越透明越好，选择匿名认证，则登录者不需要输入用户名和密码，直接使用IP地址作为其身份进行登录。

NAT

源NAT

源NAT --- 基于源IP地址进行转换。

我们之前接触过的静态NAT，动态NAT，NAPT都属于源NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网

目标NAT

目标NAT --- 基于目标IP地址进行转换。

我们之前接触过的服务器映射就属于目标NAT。是为了保证公网用户可以访问内部的服务器

双向NAT

双向NAT --- 同时转换源IP和目标IP地址。主要是为了内网服务器能够通过服务器的公网IP访问服务器

策略路由

策略路由 -- PBR

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一。

策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐含一条不做策略的规则，即所有没有匹配上策略路由的流量，都将匹配传统路由表进行转发。

基于链路带宽的负载分担

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中按照比例转发。 

基于链路质量进行负载分担

丢包率 --- FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回应报文个数除以探测报文个数。丢包率是最重要的评判依据。时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均时延作为结果进行评判 延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时抖动的平均值。 

基于链路权重进行负载分担

权重是由网络管理员针对每一条链路手工分配的，分配之后，将按照权重比例分配流量。 

基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1，接口没有配置过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故障，则优先级次高的链路开始转发流量。其余链路依旧不工作。

2，接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超过保护阈值，则优先级次高的链路开始工作 

DNS透明代理

DNS透明代理是指在网络中通过某种方式截取并处理DNS请求的过程，而不需要用户手动配置或察觉。防火墙的DNS透明代理通常用于实施安全策略、监控网络流量或进行内容过滤。

DNS透明代理的前提是开启就近选路 

双机热备

防火墙和路由器在进行可靠性备份时，路由器备份可能仅需要同步路由表中的信息就可以了，但是，防火墙是基于状态检测的，所以，还需要同步记录状态的会话表等。所以，防火墙需要使用到双机热备技术。

双机 --- 目前防火墙的双机热备技术仅支持两台设备

热备 --- 两台设备同时运行，在一台设备出现故障的情况下，另一台设备可以立即替代原设备。

VRRP技术

虚拟路由器冗余协议 --- “实的不行来虚的”

Initialize --- 在VRRP中，如果一个接口出现故障之后，则这个接口将进入到该过渡状态 

VRRP备份组之间是相互独立的，当一台设备上出现多个VRRP组时，他们之间的状态无法同步。 

VGMP ---- VRRP Group Management Protocol

华为私有协议 --- 这个协议就是将一台设备上的多个VRRP组看成一个组，之后统一进行管理，统一切换的协议。以此来保证VRRP组状态的一致性。 

接口故障切换场景 

在防火墙的双机热备中，我们不论时VRRP组还是VGMP组，主备的叫法发生了变化，主统一被称为Active，备被称为Standby

1，假设主设备的下联口发生故障，则这个接口的vrrp状态将由原来的Active状态切换为initialize状态。（这种情况下，按照VRRP自己的机制，主设备将无法发送周期保活报文，则备设备在超过超时时间后将切换为主的状态。但是，因为这里启用VGMP在，则VRRP切换状态将由VGMP接管，VRRP的机制名存实亡。）

2，VGMP组发现VRRP组出现变化，将降低自身的优先级。（说明，在VGMP组中，也存在优先级的概念。一开始，每台设备中都会存在两个VGMP组，一个叫做Active组，另一个叫做Standby组。Active组初始的默认优先级为65001，Standby组初始的默认优先级为65000（不同版本的防火墙，这个优先级的定义不同）。一开始，我们FW1将两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态时active，所以，里面两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理。当一个VRRP组的状态变为initialize，则VGMP则的优先级-2。）之后，原主设备会发送一个VGMP请求报文给对端，里面包含了自己当前变化后的优先级。

3，当原备设备接收到请求报文后，看到里面的优先级时64999，而低于自身的65000，则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时，发送一个同意请求报文给原主设备。

4，原主设备接收到对方的应答报文之后，将会把自身VGMP_ACTIVE组的状态由原来的ACTIVE切换为STANDBY。

5，在原备设备发送应答报文的同时，因为其VGMP组的状态切换，所以，其内部的VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之后，因为将其VGMP组状态切换，所以，同时将其内部的VRRP组状态由原来的active状态切换为standby状态（注意，故障接口依旧保持init的状态。）

6，原备设备会通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表。流量将被切换到原被设备上。

HRP --- Huawei Redundancy Protocol --- 华为冗余协议

这是一款华为的私有协议 --- 备份配置信息和状态信息。

HRP备份有一个前提，就是两台设备之间必须专门连一根用于备份的线路，这跟线路我们称为心跳线（广义上，任何两台设备之间的链路都可以叫做心跳线）

心跳线的接口必须是一个三层接口，需要配置对应的IP地址。这条备份数据的链路不受路由策略限制（直连场景。非直连场景依然需要配置安全策略。）

HRP协议本身算是VGMP协议的一部分

HRP的心跳线也会传递心跳报文，用于检测对端是否处于工作状态。这个周期时间默认1s，逻辑和vrrp一样，只有主设备会周期发送，备设备仅监听即可，如果在三个周期内，都没有收到HRP的心跳报文，则将认定原主设备故障，则将进行失效判断，认定自身为主。

VGMP的报文也是通过这条心跳线发送的。

配置信息 --- 策略，对象，网络里面的一些配置都属于配置信息。（接口IP地址，路由之类的不同步，因为这些是需要在双机组建之前配置的）

FW能够备份的配置如下:

• 策略:安全策略、NAT策略(包括NAT地址池)、NAT Server、服务器负载均衡、带宽管理、认证策略、审计策略、攻击防范、黑名单、ASPF
• 对象:地址、地区、服务、应用、用户、认证服务器、时间段、地址池、URL分类、关键字组、邮件地址组、签名、安全配置文件(反病毒、入侵
• 防御、URL过滤、文件过滤、内容过滤、应用行为控制、邮件过滤、APT防御)、健康检查
• 网络:新建逻辑接口、安全区域、DNS、静态路由(配置hrp auto-sync config static-route后才可以备份)、IPSec、SSL VPN、TSM联动、
• DHCP Server, DHCPv6 Server
• 系统:管理员、虚拟系统(包括虚拟系统创建和虚拟系统内的业务配置命令)、日志配置

状态信息 --- 会话表，server-map，黑名单，白名单。。。 

• 会话表
• SeverMap表
• 黑名单
• 白名单
• PAT方式端口映射表
• NO-PAT方式地址映射表
• 二层转发表(静态MAC备份)
• AAA用户表(缺省用户admin不备份)
• 在线用户监控表
• PKI证书,CRL
• IPSec备份
  • 支持IKE、IKEv2安全联盟的备份
  • 支持隧道的批量备份
  • 支持隧道和序列号的实时备份

第一种备份方式 --- 自动备份 默认开启自动备份，可以实时备份配置信息。但是，自动备份不能立即同步状态信息。一般是在主设备上状态生成后一段时间（10s左右）同步到备设备上。Hrp standby config enable --- 这个命令可以让备设备上的配置同步到主设备上。

第二种备份方式 --- 手工备份 由管理员手工触发，可以立即同步配置信息以及状态信息。

第三种备份方式 --- 快速备份 该模式仅使用在负载分担的工作方式下。因为负载分担的场景下，两台设备都需要处于工作状态，为了避免因为状态信息同步不及时，导致业务流量中断，所以，该场景下，默认开启快速备份。快速备份可以实时同步状态信息。但是，该方式不同步配置信息。