网络安全笔记

1.防火墙的用户认证

防火墙的用户认证是指通过验证用户的身份，确保只有经过授权的用户才能访问网络资源或通过防火墙进行网络通信。用户认证在网络安全中起到了关键作用，可以有效防止未经授权的访问、提高网络安全性，并对网络流量进行控制和监控。
一、基本认证： 这是一种最简单的用户认证方法，通常在 HTTP 协议中使用。用户需要提供用户名和密码，这些信息会以明文形式通过网络传输，因此不是最安全的方式。虽然容易实现，但在安全性上相对较弱。
二、Digest 认证： 与基本认证相比，Digest 认证提供了更高的安全性。用户提供用户名和密码，但这些信息经过哈希运算后再传输，减少了在网络中的风险。然而，Digest 认证也有一些局限性，如无法防止重放攻击。
三、SSL/TLS 认证： 使用安全套接字层（SSL）或传输层安全性（TLS）协议进行加密的认证方式。通过在网络传输中使用加密技术，SSL/TLS 提供了更高的安全性，防止信息被窃取或篡改。常见的应用包括 HTTPS 等安全协议。
四、IP 地址认证： 基于用户的 IP 地址进行认证，只有特定 IP 地址的用户才能访问网络资源。这种方法适用于特定网络环境，但易受 IP 地址欺骗或伪造的攻击。
五、MAC 地址认证： 基于用户设备的物理地址进行认证。虽然提供了一定的安全性，但也容易被伪造，因此并不是最可靠的认证方式。
六、多因素认证： 使用多个身份验证因素，如密码、令牌、生物特征等的组合，以提高安全性。多因素认证在防火墙中可通过整合其他身份验证方法来实现，确保只有合法用户能够访问网络资源。
七、单一登录： 允许用户通过一次身份验证就能够访问多个相关的系统或服务。SSO 提高了用户体验，同时也可以通过单一的身份验证点来加强安全性。

2.用户认证策略

用户认证策略是组织或系统为确保只有合法用户访问其资源而采取的一系列规则、技术和流程。这些策略有助于提高安全性、降低风险，并确保只有经过授权的用户能够访问敏感信息。以下是一些常见的用户认证策略：
一、强密码策略：要求用户设置强密码，通常包括足够长度、包含字母、数字、特殊字符等元素，并定期要求更改密码以增强安全性。
二、多因素认证：引入多个身份验证因素，如密码、令牌、生物特征等的组合，以提高用户身份验证的可靠性。
三、账户锁定和解锁机制： 设定一定的登录失败尝试次数，超过限定次数后自动锁定账户，防止暴力破解。同时提供合法用户自助解锁或管理员解锁的方式。
四、会话管理： 控制用户登录会话的时效性，定期要求重新认证，以降低长时间未使用账户的风险。

3.防火墙的NAT

网络地址转换（NAT）是一种常见的网络技术，防火墙中经常使用它来增强网络安全性并有效地管理 IP 地址。NAT 的主要功能是将内部网络的私有 IP 地址映射到公共 IP 地址，以实现内部网络与外部网络的通信。
一、内部网络隐藏： NAT 允许在企业内部使用私有 IP 地址，这些私有 IP 地址在企业之外是不可路由的。内部设备通过 NAT 被映射到企业的公共 IP 地址，从而在互联网上隐藏了实际的内部网络结构。
二、地址转换： NAT 将内部私有 IP 地址映射到外部公共 IP 地址，以便在互联网上进行通信。这种映射可以是一对一的或一对多的。
三、端口地址转换： PAT 是一种特殊的 NAT，通过使用不同的端口号来区分不同的内部设备。这使得多个内部设备可以共享同一个公共 IP 地址，同时保持唯一性。
四、动态 NAT 和静态 NAT： 动态 NAT 是根据内部设备的需求动态地分配外部 IP 地址，而静态 NAT 则是在配置中明确指定哪个内部地址映射到哪个外部地址。静态 NAT 更适用于需要确切映射关系的场景，而动态 NAT 更适用于大量内部设备动态共享少量外部 IP 地址的情况。
五、NAT 检测和避免问题： 部分应用或协议可能不兼容 NAT，因此一些防火墙会提供特殊的功能以检测和解决这些问题。
六、双向 NAT： 有时候需要在两个方向上进行 NAT 转换，即在内部到外部和外部到内部都进行地址转换。这样的情况下，通常需要考虑连接的状态维护以确保双向通信正常。
NAT 在防火墙中的应用有助于改善网络安全性，降低攻击风险，并有效地利用有限的公共 IP 地址资源。在配置和使用 NAT 时，需要综合考虑网络拓扑、安全需求以及应用程序的特殊要求

4.黑洞路由

黑洞路由是一种网络管理和安全措施，用于临时隔离或丢弃特定 IP 地址范围或网络中的所有流量。这通常是为了应对网络攻击、防范恶意流量，或者在网络故障的情况下临时隔离问题区域。
在黑洞路由中，网络管理员会将特定的 IP 地址范围或具体的 IP 地址配置成一个虚拟的“黑洞”，将所有到达这些地址的数据流量引导到该黑洞中。这意味着这些数据包将在网络中被丢弃，而不会被传递到目标。这种做法有效地将网络攻击的影响限制在一个特定的区域，以减轻攻击带来的损害。

5.防火墙的智能选路

防火墙的智能选路通常指的是根据一定的智能算法或条件来决定网络流量的路由和处理方式。这有助于提高网络性能、优化资源利用，并增强网络安全性。
一、负载均衡：将传入的流量分配到多个服务器或网络路径上，以确保各个资源得到平衡利用。这有助于提高整体的性能和可靠性。
二、智能路由：根据实时网络状况、带宽利用率、延迟等因素来动态选择最优的路径。这有助于优化数据包传输的效率。
三、内容分发网络：防火墙可以与 CDN 集成，根据用户的地理位置和网络条件选择最近的 CDN 节点，从而提高内容传输速度和用户体验。
四、应用层代理：根据流量的特征或应用类型，选择不同的代理服务器来处理流量。这有助于优化对特定应用的访问，并提供额外的安全控制。
五、故障切换：当某个网络路径或设备发生故障时，自动切换到备用路径或设备，以确保网络的连续性和可用性。
六、安全智能：防火墙可以使用智能算法来检测和应对网络安全威胁。
用户感知型路由： 防火墙可以根据用户的身份、权限和访问模式来调整流量的路由，以提供更个性化的网络体验和访问控制

七、基于链路质量进行负载分担：
1、丢包率 --- FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回
应报文个数除以探测报文个数。 丢包率是最重要的评判依据 。
2、时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均
时延作为结果进行评判
3、延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时
抖动的平均值

6.防火墙的可靠性

防火墙和路由器在进行可靠性备份时，路由器备份可能仅需要同步路由表中的信息就可以了，
但是，防火墙是基于状态检测的，所以，还需要同步记录状态的会话表等。所以，防火墙需要
使用到 双机热备技术。
双机 --- 目前防火墙的双机热备技术仅支持两台设备
热备 --- 两台设备同时运行，在一台设备出现故障的情况下，另一台设备可以 立即替代 原设备
机热备技术采用VRRP的链路保护机制比依赖动态路由协议的广播报文来进行链路切换的时间更短，同时弥补了不能使用动态路由情况下的链路保护。
VRRP是一种基本的容错协议。
备份组：同一个广播域的一组路由器组织成一个虚拟路由器，备份组中的所有路由器一起，共同提供一个虚拟IP地址，作为内部网络的网关地址。
主路由器：在同一个备份组中的多个路由器中，只有一台处于活动状态，只有主路由器能转发以虚拟IP地址作为下一跳的报文。
备份路由器：在同一个备份组中的多个路由器中，除主路由器外，其他路由器均为备份路由器，处于备份状态。
主路由器通过组播方式定期向备份路由器发送通告报文（HELLO），备份路由器则负责监听通告报文，以此来确定其状态。由于VRRPHELLO报文为组播报文，所以要求备份组中的各路由器通过二层设备相连，即启用VRRP时上下行设备必须具有二层交换功能，否则备份路由器无法收到主路由器发送的HELLO报文。如果组网条件不满足，则不能使用VRRP。
然后就是VGMP ---- VRRP Group Management Protocol
这是一个华为私有协议 --- 这个协议就是将一台设备上的多个VRRP组看成一个组，之后统一进行
管理，统一切换的协议。以此来保证VRRP组状态的一致性
在防火墙的双机热备中，我们不论时VRRP组还是VGMP组，主备的叫法发生了变化，主
统一被称为Active，备被称为Standby
防火墙的可靠性是指防火墙系统在面对各种威胁和攻击时，能够保持稳定运行、高效工作，并且能够防御和抵御各种安全威胁，确保网络的安全性。以下是一些提高防火墙可靠性的关键方面

一、硬件和软件冗余： 可靠的防火墙系统通常包含冗余的硬件和软件组件，如冗余电源、冗余硬盘、双机热备等。这些措施可以提高系统的可用性，当一个组件故障时，另一个可以顶替它工作。
二、故障切换和高可用性配置： 高可用性配置允许在一个防火墙设备或组件发生故障时，自动切换到备用设备或组件，确保服务的连续性。这可以通过设备冗余、VRRP（虚拟路由器冗余协议）、HSRP（热备份路由协议）等技术来实现。
三、及时更新和补丁管理： 定期更新防火墙的软件和固件是保持系统可靠性的关键步骤。这有助于修复潜在的漏洞，提高系统的安全性，并确保防火墙能够适应新的威胁和攻击。
四、实时监控和日志记录： 对防火墙进行实时监控，及时发现异常行为，并记录日志以便进行事后审计和故障排除。监控还可以帮助及时发现可能的硬件或软件故障，以采取适当的措施。
五、定期备份和配置管理： 定期备份防火墙的配置和日志数据，以便在发生故障或数据丢失时能够迅速恢复。备份还有助于在需要时重新构建防火墙配置。