安全区域之间的数据流动方向,是根据安全级别的优先级来定义的,如果是从优先级高的地方到优先级低的地方,比如说从Local(100)发送到Trust(85)是outbound,如果是从优先级低的地方到优先级高的地方,比如说从untrust(5)到trust(85)是inbound。在任何两个安全区域之间都能设置安全关卡,通过关卡来控制流量的允许接入还是拒绝。我们把这个安全关卡叫做“安全策略”。那再默认情况下安全关卡(安全策略)是拒绝的。
通过一个试验来体会一下。
实验拓扑图结构,将PC1划分在Trust的安全区域上,将PC2划分在Untrust的安全区域上设置PC2的网关IP是192.168.2.254
命令:[FW01]display zone,查看防火墙的安全区域的配置情况
需要把g1/0/1接口添加到Trust的安全区域上,直接把之前自定义的安全区域test1删除
已经删除,将接口g1/0/1添加到Trust安全区域上然后再防火墙的g1/0/2接口上配置IP地址信息,再添加到防火墙的Untrust安全区域上。
添加完毕。
配置完以后,如果让PC2去ping他的网关,我们知道从上一节的结果来看是ping不通的,因为和g1/0/2划分在Local的安全区域他具有自己的安全策略。相当于从untrust(5)区域传输到Local(100)区域,是从低优先级到高优先级的流量传输,是inbound,在进入两个区域之间有安全关卡又叫做安全策略。而安全策略在默认情况下是deny(拒绝)的,需要通过配置来把他打开。防火墙的loacl在inbound方向的流量控制是通过service-manage来实现。
在service-manage的控制下能实现多种流量的传输,像http、https、ping、snmp等的流量传输
命令:[FW01-GigabitEthernet1/0/2]service-manage ping permit,允许ping的流量传输
然后进行PC2ping防火墙的测试
开启这个ping的安全策略之后,主机PC2就可以开始ping防火墙。
说明现在可以从trust或则untrust通过inbound的流量方向访问到local,但是现在不能通过outbound的流量方式从local访问到trust或则是untrust。防火墙pingPC1,流量以outbound的方式从local到trust不通防火墙pingPC2,流量以outbound的方式从local到untrust不通。
所以说service-manage只是控制local的inbound方向的安全策略。service-manage是表示接口相关的安全区域的网络内的主句允许在Inbound方向访问Local区域。
通过这个实验来引出介绍防火墙的安全策略
我们说防火墙安全策略的构成,一个流量在安全策略中,如果满足安全策略的条件,就允许通过,否则就拒绝直接丢弃。允许通过的流量在进行深度的检测(配置文件)。
安全策略是在防火墙的不通安全区域的不通方向之间做流量管控,流量进入防火墙之后,防火墙会根据安全策略进行流程执行,按照配置的顺序进行优先匹配,匹配的优先顺序也可以通过命令来进行调整。一旦匹配到策略,就直接根据策略进行动作操作,允许还是拒绝,不会再匹配到下一策略
如果说在防火墙开机之后没有设置做过任何安全策略,或者说已经设置安全策略但是没有匹配,最后会匹配到缺省动作,匹配到默认的安全策略,默认的安全策略是deny(拒绝)的。但是默认策略是可以进行修改的。命令:[FW01]display security-policy rule all,查看当前配置的安全策略规则规则ID0,动作是默认,状态是开启,操作是拒绝
命令:[FW01]security-policy,进入安全策略视图
查看策略没有配置任何策略。
命令:[FW01-policy-security]default action permit,修该默认动作是允许
修改之后默认状态变为了premit(允许)。
下面用防火墙去ping主机
用防火墙去pingPC1流量是从local到trust方向是outbound方向,现在可以ping成功
用防火墙去pingPC2流量从local到untrust方向是outbound方向,现在可以ping成功。
再用两个主机互相ping
也能互相通信。
说明再没有配置安全策略的时候会匹配到默认策略,而默认策略一般默认的动作是deny拒绝,现在通过修改默认配置,可以让默认策略的动作变为允许,相当于将所有方向的关卡打开不设置拦截。
一般在整个的安全项目调试的的时候,将防火墙的安全策略打开让他的默认动作是允许,这样在调试路由的时候,就能知道到底是不是路由的问题导致的互相之间无法进行通信,如果不通就是路由器相关方面的问题,和防火墙的安全策略就没有关系,等路由调试好之后,将默认的安全策略动作改为拒绝就好了。