基于安全区域和对象de防火墙逻辑策略配置设计.pdfVIP

基于安全区域和对象的防火墙逻辑策略配置设计 何 国雄 (苏卅I市房产交易登记管理中心 ，江苏 苏州 2l5002) 摘 要：详细阐述 了防火墙中安全区域和对象的基本原理，并结合实际案例给出了利用防火墙实施安全访问控制策略的一般部 署方法及主要配置过程。 关键词：防火墙；安全区域；对象；策略；NAT Analysis on LogicalPolicy ConfiguratiOn ofFirewall basedonSecurityZoneand0bjective HE Guo-xiong (Suzhou 唔 t of ea}Estate1058PeopleRoad,Suzhou,曲唔 215002Chila) Abstract： Thispaperclearly explainedthe basic principles of Security Zone and Objective on Firewall， also sho configurationprocessesthat implementationofsecurity accesscontpolpolicy onFirewallcombiningapracticalcase． Keywords：Yirewall；SecurityZone；Objective；Policy；NAT 1引言 或实施 QOS等。至于风险等级 ，有些防火墙是根 1．1安全区域 据接 口设计好的，指明了接 口的安全区域属性并H 安全区域 (Security Zone)，也称区域或区段 ， 一 般不能更改；有些防火墙更是能直接利用数值进 是指共享同一组安全属性的网络资产和资源的逻辑 行量化，这使得根据安全区域分配访问权更加容易， 或者有时候是物理的分组 ，是防火墙实施策略和配 也更直观 、更容易理解。比如 100表示最高安全 置管理的核心元素。安全区域是一个高级对象，它 等级，具有最低 的风险等级 ，通常J}】于标记 内部 需要与防火墙的物理或者逻辑的接 口相关联实现其 网络 ；0表示最低安全等级 ，具有最高的风险等级， 作用。网络管理员识别需要 由防火墙保护和提供进 通常用于标记不可信的互联网；在 0和 100之H『J的 出安全访问的网络资产和资源 (包括但不限于 网络 数值则可根据需求进行 自定义，如用 50标识非军 设备和提供的服务 )，也就是确定哪些设备和服务 事区 (DMZ)或安全服务区 (SSN)。防火墙还要处理 需要防火墙提供安全保护，然后将不同的网络资产 · 个特殊情况，那就是两个具有相同安全等级的安 指定到不同的安全区域。 全区域 问流量的策略。一般情况 ，具有相同安全 创建安全 区域 的真正原 因不是因为物理分组 ， 级别的安全区域问的流量默认都是允许的。有_r风 而是因为它使得我们可了解属于安全区域一部分的 险等级，防火墙的安全区域策略就容易实施设定通 设备之间的相互和内部的关系。安全策略要求检查 用的规则 ：即对任何 目的安全区域有访问权限的风 在安全区域之间穿越流量是否违反特定的访 问策略， 险等级 ，其风险等级必定等于或小于 目的区域 的级 根据安全需求实现某些访问控制并对两个不同的安 别。 全区域之间的所有流量进行审查和 日志，这个检查 防火墙可以在配置和策略中使用用户和用户组 点称为强制点。强制点是两个安全区域之间的交叉 来进行授权控制，但大多数情况下，防火墙使用位 点，这就意味着需要使用某个、某些产品或者是产