安全区域概念.docVIP

安全区域概念 安全区域（Security Zone），或者简称为区域（Zone），是一个安全概念，大部分的安全策略都基于安全区域实施。在防火墙中引入“安全区域”的概念是为了对流量来源进行安全等级的划分，以判断何时对流量进行检测。通常情况下，相同安全区域中的流量流动是不需要检测的，而不同安全区域的流量由于存在安全风险，是需要受到防火墙控制的。 ??????一个安全区域是一个或多个接口的集合，这些网络中的用户具有相同的安全属性。??????每个安全区域具有全局唯一的安全优先级，安全级别的范围是1-100，数字越大表示安全级别越高，也就是说受保护的程度越高。 防火墙默认安全区域： Untrust(非受信任区域)：安全级别为5，通常用于定义互联网流量。DMZ（非军事化区域）：安全级别50，通常用于定义内网服务器所在区域。因为这些设备虽然部署在内网，但经常要被公网访问，存在较大安全隐患，同时一般又不允许其主动访问外网，所以部署安全级别比Trust低，但比Untrust高。Trust(受信任区域):安全级别85，通常用于定义内网所在区域。Local(本地区域)：安全级别100，该区域主要定义，设备自身发启的流量，或者是抵达设备自身流量。比如Telnet、SNMP、NTP、IPsec VPN等流量。用户不能改变Local区域本身的任何配置，包括添加接口。 ?? 防火墙默认安全区域Untrust(非受信任区域)：安全级别为5，通常用于定义互联网流量。DMZ（非军事化区域）：安全级别50，通常用于定义内网服务器所在区域。因为这些设备虽然部署在内网，但经常要被公网访问，存在较大安全隐患，同时一般又不允许其主动访问外网，所以部署安全级别比Trust低，但比Untrust高。Trust(受信任区域):安全级别85，通常用于定义内网所在区域。Local(本地区域)：安全级别100，该区域主要定义，设备自身发启的流量，或者是抵达设备自身流量。比如Telnet、SNMP、NTP、IPsec VPN等流量。用户不能改变Local区域本身的任何配置，包括添加接口。 安全域间与方向 ?? ?安全域间用来描述流量的传输通道，任意两个安全域间都构成一个安全域间（Interzone）如trust到utrust，配置策略都需要在安全域间视图下配置。需要注意的是在同一个安全域间内转发的流量，在安全域间下发的策略是不起作用的。???? 安全域间数据转发具有方向性，包括入方向（Inbound）和出方向（Oubound）。 Inbound：接口低先级的安全区域到高优先级的安全区域。 Outbound:接口高优先级的安全区域到低先级的安全区域。 通常情况下，通信双方一定会交互报文，即安全域间的两个方向上都有报文的传输。而判断一条流量的方向应以发起该条流量的第一个报文为准。因为返回的流量检查会话表项。 例如，发起连接的终端位于Trust区域，它向位于Untrust区域的Web服务器发送了第一个报文，以请求建立Http连接。由于Untrust区域的安全级别比Trust区域低，所以USG设备将认为这个报文属于Outbound方向，并根据Outbound方向上的安全策略决定是放行还是丢弃。如果这个连接能够建立，那么设备将为其建立一条会话表。会话表项中记录了这条连接的五元组：源和目的IP地址，源和目的端口号，协议类型。也就是ASA所谓的状态化表项。