hanjh8的博客_防火墙

双机热备篇你所不知道的HRP.2

6 什么是心跳链路探测报文？与HRP心跳报文有什么区别？两台防火墙之间备份的数据是通过防火墙的心跳口发送和接收的，是通过心跳链路（备份通道）传输的。心跳口必须是状态独立且具有IP地址的接口，可以是一个物理接口GE，也可以是为了增加带宽，由多个GE接口捆绑而成的一个逻辑接口Eth-Trunk（通常情况下，备份数据流量约为业务流量的20%～25%，请根据备份数据量的大小选择捆绑GE接口的数量）。如下图

双机热备篇你所不知道的HRP.2

转载精选 2014-12-12 10:37:04 4290 阅读 1收藏

双机热备篇你所不知道的HRP

强叔在前几篇中讲解了双机热备的核心VGMP。在介绍VGMP报文结构时我们看到了几种HRP协议定义的报文，本期强叔就要为大家解析HRP协议和这几种HRP报文。有的小伙伴儿们会说：“HRP不就是负责双机的数据备份嘛。有什么难度？”其实HRP在备份时还是大有文章的，现在强叔就为大家揭秘这些HRP鲜为人知的细节。1 为什么需要HRP？1.1 备份配置命令防火墙通

双机热备篇你所不知道的HRP

转载精选 2014-12-12 10:36:01 8072 阅读 1收藏

双机热备篇 VGMP招式详解.2

3 防火墙透明接入，连接路由器时的VGMP招式如下图所示，两台防火墙上下行业务接口都工作在二层，连接路由器。两台路由器之间运行OSPF。在此种组网中防火墙的VGMP组采用的故障监控和流量引导方式与上一种组网相同，即通过VLAN监控接口状态实现故障监控，通过控制VLAN是否转发流量实现流量引导。故障监控的区别之处在于此种组网只支持负载分担方式的双机热备，不支持主备备份方式。因为如果工作于

双机热备篇 VGMP招式详解.2

转载精选 2014-12-12 10:05:39 2694 阅读

双机热备篇 VGMP招式详解

上篇我们详细介绍了VGMP组如何通过VRRP备份组来实现接口故障监控、设备状态切换以及上下行流量引导。我们还发现VGMP与VRRP的配合只适用于防火墙连接二层设备的组网。那么当防火墙连接路由器或防火墙透明接入网络（业务接口工作在二层）时，VGMP组是使用什么招式来应对的呢？本篇强叔将为您揭秘VGMP组的其余保留招式~1 防火墙连接路由器时的VGMP招式

双机热备篇 VGMP招式详解

转载精选 2014-12-12 10:04:48 2204 阅读 1收藏

双机热备篇 VRRP与VGMP的故事（3）

6 负载分担双机热备状态形成和切换过程以上我们描述的是主备备份方式的双机热备状态形成和切换过程，下面我们来看负载分担状态的情况。如下图所示，为了实现负载分担方式的双机热备，我们需要在FW1和FW2上都启用Active组和Standby组，使FW1的Active组与FW2的Standby组进行通信，构成一组“主备”，FW2的Active组与FW1的Standby组进

双机热备篇 VRRP与VGMP的故事（3

转载精选 2014-12-05 17:14:19 2077 阅读

双机热备篇 VRRP与VGMP的故事（2）

上篇我们在学习了VRRP的实现原理，以及如何通过VGMP解决VRRP问题后，提出了两个问题。第一个问题是“两台防火墙的VGMP组是如何传递VGMP的优先级信息的？”。答案是防火墙的VGMP组通过备份通道（心跳线），利用VGMP报文来传递优先级信息。第二个问题是“两台防火墙的VGMP组的状态协商和切换过程，以及报文交互过程到底是怎样的呢？”，我们还没有给出答案。 &

双机热备篇 VRRP与VGMP的故事（2

转载精选 2014-12-05 17:10:40 2541 阅读

双机热备篇 VRRP与VGMP的故事（上）

上期强叔为大家讲解了网络可靠性的作用，以及防火墙与路由器可靠性的区别，并初步介绍了防火墙双机热备功能的基本概念。我想小伙伴们一定已经迫不及待地想要了解双机热备功能是如何实现的了。熟悉路由器和交换机的小伙伴们一提到网络可靠性，首先想到的肯定是VRRP协议，其实防火墙的双机热备功能也是在VRRP协议的基础上扩展而来的。所以本节我们会首先介绍VRRP的基本概念和实现原理，之后我们会讲解VRRP在防火墙双

双机热备篇 VRRP与VGMP的故事（上

转载精选 2014-12-05 16:15:53 2156 阅读

双机热备篇双机热备来了

论坛的小伙伴们大家好，强叔又与大家见面了。在经历了漫长的学习过程后，强叔终于带大家领略完了防火墙的各种基本功能，想必各位小伙们一定是大有收获的。之前强叔讲到的都是在一台防火墙上配置各种功能，而为了提升网络的可靠性，我们经常需要在两台防火墙上配置相同的功能并使他们相互备份。那么这是如何做到的呢？这就需要用到强叔本次为大家带来的防火墙一大特色功能——双机

双机热备篇双机热备来了

转载精选 2014-12-03 15:18:38 3362 阅读

防火墙报文处理流程简介

强叔被金庸大侠影响甚深，年少时曾手捧老先生各大部头废寝忘食，至今仍对多个经典情节念念不忘。早在十多年前，便与同道兄弟充分讨论过：金庸作品中，最厉害的招式应是独孤九剑，因令狐冲在内力全失情况下，一剑挑瞎十五人眼睛；而最厉害的内功当属扫地僧的内功，秒掉了萧峰父子和慕容父子，算得上前无古人、后无来者。最要命的是，我们无从得知扫地神僧是怎样练成的，这让强叔一直心痒不已。而回到强叔开讲的防火墙，强叔绝不能让

防火墙报文处理流程简介

转载精选 2014-11-21 14:37:38 3611 阅读 1点赞 1收藏

揭密华为防火墙NAT地址复用专利技术

提到多对多、多对一的NAT（多个私网地址转换为多个或一个公网地址），就不能回避公网地址利用率的问题。 “华为防火墙一个公网IP突破了65535端口限制，理论上能够无限制进行NAT转换”这个结论在江湖上已经广为流传，接触过华为防火墙的兄弟可能早有耳闻，几天前提起源NAT也有兄弟跳起来指出。这正是华为防火墙十年前申请的一项专利技术的应用。至此处，原谅强叔回忆下此专利发明人的大牛风采。几前路遇隐居的大牛

揭密华为防火墙NAT地址复用专利技术

转载精选 2014-11-21 12:16:25 2877 阅读

当安全策略遇上OSPF

在安全策略初体验一篇中，强叔提到，路由协议一般是不受安全策略控制的，防火墙直接允许路由协议的报文通过。强叔还提到，这和具体产品实现有关，不同型号的产品会有差异。大家看完帖子后感觉有点语焉不详，纷纷向强叔咨询这个问题。今天，强叔就使用华为防火墙USG9000（软件版本为V300R001）来实际验证一把，看一看当安全策略遇上OSPF路由协议时，会发生什么事情。需要说明一点，本篇验证的是防火墙本身参与到

当安全策略遇上OSPF

转载精选 2014-11-21 12:01:34 3251 阅读

状态检测和会话机制补遗

在状态检测和会话机制一篇中，我们学习了状态检测的工作原理，了解了会话中包含的五元组信息。贴子发出后，强叔收到了小伙伴们提出的各种问题：防火墙会为那些协议的报文建立会话呢？会话中就只包含五元组信息吗？状态检测功能在所有网络环境都适用吗？为了解答这些问题，强叔写了本篇贴子，作为状态检测和会话机制的番外篇，和大家进一步探讨状态检测和会话机制。如今的数据通信网络已经是全IP时代，防火墙处理的也都是IP报文

状态检测和会话机制补遗

转载精选 2014-11-21 11:53:25 2025 阅读

攻击防范篇应用层攻击及防御

随着计算机硬件的不断提升，运营商网络不断的扩容，我们的防火墙逐渐在线上增加，依靠抢占带宽制造的流量型攻击效果越来越差。黑客们开始寻求新的突破，转而向上进行应用层的攻击，应用层攻击逐渐变为黑客的焦点。应用层攻击比传输层攻击对于目标服务器造成更大的伤害。比如大型网站动态数据库链接的不断调用会比SYN Flood更加消耗系统的资源。今天强叔就给大家讲讲防火墙支持的DNS Flood和HTTP Flood

其他

转载精选 2014-11-21 11:36:35 1630 阅读

攻击防范篇流量型攻击之UDP Flood及防御

大家好，强叔又来了！上一期，强叔给大家介绍了SYN Flood的攻击和防御，本期强叔将带领大家一起来学习一下另一种常见的流量型攻击：UDP Flood。讲UDP Flood之前，强叔还是先从UDP协议讲起。在讲SYN Flood的时候，我们知道了TCP协议是一种面向连接的传输协议。但是UDP协议与TCP协议不同， UDP是一个无连接协议。使用UDP协议传输数据之前，客户端和服务器之间不建立连接，如

安全技术

转载精选 2014-11-21 11:16:13 10000+阅读

攻击防范篇流量型攻击之SYN Flood及防御

大家好，强叔和你们又见面了！上一期强叔带着大家一起了解了单包攻击的基本防御知识，知道了单包攻击的几大类型，以及防火墙支持防御的攻击种类。但是，在现网中单包攻击只占了很小一部分比例，更多的攻击还是集中在流量型攻击和应用层攻击。本期强叔将继续为大家讲解一下现网上常见的流量型攻击。过去，攻击者所面临的主要问题是网络带宽，由于较小的网络规模和较慢的网络速度的限制，攻击者无法发出过多的请求。虽然类似“Pin

其他

转载精选 2014-11-21 11:07:48 2123 阅读

攻击防范篇单包攻击及防御

大家好，强叔又和你见面了。前几期里，强叔带领大家了解了防火墙的基本安全特性，知道了防火墙的基本作用是保护特定网络免受“不信任”网络的攻击，提到“攻击”，就不能不说说DoS/DDoS攻击，防范DoS/DDoS攻击是防火墙的基本安全功能。从今天开始，在接下来的几期里，强叔将带领大家一起去学习一下防火墙支持的单包攻击、流量型攻击和应用层攻击的防御。九十年代，攻击随着互联网的蓬勃发展从实验室走向了Inte

安全技术

转载精选 2014-11-21 09:57:37 3016 阅读

安全策略篇 ASPF：隐形通道

大家好，强叔又来了！经过前两期的介绍大家对安全策略应该比较了解了，本期强叔要给大家带来一个神秘人物。在请出神秘人物之前，我们先来使用eNSP实战一把安全策略的配置。通过eNSP搭建如下环境，FTP客户端经过防火墙访问FTP服务器，安全策略怎么配置呢？这还不容易，在Trust到Untrust配置安全策略，指定源/目的IP、指定协议为FTP不就好了。然后我们看看FTP客户端能否成功访问？咦？怎么看不到

安全策略篇 ASPF

隐形通道

原创推荐 2014-11-21 09:44:23 1821 阅读

安全策略篇安全策略发展历程详解

经过上期对安全策略的介绍，我想大家已经了解到安全策略是防火墙中必不可少的基本功能，本期强叔带大家详细了解安全策略的发展历程。基于ACL的包过滤前期已经提到这种单纯的包过滤正在逐步退出历史舞台，这里只简单介绍一下。包过滤的处理过程是先获取需要转发数据包的报文头信息，然后和设定的ACL规则进行比较，根据比较的结果对数据包进行转发或者丢弃。实现包过滤的核心技术是访问控制列表ACL。因此包过滤

安全策略篇安全策略发展历程详解

转载精选 2014-11-20 16:06:39 885 阅读

安全策略篇安全策略初体验

大家好，强叔又和你们见面了。通过前几期的介绍，相信大家对防火墙的基础知识已经有了一定的了解。本期开始我们更进一步，迈入“安全策略”篇。前几期的帖子中，强叔多次提到了“网络隔离”、“访问控制”、“安全检查”等字眼，“安全策略”就是实施这些安全控制的“安检员”哦，他的作用不容小觑！本期先带大家简单了解安全策略的基本概念及发展历程，后续将详细介绍安全策略的内容。防火墙的基本作用是保护特定网络

安全策略篇安全策略初体验

转载精选 2014-11-20 15:58:14 1214 阅读

基础知识篇状态检测和会话机制

论坛的各位小伙伴，大家是否还记得，在第二篇介绍防火墙发展历史的贴子中，我们提到了第三代防火墙，也就是状态检测防火墙。状态检测防火墙的出现是防火墙发展历史上里程碑式的事件，而其所使用的状态检测和会话机制，目前已经成为防火墙产品的基本功能，也是防火墙实现安全防护的基础技术。今天，强叔就和大家来聊一聊状态检测和会话。首先，我们从状态检测防火墙产生的背景说起。请大家先看一个简单的网络环境，如下图所示，PC

基础知识篇状态检测和会话机制

转载精选 2014-11-20 15:46:52 1261 阅读

基础知识篇安全区域：划地而治等级森严

由此我们可以得知，不同网络间互访时报文在防火墙上所走的路线。例如，当内部网络中的用户访问Internet时，报文在防火墙上的路线是从Trust区域到Untrust区域；当Internet上的用户访问内部服务器时，报文在防火墙上的路线是从Untrust区域到DMZ区域。除了在不同网络之间流动的报文之外，还存在从某个网络到达防火墙本身的报文（例如我们登录到防火墙上进行配置），以及从防火墙本

基础知识篇安全区域：划地而治等级森严

转载精选 2014-11-20 15:37:51 1076 阅读

NAT篇一墙当关，万夫上网——源NAT（下篇）

大家好，强叔接着上回书继续和大家聊聊源NAT。除了NAT No-PAT、NAPT和easy-ip，华为防火墙还支持两种源NAT功能，如下所示：Smart NAT（仅高端防火墙USG9000系列支持）三元组NAT（仅高端防火墙USG9000系列支持） Smart NATSmart NAT为何称为“聪明的NAT”？这要从他和NAT No-PAT、NAPT的关联性说起：我们假设Smart NA

NAT篇一墙当关

万夫上网——源NAT（下篇）

转载精选 2014-11-20 11:46:24 3769 阅读

NAT篇一墙当关，万夫上网——源NAT（上篇）

当Internet技术初兴时，人们不会想到他会发展得如此迅猛，短短二十年已然深入到社会的方方面面。与此同时，很多之前没有考虑到的问题也都暴露出来，比如IP地址资源正在逐渐枯竭。人们在寻求IPv4替代方案的同时，也在积极研究各种技术来减少对IP地址的消耗，其中最出色的技术之一就是NAT技术（人们平时常说的NAT其实就是源NAT）。源NAT技术通过对报文的源地址进行转换，使大量私网用户可以

NAT篇一墙当关

万夫上网——源NAT（上篇）

转载精选 2014-11-20 11:45:36 2289 阅读

NAT篇 NAT Server 基础篇

学校或公司的私网通常会有一些服务器需要提供给公网用户访问。但网络部署时，服务器地址一般都会被配置成私网地址，这样服务器就不能直接使用自身的地址来提供服务了。那么，防火墙作为学校或企业的出口网关时，是如何应对这个问题的呢？如果小伙伴们有读过强叔的源NAT篇，聪明的你一定会想到，防火墙是不是也可以将服务器的私网地址通过NAT转换成公网地址来提供服务呢？Bingo！你的大方向已经对了。不过，源NAT是对

NAT篇 NAT Server 基础篇

转载精选 2014-11-20 11:42:31 1014 阅读

NAT篇 NAT Server 基础篇

学校或公司的私网通常会有一些服务器需要提供给公网用户访问。但网络部署时，服务器地址一般都会被配置成私网地址，这样服务器就不能直接使用自身的地址来提供服务了。那么，防火墙作为学校或企业的出口网关时，是如何应对这个问题的呢？如果小伙伴们有读过强叔的源NAT篇，聪明的你一定会想到，防火墙是不是也可以将服务器的私网地址通过NAT转换成公网地址来提供服务呢？Bingo！你的大方向已经对了。不过，源NAT是对

NAT篇 NAT Server 基础篇

转载精选 2014-11-20 11:42:27 1931 阅读

NAT篇双剑合璧，无往不利——双向NAT

经过前面几篇贴子的介绍，相信大家已经对源NAT和NAT Server有了相当了解。NAT功能就像一个武林高手，可内可外，游刃有余，那么这“一内一外”能否配合使用呢？答案当然是肯定的！如果需要同时改变报文的源地址和目的地址，就可以配置“源NAT+NAT server”，华为防火墙称此类NAT配置为双向NAT。这里要注意：双向NAT不是一个单独的功能，他仅仅是源NAT和NAT Server的组合。这里

NAT篇双剑合璧

无往不利——双向NAT

转载精选 2014-11-20 11:35:13 10000+阅读

NAT篇 NAT Server 三十二字真言（下篇）

本期强叔将会给大家阐释三十二字真言的后半段：一分为二，源进源回；虚实变换，合二为一。一分为二，源进源回防火墙作为出口网关，双出口、双ISP接入公网时，配置NAT Server通常需要一分为二，让一个私网服务器向两个ISP发布两个不同的公网地址供访问。一分为二的方法有两种：第一种是将接入不同ISP的公网接口规划在不同的安全区域中，配置NAT Server时，带上zone参数，使同一个服务器向不同安全

NAT篇 NAT Server 三十二字

转载精选 2014-11-20 11:13:47 4391 阅读 1收藏

NAT篇 NAT Server 三十二字真言（上篇）

NAT Server基础篇放出来后，论坛的小伙伴大呼不过瘾。为了感谢大家的支持，强叔挑灯夜战，总算是把三十二字真言的前半段内容给赶制出来了。还记得真言前十六个字的内容吗？—— 一正一反，出入自如；去反存正，自断出路。一正一反，出入自如所谓入，是指公网用户访问私网服务器；所谓出，是指私网服务器主动访问公网。下面强叔就要向大家展示下防火墙配置NAT Server后，如何做到公网用户和私网服务器之间的出

NAT篇 NAT Server 三十二字

转载精选 2014-11-20 10:57:11 6237 阅读 2收藏

配置NAT后为什么要同时配置黑洞路由

在NAT篇和拍案惊奇系列中，强叔多次提到配置NAT的同时要配置黑洞路由，避免路由环路，很多人对此不太理解，今天强叔就来为大家详细介绍其中缘由。首先我们用eNSP模拟一个典型的源NAT环境： NAT地址池地址是202.1.1.10，防火墙与路由器互联接口地址的掩码是30位，与NAT地址池地址不在同一网段。防火墙上配置了一条缺省路由，下一跳是202.1.1.2，这样就能把私网PC访问公网Se

配置NAT后为什么要同时配置黑洞路由

转载精选 2014-11-20 10:41:27 3990 阅读 1点赞 1收藏 1评论

USG出口网关双链路三个典型举例

出口网关双链路接入不同运营商举例一USG作为校园或大型企业出口网关可以实现内网用户通过两个运营商访问Internet，还可以实现外网用户访问内网服务器，并保护内网不受网络攻击。组网需求某学校网络通过USG连接到Internet，校内组网情况如下：校内用户主要分布在教学楼和宿舍区，通过汇聚交换机连接到USG。图书馆内部署的两台服务器是该校主页、招生及资源共享等网站。学校分别通过两个不同运营商（ISP

USG出口网关双链路三个典型举例

转载精选 2014-11-20 09:56:52 1412 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

hanjh8