3. 华为防火墙域间流量处理完整流程

admin

华为防火墙处理域间流量的完整流程涉及多个关键步骤，从流量进入防火墙到最终转发或丢弃。以下是详细的流程说明：

1. 流量进入防火墙接口

• 入站接口：流量从源区域（如Untrust区域，代表外部不可信网络）进入防火墙的物理或逻辑接口。
  
• 区域关联：接口必须预先配置所属的安全区域（如Trust、Untrust、DMZ等），防火墙根据接口的区域属性识别流量的来源区域。
  

2. 区域间策略检查

• 域间包过滤策略：防火墙检查源区域和目标区域之间的包过滤策略（ACL或安全策略）。
  
• 策略匹配：根据五元组（源/目的IP、端口、协议）匹配策略规则。
  
• 动作执行：若匹配到允许规则，流量进入下一步处理；若匹配到拒绝规则或无规则，流量被直接丢弃。
  

3. 状态化检测（会话表处理）

• 会话表创建：对于允许的流量，防火墙生成会话表项，记录流量的五元组、状态（如TCP三次握手进度）及超时时间。
  
• 状态化转发：后续报文通过会话表快速匹配，无需重复策略检查，提升转发效率。
  

4. NAT处理（如配置）

• 源NAT（SNAT）：若流量从内网（Trust）到外网（Untrust），防火墙将源IP替换为出接口IP或NAT地址池IP。
  
• 目的NAT（DNAT）：若流量访问内网服务器（DMZ），防火墙将目的IP替换为服务器真实IP。
  
• NAT策略优先级：NAT处理通常在策略检查之后执行，但具体顺序可能因配置而异。
  

5. 安全服务处理

• 应用层检测：若启用应用层安全功能（如IPS、AV、URL过滤），防火墙对流量进行深度检测。
  
• 威胁识别：基于特征库匹配恶意内容，如病毒、攻击行为。
  
• 动作执行：根据检测结果执行阻断、告警或放行。
  

6. 路由查找与转发

• 路由表匹配：防火墙根据目的IP查找路由表，确定出站接口及下一跳。
  
• 等价多路径（ECMP）：若存在多条等价路由，按负载均衡策略选择路径。
  

7. 出站接口处理

• 出接口区域验证：确保出站接口所属区域与目标区域一致（如从Untrust到Trust需明确允许）。
  
• 出方向策略检查：部分配置可能要求对出站流量再次应用策略（取决于防火墙策略方向设置）。
  

8. 流量转发或丢弃

• 允许转发：若所有检查通过，防火墙将报文从出站接口转发至目标网络。
  
• 拒绝处理：若任一环节失败（如策略拒绝、NAT错误、路由不可达），防火墙丢弃报文并可能生成日志。
  

9. 日志记录与监控

• 日志生成：防火墙记录允许/拒绝的流量信息，包括时间、源/目的IP、策略动作等。
  
• 日志发送：日志可发送至Syslog服务器、安全中心或本地存储，供后续审计和分析。
  

关键配置要点

• 区域划分：明确接口所属区域，避免区域间策略冲突。
  
• 策略顺序：策略按优先级匹配，需合理排序（如先允许后拒绝）。
  
• NAT与策略协同：确保NAT后的IP在策略中正确匹配。
  
• 会话超时：根据协议类型调整会话超时时间，避免资源浪费。
  

示例场景

• 内网访问外网：Trust→Untrust，源NAT转换，策略允许HTTP/HTTPS。
  
• 外网访问内网服务器：Untrust→DMZ，目的NAT映射到服务器IP，策略允许特定端口。
  

通过以上流程，华为防火墙实现了对跨区域流量的精细化控制，结合状态化检测和深度安全服务，有效保障网络安全。