计算机网络 · 从零开始

外观

为什么路由器上有了 ACL，企业出口依然必须矗立一台专职“防火墙”？ ​

在前面的课程中，我们学习了路由器如何依靠路由表和基础的 访问控制列表（ACL）（访问控制列表）转发报文。许多初学者常有这样的疑问：

“路由器配置 deny ip any any 不也能拦截非法报文吗？为什么各大企业、数据中心还要花几十万专门采购独立的安全硬件——防火墙（Firewall）？”

根本原因在于：路由器与传统 ACL 是“患有严重健忘症”的无状态过客，而防火墙是“拥有清晰上下文记忆”的安全门禁官！

学完本课后，你将能够：

  1. 对比 无状态包过滤（Stateless Packet Filter）与状态检测（Stateful Inspection）的致命区别。
  2. 识记 华为防火墙默认四大安全区域及其固有安全级别（Priority）：Local 100、Trust 85、DMZ 50、Untrust 5。
  3. 掌握 区域间（Inter-zone）出方向（Outbound）与入方向（Inbound）的流量方向判定原则，以及同区域内（Intra-zone）通信默认规则。
  4. 精通 防火墙核心灵魂——会话表（Session Table）（Session Table） 的“首包建表、后续包及回包线速查表”工作流。

1. 传统 ACL 包过滤的“致命死穴” ​

设想内网员工小张（192.168.1.100）要访问公网上的百度网页（202.100.1.1:80）。 如果仅靠路由器的 ACL：

  1. 去程方向：路由器放行 源IP 192.168.1.100 $\to$ 目的IP 202.100.1.1:80 的出站流量。
  2. 回程方向：百度服务器必须把网页数据回送给小张（源IP 202.100.1.1:80 $\to$ 目的IP 192.168.1.100）。

此时管理员面临一个致命难题：

  • 如果在路由器外网口上配置 permit tcp 202.100.1.1:80 to 192.168.1.100，公网黑客只要伪造一个源端口为 80 的恶意攻击报文，就能堂而皇之穿透 ACL 直插内网！
  • 路由器完全无法判断：这个源端口为 80 的回程报文，究竟是小张主动发起的正常网页应答，还是黑客自导自演的主动入侵？

传统 ACL 只是孤立地、冷漠地逐包核对字段，完全没有连接上下文记忆能力。

2. 状态检测防火墙：诞生即拥有“记忆” ​

现代防火墙（Stateful Firewall）的革命性突破，在于引入了 会话表（Session Table）（会话表） 机制：

华为防火墙安全区域与状态检测会话表

  1. 首包触发建表（First Packet Processing）：
    • 当小张发起 TCP 握手的第一个 SYN 报文到达防火墙时，防火墙严格比对安全策略规则库（ACL、用户权限、时间段）。
    • 一旦策略允许放行，防火墙的控制平面和硬件 ASIC 芯片立即在内存中创建一张 动态会话表项（Session Entry），记录完整的五元组（源IP、源端口、目的IP、目的端口、协议），并标记连接状态为 SYN_SENT。
  2. 后续包与回程报文直接查表（Fast-Path Forwarding）：
    • 百度服务器回复的 SYN+ACK 报文到达防火墙外网接口时，防火墙根本不需要重新扫描一遍庞大上千条的安全策略库！
    • 硬件直接检索会话表，发现该报文的源、目的 IP 与端口完全吻合小张刚刚主动登记的反向会话，属于合法回包，直接毫秒级线速放行！
    • 如果外部黑客未等内网发包就主动往内网灌入报文，由于查不到任何已备案的会话表，防火墙在第 0.1 毫秒内便将其直接硬件丢弃（Drop）！

3. 华为防火墙核心基石：四大安全区域 ​

在华为防火墙（如 USG6000E 系列）中，接口不再像路由器那样彼此平等连通。防火墙的每一个物理或逻辑接口，必须且只能归属于一个 安全区域（Security Zone）（Security Zone）！

系统出厂时预置了四大不可删除的默认安全区域，并赋予了绝对固定的 安全级别（Priority，取值 1~100，数字越大越可信，出厂预置不可更改）：

安全区域名称缺省安全级别（Priority）区域定位与典型连接网络特殊规则与考点
Local（本地区域）100（最高）防火墙设备自身！ 包括主控板 CPU、协议栈（OSPF、BGP、IPsec、SSH、Web 网管等进程）。所有直接发给防火墙接口自身 IP，或由防火墙自身向外发送的报文，都归属 Local 区域！ 任何物理接口都不能加入 Local。
Trust（信任区域）85企业内部办公局域网。通常包含内网 PC、员工工作站、研发内网，属于受信任、受控环境。内网主动上网流量从这里发源。
DMZ（非军事隔离区）50对外公开服务器集群。例如企业的官方 Web 官网、企业邮件服务器、对外 API 网关。充当内网与外网之间的“安全缓冲区”，即便 DMZ 内服务器被黑客攻陷，也无法直接穿透到 Trust 内网。
Untrust（非信任区域）5（最低）不可控的外部网络。主要是 Internet 公网或不受管辖的第三方外联单位。黑客、扫描器、公网不可信流量来源。

IMPORTANT

安全区域的三大铁律（华为考试极高频核心考点）：

  1. 区域间互访（Inter-zone）缺省拒绝：从 Trust 到 Untrust、从 Untrust 到 DMZ、从 Trust 到 Local……只要跨越了不同区域，缺省策略全为 Deny，必须由管理员显式创建安全策略（Security Policy）方可通行！
  2. 同一区域内部（Intra-zone）缺省允许：如果接口 GE1/0/1 和 GE1/0/2 同时都加入了 DMZ 区域，它们内部主机之间相互通信，默认无条件直接放行，无需配置任何安全策略干预！
  3. 流量方向定义：
    • 出方向（Outbound）：报文从高安全级别区域流向低安全级别区域（例如 Trust 85 → Untrust 5）。
    • 入方向（Inbound）：报文从低安全级别区域流向高安全级别区域（例如 Untrust 5 → DMZ 50）。

4. 华为 VRP 防火墙典型配置实录 ​

在华为防火墙上将物理接口划入区域并放行内网出海流量的典型命令：

text
[FW1] firewall zone trust
[FW1-zone-trust] add interface GigabitEthernet 1/0/1   # 将连接内网的接口划入 Trust
[FW1-zone-trust] quit

[FW1] firewall zone untrust
[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 # 将连接公网的接口划入 Untrust
[FW1-zone-untrust] quit

# 配置安全策略：放行 Trust 内网员工访问公网 Untrust
[FW1] security-policy
[FW1-policy-security] rule name Allow_Trust_To_Internet
[FW1-policy-security-rule-Allow_Trust_To_Internet] source-zone trust
[FW1-policy-security-rule-Allow_Trust_To_Internet] destination-zone untrust
[FW1-policy-security-rule-Allow_Trust_To_Internet] source-address 192.168.10.0 mask 255.255.255.0
[FW1-policy-security-rule-Allow_Trust_To_Internet] action permit
[FW1-policy-security-rule-Allow_Trust_To_Internet] quit

执行后，一旦内网 PC 发送首包，管理员使用 display firewall session table 即可直观查阅防火墙内部生成的动态状态表：

text
<FW1> display firewall session table
 Current Total Sessions : 1
  tcp  VPN: public --> public  ID: a48f321b0
  Zone: trust --> untrust  TTL: 00:20:00  Left: 00:19:58
  Output-interface: GigabitEthernet1/0/2  NextHop: 202.100.1.254
  <--channel: none
  192.168.10.2:49812 --> 202.100.1.1:80 [202.100.1.1:80 --> 192.168.10.2:49812]

表中已完整记录了去程与回程的双向五元组映射，外网回包将直接顺理成章地被放行！

5. 课堂小结与真题实战 ​

  1. 传统 ACL 是无状态的单包过滤器，无法有效抵御外部伪造回包的入侵；状态防火墙依靠首包匹配建表、后续包及回包线速命中会话表实现安全闭环。
  2. 华为防火墙默认四大安全区域优先级：Local (100) > Trust (85) > DMZ (50) > Untrust (5)。
  3. 同安全区域内接口互访缺省允许；跨区域互访缺省全禁，必须配置安全策略。

华为 ICT 大赛真题精练 ​

华为 ICT 大赛 2024–2025 省初赛 · 真题 · 单选

关于华为防火墙默认安全区域及其安全级别（Priority）的描述，以下哪一项是完全正确的？

真题衍生 · 考点避坑 ​

真题衍生 · 判断题 · 单选

在华为防火墙上，GE1/0/1 和 GE1/0/2 口均加入到了 DMZ 区域。缺省情况下，若要实现从 GE1/0/1 连接的主机访问 GE1/0/2 连接的主机，管理员必须配置 Local 到 DMZ 的安全策略。