草庐IT

防火墙应用层过滤

微笑的段嘉许 2023-03-28 原文

防火墙应用层过滤

?博客主页： ​​微笑的段嘉许博客主页​​

?欢迎关注?点赞?收藏⭐留言?

?本文由微笑的段嘉许原创！

?51CTO首发时间：?2022年10月12日?

✉️坚持和努力一定能换来诗与远方！

?作者水平很有限，如果发现错误，一定要及时告知作者哦！感谢感谢！

⭐本文介绍⭐

面对各种?行为，华为欸防火墙提供了强大的防护能力、VPN功能及应用层的探测识别技术。而应用层过滤技术则可以更有针对性地加固企业地安全建设。所谓的应用层过滤，就是针对OSI的七层报头做检查，其工作效率虽然比传统的包过滤防火墙低，但是其对安全性的提升确是普通防火墙所不具备的。加之随着计算机的发展，今天的硬件处理速度已经不再成为网络瓶颈，所以一款防火墙是否具备应用层探测，能够探测多少应用已经成为衡量防火墙好坏的主要标准。本文重点介绍华为的应用层技过滤技术和实验配置。


?理论讲解：

文件类型过滤

文件类型过滤是根据文件的类型对通过防火墙的文件数据进行过滤的安全机制。随着网络技术的不断发展，如何防止用户的个人信息泄露及保证公司的机密数据安全成为企业网络安全建设的重要组成部分。传统的防火墙过滤企业及葛藤的隐私信息，而互联网中的bingdu木-马等文件通常附着在特定的文件类型过滤功能可以基于以下内容识别：

  • 应用：承载文件传输的应用协议，如HTTP、FTP、SMTP、NFS、SMB、IMAP。
  • 方向：文件传输的方向，如上传或下载。
  • 类型：文件的实际类型，如一个可执行文件（EXE 扩展名）被?者恶意将扩展名修改为PDF，防火墙通过对内容分析依然判定为可执行文件。
  • 扩展名：文件的扩展名类型，如DOC、RRT等。
防火墙的文件类型过滤允许只当若干条规则进行匹配，一旦匹配到某条规则，则按照该规则的配置动作处理流量、动作的类型如下：

  • 允许：默认动作，允许文件传输。
  • 警告：允许文件传输，同时记录日志。
  • 阻断：阻断文件传输，同时记录日志。
?友情提示：

防火墙除了用户自定义规则外，还可以基于文件过滤全局配置处理异常流量，如可以检查压缩文件的层数和文件大小，防火墙会根据预设值（一般采用默认值即可）采取相应的处理动作。

内容过滤

内容过滤是一种对通过防火墙的文件内容进行过滤的安全机制。内容过滤一般配合为念类型过滤实现最佳的防护效果。当今企业在注重安全的同时，也比较看重网络效率。通过文件类型可以在一定程度上减少员工泄密及发生安全事故的概率，但无法有针对性地对文件内容执行检查，从而发现是否违规数据。如企业为了禁止员工泄密，阻断所有地办公文档类型，这种方式在达到目的地同时，也严重影响了员工地办公效率，一些正常地邮件业务来往也将受到影响。而内容过滤可以通过检查文件内容，从而判断该流量是否违规。内容过滤可以解决一下问题：

  • 阻断机密信息传输，降低员工泄密地风险。
  • 降低员工因浏览敏感信息而给公司带来法律风险地概率。
  • 提高工作效率，阻断员工浏览与工作无关地内容。
防火墙过滤的内容如表：

应用/协议

过滤内容

HTTP

上传：发布的微博内容、论坛发帖内容、搜索时输入的内容、提交的表单内容、上传文件名称。下载：浏览网页的内容、使用HTTP下载文件的内容

FTP

上传和下载文件的名称

SMTP

发送的邮件标题、正文和附件名称

POP3

接收的邮件标题、正文和附件名称

IMAP

接收的邮件标题、正文和附件名称

FLASH

FLASH文件的名称

SMB

共享文件的名称

网页邮件

网页邮件的标题、正文和附件名称

防火墙的内容过滤功能通过“关键字”识别流量中的敏感信息，根据配置的动作来处理流量。关键字可以基于公司的实际情况进行定义（如公司机密、色情、暴力或其他违规信息），也可以使用预定义关键字（银行卡号、信用卡号、社会安全号、身份证号等）。关键字也支持模糊匹配（正则表达式）。

防火墙的内容过滤允许指定若干条规则进行匹配，一旦匹配到某条规则，则按照该规则的匹配动作处理流量。动作的类型如下：

  • 警告：识别出关键字后，允许传输文件内容，同时记录日志。
  • 阻断：识别出关键字后，拒绝传输文件内容，同时记录日志。
  • 按权重操作：每个关键字都配置一个权重值，每当匹配到关键字后，将根据关键字的匹配次数进行权重值的累加，如果累加后的权重值结果大于等于"警告阈值"并且小于"阻断阈值"，将执行"警告"动作；如果累加后的权重值结果大于等于"阻断阈值"，将执行"阻断"动作。

URL过滤

当用户请求的URL资源匹配防火墙中的URL规则时，防火墙将根据URL规则的动作允许/拒绝该请求，同时发送回送页面。防火墙的URL过滤功能基于一下方式实现。

  • 黑名单：防火墙将收到的请求与配置的白名单进行匹配，如果匹配成功，则拒绝该请求，并向发送则发送错误页面。
  • 白名单：防火墙将收到的URL请求与配置的白名单进行匹配，如果匹配成功，则允许银狐发送请求。
  • URL分类查询：防火墙根据用户访问的URL分类来决定是否允许用户发送该URL请求。URL分类包含自定义分类和预定义分类，其中自定义分类由用户自行定义，预定义分类时系统默认已经定义好的分类（可以从华为的安全中心升级）。一个URL分类可以包含若干条URL，一条URL可以属于多个分类。预定义分类分为两种查询方式。一种是本地缓存查询方式，通常情况下设开机启动时，会将预定义分类信息加载到缓存里。当防火墙收到一个URL请求时，首先会在缓存中查询该URL对应的分类。如果查询到对应的URL分类，则按照该URL分类配置和的响应动作进行处理。当处理动作为拒绝时，向发送则发送WEB推送页面。如果缓存中无法查询到分类信息，则向远程分类服务器继续查询，这也是第二种查询方式。远程分类服务器一把部署在互联网，提供更庞大的URL分类信息。如果在远程分类服务器查询到匹配的分类，则按照该URL分类配置的响应动作进行处理，同时将该URL分类信息保存到本地缓存中，以便下次快速查询。当处理动作为拒绝时，向发送者发送WEB推送页面。如果查询不到，则按照分类为"其他"的响应动作进行处理。
  • 允许：只允许用户访问请求的URL。
  • 警告：只允许用户访问请求的URL，同时记录日志。
  • 阻断：只阻断用户访问请求的URL，同时记录日志。
防火墙中存在一个URL过滤的默认配置文件，名称default。该文件默认配置恶意网站的响应动作为阻断，其他URL分类的默认动作为允许。默认配置文件不能被修改和删除。

​ 在配置URL过滤时，要确保华为防火墙可以通过互联网访问华为的安全服务中心（​​http://sec.huawei.com​​）。建议配置防火墙的域名解析。

?实验配置与实现：

拓扑图：

推荐步骤：

将防火墙添加到指定的区域配置IP地址，给路由和服务器配置IP地址设置正确网关，配置服务器伟FTP服务器

FW1防火墙访问外网配置默认路由，R1访问Trust和DMZ区域配置静态路由

配置安全策略允许Trust和DMZ访问Untrust，配置安全策略允许Untrust访问DMZ区域的ftp服务器

配置Easy-IP的NAT将Trust区域访问Untrust区域流量映射到防火墙外网端口上

配置Nat Server将DMZ服务器的21号端口映射到192.168.20.3的21号端口

验证内网PC1和PC2访问外网抓包防火墙外网接口查看地址转换信息

外网Client访问DMZ发布到Untrust区域IP地址FTP

实验步骤：

一、将防火墙添加到指定的区域配置IP地址，给路由和服务器配置IP地址设置正确网关

1、将防火墙接口划分到指定的区域

1）防火墙接口划分区域

2、接口配置IP地址，允许ping防火墙

1）接口配置IP地址

2）查看配置的IP地址

3）允许ping防火墙

3、路由器接口配置IP地址、

1）路由器R1配置IP地址

2）查看配置的IP地址

4、客户端和服务器配置IP地址

1）FTP-server配置IP地址

2）PC1配置IP地址

3）PC2配置IP地址

4）PC3配置IP地址

5）client1配置IP地址

二、FW1防火墙访问外网配置默认路由，R1访问Trust和DMZ区域配置静态路由

1、防火墙访问外网配置默认路由

1）在FW1上配置一条去40.0的默认路由

2）查看配置表

2、R1访问Trust和DMZ区域配置静态路由

1）R1配置一条去10.0的静态路由和30.0的静态路由

2）查看路由表

三、配置安全策略允许Trust和DMZ访问Untrust，配置安全策略允许Untrust访问DMZ区域的ftp服务器

1、配置安全策略允许Trust访问Untrust区域

1）允许Trust访问Untrust区域

2、配置安全策略允许DMZ访问Untrust区域

1）允许DMZ访问untrust区域

3、配置安全策略允许Untrust访问DMZ区域

1）允许untrust访问DMZ区域

四、配置Easy-IP的NAT将Trust区域访问Untrust区域流量映射到防火墙外网端口上

1、配置Easy-IP的NAT将Trust区域访问Untrust区域流量映射到防火墙外网接口上

1）配置NAT地址策略

2）查看防火墙状态化连接表

五、配置NatServer将DMZ服务器的21号端口映射到192.168.30.2的21号端口

1、配置Nat Server 将DMZ服务器的21号段哦口映射到192.168.20.3 的21号端口

1）将服务器的21号端口映射到192.168.20.3的21号端口

2）配置应用层

六、验证内网PC1和PC2访问外网抓包防火墙外网接口查看地址转换信息

1、验证

1）PC1 ping PC2

2）使用抓包软件

七、Client访问DMZ发布到Untrust区域IP地址FTP

1、外网client访问DMZ发布到untrust区域的IP地址FTP

?作者水平很有限，如果发现错误，一定要及时告知作者哦！感谢感谢！

防火防火墙x-oss-processimage外网服务器防火墙过滤TrustDMZ云平台云计算私藏项目实操分享

有关防火墙应用层过滤的更多相关文章

  1. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  2. ruby-on-rails - Rails 应用程序之间的通信 - 2

    我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此

  3. ruby - 无法运行 Rails 2.x 应用程序 - 2

    我尝试运行2.x应用程序。我使用rvm并为此应用程序设置其他版本的ruby​​:$rvmuseree-1.8.7-head我尝试运行服务器，然后出现很多错误:$script/serverNOTE:Gem.source_indexisdeprecated,useSpecification.Itwillberemovedonorafter2011-11-01.Gem.source_indexcalledfrom/Users/serg/rails_projects_terminal/work_proj/spohelp/config/../vendor/rails/railties/lib/r

  4. ruby-on-rails - Rails 应用程序中的 Rails : How are you using application_controller. rb 是新手吗？ - 2

    刚入门rails，开始慢慢理解。有人可以解释或给我一些关于在application_controller中编码的好处或时间和原因的想法吗？有哪些用例。您如何为Rails应用程序使用应用程序Controller？我不想在那里放太多代码，因为据我了解，每个请求都会调用此Controller。这是真的？ 最佳答案 ApplicationController实际上是您应用程序中的每个其他Controller都将从中继承的类(尽管这不是强制性的)。我同意不要用太多代码弄乱它并保持干净整洁的态度，尽管在某些情况下ApplicationContr

  5. ruby-on-rails - 如何在我的 Rails 应用程序 View 中打印 ruby​​ 变量的内容？ - 2

    我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby​​中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R

  6. ruby-on-rails - 如何在 Gem 中获取 Rails 应用程序的根目录 - 2

    是否可以在应用程序中包含的gem代码中知道应用程序的Rails文件系统根目录？这是gem来源的示例:moduleMyGemdefself.included(base)putsRails.root#returnnilendendActionController::Base.send:include,MyGem谢谢，抱歉我的英语不好 最佳答案 我发现解决类似问题的解决方案是使用railtie初始化程序包含我的模块。所以，在你的/lib/mygem/railtie.rbmoduleMyGemclassRailtie使用此代码，您的模块将在

  7. ruby-on-rails - 事件管理员日期过滤器日期格式自定义 - 2

    是否有简单的方法来更改默认ISO格式(yyyy-mm-dd)的ActiveAdmin日期过滤器显示格式？ 最佳答案 您可以像这样为日期选择器提供额外的选项，而不是覆盖js:=f.input:my_date,as::datepicker,datepicker_options:{dateFormat:"mm/dd/yy"} 关于ruby-on-rails-事件管理员日期过滤器日期格式自定义，我们在StackOverflow上找到一个类似的问题： https://s

  8. 世界前沿3D开发引擎HOOPS全面讲解——集3D数据读取、3D图形渲染、3D数据发布于一体的全新3D应用开发工具 - 2

    无论您是想搭建桌面端、WEB端或者移动端APP应用，HOOPSPlatform组件都可以为您提供弹性的3D集成架构，同时，由工业领域3D技术专家组成的HOOPS技术团队也能为您提供技术支持服务。如果您的客户期望有一种在多个平台（桌面/WEB/APP，而且某些客户端是“瘦”客户端）快速、方便地将数据接入到3D应用系统的解决方案，并且当访问数据时，在各个平台上的性能和用户体验保持一致，HOOPSPlatform将帮助您完成。利用HOOPSPlatform，您可以开发在任何环境下的3D基础应用架构。HOOPSPlatform可以帮您打造3D创新型产品，HOOPSSDK包含的技术有：快速且准确的CAD

  9. 叮咚买菜基于 Apache Doris 统一 OLAP 引擎的应用实践 - 2

    导读：随着叮咚买菜业务的发展，不同的业务场景对数据分析提出了不同的需求，他们希望引入一款实时OLAP数据库，构建一个灵活的多维实时查询和分析的平台，统一数据的接入和查询方案，解决各业务线对数据高效实时查询和精细化运营的需求。经过调研选型，最终引入ApacheDoris作为最终的OLAP分析引擎，Doris作为核心的OLAP引擎支持复杂地分析操作、提供多维的数据视图，在叮咚买菜数十个业务场景中广泛应用。作者｜叮咚买菜资深数据工程师韩青叮咚买菜创立于2017年5月，是一家专注美好食物的创业公司。叮咚买菜专注吃的事业，为满足更多人“想吃什么”而努力，通过美好食材的供应、美好滋味的开发以及美食品牌的孵

  10. 【鸿蒙应用开发系列】- 获取系统设备信息以及版本API兼容调用方式 - 2

    在应用开发中，有时候我们需要获取系统的设备信息，用于数据上报和行为分析。那在鸿蒙系统中，我们应该怎么去获取设备的系统信息呢，比如说获取手机的系统版本号、手机的制造商、手机型号等数据。1、获取方式这里分为两种情况，一种是设备信息的获取，一种是系统信息的获取。1.1、获取设备信息获取设备信息，鸿蒙的SDK包为我们提供了DeviceInfo类，通过该类的一些静态方法，可以获取设备信息，DeviceInfo类的包路径为：ohos.system.DeviceInfo.具体的方法如下：ModifierandTypeMethodDescriptionstatic StringgetAbiList​()Obt

随机推荐