华为防火墙的local Trust Untrust DMZ 【转发】

防火墙用于网络之间的隔离，专业的讲用于保护一个安全区域免于另外一个安全区域的网络攻击和入侵行为。防火墙是基于安全区域的，一般厂商都是有这个概念的。安全区域（Security Zone），也称之为区域（Zone），是一个逻辑的概念。用于管理防火墙设备安全需求相同的多个接口。它是一个或者多个的接口集合，管理员需要对安全需求相同的接口进行分类。并划分到不同的安全域，以实现安全策略的统一管理。

安全级别（Security Level）在华为防火墙上，每一个安全区域都有一个唯一的级别设定。用1~100的数字表示，数字越大，说明该区域的网络越可信。对于默认的安全区域，它们的安全级别是固定的。

local：区域的安全级别是100

trust：区域的安全级别是85

DMZ：区域的安全级别是50

Untrust：区域的安全级别是5

华为防火墙默认定义了四个固定的安全区域

Trust：该区域的网络受信任程度高，通常用来定义内部用户所在的网络。

Untrust：该区域代表的是不受信任的网络，通常用来定义Internet。

DMZ：（Demilitarized非军事区）：该区域的网络受信任程度中等，通常用来定义内部服务器（如ERP,OA等）所在网络。

说明：DMZ这一术语起源于军方，指的是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。

Local：防火墙上提供了Local区域，代表防火墙本身。比如防火墙主动发起的报文（如防火墙上执行ping）以及抵达防火墙自身的报文（我们要网管防火墙http、https、ssh、telnet）

PS:默认的安全区域无需创建，也不能被删除，同时安全级别也不能重新分配。USG防火墙最多支持32个安全区域。

local区域中不能添加任何接口，但是防火墙上所有接口都隐含属于lacal区域。也就是说，报文通过接口去往某网站时，目标安全区域也就是该接口local安全区域；报文通过接口到达防火墙本身时。目标安全区域也就是该接口的Local安全区域。

安全区域分析，如下图；

 

 

 

 

 

 

 

从图中我们可以看出防火墙1号接口和2号接口联接到两个不同的运营商，它们属于同一个安全区域Untrust,防火墙3号接口属于Trust安全区域,防火墙4号接口属于DMZ安全区域。
当内部用户访问互联网时，源区域是Trust，目的区域是Untrust;
当互联网用户访问DMZ服务器时，源区域是Untrust，目的区域是DMZ;
当互联网用户网管防火墙时，源区域是Untrust，目的区域是Local;
当防火墙向DMZ服务器发起ICMP流量时，源区域是Local，目的区域是DMZ。
了解安全区域之间的数据包流动对后续安全策略是很有帮助的。

 

 

 

 

区域的作用：
**
1.安全策略都基于区域实施
2.在同一区域内部发生的数据流动是不存在风险的，不需要实施任何安全策略。
只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相应的安全策略。
3.一个接口只能属于一个区域，而一个区域可以有多个接口。
**

DMZ区域，
**
1.两个防火墙之间的空间被称为DMZ。与Internet相比，DMZ可以提供更高的安全性，但是其安全性比内部网络低。
2.服务器 内 外网都可以访问,但还是与内网隔离.
就算是黑客把DMZ服务器拿下,也不能使用服务器来控制内网的网络.起到安全的策略
**

Trust区域，
**
可信任的接口.是局域网的接口.此接口外网和DMZ无法访问.
外部不能访问trust口
DMZ不能访问trust口
**

Untrust区域
**
不信任的接口,是用来接internet的,这个接口的信息内网不接受
可以通过untrust口访问DMZ,但不能访问trust口**

**

重点：

华为防火墙系统默认的系统 默认区域有四个，且优先级不能更改:非受信区(Untrust) 优先级5，非军事化区(DMZ)优先级50,受信区(Trust) 优先级85，本地区域(Local) 优先级100;如不满组网需求，可自行创建安全区域，数量最大为16个(包含默认4个)，但是优先级不能与现有区域优先级相同。
**

扩展：
1、域基本分为：local、trust、dmz、untrust这四个是系统自带不能删除，除了这四个域之外，还可以自定义域。
2、域等级local>trust>dmz>untrust,自定义的域的优先级是可以自己调节的。
3、域与域之间如果不做策略默认是deny的，即任何数据如果不做策略是通不过的，如果是在同一区域的就相当于二层交换机一样直接转发。
4、当域与域之间有inbound和outbound区分，华为定义了优先级地的域向优先级高的域方向就是inbound，反之就是outbound

 

 

 

转自

华为防火墙关于安全域 local Trust Untrust DMZ 定义 - skyworker - 博客园
https://www.cnblogs.com/vlus/p/14601687.html

版权声明：本文为CSDN博主「冷鞘」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_38891369/article/details/107064051

誉天安全技术专栏：防火墙安全策略_区域_流量_Trust
https://it.sohu.com/a/579763431_445400