防火墙基础
华为Eudemon防火墙基础概念、技术、工作模式
整理ppt
防火墙基本概念－－会话
（Session）
• 会话
会话是状态防火墙的基础，每一个通过防火墙的会话都会在防 火墙上建立一个会话表项，以五元组（源目的IP地址、源目的 端口、协议号）为Key值；通过建立动态的会话表来可以提供 高优先级域更高的安全性，即如下图所示高优先级域可以主动 访问低优先级域，反之则不能够；防火墙通过会话表还能提供 许多新的功能，如加速转发，基于流的等价路由，应用层流控 等。
• ServerMap的实质 ServerMap表项本质上是一个三元组表项，五元组表项过于严格， 导致多通道协议不能通过防火墙，因为多通道协议再没有子通 道报文通过的时候，并不知道完整的5元组信息，只能预测到3 元组信息。
ServerMap表项就是用在NAT ALG、ASPF当中，满足多通道协议通 过防火墙设计的一个数据结构。
更新Session/匹配TACL
............
检测应用层状态转换
............
.
C <------->FIN<------> S .
C <----->FIN/ACK<----> S 删除Session/TACL
– 对于UDP应用：检测到第一个报文认为发 起连接，检测到第一个返回报文认为连接 建立,Session/TACL的删除取决于空闲超时。
整理ppt
ASPF基本工作原理－－多通道
例：FTP报文处理
协议
检查接口上的外发IP报文，确认为 基于TCP的FTP报文
ftp指令和应答
FTP 控制通道连接
server
port指令
FTP client
数据通道连接
计算机网络安全基础_第08章_防火墙技术
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
1．试验网络
在大多数情况下，应该在内部防火墙中设置这样的
网络，并给每个试验网络配置一台路由器并连接到参数
网络。而主要的包过滤工作在连接参数网络与内部主网
的路由器上完成。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
2．低保密网络 试验网络比较危险，但它对整个内部网的安全构成
的威胁还不是最大的。而许多内部网组织结构里面的资 源本身就固有一些非安全因素。比如，校园网中那些包 含学生公寓网点的部分就被认为是不安全的，单位企业 网中的那些演示网部分、客户培训网部分和开放实验室 网部分都被认为是安全性比较差的。但这些网又比纯粹 的外部网与内部网其它部分的交互要多得多。这些网络 称为低保密网。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
内部网需要防范的三种攻击有： 间谍：试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU 资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系 统或阻止授权用户访问内部网 （外部网）和服务器。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
8.1.6 内部防火墙
但有时为了某些原因，我们还需要对内部网的部分 站点再加以保护以免受其它站点的侵袭。因此，有时我 们需要在同一结构的两个部分之间，或者在同一内部网 的两个不同组织结构之间再建立防火墙（也被称为内部 防火墙）。
防火墙学习笔记
5防火墙一、防火墙基础防火墙通常位于两个信任程度不同的网路间（如：企业内部和internet之间），可以对两个网络之间的通信进行控制，从而保护内部网络的安全。
防火墙特征：1、逻辑区域过滤器2、使用NA T技术可以隐藏内部的网络结构3、自身的安全是有保障的4、可以主动防御攻击防火墙的组成：硬件+软件+控制策略控制策略分为两种：1、宽松的控制策略：除非明确禁止，否则就允许2、限制的控制策略：除非明确允许，否则就禁止按形态分类：硬件防火墙、软件防火墙按保护对象分类：单机防火墙、网络防火墙按防火墙的实现方式，分为三类：1、包过滤防火墙：只检测数据的报头，缺点是：a、无法关联数据包之间的关系b、无法适应多通道协议（比如：VPN）c、不检测应用层的数据2、代理型防火墙：所有的数据包都要经过防火墙才能访问到server，访问速度很慢3、状态检测防火墙：现在运用的防火墙主要都是状态检测防火墙华为防火墙的工作模式：1、路由模式：所有接口均有IP2、透明模式：所有接口均无IP3、混合模式：有的接口有IP，有的接口没有IP防火墙的局限性：1、防外不防内2、不能防御全部的安全威胁，特别是新产生的危险3、在提供深度监测功能和处理转发性能之间需要做平衡4、当使用端到端的加密时，防火墙不能对加密的隧道进行处理5、防火墙本身会存在一些瓶颈，如抗攻击能力，会话限制等防火墙的区域和优先级：1、local区域，优先级1002、trust区域，优先级853、DMZ区域，优先级504、untrust区域，优先级5这些防火墙内设区域的优先级和名字都是无法改变的，优先级低的区域不能访问优先级高的区域（思科），华为设备如果防火墙策略允许可以突破区域访问限制。
防火墙上的所有接口本身都属于local区域，如果把一个接口划分到了trust区域，是指该接口下的设备属于trust区域，接口本身永远属于local区域。
Inbound与Outbound定义：高优先级的访问低优先级：Outbound，反之则是：Inbound安全区域与接口的关系：1、防火墙不允许存在两个具有完全相同安全级别（既优先级相同）的安全区域2、防火墙不允许同一物理接口分属于两个不同的安全区域3、防火墙的不同接口可以属于同一个安全区域防火墙支持的功能：路由器、交换机支持的功能，防火墙都支持衡量防火墙好坏的指标：1、吞吐量：防火墙能同时处理的最大数据量有效吞吐量：除掉因TCP的丢包和超时重发的数据，实际每秒传输的有效速率2、延时：数据包的最后一个比特进入防火墙到第一个比特输出防火墙的时间间隔，是用来衡量防火墙处理数据的速度的理想指标3、每秒新建连接数：指每秒可以通过防火墙建立起来的完整的TCP链接数4、并发连接数：指防火墙可以同时容纳的最大连接数目，一个连接就是一个TCP/UDP的访问防火墙实验拓扑图以后章节所讲的内容都基于此图：默认的情况下，防火墙是有一些配置的：G0/0/0接口的IP地址为：192.168.0.1/24，配置了基于接口的DHCP，且G0/0/0默认属于trust区域。
计算机网络与信息安全课件-第7章-防火墙基础
第七章防火墙技术防火墙的本义是指古代构筑和使用木制构造房屋的时候，为防止火灾的发生和蔓延，人们将巩固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙〞。
与防火墙一起起作用的就是“门〞。
如果没有门，各房间的人将无法沟通。
当火灾发生时，这些人还须从门逃离现场。
这个门就相当于我们这里所讲的防火墙的“平安策略〞，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小门的墙。
这些小门就是用来留给那些允许进展的通信，在这些小门中安装了过滤机制。
网络防火墙是借鉴了古代真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。
防火墙可以使企业内部局域网〔LAN〕网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络，防止发生不可预测的、潜在破坏性的侵入。
典型的防火墙具有以下三个方面的根本特性：〔1〕内部网络和外部网络之间的所有网络数据流都必须经过防火墙这是防火墙所处网络位置特性，同时也是一个前提。
因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业内部网络不受侵害。
根据美国国家平安局制定的?信息保障技术框架?，防火墙适用于用户网络系统的边界，属于用户网络边界的平安保护设备。
所谓网络边界即是采用不同平安策略的两个网络的连接处，比方用户网络和Internet之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。
防火墙的目的就是在网络连接之间建立一个平安控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的效劳和访问的审计和控制。
〔2〕只有符合平安策略的数据流才能通过防火墙防火墙最根本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速地从一条链路转发到另外的链路上去。
从最早的防火墙模型开场谈起，原始的防火墙是一台“双穴主机〞，即具备两个网络接口，同时拥有两个网络层地址。
防火墙将网络流量通过相应的网络接口接收上来，按照协议栈的层次构造顺序上传，在适当的协议层进展访问规那么和平安审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文那么予以阻断。
防火墙的基本概念
防火墙的基本概念一、什么是防火墙防火墙（Firewall），是计算机网络安全技术的基础。
它是靠一系列的软件或硬件设备，来保护内部网络免受外部网络（互联网，其它的局域网，以及远程主机）恶意攻击的一个技术防御系统。
防火墙把信息传来传去的入口控制在最小，它能够拒绝未经授权的信息流通，对内部网络进行有效保护。
二、防火墙的工作原理防火墙的工作原理是通过检查信息包的源地址、目的地址、端口号等属性，来决定这个信息包是否有权通过，从而阻止不属于白名单中的攻击者攻击内部网络，并且拒绝从外边发来的不属于白名单中的内容，从而达到防止攻击者攻击内部网络的目的。
三、防火墙的特点1、可以设置访问控制规则，对信息进行过滤，实现信息安全和安全可靠。
2、可以根据业务需求，选择不同的协议，实现安全的网络通讯。
3、可以防止未经许可的数据包进入和离开网络，实现信息的安全管理。
4、可以保证网络的安全性和可用性，降低网络攻击的风险。
四、防火墙的类型1、软件防火墙软件防火墙是在一台PC上安装的一款软件，安装后可以进行网络流量的过滤，管理及监控，实现对PC的网络安全保护。
2、硬件防火墙硬件防火墙是一台或多台专用服务器，安装在网络的入口处，硬件防火墙可以检查、过滤网络流量，拒绝未经授权的访问，实现网络安全保护的功能。
3、有状态防火墙有状态防火墙是一种动态的防火墙，它可以记住防火墙中每一次交易会话的记录，会话由一个相关性交易的序列构成，基于此机制，有状态防火墙能够只允许在正确地建立了交易会话的情况之中，进行的数据流量的通过。
4、无状态防火墙无状态防火墙是一种静态的防火墙，它不会记录任何关于交易会话的记录，每次传入的数据包都是独立的，会根据指定的策略过滤这些数据包，是防火墙中应用最广泛的类型。
QCCP-PS-NGFW-01-防火墙基础知识
下一代防火墙（NGFW）第一章防火墙基础知识概要本章节主要学习防火墙基础知识，学习防火墙发展历史，理解防火墙的核心功能，以及安全域的基本理论。
学习内容⏹了解防火墙产生原因⏹理解防火墙定义⏹了解防火墙的发展历史⏹了解防火墙的主要性能⏹理解防火墙的两个核心功能⏹掌握安全域的基本概念⏹理解下一代防火墙产品架构的特点CONTENTS ⏹防火墙概述⏹防火墙的前世今生⏹安全域和边界防御思想⏹防火墙产品标准⏹下一代防火墙产品架构（1）持续演进的网络安全问题？（2）如何对网络边界进行防护？防火墙产生的原因恶意木马程序计算机病毒网络安全威胁威胁网络边界防护外部外边界外部边界内部边界防火墙（Firewall）是设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。
GB/T 20281—2015《信息安全技术防火墙安全技术要求和测试评价方法》中对防火墙定义为，部署于不同安全域之间，具备网络层访问控制及过滤功能，并具备应用层协议分析、控制及内容检测等功能，能够适用于IPv4、IPv6等不同的网络环境的安全网关产品。
两个安全域之间通信流的唯一通道安全域1Host AHost B安全域2Host CHost DUDPBlockHost CHost BTCP Pass Host C Host A Destination Protocol Permit Source 根据访问控制规则决定进出网络的行为（1）“隔离”：在不同信任级别的网络之间砌“墙”；（2）“访问控制”：在墙上开“门”并派驻守卫，按照安全策略来进行检查和放通。
DMZ研发部销售部市场部数据中心移动办公用户分支机构分支机构一个典型的企业网防火墙部署位置功能点描述基础组网和防护功能防火墙可以限制非法用户进入内部网络，比如黑客、网络破坏者等，禁止存在安全脆弱性的服务和未授权的通信数据包进出网络，并对抗各种攻击。
记录监控网络存取与访问防火墙可以收集关于系统和网络使用和误用的信息并做出日志记录。
防火墙基础知识大全科普
防火墙基础知识大全科普所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，下面就让小编带你去看看防火墙基础知识大全科普，希望对你有所帮助吧防火墙有哪些分类?不同防火墙有什么特点?正规的数据中心中，防火墙是必不可少的，要了解防火墙我们先要知道什么是防火墙，以及它的工作原理。
什么是防火墙?防火墙是监视网络流量的安全设备。
它通过根据一组既定规则过滤传入和传出的流量来保护内部网络。
设置防火墙是在系统和恶意攻击之间添加安全层的最简单方法。
防火墙如何工作?防火墙放置在系统的硬件或软件级别，以保护其免受恶意流量的攻击。
根据设置，它可以保护单台计算机或整个计算机网络。
设备根据预定义规则检查传入和传出流量。
通过从发送方请求数据并将其传输到接收方来进行Internet上的通信。
由于无法整体发送数据，因此将其分解为组成初始传输实体的可管理数据包。
防火墙的作用是检查往返主机的数据包。
不同类型的防火墙具有不同的功能，我们专注于服务器租用/托管14年，接下来网盾小编来谈谈防火墙有哪些分类以及他们有哪些特点。
软件防火墙软件防火墙是寄生于操作平台上的，软件防火墙是通过软件去实现隔离内部网与外部网之间的一种保护屏障。
由于它连接到特定设备，因此必须利用其资源来工作。
所以，它不可避免地要耗尽系统的某些RAM和CPU。
并且如果有多个设备，则需要在每个设备上安装软件。
由于它需要与主机兼容，因此需要对每个主机进行单独的配置。
主要缺点是需要花费大量时间和知识在每个设备管理和管理防火墙。
另一方面，软件防火墙的优势在于，它们可以在过滤传入和传出流量的同时区分程序。
因此，他们可以拒绝访问一个程序，同时允许访问另一个程序。
硬件防火墙顾名思义，硬件防火墙是安全设备，代表放置在内部和外部网络(Internet)之间的单独硬件。
此类型也称为设备防火墙。
与软件防火墙不同，硬件防火墙具有其资源，并且不会占用主机设备的任何CPU或RAM。
防火墙技术的优化及应用实践
防火墙技术的优化及应用实践随着互联网技术不断发展，网络安全问题也日益突出。
防火墙技术作为企业网络安全的重要组成部分，批着网络攻击、内部安全漏洞等多方面的风险。
本文将从防火墙技术的基础知识入手，探讨防火墙技术的优化及应用实践。
一、防火墙技术基础防火墙是一种网络安全设备，作为网络边缘的第一道防线，用于限制网络流量，控制网络访问和数据传输，从而保护网络免于外部攻击。
防火墙主要工作原理包括：规则匹配、协议过滤、应用层过滤、入侵检测等。
在实际工作中，常用的防火墙技术包括网络地址转换（NAT）、虚拟专用网络（VPN）、负载均衡、IPsec等。
二、防火墙技术的优化策略针对传统防火墙技术的局限性，如性能瓶颈、单点故障、阻塞效应等，需要采取更加高效、灵活的优化策略，以更好地保障网络安全。
1.网络安全策略优化网络安全策略的优化是防火墙技术优化的重点。
优化策略包括：合理划分网络安全域、制定科学的访问控制策略、对外提供安全服务等。
基于网络安全管控的原则，可以采取分层次、分业务的网络安全划分方式，从而实现对每个业务的有效管控。
同时，对于不同类型的访问，也应设置不同的访问控制策略，从而确保网络访问安全。
2.防火墙设备配置优化防火墙的性能和配置直接影响着其使用的效果和成本。
针对网络流量、系统性能等方面，防火墙设备的配置应该优化，包括：网络拓扑规划、硬件选型、软件升级、资源优化等方面。
通过对设备进行定期检查、升级，可以提高设备的使用效率和安全性，同时降低运维成本。
3.安全机制策略优化安全机制策略优化是保证防火墙技术高效的重要手段。
针对网络访问的不同方式和数据传输的不同安全要求，可以采取RBAC、ACL、VPN等多种不同的安全机制策略。
RBAC访问控制策略可以针对不同角色的人员进行不同的访问控制；ACL访问控制策略则可以对不同类型的流量进行限制；VPN安全机制策略可以通过加密传输方式，防止数据泄漏等安全问题。
三、防火墙技术应用实践1.防火墙技术在大型企业中的应用在大型企业中，网络覆盖面广、业务流量大，安全问题尤为突出。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、防火墙概述1. 防火墙概述防火墙的主要作用是划分网络安全边界，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击。
与路由器相比防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率。
由于防火墙用于安全边界，因此往往兼备NAT、VPN等功能，并且在这方面的相比路由器更加强劲。
我司防火墙：Eudemon系列2. 防火墙分类包过滤防火墙(Packet Filtering)包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。
包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。
另外包过滤防火墙每个包都需要进行策略检查，策略过多会导致性能急剧下降。
代理型防火墙（application gateway）代理型防火墙使得防火墙做为一个访问的中间节点，对客户端来说防火墙是一个服务器，对服务器来说防火墙是一个客户端。
代理型防火墙安全性较高，但是开发代价很大。
对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。
状态检测防火墙状态检测是一种高级通信过滤，它检查应用层协议信息并且监控基于连接的应用层协议状态。
对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。
现在防火墙的主流产品都为状态检测防火墙二、防火墙的基础知识点1. 安全区域（Zone）的概念安全区域（Security Zone），或者简称为区域（Zone），是一个安全概念，大部分的安全策略都基于安全区域实施。
我们在防火墙上创建安全区域，并且定义该安全去区域的安全级别，然后将防火墙的接口关联到一个安全区域，那么该接口所连接的这个网络，就属于这个安全区域。
属于同一个安全区域的用户具有相同的安全属性。
Eudemon认为在同一安全区域内部发生的数据流动是不存在安全风险的，不需要实施任何安全策略。
只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相应的安全策略。
Eudemon防火墙上预设的安全区域：非受信区（Untrust）：低级的安全区域，安全优先级为5。
通常用于定义Internet等不安全的网络非军事化区（DMZ）：中度级别的安全区域，安全优先级为50。
通常用于定义内网服务器所在区域。
因为这种设备虽然部署在内网，但是经常需要被外网访问，存在较大安全隐患，同时一般又不允许其主动访问外网，所以将其部署一个安全级别比Trust低，但是比Untrust高的安全区域中。
受信区（Trust）：较高级别的安全区域，安全优先级为85。
通常用于定义内网终端用户所在区域。
本地区域（Local）：最高级别的安全区域，安全优先级为100。
【防火墙自身为Local区域】Local区域定义的是设备本身，包括设备的各接口本身。
凡是由设备构造并主动发出的报文均可认为是从Local区域中发出，凡是需要设备响应并处理（而不仅是检测或直接转发）的报文均可认为是由Local区域接受。
用户不能改变Local区域本身的任何配置，包括向其中添加接口。
用户可以自行设置新的安全区域并定义其安全优先级别，Eudemon防火墙最多支持16个安全区域（包括默认保存的五个安全区域）。
安全区域的规划用于可自定义安全区域，也可使用系统自带的安全区域，防火墙的一个接口只能属于一个特定区域，而一个区域可以包含多个接口，接口只有划分到区域中才能正常处理报文。
Local zone指的是设备本身，包括设备的各接口。
凡是发给防火墙的都可认为是发向Local 的，而防火墙始发的数据可以理解为来自Local。
因此若要访问防火墙端口IP，需开放与Local域之间的策略内部网络应安排在安全级别较高的区域外部网络应安排在安全级别最低的区域一些可对外部提供有条件服务的网络应安排在安全级别中等的DMZ区域安全区域的限制：防火墙不能够有两个拥有相同安全级别的区域防火墙的一个物理接口只能属于一个安全区域防火墙的多个接口可以同时属于一个安全区域系统自带的安全区域不能删除。
我们可以根据实际环境的需求配置自定义的安全区域。
相同区域内的不同接口间报文不过滤直接转发；一个报文如果在进、出端口时相同，该报文将被丢弃；接口没有加入安全区域之前不能转发包文。
2. 区域间（interzone）的概念安全域间这个概念用来描述流量的传输通道。
它是两个“区域”之间的唯一“道路”，如果希望对经过这条通道的流量进行控制，就必须在通道上设立“关卡”，也就是安全策略。
但是对于不需要经过这条通道的流量，例如在同一个安全域间内转发的流量，在安全域间下发的安全策略是不起作用的。
任何两个安全区域都构成一个安全域间（Interzone），并具有单独的安全域间视图，大部分的安全功能配置都在安全域间视图下配置。
例如上图，内网的PC与Internet的流量，就是需要过interzone trust untrust的策略。
而内网PC访问防火墙的接口，例如ping防火墙的接口，那么这些流量需要通过interzone trust local。
3. Inbound及Outbound安全域间的数据流动具有方向性，包括入方向（Inbound）和出方向（Outbound）：入方向（inbound）：数据由低级别安全区域向高级别安全区域传输的方向； 低——>高出方向（outbound）：数据由高级别安全区域向低级别安全区域传输的方向。
高——>低4 . 防火墙的工作模式路由模式防火墙每个接口连接一个网络，防火墙的接口地址是所连接子网的网关；报文首先通过入接口信息找到进入域信息，然后查找转发表，根据出接口找到出口域，再根据这两个域确定域间关系，最后按照配置在这个域间关系上的安全策略进行操作。
透明模式防火墙的接口不能配置IP地址，可被看作一台二层交换机。
透明模式的防火墙支持ACL规则检查、ASPF状态过滤、防攻击检查、流量监控等功能。
透明模式可以配置系统管理IP。
混合模式防火墙一部份接口工作在透明模式，一部分接口工作在路由模式。
混合模式主要是为了解决防火墙在透明模式下无法双机热备的问题，因为双机热备需要在接口上配置IP地址。
三、Eudemon的基本配置防火墙基础配置任务1.创建安全区域，将接口划分到特定安全区域2.（可选）修改默认的interzone策略3.配置interzone策略配置任务1：创建区域，添加接口到区域创建安全区域（如果是系统自带的安全区域，则无需创建）[Eudemon] firewall zone name ISP1[Eudemon-zone-ISP1] set priority 20将接口加入特定安全区域[Eudemon] firewall zone trust[Eudemon-zone-trust] add interface gi 1/0/1配置任务2：配置默认interzone安全策略开放所有域间默认策略（在测试阶段可以使用这个策略，但是正式上线后，禁止开放该默认192.168.20.3 0[Eudemon-policy-interzone-trust-untrust-outbound-0] policy service service-set ftp [Eudemon-policy-interzone-trust-untrust-outbound-0] action permitInterzone策略Interzone策略中的转发策略四、Eudemon基础配置示例防火墙FW的配置如下：#配置各接口IP[FW] interface GigabitEthernet0/0/1[FW-GigabitEthernet0/0/1] ip address 192.168.1.254 24 [FW] interface GigabitEthernet0/0/2[FW-GigabitEthernet0/0/2] ip address 10.1.1.254 24 [FW] interface GigabitEthernet0/0/3[FW-GigabitEthernet0/0/3] ip address 172.16.1.254 24#向安全区域中添加接口[FW] firewall zone trust[FW-zone-trust] add interface GigabitEthernet0/0/1[FW] firewall zone untrust[FW-zone-untrust] add interface GigabitEthernet0/0/2[FW] firewall zone dmz[FW-zone-dmz] add interface GigabitEthernet0/0/3#配置interzone策略，使得trust区域的192.168.1.0/24网段用户能够访问untrust区域的10.1.1.0/24网段。
[FW] policy interzone trust untrust outbound[FW-policy-interzone-trust-untrust-outbound] policy 0[FW-policy-interzone-trust-untrust-outbound-0] policy destination 10.1.1.0 0.0.0.255 [FW-policy-interzone-trust-untrust-outbound-0] policy source 192.168.1.0 0.0.0.255 [FW-policy-interzone-trust-untrust-outbound-0] action permit#配置interzone策略，使得untrust区域的10.1.1.0/24网段用户能够访问DMZ区域的web服务[FW] policy interzone dmz untrust inbound[FW-policy-interzone-trust-untrust-outbound] policy 0[FW-policy-interzone-trust-untrust-outbound-0] policy source 10.1.1.0 0.0.0.255 [FW-policy-interzone-trust-untrust-outbound-0] policy service service-set http ##若不指定service默认为service-set IP[FW-policy-interzone-trust-untrust-outbound-0] action permit完成上述配置后，PC1即可主动发起访问PC2，而PC2无法主动访问PC1；另外，PC2能够访问WebServer的HTTP服务。