1. 为什么要在模拟器里折腾防火墙区域划分很多人第一次接触企业级防火墙都是在模拟器里点开一台设备看到满屏的security-zone、firewall packet-filter之类的命令然后就开始犯迷糊明明交换机路由器配得好好的怎么到了防火墙这里接口还得先归队我当初也是这么过来的后来在几个真实项目里被折腾过几轮之后才明白防火墙和路由器最大的区别就在于——它默认不信任任何人所有流量都要先问一句你从哪个区来要到哪个区去。这篇内容就是围绕在模拟器里给防火墙做最简单的区域划分和配置这件事展开的。说白了就是教你把接口分到不同的安全区域里然后放行你需要的流量把不需要的挡在外面。它解决的是防火墙配完不通这个新手最常见的痛点适合刚接触网络安全设备、正在准备相关认证考试、或者需要在模拟环境里搭实验环境的同学参考。哪怕你之前只配过交换机和路由器跟着走一遍也能把区域这个概念吃透。我下面讲的所有操作都是基于模拟器里那台常见的防火墙设备来做的命令逻辑和真机基本一致你在模拟器里练熟了上真机也不会发怵。核心关键词就三个安全区域、接口划分、安全策略。把这三个搞明白防火墙最基础的配置就算入门了。2. 防火墙区域划分的整体设计思路2.1 先搞清楚防火墙和路由器的本质区别路由器的工作逻辑是我认识路我就转发它关心的是目的地址在哪、下一跳是谁。防火墙不一样它的工作逻辑是我先看看你是谁、从哪来、要去哪然后决定让不让你过。这个从哪来、到哪去的判断依据就是安全区域。你可以把安全区域理解成机场的安检分区。出发大厅是内部区登机口是外部区中间那个安检通道就是防火墙。从内部区到外部区安检相对宽松从外部区往内部区走那就要严查。防火墙里的区域也是这个道理不同区域之间的信任级别不一样默认的放行策略也不一样。在模拟器里防火墙通常预置了这么几个区域区域名称信任级别典型用途Trust85内网用户区Untrust5外网/互联网区DMZ50对外服务器区Local100防火墙自身Management100管理平面信任级别这个数字很关键它决定了默认情况下流量能不能过。高信任级别到低信任级别默认放行低到高默认拒绝。这就是为什么你把接口划到 Trust 和 Untrust 之后内网访问外网不用额外配策略就能通反过来就不行。2.2 为什么新手要先从三区域模型练起真实企业网络里区域可能划得很细什么办公区、生产区、服务器区、管理区十几个区域都有。但你在模拟器里练手我建议先把最经典的三区域模型吃透一个 Trust、一个 Untrust、一个 DMZ。原因很简单这三个区域覆盖了防火墙最核心的三种流量方向Trust 到 Untrust内网用户上网这是最常用的方向默认放行。Untrust 到 DMZ外网用户访问你对外发布的服务器需要精细控制。DMZ 到 Trust这个方向必须严格限制因为 DMZ 的服务器一旦被攻破不能让它长驱直入进内网。把这三个方向的策略都配一遍你就理解了防火墙分区而治的精髓。等这个练熟了再去扩展更多区域思路是一样的只是策略条目变多而已。2.3 接口划分的两种常见做法在模拟器里给接口划分区域有两种做法我分别说一下适用场景。第一种是物理接口直接划入区域。比如firewall zone trust进去然后add interface GigabitEthernet0/0/1。这种做法简单直接适合接口数量少、区域划分清晰的场景。缺点是接口和区域绑死了后期调整不够灵活。第二种是用子接口或者 VLANIF 接口划入区域。比如你先创建子接口GigabitEthernet0/0/1.10配好 VLAN 封装再把这个子接口加到区域里。这种做法适合一根物理线承载多个区域流量的场景企业里很常见。新手练手我建议先用第一种把逻辑跑通。等理解了区域和接口的关系再去玩子接口不然容易在 VLAN 封装那里卡住分不清是区域配错了还是 VLAN 没通。提示模拟器里防火墙的接口默认都在Untrust区域你如果不改直接配地址流量方向可能和你预期完全相反。所以配完接口第一件事就是确认它到底在哪个区。3. 核心细节解析与实操要点3.1 接口、区域、策略三者的关系这三个东西的关系我用一句话概括接口是门区域是楼层策略是门禁规则。接口是流量进出的物理通道你得先给接口配 IP 地址它才能工作。区域是逻辑分组你把接口塞进某个区域这个接口进来的流量就带上了这个区域的标签。策略则是基于区域标签来匹配的它不关心你具体是哪个接口只关心你从哪个区来、到哪个区去。这个设计的好处是解耦。你换一个物理接口只要还划在同一个区域里策略就不用改。你加十个接口到 Trust 区针对 Trust 到 Untrust 的策略还是那一条。这就是为什么企业网络里区域划分要提前规划好因为策略是跟着区域走的。在模拟器里配置的时候顺序很重要先配接口 IP 地址。再把接口划入对应区域。然后配安全策略放行流量。最后配路由如果需要。这个顺序不能乱。你接口还没划进区域策略里根本选不到对应的源区域和目的区域配了也是白配。3.2 安全策略的匹配逻辑安全策略是防火墙最核心的部分它的匹配逻辑是从上到下逐条匹配匹配到第一条符合条件的就执行动作不再往下看。这意味着策略的顺序非常关键。你把一条允许所有的策略放在最上面下面配再多精细的拒绝策略都没用因为流量在第一行就被放行了。反过来你把拒绝所有放最上面那下面所有允许策略都失效。正确的做法是精细策略在上宽泛策略在下。比如策略1允许 Trust 到 Untrust 的 HTTP 流量 策略2允许 Trust 到 Untrust 的 DNS 流量 策略3拒绝 Trust 到 Untrust 的所有流量这样只有 HTTP 和 DNS 能过其他都被最后一条挡掉。如果你把策略3放最上面那前两条就形同虚设。在模拟器里配策略的时候我建议你养成一个习惯每条策略都写清楚描述。比如description allow internal users to browse web。过两天你回头看没有描述的策略你根本记不住是干嘛的尤其是策略条目多起来之后。3.3 区域配置中的几个关键参数配区域的时候有几个参数新手容易忽略我单独拎出来说。信任级别。前面说了高到低默认放行低到高默认拒绝。但你可以手动改这个级别。比如你把某个区域的级别改成 90比 Trust 的 85 还高那从 Trust 到这个区域就变成低到高了默认就不通了。所以改级别之前想清楚别随手一改把默认行为搞反了。区域名称。模拟器里预置的区域名称是固定的你不能随便改 Trust 这个名字。但你可以新建自定义区域比如firewall zone name Office。新建的区域默认级别是 0你需要手动设置。接口加入区域的方式。有的版本用add interface有的版本在接口视图下用zone命令。你在模拟器里敲?看一下提示以实际设备为准。这个不用死记理解逻辑就行。注意一个接口只能属于一个区域。你不能把同一个接口同时加到 Trust 和 Untrust 里设备会报错。如果你需要一根线承载多个区域用子接口。4. 完整实操过程与核心环节实现4.1 实验拓扑规划我在模拟器里搭的实验拓扑是这样的一台防火墙三个接口分别连接三个区域。GigabitEthernet0/0/1连接内网 PC划入 Trust 区IP 设为192.168.1.1/24。GigabitEthernet0/0/2连接外网模拟设备划入 Untrust 区IP 设为202.100.1.1/24。GigabitEthernet0/0/3连接对外服务器划入 DMZ 区IP 设为172.16.1.1/24。内网 PC 的地址是192.168.1.10/24网关指向192.168.1.1。外网模拟设备的地址是202.100.1.2/24。DMZ 服务器的地址是172.16.1.10/24网关指向172.16.1.1。这个拓扑虽然简单但三个方向的流量都能覆盖到练手足够用了。4.2 接口地址配置与区域划分先进入防火墙的命令行配接口地址。system-view interface GigabitEthernet0/0/1 ip address 192.168.1.1 24 quit interface GigabitEthernet0/0/2 ip address 202.100.1.1 24 quit interface GigabitEthernet0/0/3 ip address 172.16.1.1 24 quit地址配完之后把接口划入对应区域。firewall zone trust add interface GigabitEthernet0/0/1 quit firewall zone untrust add interface GigabitEthernet0/0/2 quit firewall zone dmz add interface GigabitEthernet0/0/3 quit配完之后用display zone命令检查一下确认每个接口都在正确的区域里。这一步千万别省我见过太多次因为接口没划对区域导致策略不生效的情况。display zone输出里应该能看到 Trust 区里有GigabitEthernet0/0/1Untrust 区里有GigabitEthernet0/0/2DMZ 区里有GigabitEthernet0/0/3。如果哪个不对重新add一下。4.3 安全策略配置区域划好之后开始配策略。我按三个流量方向分别配。第一个方向Trust 到 Untrust允许内网用户上网。security-policy rule name trust_to_untrust source-zone trust destination-zone untrust source-address 192.168.1.0 24 action permit quit这条策略的意思是从 Trust 区来、到 Untrust 区去、源地址是192.168.1.0/24的流量放行。注意我没有限制目的地址和服务因为内网用户上网的目的地址是不确定的服务也是多样的。如果你要限制只能访问某些网站那就在这条策略里加目的地址和服务。第二个方向Untrust 到 DMZ允许外网访问对外服务器。rule name untrust_to_dmz_web source-zone untrust destination-zone dmz destination-address 172.16.1.10 32 service http service https action permit quit这条策略只放行了到172.16.1.10这台服务器的 HTTP 和 HTTPS 流量其他流量默认拒绝。这就是精细控制的体现外网只能访问你允许的服务不能随便扫你的 DMZ 区。第三个方向DMZ 到 Trust严格限制。rule name dmz_to_trust_deny source-zone dmz destination-zone trust action deny quit这条策略明确拒绝 DMZ 到 Trust 的所有流量。虽然默认行为就是拒绝但显式写一条拒绝策略一是让配置意图更清晰二是方便以后排查问题——你一看就知道这个方向是被明确拒绝的不是默认拒绝的。配完策略之后用display security-policy rule all检查一下确认策略条目和顺序都正确。4.4 路由配置与连通性验证策略配完还要配路由不然防火墙不知道往哪转发。ip route-static 0.0.0.0 0 202.100.1.2这条默认路由的意思是所有不知道往哪走的流量都扔给202.100.1.2也就是外网模拟设备。内网和 DMZ 的流量因为直连不需要额外配路由。配完之后开始验证。先从内网 PC ping 外网设备ping 202.100.1.2如果能通说明 Trust 到 Untrust 的方向没问题。然后从外网设备访问 DMZ 服务器的 HTTP 服务如果能打开说明 Untrust 到 DMZ 的方向也没问题。最后从 DMZ 服务器 ping 内网 PC应该不通说明 DMZ 到 Trust 的拒绝策略生效了。这三个验证都通过说明你的区域划分和策略配置基本正确。4.5 用 display 命令排查配置模拟器里排查防火墙问题几个 display 命令必须熟练命令作用display zone查看区域和接口的对应关系display security-policy rule all查看所有安全策略display firewall session table查看会话表确认流量有没有建立会话display interface brief查看接口状态和 IPdisplay ip routing-table查看路由表我最常用的是display firewall session table。如果策略配了但流量不通先看会话表里有没有对应的会话。没有会话说明流量根本没到防火墙或者被策略挡了。有会话但状态不对那可能是路由或者 NAT 的问题。5. 常见问题与排查技巧实录5.1 策略配了但不生效的几种原因这是新手遇到最多的问题。策略明明配了 permit但流量就是不通。我总结了几种常见原因原因一接口没划进正确的区域。你以为GigabitEthernet0/0/1在 Trust 区实际上它还在默认的 Untrust 区。策略里写的是source-zone trust但流量实际从 Untrust 进来自然匹配不上。解决办法就是display zone确认一遍。原因二策略顺序不对。你配了一条 permit但上面有一条更宽泛的 deny 把它挡住了。防火墙是从上往下匹配的上面的策略优先级更高。解决办法是调整策略顺序把精细策略往上提。原因三源地址或目的地址写错了。比如你把192.168.1.0/24写成了192.168.1.0/32那只有192.168.1.0这一个地址能匹配其他地址都不行。这种错误很隐蔽因为策略看起来是配了的但就是不通。解决办法是仔细核对地址掩码。原因四服务端口没放行。你放行了 HTTP但用户访问的是 HTTPS端口不一样自然不通。解决办法是把需要的服务都加上或者临时用service any测试一下确认是服务的问题后再细化。5.2 区域信任级别引发的怪现象前面说过高信任级别到低信任级别默认放行。这个默认行为有时候会给你带来怪现象。比如你把 DMZ 的信任级别改成了 90比 Trust 的 85 还高。那从 DMZ 到 Trust 就变成了高到低默认放行了。你之前配的那条dmz_to_trust_deny策略如果没生效流量就直接过去了。这就是为什么我建议不要随便改预置区域的信任级别除非你很清楚自己在干什么。还有一种情况你新建了一个自定义区域默认级别是 0。你把接口划进去之后从 Trust 到这个新区域就变成了高到低默认放行。如果你不想让它默认放行要么改级别要么配显式拒绝策略。提示信任级别只是一个默认行为的参考真正决定流量通不通的还是安全策略。策略的优先级高于默认行为。所以最稳妥的做法是不管默认行为是什么你都配一条显式策略明确告诉防火墙你要什么。5.3 模拟器里特有的几个坑模拟器和真机还是有区别的有几个坑我踩过提前告诉你。坑一接口状态起不来。模拟器里接口默认可能是 shutdown 的你需要undo shutdown一下。真机上接口一般插上网线就 up模拟器里需要手动激活。坑二策略不生效但也不报错。模拟器里有时候策略配了语法检查也过了但就是不生效。这种情况多半是模拟器的 bug重启一下设备或者重新配一遍就好了。别在这种问题上死磕浪费时间。坑三会话表不刷新。你改了策略但会话表里还有旧的会话流量还是按旧策略走。解决办法是reset firewall session table清一下会话表让流量重新匹配策略。坑四保存配置。模拟器里配完不保存重启就没了。记得save一下虽然模拟器里重启的概率不高但养成习惯没坏处。5.4 常见问题速查表现象可能原因排查方法内网 ping 不通外网接口没划对区域display zone检查策略配了但不通策略顺序被挡住display security-policy rule all看顺序部分流量通部分不通服务或地址没放行检查策略里的 service 和 address改了策略还是不生效旧会话还在reset firewall session table接口起不来接口被 shutdowndisplay interface brief看状态DMZ 能访问内网拒绝策略没生效检查 DMZ 到 Trust 的策略6. 几个能让你少走弯路的实操心得6.1 先通再严别一上来就配精细策略我刚开始学的时候总想一步到位把策略配得特别精细结果流量不通排查半天不知道是哪条策略挡的。后来我学乖了先用一条宽泛的 permit 策略把流量跑通确认区域划分、路由、接口都没问题然后再逐步收紧策略。比如你先配一条source-zone trust destination-zone untrust action permit确认内网能上网了再在这条策略里加地址限制、服务限制。这样出问题的时候你至少知道是策略细化导致的而不是基础配置有问题。这个方法在真实项目里也好用。割接的时候先放通再收紧比一上来就配一堆精细策略要稳妥得多。6.2 策略描述一定要写我吃过这个亏。有一次配了二十多条策略过了两天回头看完全记不住哪条是干嘛的。后来我强制自己每条策略都写description哪怕就写几个关键词比如description trust to untrust web。这样回头看的时候一眼就知道这条策略的用途。模拟器里策略描述不影响功能但真机上策略多了之后描述就是你的救命稻草。养成习惯不亏。6.3 区域划分要提前规划虽然这篇讲的是简单区域划分但你在模拟器里练的时候最好就按真实项目的思路来规划。比如Trust 区放内网用户。Untrust 区放外网。DMZ 区放对外服务器。如果以后要加管理区提前想好管理区的接口和地址段。规划好了再配比配到一半发现区域不够用再改要省事得多。区域划分是防火墙配置的地基地基打歪了上面策略配得再漂亮也是白搭。6.4 多用 display 和 reset 命令防火墙排错display 命令是你的眼睛reset 命令是你的橡皮擦。display 看状态reset 清会话。这两个命令用熟了大部分问题都能自己解决。我建议你把display zone、display security-policy rule all、display firewall session table这三个命令练到肌肉记忆。遇到问题先敲这三个基本能定位到八成以上的故障。6.5 模拟器练熟再上真机模拟器里配错了大不了重启重来。真机上配错了可能影响业务。所以我在模拟器里练的时候会故意配错几次看看报错信息长什么样看看 display 命令的输出有什么变化。这样上真机的时候遇到类似情况心里有底。比如你故意把接口划到错误的区域看看策略匹配不上是什么现象。故意把策略顺序调反看看流量被挡是什么现象。这些故意犯错的经验比顺顺利利配一遍要有价值得多。7. 区域划分之后还能怎么扩展把三区域模型练熟之后你可以往几个方向扩展。方向一加一个管理区。把防火墙的管理接口单独划到一个管理区只允许特定主机访问这样管理流量和业务流量分开更安全。方向二用子接口承载多个区域。一根物理线通过子接口划分多个 VLAN每个 VLAN 对应一个区域。这个在企业里很常见练熟了能应对大部分场景。方向三配 NAT。内网用户上网需要做源 NAT外网访问 DMZ 服务器可能需要做目的 NAT。NAT 和区域策略配合起来能玩出很多花样。方向四配双机热备。两台防火墙做热备区域和策略配置需要同步。这个稍微复杂一点但原理还是那套区域划分是基础。我个人在实际操作中的体会是防火墙这东西区域划分是入门策略配置是核心NAT 和热备是进阶。你把区域和策略这两块吃透了后面学 NAT 和热备会顺很多。因为不管功能怎么变防火墙先分区、再放行的基本逻辑是不变的。最后再分享一个小技巧在模拟器里配完一套完整的区域和策略之后把配置文件导出来存一份。下次搭类似环境的时候直接导入改改就能用省得从头配。这个习惯我保持了几年攒了好几套模板搭实验环境的速度快了很多。