云南下一代防火墙设备-北京盈富迈胜科技公司

华为防火墙的策略特点

1.任何两个安全区域的优先级不能相同。

2.本域内不同接口间的报文不过滤直接转发。

3.接口没有加入域之前不能转发报文。

4.在USG系列的防火墙上默认是没有安全策略的，华三H3C下一代防火墙设备，也就是说，不管是什么区域之间相互访问，都必须要配置安全策略，除非是同一区域报文传递。

区别于传统的安全策略，一体化的安全策略具有如下特点:

1.策略配置基于全局，不再基于区域间配置，安全区域只是条件的可选配置项，也可在一条规则中配置多个源区域或目标区域。

2.默认情况拒绝所有区域间的流量，必须通过策略配置放行所需流量。

3.安全策略中的默认动作代替了默认bao过滤。传统的防火墙的bao过滤基于区域间的，只针对zhi定的区域间生效，云南下一代防火墙设备，而新一代防火墙的默认动作全局生效，目默认动作为拒绝，华为下一代防火墙设备，即拒绝一切流量，除非允许。

华为防火墙透明模式

透明模式

如果华为防火墙通过第二层对外连接（接口无IP地址），则防火墙工作在透明模式下。如果华为防火墙采用透明模式进行工作，只需要在网络中像连接交换机一样连接华为防火墙设备即可，其比较大的优点是无须修改任何已有的IP配置；此时防火墙就像一个交换机一样工作，内部网络和外部网络必须处于同一个子网。此模式下，报文在防火墙当中不仅进行二层的交换，还会对报文进行高层分析处理。

华为防火墙的基本架构

防火墙的硬件体系结构曾经历过通用CPU架构、ASIC架构和网络处理器架构，他们各自的特点分别如下：

通用CPU架构

通用CPU架构常见的是基于Intel X86架构的防火墙，在百兆防火墙中Intel X86架构的硬件以其高灵活性和扩展性一直受到防火墙厂商的青睐；由于采用了PCI总线接口，华三H3C下一代防火墙设备，Intel X86架构的硬件虽然理论上能达到2Gbps的吞吐量甚至更高，但是在实际应用中，尤其是在小包情况下，远远达不到标称性能，通用CPU的处理能力也很有限。

国内安全设备主要采用的就是基于X86的通用CPU架构。

ASIC架构

ASIC技术是国外网络设备几年前广泛采用的技术。由于采用了硬件转发模式、多总线技术、数据层面与控制层面分离等技术， ASIC架构防火墙解决了带宽容量和性能不足的问题，稳定性也得到了很好的保证。

ASIC技术的性能优势主要体现在网络层转发上，而对于需要强大计算能力的应用层数据的处理则不占优势，而且面对频繁变异的应用安全问题，其灵活性和扩展性也难以满足要求。

网络处理器架构

由于网络处理器所使用的微码编写有一定技术难度，难以实现产品的性能，因此网络处理器架构的防火墙产品难以占有大量的市场份额。