HCIP-Datacom知识库
AI 助教问 AI 助教
东方瑞通 · HCIP-Datacom

华为防火墙技术与 VPN 概述

防火墙基于安全区域（Trust/Untrust/DMZ）与会话状态检测实施访问控制；VPN（虚拟专用网）通过隧道技术在公网上构建安全的私网连接，主要包括 IPsec VPN、MPLS VPN 等。

考点精讲

  1. 网络安全基础介绍防火墙与 VPN 两大块。防火墙安全区域分 Trust（信任）、Untrust（非信任）、DMZ（隔离区，放置对外服务器），同区域默认允许、跨区域默认拒绝。华为防火墙基于会话状态检测维护会话表、放行返回流量，而非逐包 ACL。NAT 分源 NAT（SNAT，内网访问外网）与目的 NAT（DNAT，外网访问服务器）。VPN 通过隧道在公网构建私网连接，分类包括 IPsec VPN（站点到站点/远程接入）、MPLS VPN（运营商骨干）与 SSL VPN。理解安全区域、状态检测与 NAT 方向，是配置与排障的基础。

记忆技巧

记“防火墙三区域：Trust 信任、Untrust 不信任、DMZ 放服务器”，跨区域默认拒绝。
状态检测维护会话表，返回流量凭会话自动放行，不是逐包 ACL。
SNAT 出去改源、DNAT 进来改目的。

常见误区

  • 误区：以为防火墙基于 ACL 逐包过滤。正解：华为防火墙基于会话状态检测，返回流量凭会话表自动放行。
  • 误区：以为防火墙跨区域默认允许。正解：同区域默认允许、跨区域默认拒绝，需按需放行。
  • 误区：以为 VPN 只用于加密。正解：VPN 本质是通过隧道在公网上构建私网连接，加密只是安全增强手段之一。

真题思路

  • 【示例】 【示例】内网主机访问外网服务器时，通常需要在防火墙上配置哪种 NAT？
    源 NAT（SNAT）　目的 NAT（DNAT）　静态 NAT（一对一）　无需 NAT
    答案：A
    解析：内网主机访问外网需将私网源地址转换为公网地址，属源 NAT（SNAT）。

常见问题

Q：DMZ 区域的作用

A：放置对内外都需要访问的服务器（如 Web 服务器），与内网隔离，降低内网暴露风险。

Q：状态检测防火墙的优势

A：基于会话表放行返回流量，无需为返回方向单独配置规则，简化配置且更安全。

Q：SNAT 和 DNAT 有何区别

A：SNAT 转换源地址（内网访问外网），DNAT 转换目的地址（外网访问内网服务器）。

相关知识

VRF 基本概念及应用 MPLS VPN 原理与配置 以太网交换安全与流量控制

教材出处：第7章 网络安全基础 华为防火墙技术与 VPN 概述

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑

开始答疑