“防火墙技术及应用”是网络空间安全专业的核心课程之一，全面介绍了防火墙的技术原理与部署应用。本书按照实用为主的课程设计原则，分为基础篇、实践篇、拓展篇三大部分，共17章，主要内容包括防火墙基本知识，防火墙透明模式、路由模式、双机热备模式等常用部署模式，VPN、入侵防御、病毒防护等安全防护功能，防火墙配置方法和相关实验，以及企业部署应用综合案例等。书中通过典型组网图、流程图、示意图等形式，由浅入深地介绍了防火墙技术原理、配置方法和企业项目案例。
本书理论与实践相结合，实训实操内容占 50%，适合作为高等院校计算机、通信、网络空间安全、信息安全专业的教材，也可作为安全运维工程师、网络安全服务工程师的参考书。

前言
基 础 篇
第1章 防火墙概述2
1.1 防火墙基本概念2
1.1.1 防火墙定义2
1.1.2 防火墙的作用3
1.2 防火墙分类4
1.2.1 包过滤防火墙5
1.2.2 代理防火墙7
1.2.3 状态检测防火墙8
1.2.4 下一代防火墙10
本章小结11
1.3 思考与练习11
第2章 防火墙透明模式12
2.1 防火墙接口类型12
2.1.1 物理接口13
2.1.2 VLAN接口14
2.1.3 透明桥15
2.1.4 聚合接口16
2.1.5 接口联动16
2.2 安全域17
2.3 防火墙策略18
2.3.1 策略的匹配条件18
2.3.2 策略的匹配原则19
2.3.3 策略的配置规范20
2.3.4 流与会话20
2.4 透明模式的工作原理和部署21
2.4.1 Access接口22
2.4.2 Trunk接口23
2.4.3 网络环路23
2.4.4 防火墙透明模式部署24
本章小结24
2.5 思考与练习24
第3章 防火墙路由模式26
3.1 IPv426
3.1.1 IPv4地址26
3.1.2 IP子网27
3.2 IPv629
3.2.1 IPv6简介29
3.2.2 IPv6地址29
3.3 静态路由和动态路由33
3.3.1 路由转发工作原理33
3.3.2 路由和路由表35
3.3.3 静态路由36
3.3.4 OSPF40
3.4 网络地址转换43
3.4.1 源地址转换43
3.4.2 目标地址转换44
3.4.3 静态地址转换47
3.4.4 双向地址转换47
3.4.5 跨协议转换49
3.5 策略路由50
3.5.1 策略路由原理50
3.5.2 策略路由应用51
3.6 路由模式工作原理和部署52
3.6.1 防火墙路由模式部署53
3.6.2 路由模式的优缺点55
本章小结55
3.7 思考与练习55
第4章 防火墙双机热备模式57
4.1 双机热备概述57
4.1.1 双机热备的背景57
4.1.2 双机热备的基本原理和实现
框架57
4.2 双机热备的工作模式59
4.2.1 主备模式60
4.2.2 主主模式60
4.3 双机热备的实现机制62
4.3.1 数据同步62
4.3.2 流量切换63
4.4 双机热备的典型组网应用67
4.4.1 主备路由模式67
4.4.2 主备透明模式67
4.4.3 主主路由模式68
4.4.4 主主透明模式69
本章小结70
4.5 思考与练习70
第5章 其他模式72
5.1 混合模式72
5.1.1 混合模式概述72
5.1.2 混合模式原理72
5.2 单臂模式73
5.2.1 Trunk73
5.2.2 子接口74
5.3 旁路检测模式75
5.3.1 旁路检测模式作用75
5.3.2 旁路检测模式原理75
5.4 物理旁路逻辑串行模式75
5.4.1 透明模式物理旁路逻辑串行
模式原理75
5.4.2 路由模式物理旁路逻辑串行
模式原理77
本章小结78
5.5 思考与练习78
第6章 VPN80
6.1 IPSec VPN80
6.1.1 IPSec简介80
6.1.2 IPSec VPN的原理82
6.1.3 IPSec VPN的应用场景83
6.2 SSL VPN84
6.2.1 SSL VPN简介85
6.2.2 SSL VPN协议结构体系85
6.2.3 SSL VPN支持的模式86
6.3 L2TP VPN87
6.3.1 L2TP VPN简介87
6.3.2 L2TP VPN工作原理87
6.3.3 L2TP VPN应用88
6.4 GRE VPN89
6.4.1 GRE VPN简介89
6.4.2 GRE VPN部署场景89
本章小结90
6.5 思考与练习90
第7章 安全防护功能92
7.1 入侵防御92
7.1.1 入侵技术简介92
7.1.2 入侵检测流程93
7.1.3 入侵防御特征库94
7.1.4 事件集和自定义事件94
7.2 病毒防护95
7.2.1 病毒防护简介95
7.2.2 病毒库96
7.3 Web防护96
7.4 攻击防护98
7.5 ARP防护101
7.5.1 ARP原理101
7.5.2 ARP攻击和防护102
7.6 黑名单103
本章小结104
7.7 思考与练习104
第8章 应用控制与流量控制106
8.1 应用控制策略106
8.1.1 应用行为控制简介106
8.1.2 应用分类特征库108
8.2 Web控制策略108
8.2.1 Web控制策略简介108
8.2.2 URL分类110
8.3 流量控制策略110
8.3.1 流量控制简介111
8.3.2 线路策略简介111
8.3.3 流量控制策略简介111
8.3.4 流量控制应用场景112
本章小结113
8.4 思考与练习113
第9章 防火墙日志管理115
9.1 日志管理115
9.1.1 日志简介115
9.1.2 日志级别116
9.1.3 日志分类119
9.2 本地日志120
9.2.1 本地日志简介120
9.2.2 本地日志存储和格式121
9.3 Syslog日志122
9.4 E-mail日志报警123
9.5 SNMP125
9.6 审计日志128
本章小结128
9.7 思考与练习129
实 践 篇
第10章 管理防火墙实验131
10.1 浏览器管理防火墙131
10.1.1 防火墙默认的管理接口和账户131
10.1.2 浏览器管理防火墙基本操作131
10.2 Console管理防火墙134
10.2.1 通过Console管理防火墙134
10.2.2 防火墙命令行简介134
10.3 SSH管理防火墙136
10.3.1 开启SSH管理防火墙136
10.3.2 通过SSH管理防火墙136
10.4 管理防火墙相关实验137
10.4.1 通过Console管理防火墙实验137
10.4.2 通过浏览器管理防火墙实验137
10.4.3 通过SSH管理防火墙实验138
本章小结138
第11章 防火墙透明模式实验139
11.1 配置接口139
11.1.1 配置物理接口139
11.1.2 配置聚合接口140
11.2 配置透明桥141
11.2.1 配置VLAN接口141
11.2.2 配置透明桥接口142
11.3 配置安全策略143
11.3.1 配置全通策略143
11.3.2 配置地址对象145
11.3.3 配置服务对象147
11.3.4 配置细化策略148
11.3.5 配置默认策略150
11.4 配置安全防护策略151
11.4.1 配置防护策略151
11.4.2 配置入侵防护152
11.4.3 配置病毒防护157
11.4.4 配置Web防护158
11.4.5 配置攻击防护158
11.4.6 配置DoS防护160
11.4.7 配置ARP防护160
11.4.8 配置黑名单161
11.5 配置日志162
11.5.1 配置日志过滤162
11.5.2 配置防火墙策略日志163
11.5.3 配置安全防护策略日志163
11.6 配置带外管理防火墙163
11.6.1 配置带外管理口IP地址164
11.6.2 配置带外管理口管理方式164
11.7 配置带内管理防火墙165
11.7.1 配置带内管理口IP地址和管理
方式165
11.7.2 配置默认路由166
11.8 防火墙透明模式相关实验166
11.8.1 基本透明模式防火墙案例实验166
11.8.2 扩展透明模式防火墙案例实验167
本章小结168
第12章 防火墙路由模式实验169
12.1 配置接口169
12.1.1 配置接口IP地址169
12.1.2 配置聚合接口170
12.2 配置静态路由和默认路由171
12.2.1 配置静态路由171
12.2.2 配置默认路由172
12.3 配置动态路由172
12.4 配置NAT174
12.4.1 配置地址对象175
12.4.2 配置服务对象175
12.4.3 配置地址池175
12.4.4 配置源NAT176
12.4.5 配置目标NAT176
12.4.6 配置静态NAT177
12.4.7 配置跨协议转换178
12.5 IPSec VPN配置179
12.5.1 配置IKE协商策略179
12.5.2 配置IPSec协商策略181
12.5.3 配置IPSec策略181
12.6 SSL VPN配置182
12.6.1 配置用户和SSL VPN用户组183
12.6.2 配置SSL VPN184
12.6.3 配置资源185
12.6.4 接口下启用SSL VPN186
12.6.5 SSL VPN登录187
12.7 L2TP VPN配置189
12.7.1 配置L2TP用户和用户组190
12.7.2 配置L2TP VPN191
12.7.3 接口下启用L2TP VPN191
12.7.4 L2TP VPN登录192
12.8 GRE VPN配置193
12.8.1 查看GRE194
12.8.2 配置GRE194
12.9 配置日志、Syslog、SNMP195
12.9.1 配置日志过滤195
12.9.2 配置Syslog197
12.9.3 日志审计197
12.9.4 配置SNMP198
12.10 防火墙路由模式相关实验199
12.10.1 静态路由实验199
12.10.2 OSPF实验200
12.10.3 边界防火墙实验1201
12.10.4 边界防火墙实验2202
12.10.5 多出口防火墙实验203
12.10.6 双向NAT实验204
12.10.7 IPSec VPN实验205
12.10.8 SSL VPN实验206
本章小结207
第13章 防火墙双机热备实验208
13.1 配置双机热备模式208
13.1.1 配置HA接口209
13.1.2 配置HA模式212
13.1.3 配置抢占模式213
13.2 双机配置同步213
13.2.1 配置自动同步213
13.2.2 测试自动同步效果214
13.3 连接同步215
13.3.1 配置连接同步215
13.3.2 测试连接同步效果215
13.4 故障检测216
13.4.1 配置物理接口监控216
13.4.2 配置聚合口监控217
13.4.3 配置网关监控218
13.5 双机状态监控220
13.5.1 检测配置220
13.5.2 同步配置到对端221
13.5.3 主备切换222
13.6 双机热备相关实验223
13.6.1 主备透明模式案例实验223
13.6.2 主备路由模式案例实验224
13.6.3 主主路由模式案例实验227
13.6.4 主主透明模式案例实验229
本章小结230
第14章 防火墙其他模式实验231
14.1 混合模式配置231
14.1.1 配置透明桥231
14.1.2 配置路由接口232
14.1.3 PC配置网关232
14.2 单臂模式233
14.2.1 交换机配置Trunk234
14.2.2 防火墙配置子接口234
14.3 旁路检测模式235
14.3.1 交换机端口镜像235
14.3.2 接口启用旁路235
14.3.3 配置安全防护检测236
14.4 旁路逻辑串行模式236
14.4.1 透明模式物理旁路逻辑串行
模式236
14.4.2 路由模式物理旁路逻辑串行
模式238
14.5 其他模式相关实验240
14.5.1 混合模式案例实验240
14.5.2 旁路检测模式案例实验241
14.5.3 透明模式物理旁路逻辑串行
模式实验242
本章小结243
第15章 密码恢复与防火墙升级实验244
15.1 防火墙密码恢复244
15.1.1 重启的同时进入Bootloader244
15.1.2 重启防火墙245
15.2 Web界面升级246
15.2.1 浏览器导入软件版本246
15.2.2 重启防火墙246
15.3 TFTP升级247
15.3.1 部署TFTP服务器247
15.3.2 通过TFTP下载软件版本247
15.3.3 重启防火墙248
15.4 Bootloader升级249
15.4.1 重启的同时进入Bootloader249
15.4.2 U盘导入软件版本249
15.4.3 重启防火墙249
15.5 密码恢复与防火墙升级相关
实验250
15.5.1 密码恢复实验250
15.5.2 Web升级实验251
本章小结251
拓 展 篇
第16章 大型企业边界防火墙案例253
16.1 项目背景253
16.2 项目范围254
16.3 项目需求分析254
16.4 项目原则255
16.5 项目总体方案设计256
16.6 项目实施过程256
16.6.1 配置路由256
16.6.2 配置源地址转换257
16.6.3 配置目标地址转换257
16.6.4 配置站点到站点VPN258
16.6.5 配置策略路由258
16.7 项目管理方案259
16.7.1 项目组织架构与职责分工259
16.7.2 项目进度管理260
16.7.3 项目沟通管理261
16.7.4 项目变更管理261
16.7.5 项目质量控制263
本章小结265
第17章 大型企业服务器区防火墙
案例266
17.1 项目背景266
17.2 项目范围267
17.3 项目需求分析267
17.4 项目原则268
17.5 项目总体方案设计268
17.6 项目实施过程269
17.6.1 配置透明桥269
17.6.2 配置双机热备270
17.6.3 配置防火墙策略271
17.6.4 配置安全防护策略271
17.6.5 配置Syslog272
17.6.6 配置SNMP273
本章小结273
附录 习题参考答案274