기술나눔

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

방화벽 개요

방화벽은 개인 네트워크 또는 개인 네트워크 내에서 들어오고 나가는 인터넷 트래픽을 제한하는 네트워크 보안 시스템입니다.
방화벽의 핵심업무 –> 통제 및 보호 –> 보안정책 –> 방화벽은 보안정책을 통해 트래픽을 식별하고 그에 따른 조치를 취합니다.
방화벽은 여러 범주로 나눌 수 있습니다.

방화벽 개발 프로세스

방화벽의 개발 과정은 지속적인 업그레이드와 개선 과정이며 이에 상응하는 기능적 보호도 더욱 풍부해졌습니다.

패킷 필터링 방화벽

초기 패킷 필터링 방화벽은 장치가 수신한 메시지를 패킷 필터링 규칙에 따라 검사할 때마다 메시지 공개 여부를 결정하는 "패킷별 검사" 메커니즘을 사용했습니다. 따라서 분명히 이 방법은 덜 효율적입니다.
판단 정보: 소스 IP 주소, 대상 IP 주소, 소스 포트, 대상 포트, 프로토콜 유형(5튜플)
업무 범위: 네트워크 계층, 전송 계층(계층 3-4)
이점: 소규모 사이트에 대한 구현 용이, 빠른 처리 속도 및 저렴한 가격
단점: 규칙 테이블은 곧 크고 복잡해지며 운영 및 유지 관리가 어려워질 것입니다. 이는 5-튜플에만 기반할 수 있으며 애플리케이션 계층으로 업그레이드할 수 없습니다.

프록시 방화벽

프록시 방화벽과 패킷 필터링 방화벽의 가장 큰 차이점은 프록시 방화벽이 애플리케이션 계층에서 데이터를 감지할 수 있다는 것입니다. 프록시 방화벽은 애플리케이션 게이트웨이 방화벽이라고도 하며 특정 유형의 데이터를 중계할 수 있습니다. 이는 또한 단점 중 하나입니다. 모든 애플리케이션은 해당 프록시 기능을 개발해야 합니다. 그렇지 않으면 프록시가 될 수 없습니다.
판단 정보: 모든 애플리케이션 계층 패킷
업무 범위: 애플리케이션 레이어(레이어 7)
이점: 애플리케이션 레이어 데이터 확인
단점: 낮은 탐지 효율성, 매우 어려운 구성과 운영 및 유지 관리, 낮은 확장성

상태 저장 검사 방화벽

상태 저장 검사 방화벽은 패킷 필터링 방화벽의 확장입니다."세션 테이블 기술"(첫 번째 패킷 감지)을 사용하므로 성능이 더 좋습니다.
판단 정보: IP 주소, 포트 번호, TCP 플래그
업무 범위: 데이터링크 계층, 네트워크 계층, 전송 계층(계층 2-4)
이점: 상태 감지 기술
단점: 애플리케이션 계층은 제어력이 약하고 데이터 영역을 확인하지 않습니다.

한국어:

UTM은 통합 위협 관리라고도 합니다. 단일 제품으로 안티 바이러스, 안티 멀웨어, 방화벽, IPS, IDS 등 다양한 보안 기능을 제공할 수 있습니다. 기능에서.

포함된 기능: FW、IDS、IPS、AV
업무 범위: (2~7층)
이점: 올인원 기능으로 하드웨어 비용, 인건비, 시간 비용 절감
단점: 모듈 시리즈 감지는 효율성이 낮고 성능 소비가 높으며 웹 애플리케이션 보호 기능이 없습니다.

차세대 방화벽(NGFW)

차세대 방화벽은 위의 기존 상태 저장 방화벽과 UTM 장치의 차세대 제품으로 기존 방화벽의 모든 기능(기본 패킷 필터링, 상태 저장 검사, NAT, VPN 등)을 포함할 뿐만 아니라 애플리케이션과 사용자를 통합합니다. 식별 및 제어, 침입 방지(IPS) 등 더욱 발전된 보안 기능을 제공합니다. UTM 장비와 비교하여 NGFW는 처리 효율성이 더 빠르고 외부 확장 및 연결 기능이 더 강력합니다.

포함된 기능: FW、IDS、IPS、AV、WAF
업무 범위: 2~7층
UTM과 UTM의 차이점:
UTM과 비교하여 웹 애플리케이션 보호 기능이 추가되었습니다. UTM은 직렬 처리 메커니즘이고 NGFW는 병렬 처리 메커니즘입니다.

방화벽 분류

물리적 특성에 따라 분류

소프트웨어 방화벽

소프트웨어 방화벽은 일반적으로 특정 운영 체제 플랫폼을 기반으로 개발되며 소프트웨어는 컴퓨터에 직접 설치 및 구성됩니다. 고객의 운영 체제가 다양하기 때문에 소프트웨어 방화벽은 "Unix, Linux, SCO-Unix, Windows" 등과 같은 여러 운영 체제를 지원해야 합니다. 그중에는 Comodo 방화벽, TinyWall, ZoneAlarm 방화벽 등과 같이 비교적 사용하기 쉬운 PC 소프트웨어 방화벽이 많이 있습니다. 소프트웨어 방화벽의 장점은 저렴하고 구성이 간단하며 가정용으로 더 적합하다는 것입니다.

하드웨어 방화벽

하드웨어 방화벽은 실제로 하드웨어에 "소프트웨어 방화벽"을 내장하고 하드웨어가 이러한 기능을 수행함으로써 컴퓨터나 서버의 CPU 부담을 줄여줍니다. 소프트웨어 방화벽에 비해 하드웨어 방화벽은 더 안전하고 상대적인 가격과 구성의 어려움도 있습니다. 상대적으로 높을수록 해당 응용 프로그램 시나리오는 중소기업에서 더 일반적입니다.그 중 더 유명하고 권위 있는 제조업체로는 Huawei, H3C, Sangfor 등이 있습니다.

실적별

100M급과 기가비트급

방화벽은 성능에 따라 1억급 방화벽과 기가비트급 방화벽으로 구분됩니다. 일반적으로 대역폭이 낮은 네트워크 환경에는 수백 메가비트 방화벽이 적합하고, 대역폭이 높은 네트워크 환경에는 기가비트 방화벽이 적합합니다. 기가비트 방화벽은 더 높은 데이터 전송 기능과 더 강력한 보안 보호 기능을 갖추고 있습니다.

방화벽 구조로 구분

단일 호스트 방화벽

단일 호스트 방화벽은 네트워크 경계에 위치하며 다른 네트워크 장치와 독립적이며 PC와 유사하게 CPU, 메모리, 하드 디스크 및 컴퓨터와 같은 일련의 기본 구성 요소도 포함합니다. 마더보드는 안정성과 실용성이 매우 높으며 처리량 성능이 비교적 강력합니다.

라우팅 통합 방화벽

라우터 일체형 방화벽은 라우터와 방화벽의 기능을 결합한 네트워크 보안 장비입니다. 네트워크 경계에서 라우팅 및 보안 정책 제어를 구현하고 무단 액세스 및 네트워크 공격으로부터 LAN 내부를 보호할 수 있습니다. 이 장비는 일반적으로 다음과 같은 특징을 가지고 있습니다.
1. 라우팅 기능: 네트워크 간 통신 및 데이터 전달을 달성하기 위해 한 네트워크에서 다른 네트워크로 데이터 패킷을 전송하는 기능입니다.
2. 방화벽 기능: 네트워크에 들어오고 나가는 데이터 패킷을 감지 및 필터링하고, 사전 설정된 보안 정책에 따라 데이터 트래픽을 허용하거나 거부하여 악의적인 공격, 바이러스 및 무단 액세스로부터 네트워크를 보호할 수 있습니다.
3. 통합: 라우팅 기능과 방화벽 기능을 통합하면 네트워크 아키텍처가 단순화되고 장치 수가 줄어들며 관리 및 유지 비용이 절감됩니다.
4. 유연성: 일반적으로 유연한 보안 정책 설정 기능을 갖추고 있으며 네트워크 요구에 따라 다양한 보안 규칙 및 액세스 제어 전략을 사용자 정의할 수 있습니다.
5. 성능: 고성능 데이터 처리 기능을 갖추고 있으며 대량의 데이터 트래픽을 효과적으로 처리하여 원활하고 안전한 네트워크 통신을 보장합니다.
경로 통합 방화벽은 기업 네트워크 및 SOHO(소규모 사무실/홈 오피스)와 같은 시나리오에서 널리 사용되며 네트워크 보안 인프라의 중요한 부분입니다.라우팅과 방화벽 기능을 통합하여 사용자에게 편리하고 효율적이며 안정적인 네트워크 보안 보호를 제공할 수 있습니다.

분산 방화벽

분산 방화벽은 방화벽 기능을 여러 위치에 분산시켜 보다 효과적인 네트워크 보안 보호를 제공하는 네트워크 보안 기술입니다. 기존의 중앙 집중식 방화벽은 일반적으로 네트워크 경계에 위치하며 네트워크 안팎의 트래픽을 모니터링하고 제어하는 ​​역할을 합니다. 분산 방화벽은 네트워크의 여러 노드에 방화벽 기능을 적용하여 여러 위치에서 네트워크 트래픽을 검사하고 필터링할 수 있도록 함으로써 공격과 위협에 대한 네트워크 보호를 강화합니다.
분산 방화벽은 일반적으로 중앙 집중식 관리 및 분산 실행 아키텍처를 채택하여 중앙 집중식 관리를 통해 규칙과 정책의 일관성을 달성하는 동시에 네트워크의 각 노드에서 실제 방화벽 기능을 수행하므로 네트워크를 보다 정확하게 모니터링하고 필터링할 수 있습니다. . 흐름. 이 아키텍처는 중앙 집중식 방화벽의 단일 지점 압력을 효과적으로 줄이고 대규모 네트워크 트래픽과 복잡한 보안 위협에 더 잘 대응할 수 있습니다.
또한 분산 방화벽은 네트워크 토폴로지 및 요구 사항에 따라 다양한 위치에 방화벽 노드를 배포할 수 있어 복잡하고 다양한 네트워크 환경에 더 잘 적응할 수 있는 보다 유연한 배포 방법을 제공할 수 있습니다. 동시에 분산 방화벽은 내부 네트워크 리소스를 보다 잘 활용하여 네트워크 트래픽의 처리 효율성과 보안을 향상시킬 수도 있습니다.
전반적으로 분산 방화벽은 조직이 다양한 네트워크 위협으로부터 네트워크를 더 잘 보호하는 데 도움이 될 수 있는 보다 유연하고 효율적이며 안전한 네트워크 보안 기술입니다.

화웨이 방화벽은 제어를 위해 ensp를 사용합니다.

먼저 ensp에는 방화벽 장비 패키지가 필요합니다. 여기서는 Huawei USG6000V 방화벽이 사용됩니다.
1. 먼저 압축된 패키지를 압축해야 합니다.

링크: USG6000V
추출 코드: 1314
2. Cloud1 및 방화벽 배치

3. 방화벽을 마우스 오른쪽 버튼으로 클릭하여 위에서 압축을 푼 vfw_usg.vdi를 가져오고 방화벽을 가져와서 시작한 후 잠시 기다립니다.

4. 시작 후 기본 계정: admin 비밀번호: Admin@123
나중에 비밀번호를 변경하라는 메시지가 표시됩니다. 너무 간단하면 안 되며 오류가 보고됩니다.
5. system-view가 세션 모드로 들어갑니다.

기본적으로 G0/0/0에는 IP가 있습니다. 방화벽은 기본적으로 웹 제어 및 DHCP로 설정되어 있으며 관리 서비스를 활성화하려면 G0/0/0 인터페이스를 입력해야 합니다. 수동으로 활성화해야 합니다.
[USG6000V1-GigabitEthernet0/0/0]service-manage all 허가 — 관리 서비스 활성화
6. 관리 서비스 시작

7. 클라우드 구성

8. UDP 포트를 추가하고 추가를 클릭합니다.

9. 그런 다음 바인딩 정보에서 다른 네트워크 카드를 바인딩해야 합니다. 네트워크 카드의 네트워크 세그먼트를 방화벽과 동일한 네트워크 세그먼트로 변경해야 합니다. 장치 관리자로 이동하여 네트워크 카드를 추가할 수 있습니다. 가상 네트워크 카드를 찾아 네트워크 카드로 이동하여 IP를 구성하세요. 기본 방화벽 IP가 192.168.0.1/24이므로 IP를 192.168.0.2로 설정할 수 있습니다.




10. 클라우드와 방화벽을 연결하세요

11. 192.168.0.1 주소에 접속해 보세요. 그래도 작동하지 않으면 포트 8443을 추가해 보세요.

이상으로 기본적으로는 완료되었으며, 방화벽의 구체적인 용도에 대해 자세히 설명하겠습니다.