1、设备特点
外观：
功能特点：
安全特性：
vFW的默认账号密码：admin
2、安全区域
1）相同安全级别的集合
2）默认的安全域
【1】区域
trust、untrust、local（所有有接口属于local，不能删除）、management、DMZ
【2】特点
默认创建、区域没有接口、缺省的区域不能删除
【3】区域成员
对象：接口和vlan、IP v4/v6子网、服务
优先级：服务>IP>接口和vlan
安全实例：（用于指定安全策略）
[vFW-acl-ipv4-adv-3001]dis this
#
acl advanced 3001
rule 0 permit ip source 192.168.1.0 0.0.0.255
#
[vFW-zone-pair-security-Trust-Any]dis this
#
zone-pair security source Trust destination Any
packet-filter 3001
#
①包过滤（配置安全实例→包过滤）
②对象组的对象策略
对象组：用于匹配数据包的特征
查看命令：[vFW]display current-configuration configuration obj-grp
特征：IP地址、MAC地址、协议
对象策略：根据对象的匹配类型，定义各个对象组之间的策略
一个对象策略可以存在多条规则
查看命令：[vFW]display current-configuration configuration object-policy-ip
匹配顺序与创建顺序有关
特点：对象策略匹配对象组，如果不存在，则不匹配任何报文
对象策略不指定对象组，该规则匹配所有报文
配置步骤：
1、放行Trust区域中10.1.1.0/24到其他区域的任意IP流量。
①定义对象组
object-group ip address Inside
0 network subnet 192.168.1.0 255.255.255.0
②定义对象策略
object-policy ip TRUST-TO-ANY
rule 0 pass source-ip Inside
③调用策略
[vFW]zone-pair security source trust destination any
[vFW-zone-pair-security-Trust-Any]object-policy apply ip TRUST-TO-ANY
[vFW-zone-pair-security-Trust-Any]qu
2、只放行DMZ区域到Trust区域中10.1.1.1/24的telnet流量。
①定义对象组
object-group ip address DMZ
0 network subnet 172.16.2.0 255.255.255.0
object-group ip address Inside_PC1
0 network host address 192.168.1.1
object-group service Service_telnet
0 service tcp destination eq 23
②定义对象策略
object-policy ip DMZ-TO-TRUST
rule 0 pass source-ip DMZ destination-ip Inside_PC1 service Service_telnet
③调用策略
[vFW]zone-pair security source DMZ destination trust
[vFW-zone-pair-security-DMZ-Trust]object-policy apply ip DMZ-TO-TRUST
[vFW-zone-pair-security-DMZ-Trust]qu
3、只放行Untrust区域的10.1.4.0/24到DMZ区域中10.1.2.1/24的HTTP和telnet流量。
①定义对象组
object-group ip address DMZ_srv
0 network host address 172.16.2.1
object-group ip address Outside
0 network subnet 202.101.12.0 255.255.255.0
object-group service Service_HTTP
0 service tcp destination eq 80
10 service tcp destination eq 23
②定义对象策略
object-policy ip UNTRUST_TO_DMZ
rule 0 pass source-ip Outside destination-ip DMZ_srv service Service_HTTP
③调用策略
[vFW]zone-pair security source untrust destination dmz
[vFW-zone-pair-security-Untrust-DMZ]object-policy apply ip UNTRUST_TO_DMZ
[vFW-zone-pair-security-Untrust-DMZ]qu
③ASPF
同一个区域内的接口间，如果没有安全实例，默认是丢包
3、基本配置
区域添加接口
查看命令：
DHCP：
设置域间策略:
4、安全策略
1）定义
根据报文的属性特征指导报文的转发行为和DPI（深度报文检测）
2）应用：
防火墙转发报文、流量访问防火墙（telnet）
3）发展：
ALC（采用五元组匹配流量，涉及的层次不高）、UTM、NGFW
4）构成：
过滤条件(设置IP、用户、区域、协议等信息；可以设置多种因数)
设置动作：放行、拒绝、DPI
5）顺序
先创建先匹配；限制越严格写前面
6）流程
7）注意事项
非management和非local安全的报文都会被丢弃
当需要访问防火墙时，需要配置源安全区域到local区域的安全策略
限制越严格写前面
8）配置的顺序
1、允许总裁办在任意时间通过HTTP协议访问财务数据库服务器的Web服务：
security-policy ip
rule 0 name zongcaiban_to_database
action pass
source-zone zongcaiban
destination-zone database
source-ip-subnet 192.168.1.0 255.255.255.0
destination-ip-subnet 172.16.2.0 255.255.255.0
service http
2、允许财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务。
①设置工作时间：
[vFW]time-range Worktime 08:00 to 18:00 working-day
②设置策略：
security-policy ip
rule 1 name caiwubu_to_database
action pass
time-range Worktime
source-zone caiwubu
destination-zone database
source-ip-subnet 202.101.12.0 255.255.255.0
destination-ip-subnet 172.16.2.0 255.255.255.0
service http
5、设备的管理登入
若是要进行非management安全区域主机对设备进行登录，则要记得写安全策略
telnet：
[vFW]telnet server enable －－－开启telnet服务
[vFW]line vty 0 4－－－设置ＶＴＹ远程登入
[vFW-line-vty0-4]authentication-mode scheme --- AAA认证
[vFW-line-vty0-4]qu
[vFW]local-user LTL class manage －－－创建账号
[vFW-luser-manage-LTL]password simple abc@123456－－－设置密码
[vFW-luser-manage-LTL]service-type telnet－－－开启服务
[vFW-luser-manage-LTL]qu
HTTP：
若是要进行非management安全区域主机对设备进行登录，则要记得写安全策略
