华为防火墙的网络层防火墙

网络层防火墙可视为一种 IP 封包的过滤器（允许或拒绝封包资料通过的软硬结合装置），运作在底层的 TCP/IP 协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。

我们也能以另一种较宽松的角度来制定防火墙规则，华三H3C防御系统硬件设备，只要封包不符合任何一项“否定规则”就予以放行。现在的操作系统及网络设备大多已内置防火墙功能。

较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型(如 WWW 或是 FTP)。也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤。

华为防火墙的基本架构

防火墙的硬件体系结构曾经历过通用CPU架构、ASIC架构和网络处理器架构，他们各自的特点分别如下：

通用CPU架构

通用CPU架构常见的是基于Intel X86架构的防火墙，在百兆防火墙中Intel X86架构的硬件以其高灵活性和扩展性一直受到防火墙厂商的青睐；由于采用了PCI总线接口，Intel X86架构的硬件虽然理论上能达到2Gbps的吞吐量甚至更高，但是在实际应用中，尤其是在小包情况下，防御系统硬件设备，远远达不到标称性能，通用CPU的处理能力也很有限。

国内安全设备主要采用的就是基于X86的通用CPU架构。

ASIC架构

ASIC技术是国外网络设备几年前广泛采用的技术。由于采用了硬件转发模式、多总线技术、数据层面与控制层面分离等技术， ASIC架构防火墙解决了带宽容量和性能不足的问题，稳定性也得到了很好的保证。

ASIC技术的性能优势主要体现在网络层转发上，而对于需要强大计算能力的应用层数据的处理则不占优势，而且面对频繁变异的应用安全问题，其灵活性和扩展性也难以满足要求。

网络处理器架构

由于网络处理器所使用的微码编写有一定技术难度，难以实现产品的性能，因此网络处理器架构的防火墙产品难以占有大量的市场份额。

华为防火墙区域配置要点

关于区域配置需要知道的几点:

1.安全区域的优先级必须是唯yi的;

2.一个接口只能加入一个安全区域，但一个安全区域可以有多个接口;

3.默认情况下，华为防御系统硬件设备，华为NGFW防火墙拒绝任何区域之间的流量，华三H3C防御系统硬件设备，如需放行zhi定的流量，需要设置策略(华为传统的防火墙默认对高优先级区域到低优先级区域方向流量默认放行，但zui新的NGFW防火墙默认禁止一切流量)

北京盈富迈胜有限公司-华三H3C防御系统硬件设备由北京盈富迈胜科技发展有限公司提供。北京盈富迈胜科技发展有限公司是一家从事“交换机,路由器,防火墙,无线AP,光模块”的公司。自成立以来，我们坚持以“诚信为本，稳健经营”的方针，勇于参与市场的良性竞争，使“华为,H3C,思科”品牌拥有良好口碑。我们坚持“服务至上，用户至上”的原则，使北京盈富迈胜在交换机中赢得了客户的信任，树立了良好的企业形象。 特别说明：本信息的图片和资料仅供参考，欢迎联系我们索取准确的资料，谢谢！