网络安全技术与实训-第8章-第1节-防火墙三区域与DMZ思想
第8章 防火墙
防火墙是大多数人接触到的第一个安全设备。这一节讲它的核心思想——不是配置命令，而是“网络该怎么分区”这件事。理解了分区思想，配置只是实现手段。
一、防火墙是什么：网络边界的门卫
防火墙站在网络的边界上，拿着访客单（规则表）决定每一个进来的包是放行还是拦截。所有规则合起来构成一套安全策略。
它的核心思想只有一句话：默认拒绝一切，按需放行（白名单思想）。
这句话值得展开说：很多新手配置防火墙时会想“我先允许所有，再把危险的挡掉”。这是典型的黑名单思路，注定失败——因为危险的东西你永远列不全。正确做法是反过来：先默认关闭所有通道，然后逐个想清楚“哪个业务确实需要，才开哪一条”。虽然前期麻烦一些，但这是唯一可靠的方向。
二、三个区域：大街、前台、办公室
这是本节最核心的概念。把网络按重要程度分成三个区域，用一个公司布局来类比：
| 区域 | 公司类比 | 存放什么 | 安全等级 |
|---|---|---|---|
| 外网 | 大街 | 完全不可控的公网环境 | 最低，视同敌对环境 |
| DMZ（隔离区） | 前台 | 必须对外提供服务的服务器：网站、邮件、对外 API | 中等，假定会被攻击 |
| 内网 | 办公室 | 核心数据、数据库、内部办公系统 | 最高，绝不直接暴露 |
这个设计的精髓在于：客人只能到前台谈事，绝对进不了办公室。 网站服务器放在 DMZ 里，即便它被攻破，攻击者也只是站在了“前台”——而从前台到办公室的那道门是关死的，核心数据库因此毫发无损。
反过来想：如果把网站服务器直接放在内网、只靠防火墙“开几个端口”让外网访问，那网站一旦被打穿，攻击者就已经在办公室里面了，整个内网都暴露在他的视野中。这就是为什么要把对外服务单独隔离出来的根本原因。
三、区域之间的访问策略
三个区域之间的通行规则如下，这张表建议记住：
| 访问方向 | 策略 | 一句话理由 |
|---|---|---|
| 外网 → DMZ | 有限放行（如仅 80 / 443） | 网站要对外服务，但只开必需端口 |
| DMZ → 内网 | 基本拒绝 | 前台被打劫，也不能顺进办公室 |
| 内网 → 外网 | 按需放行 | 员工要上网办事，但出站也要管控 |
这里有两个常被忽略的点：
- “DMZ → 内网 基本拒绝”是整套设计的命门。 很多单位把网站放在 DMZ 了，却为了方便让 DMZ 可以访问内网数据库——这等于把前台的墙拆了，DMZ 也就失去意义了。如果网站必须访问数据库，正确做法是把数据库也放在 DMZ 内的独立网段，或者通过严格限定的通道访问。
- 出站流量同样要管控。 只做出站限制的火墙往往挡不住“已经住在里面的内鬼”——比如已经中招的机器主动向外连接控制服务器、或者内部人员在向外传送数据。
四、防火墙拦不住什么
必须清楚，防火墙只是纵深防御中的一层，它管不到的地方同样多：
- 拦不住“内鬼”：有合法权限的内部人员在做不该做的事。
- 拦不住病毒：用户主动下载运行的程序，走的是合法通道。
- 拦不住“绕行”：通过 4G 上网卡、手机热点、私接无线网络绕开边界。
- 拦不住应用层攻击：SQL 注入这类攻击走的都是被放行的 80/443 端口，防火墙看不出请求内容有问题——这需要 WAF 来处理（下一节详述）。
正如课件里的那句话：“门卫只管门口：内鬼、病毒、绕行线路它拦不住。”
五、配套实训
本章对应两个实训：
- 实训 11 · Packet Tracer 网络搭建：用模拟器搭出“外网 — 防火墙 — DMZ — 内网”的拓扑。这是理解三区域最直观的方式——你会亲手把服务器放到某个区域，然后验证哪些访问能通、哪些被拒。
- 实训 12 · ASA 防火墙基本配置：在真实设备（或模拟器）上配置接口、区域与安全级别，把上面的策略表变成实际生效的规则。
实训时建议多做一组对比实验：把 DMZ→内网的策略从“拒绝”改为“允许”，再观察能从 DMZ 访问到内网多少东西。亲眼看到这个差别，就明白为什么这一条被称为整套设计的命门。