如前所述,使用更加精细的类映射和策略映射配置的另一个优点,是能够在会话和速度值上应用特定于类的限制,并且可以通过应用参数映射以调整每个类的检查行为,从而具体调整检查参数。
配置区域策略防火墙的策略映射
策略映射可以对一个或多个类映射应用防火墙策略操作,以定义将应用于安全区域对的服务策略。当创建检查类型策略映射时,在创建类后将会应用一个名为 class class-default 的默认类。class class-default 的默认策略操作是丢弃,但可以更改为通过。您可以在丢弃操作中添加日志选项。对于 class class-default 不能应用检查。
区域策略防火墙的操作
ZFW 针对区域间移动的数据流提供了三种操作:
丢弃 — 这是用于所有数据流的默认操作,它由终止所有检查类型策略映射的“class class-default”应用。您可以将策略映射中的其他类映射也配置为丢弃有害数据流。由丢弃操作处理的数据流将被 ZFW 静默丢弃(也就是说不会向相关终端主机发送丢弃通知),与之相反,ACL 行为则是向发出被拒绝数据流的主机发送 ICMP“host unreachable”消息。目前没有选项可以更改“静默丢弃”行为。您可以在丢弃操作中添加日志选项,以便显示 syslog 通知,指示防火墙已丢弃数据流。
通过 — 此操作允许路由器将来自一个区域的数据流转发到另一个区域。通过操作不会在数据流内跟踪连接或会话状态。它只允许一个方向的数据流通过。要允许相反方向的回程数据流通过,必须应用对应的策略。通过操作可以用于 IPSec ESP、IPSec AH、ISAKMP 等协议,以及其他具有可预测行为的内在安全协议。但是,大多数应用流量最好使用 ZFW 中的检查操作进行处理。
检查 — 检查操作提供了基于状态的数据流控制。例如,在上述示例网络中,如果检查了从专用区域到 Internet 区域的数据流,则路由器将维护 TCP 和用户数据报协议 (UDP) 数据流的连接或会话信息。因此,路由器将允许 Internet 区域主机响应专用区域连接请求而发送的回程数据流通过。此外,检查操作还可以对某些携带易受攻击或敏感应用流量的服务协议提供应用程序检查和控制。您可以通过参数映射应用审计追踪,以记录连接/会话的开始、终止、持续时间、传送的数据