上一篇文章《防火墻入門基礎(chǔ)之登錄Web配置界面》已經(jīng)簡單的介紹了關(guān)于華為防火墻的如何配置Web登錄，也開始接觸了關(guān)于防火墻安全區(qū)域的基本概念。其實防火墻安全區(qū)域是一個非常重要的概念，簡稱為區(qū)域（Zone）。安全區(qū)域是一個或多個接口的集合，是防火墻區(qū)別于路由器的主要特征。
防火墻默認情況下為我們提供了三個安全區(qū)域，分別是Trust、DMZ和Untrust。
- Trust區(qū)域，該區(qū)域內(nèi)網(wǎng)絡(luò)的受信任程度高，通常用來定義內(nèi)部用戶所在的網(wǎng)絡(luò)。
- DMZ區(qū)域，該區(qū)域內(nèi)網(wǎng)絡(luò)的受信任程度中等，通常用來定義內(nèi)部服務(wù)器所在的網(wǎng)絡(luò)。
- Untrust區(qū)域，該區(qū)域代表的是不受信任的網(wǎng)絡(luò)，通常用來定義Internet等不安全的網(wǎng)絡(luò)
除了以上三個安全區(qū)域外，我們可以根據(jù)自身的業(yè)務(wù)來規(guī)劃不能安全區(qū)域，可以通過以下命令添加。
[USG6000V1]firewall zone name yewu
添加完需要對安全區(qū)域設(shè)置優(yōu)先級，可以執(zhí)行如下命令，優(yōu)先級的范圍為0-100。
[USG6000V1-zone-yewu]set priority 30
我們還可以通過web頁面添加安全區(qū)域，以華為USG6000為例，如下圖
安全區(qū)域的優(yōu)先級的作用
每個安全區(qū)域都有自己的優(yōu)先級，用1-100的數(shù)字表示，數(shù)字越大，則代表該區(qū)域內(nèi)的網(wǎng)絡(luò)越可信。報文在兩個安全區(qū)域之間流動時，我們規(guī)定：報文從低級別的安全區(qū)域向高級別的安全區(qū)域流動時為入方向（Inbound），報文從由高級別的安全區(qū)域向低級別的安全區(qū)域流動時為出方向（Outbound）。報文在兩個方向上流動時，將會觸發(fā)不同的安全檢查。
下面通過一個案例，來看看安全區(qū)的數(shù)據(jù)的流動。
關(guān)鍵配置
把GE1/0/0接口添加到trust安全區(qū)域，并配置接口IP地址為192.168.1.1
[USG6000V1]firewall zone trust [USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0 [USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.1 24
把GE1/0/1接口添加到untrust安全區(qū)域，并配置接口IP地址為192.168.2.1
[USG6000V1]firewall zone untrust [USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/1 [USG6000V1-GigabitEthernet1/0/1]ip address 192.168.2.1 24
同一個安全區(qū)域的內(nèi)，是否會觸發(fā)數(shù)據(jù)包的檢查？
PC1和PC2屬于同一安全區(qū)域的，而PC1、PC2和PC3屬于不同的區(qū)域的。在沒有配置任何安全策略的情況下，我們先看看同一個安全區(qū)域的是否能ping通。
PC1主機PingPC2主機
通過以上測試結(jié)果，我們發(fā)現(xiàn)PC1能正常Ping通PC2。這樣就說明了，在同一個安全區(qū)內(nèi)，不會觸發(fā)安全檢查。
那么不同安全區(qū)域呢，又如何呢？
接著我們通過測試PC1和PC3的相互訪問，驗證不同安全區(qū)域的情況。
PC1主機Ping不通PC3主機
通過以上結(jié)果，證明了報文在不同的安全區(qū)域之間流動時，才會觸發(fā)安全檢查。
如果讓PC1能正常訪問PC3，我們可以通過配置安全策略來實現(xiàn)。
我們先配置允許trust區(qū)域流量去往untrust。
添加完這一條安全策略，PC1能訪問PC3嗎？我們先來看看效果
從上圖可以看到，PC1能正常PingPC3，說明這個策略是起作用了。我們還可以通過查看策略的命中率。
如果想讓PC3也能正常Ping通PC1，也需要添加一條untrust區(qū)域流量去往trust的安全策略。
關(guān)于安全策略可以做到很精細的匹配，我這里為了演示方便，就把策略放的很寬，在生產(chǎn)環(huán)境中，安全策略是嚴格把控的，所有在學習防火墻重點是在安全策略上。
