防火墙策略路由

需求分析一、整体组网架构内网分为两大业务网段财务部、研发部防火墙双线互联网出口电信链路 联通链路内网区域Trust 安全区域互联网Untrust 安全区域配套能力链路冗余检测、策略路由流量分流、源 NAT 上网、Portal 认证上网、安全访问控制、服务器发布、FTP 专项分流二、分项详细需求拆解1. 链路层需求双外网链路冗余IP-Link 链路质量检测防火墙分别对接电信、联通两条宽带线路部署IP-Link ICMP 探测持续检测两条外网链路连通性任意一条外网线路中断后依靠路由联动实现链路自动切换保证内网不断网。2. 流量调度需求策略路由分流核心差异化需求针对 FTP 业务做精准线路区分其余上网流量可按默认路由调度财务部所有 FTP 访问外网流量 → 强制走电信线路出口研发部所有 FTP 访问外网流量 → 强制走联通线路出口普通网页、聊天、下载等非 FTP 业务流量遵循默认路由转发。3. 上网地址转换需求Easy-IP 源 NAT内网访问互联网内网主机属于私有地址无法直接访问公网需做 PAT 源地址转换财务部流量从电信接口出站使用电信外网接口公网 IP 做 Easy-IP NAT研发部流量从联通接口出站使用联通外网接口公网 IP 做 Easy-IP NAT无需创建公网地址池直接复用接口 IP部署简单适合宽带拨号 / 固定公网 IP 场景。4. 上网权限认证需求两大部门上网规则不同内网主机访问互联网必须匹配认证策略财务部访问外网强制 Portal 账号密码认证弹出网页输入用户名密码核验通过后才可访问互联网研发部访问外网匿名免认证上网无需账号登录设备放行即可直接上网认证仅针对内网访问互联网流量内网之间互访不受认证限制。5. 安全策略访问控制需求防火墙全域流量管控遵循最小权限原则逐条定义流量放行规则自上而下匹配✅ Trust 内网区域之间完全互通财务部↔研发部互相访问无限制✅ 财务部访问外网触发账号认证后放行✅ 研发部访问外网匿名直接放行✅ 互联网公网用户可以访问内网发布的 Web 服务器 80 端口服务器外网映射发布✅ 内网所有主机均可访问外网 FTP 服务器❌ 所有未被上述规则匹配的流量全部默认拒绝兜底安全策略。6. 服务器发布需求公网访问内网 Web 业务内网部署 Web 服务器需要对外提供网页服务外网 Untrust 区域用户可以主动访问内网 Trust 区 Web 服务器 TCP 80 端口结合目的 NAT 实现服务器端口映射。7. FTP 业务专项保障内网访问外网 FTP 服务单独放行并依托策略路由实现两个部门走不同运营商线路优化 FTP 传输稳定性。三、整体业务逻辑流转内网 PC 发起上网请求 → 匹配安全策略校验上网权限 触发对应认证FTP 流量匹配策略路由固定走指定运营商线路普通流量走默认路由流量抵达外网接口 → 执行 Easy-IP 源 NAT私有 IP 转为公网 IP 访问互联网IP-Link 实时监控链路链路故障自动切换备用出口外网主动访问内网 Web 服务器目的 NAT 映射 安全策略放行四、方案用到的防火墙技术清单安全区域划分Trust/UntrustSecurity-policy 安全访问控制策略 Portal 网页认证Policy-based route 策略路由流量精细化分流NAT 策略Easy-IP 源 NAT 上网、目的 NAT 服务器发布IP-Link 链路质量检测 静态路由联动实现链路备份地址对象、服务对象规范化管理网段与端口安全策略接口配置安全区域静态路由