下载文档原格式
H3C SecPath F100-C防火墙安装手册杭州华三通信技术有限公司资料版本：T1-08044M-20070430-C-1.03声明Copyright ©2006-2007 杭州华三通信技术有限公司及其许可者版权所有，保留一切权利。
未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。
H3C、、Aolynk、、H3Care、、TOP G、、IRF、NetPilot、Neocean、NeoVTL、SecPro、SecPoint、SecEngine、SecPath、Comware、Secware、Storware、NQA、VVG、V2G、V n G、PSPT、XGbus、N-Bus、TiGem、InnoVision、HUASAN、华三均为杭州华三通信技术有限公司的商标。
对于本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
除非另有约定，本手册仅作为使用指导，本手册中的所有陈述、信息和建议不构成任何明示或暗示的担保。
如需要获取最新手册，请登录。
技术支持用户支持邮箱：customer_service@技术支持热线电话：800-810-0504（固话拨打）400-810-0504（手机、固话均可拨打）网址：前言相关手册手册名称用途《H3C SecPath系列安全产品操作手册》 该手册介绍了H3C SecPath系列安全网关/防火墙的功能特性、工作原理和配置及操作指导。
《H3C SecPath系列安全产品命令手册》该手册介绍了H3C SecPath系列安全网关/防火墙所涉及的配置和操作命令。
包括命令名、完整命令行、参数、操作视图、使用指导和操作举例。
《H3C SecPath系列安全产品 Web配置手册》指导用户通过Web方式对H3C SecPath系列防火墙进行配置操作。
本书简介本手册各章节内容如下：z第1章产品介绍。
介绍H3C SecPath F100-C防火墙的特点及其应用。
H3C数据中心虚拟化解决方案技术白皮书缩略语清单：1 技术背景随着社会生产力的不断发展，用户需求不断发展提高，市场也不断发展变化，谁能真正掌握市场迎合用户，谁就能够占领先机提高自己的核心竞争力。
企业运营中关键资讯传递的畅通可以帮助企业充分利用关键资源，供应链、渠道管理，了解市场抓住商机，从而帮助企业维持甚至提高其竞争地位。
作为网络数据存储和流通中心的企业数据中心，很显然拥有企业资讯流通最核心的地位，越来越受到企业的重视。
当前各个企业/行业的基础网络已经基本完成，随着“大集中”思路越来越深入人心，各企业、行业越来越迫切的需要在原来的基础网络上新建自己的数据中心。
数据中心设施的整合已经成为行业内的一个主要发展趋势，利用数据中心，企业不但能集中资源和信息加强资讯的流通以及新技术的采用，还可以改善对外服务水平提高企业的市场竞争力。
一个好的数据中心在具有上述好处之外甚至还可以降低拥有成本。
1.1 虚拟化简介在数据大集中的趋势下，数据中心的服务器规模越来越庞大。
随着服务器规模的成倍增加，硬件成本也水涨船高，同时管理众多的服务器的维护成本也随着增加。
为了降低数据中心的硬件成本和管理难度，对大量的服务器进行整合成了必然的趋势。
通过整合，可以将多种业务集成在同一台服务器上，直接减少服务器的数量，有效的降低服务器硬件成本和管理难度。
服务器整合带来了巨大的经济效益，同时也带来了一个难题：多种业务集成在一台服务器上，安全如何保证？而且不同的业务对服务器资源也有不同的需求，如何保证各个业务资源的正常运作？为了解决这些问题，虚拟化应运而生了。
虚拟化指用多个物理实体创建一个逻辑实体，或者用一个物理实体创建多个逻辑实体。
实体可以是计算、存储、网络或应用资源。
虚拟化的实质就是“隔离”—将不同的业务隔离开来，彼此不能互访，从而保证业务的安全需求；将不同的业务的资源隔离开来，从而保证业务对于服务器资源的要求。
数据中心运行的应用越来越多，但很多应用都相互独立，而且在使用率低下、相关隔绝的不同环境中运行。
H3C SecPath F100系列防火墙配置教程初始化配置〈H3C〉system-view开启防火墙功能[H3C]firewall packet-filter enable[H3C]firewall packet-filter default permit分配端口区域[H3C] firewall zone untrust[H3C-zone-trust] add interface GigabitEthernet0/0[H3C] firewall zone trust[H3C-zone-trust] add interface GigabitEthernet0/1工作模式firewall mode transparent 透明传输firewall mode route 路由模式http 服务器使能HTTP 服务器undo ip http shutdown关闭HTTP 服务器ip http shutdown添加WEB用户[H3C] local-user admin[H3C-luser-admin] password simple admin[H3C-luser-admin] service-type telnet[H3C-luser-admin] level 3开启防范功能firewall defend all 打开所有防范切换为中文模式language-mode chinese设置防火墙的名称sysname sysname配置防火墙系统IP 地址firewall system-ip system-ip-address [ address-mask ] 设置标准时间clock datetime time date设置所在的时区clock timezone time-zone-name { add | minus } time取消时区设置undo clock timezone配置切换用户级别的口令super password [ level user-level ] { simple | cipher } password取消配置的口令undo super password [ level user-level ]缺缺省情况下，若不指定级别，则设置的为切换到3 级的密码。
产品专题信息：产品概述SecPath SSL VPN系列网关是SecPath系列产品的新成员，是H3C公司开发的新一代专业安全产品。
SecPath SSL VPN网关能够让用户直接使用浏览器访问内部网络资源，无需安装客户端软件，提供了高经济、低成本的远程移动安全接入方式。
SecPath V100-E作为集IPSec VPN和SSL VPN功能与一体的专业VPN网关，还具有完善的防火墙功能，能够有效的保护网络安全；采用应用状态检测技术，可对连接状态过程和异常命令进行检测；提供多种智能分析和管理手段；提供基本的路由能力，支持路由策略及策略路由；支持丰富的QoS特性。
SecPath SSL VPN网关的推出，进一步增强了H3C公司安全解决方案的提供能力。
产品特点市场领先的VPN和安全防护功能：1.全面的VPN接入方式：支持Web方式接入、TCP方式接入和IP方式接入。
用户可以根据各种远程接入方式之间安全性和访问能力的差异，选择接入方式。
2.细粒度控制：可以分别对三种VPN接入方式进行基于应用的控制，可以控制用户访问的URL、文件目录、服务器地址和资源。
3.免客户端：SecPath V100-E采用B/S架构，客户端无需安装任何软件。
4.VPN特性丰富：支持SSL VPN、IPSec VPN、L2TP VPN和GRE VPN，可以满足企业用户不同的安全接入需求。
5.增强型状态安全过滤：支持基础、扩展和基于接口的三种状态检测包过滤技术，支持按照时间段进行过滤；支持应用层报文过滤协议，可监控每一个连接的状态信息，并能动态地过滤数据包。
6.抗攻击防范能力：支持DoS/DDoS等攻击防范、静态和动态黑名单、MAC和IP绑定等。
7.集中管理与审计：提供各种日志功能、流量统计和分析功能、事件监控和统计功能、邮件告警功能等。
产品规格订购信息说明：“必配”表示所描述项目直接随选购的主机提供，不需要用户选择购买。
“选配”表示所描述项目需要用户选择购买。
SecCenter解决方案技术白皮书Hangzhou H3C Technology Co., Ltd.杭州华三通信技术有限公司All rights reserved版权所有侵权必究目录1 商业用户网络对于安全管理的需求 (5)2 安全管理技术方案比较 (6)3 H3C安全管理中心解决方案 (7)3.1 安全管理中心基本思路 (7)3.2 解决方案特点 (8)3.3 典型组网图 (9)4 系统主要技术特性分析 (10)4.1 不同种类的安全设备支持 (10)4.2 企业安全分析 (11)4.3 网络架构 (12)4.4 安全拓扑和可视化威胁 (12)4.5 监控&事件关联 (13)4.6 安全管理报告 (15)4.7 可升级日志管理 (15)4.8 搜索分析 (15)5 总结和展望 (16)6 参考文献 (16)7 附录 (16)Figure List 图目录图1 典型组网图 (10)图2 安全管理添加到网络和应用管理 (11)图3 SecCenter支持单独配置和分布式配置 (12)图4 基于拓扑的实时威胁可视化下拉菜单 (13)图5 监控仪表盘展示了一个实时的全部安全状态的一部分 (14)SecCenter解决方案技术白皮书关键词：SecCenter、安全管理、事件、日志、搜索摘要：本文档对于SecCenter安全管理中心的解决方案进行了介绍。
描述了用户对于安全管理中心的需求，各种方案的比较。
介绍了H3C推出解决方案的技术特点、组网图、主要技术分析等。
缩略语清单：1 商业用户网络对于安全管理的需求一个公司只是注重在物理上对网络安全的投资是远远不够的，即使安全防范再严密的网络，也会有可能有破坏性漏洞的产生。
据估计在世界范围内由攻击造成的经济损失已经由1997 年的33 亿美元上升到2003 年的120亿美元。
这个数字还在快速上升。
另外，为了满足政府规范要求，需要执行安全审计流程。
如果不能满足政府的规范要求，除了有可能被高额的罚款以外，还有可能触犯法律，面临刑事诉讼。
WLAN安全技术白皮书（V1.00）-技术白皮书-产品技术-H3CWLAN安全技术白皮书(V1.00)WLAN安全技术白皮书关键词：WLAN、Station、SSID、PSK、EAP、AP。
摘要：现在WLAN应用已经非常普遍，在很多场所被部署，例如公司、校园、工厂、咖啡厅等等。
本文介绍了H3C WLAN解决方案能够提供的多种无线安全技术。
缩略语：目录1 H3C WLAN分层安全体系简介2 物理层安全3 用户接入安全3.2 802.1x接入认证3.3 PSK接入认证3.4 MAC接入认证3.5 EAP终结和本地认证4 网络安全4.1 端点准入防御4.2 无线入侵检测系统4.3 安全策略统一部署4.4 无线控制器和AP间下行流量限速4.5 IPSEC VPN5 设备安全6 安全管理1 H3C WLAN分层安全体系简介H3C公司的WLAN安全解决方案在遵循IEEE 802.11i协议和国家WAPI标准的基础上，创新性的提出了分层的安全体系架构，将WLAN的安全从单一的物理层安全延伸到了物理层安全、用户接入安全、网络层安全、设备安全、安全管理多个层面上，使用户在使用WLAN网络时能够像使用有线网络一样安全、可靠。
2 物理层安全为了保证物理层的通信安全H3C公司的无线产品支持以下的加密机制：(1) WEP加密：该种加密方式在IEEE802.11协议中定义。
WEP加密机制需要WLAN设备端以及所有接入到该WLAN网络的客户端配置相同的密钥。
WEP加密机制采用RC4算法（一种流加密算法），最初WLAN仅支持WEP40（WEP40算法的密钥长度仅为64bits），当前WLAN还可以支持WEP104（WEP104算法的密钥长度仅为128bits）。
(2) TKIP加密：该加密方式主要在WPA相关协议中定义。
TKIP加密机制除了提供数据的加密处理，还提供了MIC和Countermeasure功能实现对WLAN服务的安全保护。
H3C CDP技术白皮书Huawei-3Com Technology Co., Ltd.华为3Com技术有限公司All rights reserved版权所有侵权必究声明Copyright © 2006 杭州H3C及其许可者版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。
H3C、Aolynk、、IRF、H3Care、、Neocean、、TOP G、SecEngine、SecPath、COMWARE、VVG、V2G、V n G、PSPT、NetPilot、XGbus均为杭州H3C的商标。
对于本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
修订记录版本描述作者日期2006年8月22日 1.00 初稿完成秦祖福2006年9月05日 1.01 根据评审意见进行修改秦祖福目录第1章引言 (8)1.1 企业面临的挑战 (8)1.1.1 数据安全 (8)1.1.2 业务连续 (8)1.1.3 “软错误”的恢复 (8)1.2 传统灾备面临的挑战 (9)1.3 CDP让灾备发新芽 (10)第2章CDP技术概述 (11)2.1 CDP的定义 (11)2.2 CDP的特点及技术优势 (11)2.3 CDP的关键技术 (13)2.3.1 基准参考数据模式 (13)2.3.2 复制参考数据模式 (14)2.3.3 合成参考数据模式， (14)2.3.4 三种模式比较 (15)2.4 CDP的实现模式 (15)2.4.1 基于应用实现持续数据保护 (16)2.4.2 基于文件实现持续数据保护 (16)2.4.3 基于数据块实现持续数据保护 (16)第3章H3C CDP技术介绍 (17)3.1 H3C CDP技术核心理念 (17)3.1.1 以快速恢复生产为前提的服务器完整保护 (17)3.1.2 有效降低数据丢失风险 (17)3.1.3 确保数据库恢复的完整性 (17)3.1.4 SAN级别的服务器保护 (17)3.1.5 备份数据立即检查及还原验证 (18)3.1.6 让关键业务先恢复正常运行再进行修复 (18)3.1.7 从本地服务器保护立即扩大为远程容灾 (18)3.2 NeoStor数据管理平台CDP技术 (18)3.2.1 NeoStor 数据管理平台-核心服务 (19)3.2.2 NeoStor 数据管理平台-Client Agents (23)第4章H3C CDP方案介绍 (26)4.1 H3C CDP解决方案特色 (26)4.1.1 服务器完整保护 (26)4.1.2 数据库恢复保障 (26)4.1.3 系统运行快速恢复 (26)4.1.4 直接升级远程机制 (26)4.2 本地CDP方案 (27)4.3 远程CDP方案 (28)4.3.1 阶段一：灾难发生前 (29)4.3.2 阶段二：灾难发生时 (30)4.3.3 阶段三：灾难发生后 (31)第5章结束语 (32)第6章附录 (33)插图目录图2-1 持续数据保护与传统数据保护技术在实施数据保护时的间隔比较 (12)图2-2 基准参考数据模式 (14)图2-3 复制参考数据模式 (14)图2-4 合成参考数据模式 (15)图3-1 COFW技术 (20)图3-2 远程复制 (21)图3-3 自适应复制 (22)图3-4 DiskSafe数据保护 (23)图4-1 本地CDP方案 (27)图4-2 远程CDP方案 (29)H3C CDP技术白皮书关键词：CDP摘要：本文档在全面分析CDP技术现状的基础上，阐述了华为3Com公司的CDP技术以及CDP方案。
H3C SecPath系列防火墙（V5）维护指导书（V1.0）杭州华三通信技术有限公司2016-03-29 H3C机密，未经许可不得扩散第1页，共35页修订记录Revision Records2016-03-29 H3C机密，未经许可不得扩散第2页，共35页目录1.日常维护建议总则 (7)1.1.日常维护建议 (7)1.2.维护记录表格和维护操作指导书的使用说明 (8)2.安装操作指导 (9)3.维护操作指导 (10)3.1.H3C S EC P ATH防火墙设备现场巡检 (10)3.2.设备日常维护操作指导 (11)3.3.设备季度维护操作指导 (12)3.4.H3C设备年度维护操作指导 (12)4.入门维护 (13)4.1.基本概念 (13)4.2.产品FAQ (17)5.常见故障处理 (21)5.1.S EC P ATH防火墙故障诊断流程 (21)5.2.H3C S EC P ATH防火墙系统维护 (21)5.3.S EC P ATH防火墙连通性 (22)5.4.N AT故障处理 (22)5.5.攻击防范故障处理 (23)6.常见问题及FAQ (25)6.1.N AT专题篇FAQ (25)6.2.攻击防范篇FAQ (26)6.3.高可靠性篇FAQ (27)7.附录 (29)7.1.维护记录表格 (29)7.2.H3C公司资源和求助途径 (35)2016-03-29 H3C机密，未经许可不得扩散第3页，共35页H3C SecPath系列防火墙维护指导书关键词：SecPath防火墙、维护指导、常见问题、摘要：此文档用于指导日常维护H3C 防火墙产品及解决常见故障参考使用，主要描述用户维护部门周期性（每天、每季、每年）对H3C SecPath系列防火墙设备进行健康性检查的相关事项。
适用对象：本文档适用于H3C SecPath系列防火墙产品的日常操作和维护工程师。
缩略语清单：2009-4-10 H3C版权所有，未经许可不得扩散第4页, 共35页产品简介伴随着因特网的蓬勃发展，网络协议的开发性注定了给入侵者留下了众多的入侵机会，安全的网络也跟着提升到一个全新的高度。
SecPath 虚拟防火墙技术白皮书关键词：虚拟防火墙MPLS VPN摘要：本文介绍了H3C 公司虚拟防火墙技术和其应用背景。
描述了虚拟防火墙的功能特色，并介绍了H3C 公司具备虚拟防火墙功能的独立防火墙和防火墙插板产品的组网环境应用。
缩略语清单：目录1 概述 (3)1.1 新业务模型产生新需求 (3)1.2 新业务模型下的防火墙部署 (3)1.2.1 传统防火墙的部署缺陷 (3)1.2.2 虚拟防火墙应运而生 (4)2 虚拟防火墙技术 (5)2.1 技术特点 (5)2.2 相关术语 (6)2.3 设备处理流程 (7)2.3.1 根据入接口数据流 (7)2.3.2 根据Vlan ID数据流 (7)2.3.3 根据目的地址数据流 (8)3 典型组网部署方案 (8)3.1 虚拟防火墙在行业专网中的应用 (8)3.1.1 MPLS VPN组网的园区中的虚拟防火墙部署一 (9)3.1.2 MPLS VPN组网的园区中的虚拟防火墙部署二 (10)3.1.3 虚拟防火墙提供对VPE的安全保护 (10)3.2 企业园区网应用 (11)4 总结 (12)1 概述1.1 新业务模型产生新需求目前，跨地域的全国性超大企业集团和机构的业务规模和管理复杂度都在急剧的增加，传统的管理运营模式已经不能适应其业务的发展。
企业信息化成为解决目前业务发展的关键，得到了各企业和机构的相当重视。
现今，国内一些超大企业在信息化建设中投入不断增加，部分已经建立了跨地域的企业专网。
有的企业已经达到甚至超过了IT-CMM3 的级别，开始向IT-CMM4 迈进。
另一方面，随着企业业务规模的不断增大，各业务部门的职能和权责划分也越来越清晰。
各业务部门也初步形成了的相应不同安全级别的安全区域，比如，OA 和数据中心等。
由于SOX 等法案或行政规定的颁布应用，各企业或机构对网络安全的重视程度也在不断增加。
对企业重点安全区域的防护要求越来越迫切。
因此，对企业信息管理人员来说，如何灵活方便的实现企业各业务部门的安全区域划分和安全区域之间有控制的互访成为其非常关注的问题。
H3C SecPath虚拟防火墙技术白皮书(V1.00)SecPath虚拟防火墙技术白皮书关键词：虚拟防火墙MPLS VPN摘要：本文介绍了H3C公司虚拟防火墙技术和其应用背景。
描述了虚拟防火墙的功能特色，并介绍了H3C公司具备虚拟防火墙功能的独立防火墙和防火墙插板产品的组网环境应用。
缩略语清单：1 概述1.1 新业务模型产生新需求1.2 新业务模型下的防火墙部署1.2.1 传统防火墙的部署缺陷1.2.2 虚拟防火墙应运而生2 虚拟防火墙技术2.1 技术特点2.2 相关术语2.3 设备处理流程2.3.1 根据入接口数据流2.3.2 根据Vlan ID数据流2.3.3 根据目的地址数据流3 典型组网部署方案3.1 虚拟防火墙在行业专网中的应用3.1.1 MPLS VPN组网的园区中的虚拟防火墙部署一3.1.2 MPLS VPN组网的园区中的虚拟防火墙部署二3.1.3 虚拟防火墙提供对VPE的安全保护3.2 企业园区网应用4 总结1.1 新业务模型产生新需求目前，跨地域的全国性超大企业集团和机构的业务规模和管理复杂度都在急剧的增加，传统的管理运营模式已经不能适应其业务的发展。
企业信息化成为解决目前业务发展的关键，得到了各企业和机构的相当重视。
现今，国内一些超大企业在信息化建设中投入不断增加，部分已经建立了跨地域的企业专网。
有的企业已经达到甚至超过了IT-CMM3的级别，开始向IT-CMM4迈进。
另一方面，随着企业业务规模的不断增大，各业务部门的职能和权责划分也越来越清晰。
各业务部门也初步形成了的相应不同安全级别的安全区域，比如，OA和数据中心等。
由于SOX等法案或行政规定的颁布应用，各企业或机构对网络安全的重视程度也在不断增加。
对企业重点安全区域的防护要求越来越迫切。
因此，对企业信息管理人员来说，如何灵活方便的实现企业各业务部门的安全区域划分和安全区域之间有控制的互访成为其非常关注的问题。
这也对安全区域隔离“利器”――防火墙提出了更高的要求。
1.2 新业务模型下的防火墙部署目前许多企业已经建设起自己的MPLS VPN专网，例如电力和政务网。
下面我们以MPLS VPN组网为例介绍在新的业务模型下防火墙的如何实现对各相互独立的业务部门进行各自独立的安全策略部署呢？1.2.1 传统防火墙的部署缺陷面对上述需求，业界通行的做法是在园区各业务VPN前部署防火墙来完成对各部门的安全策略部署实现对部门网络的访问控制。
一般部署模式如下图所示：图1-1 传统防火墙部署方式然而，由于企业业务VPN数量众多，而且企业业务发展迅速。
显而易见的，这种传统的部署模式已经不太适应现有的应用环境，存在着如下的不足：⏹为数较多的部门划分，导致企业要部署管理多台独立防火墙，导致拥有和维护成本较高⏹集中放置的多个独立防火墙将占用较多的机架空间，并且给综合布线带来额外的复杂度⏹由于用户业务的发展，VPN的划分可能会发生新的变化。
MPLS VPN以逻辑形式的实现，仅仅改动配置即可方便满足该需求。
而传统防火墙需要发生物理上的变化，对用户后期备件以及管理造成很大的困难⏹物理防火墙的增加意味着网络中需要管理的网元设备的增多。
势必增加网络管理的复杂度1.2.2 虚拟防火墙应运而生为了适应这种业务模式。
虚拟防火墙技术应运而生。
虚拟防火墙通过在同一台物理设备上划分多个逻辑的防火墙实例来实现对多个业务VPN的独立安全策略部署。
也可以利用这种逻辑防火墙的部署的灵活性来来实现企业网络的对新业务的适应性。
虚拟防火墙诞生以后，对用户来说其部署模式变为如图所示：图1-2 虚拟防火墙部署模型如上图所示，在MPLS网络环境中，在PE与CE之间部署一台物理防火墙。
利用逻辑划分的多个防火墙实例来部署多个业务VPN的不同安全策略。
这样的组网模式极大的减少了用户拥有成本。
随着业务的发展，当用户业务划分发生变化或者产生新的业务部门时，可以通过添加或者减少防火墙实例的方式十分灵活的解决后续网络扩展问题，在一定程度上极大的降低了网络安全部署的复杂度。
另一方面，由于以逻辑的形式取代了网络中的多个物理防火墙。
极大的减少了企业运维中需要管理维护的网络设备。
简化了网络管理的复杂度，减少了误操作的可能性。
2 虚拟防火墙技术2.1 技术特点为了解决传统防火墙部署方式存在的不足，H3C公司推出了虚拟防火墙特性，旨在解决复杂组网环境中大量VPN的独立安全策略需求所带来的网络拓扑复杂、网络结构扩展性差、管理复杂，用户安全拥有成本高等几大问题。
虚拟防火墙是一个逻辑概念，可以在一个单一的硬件平台上提供多个防火墙实体，即，将一台防火墙设备在逻辑上划分成多台虚拟防火墙，每台虚拟防火墙都可以被看成是一台完全独立的防火墙设备，可拥有独立的管理员、安全策略、用户认证数据库等。
每个虚拟防火墙能够实现防火墙的大部分特性。
每个虚拟防火墙之间相互独立，一般情况下不允许相互通信。
SecPath/SecBlade虚拟防火墙具有如下技术特点：⏹每个虚拟防火墙维护自己一组安全区域⏹每个虚拟防火墙维护自己的一组资源对象（地址/地址组，服务/服务组等）⏹每个虚拟防火墙维护自己的包过滤策略⏹每个虚拟防火墙维护自己的ASPF策略、NAT策略、ALG策略⏹限制每个虚拟防火墙占用资源数：防火墙Session以及ASPF Session数目2.2 相关术语(1)安全区域防火墙使用安全区域的概念来表示与其相连接的网络。
防火墙预先定义了四个安全区域，这些安全区域也称为系统安全区域，分别为Local区域、Trust区域、Untrust区域和DMZ区域。
这些区域分别代表了不同的安全级别，安全级别由高到低依次为Local、Trust、DMZ、Untrust。
(2)专有接口、共享接口与公共接口专有接口：防火墙采用专有接口表示只属于某个特定虚拟防火墙的接口。
该接口必须通过ip binding vpn-instance命令完成绑定到一个指定的vpn实例。
共享接口：防火墙采用共享接口表示可被多个指定的虚拟防火墙共同享有的接口。
该接口必须通过nat server vpn-instance命令或nat outbound static命令关联到一个或多个指定的vpn实例。
公共接口：特指区别于专有接口和共享接口的其他接口。
(3)NAT多实例在访问控制列表的规则rule中配置vpn-instance vpn-instance-name，指明哪个虚拟防火墙需要进行地址转换，即可以实现对虚拟防火墙NAT多实例的支持。
(4)ASPF多实例在接口下引用ASPF中配置vpn-instance vpn-instance-name，指明哪个虚拟防火墙需要ASPF的处理，即可实现虚拟防火墙ASPF多实例的支持。
(5)包过滤多实例在ACL配置子规则时增加vpn-instance vpn-instance-name，指明此规则对哪个虚拟防火墙生效，即可实现虚拟防火墙包过滤多实例的支持。
(6)资源限制防火墙使用资源限制的可完成各个虚拟防火墙的Session限制。
可根据不同的流量背景，对对应的虚拟防火墙在vpn视图下通过firewall session limit 以及aspf session limit等进行限制。
2.3 设备处理流程虚拟防火墙是一个逻辑上的概念，每个虚拟防火墙都是VPN实例和安全实例的综合体，能够为虚拟防火墙用户提供私有的路由转发业务和安全服务。
每个虚拟防火墙中可以包含三层接口、二层物理接口、二层VLAN 子接口和二层Trunk接口+VLAN。
默认情况下，所有的接口都属于根防火墙实例（Root），如果希望将部分接口划分到不同的虚拟防火墙，必须创建虚拟防火墙实例，并且将接口加入虚拟防火墙中。
根虚拟防火墙不需要创建，默认存在。
VPN实例与虚拟防火墙是一一对应的，它为虚拟防火墙提供相互隔离的VPN路由，与虚拟防火墙相关的信息主要包括：VPN路由以及与VPN实例绑定的接口。
VPN路由将为转发来自与VPN实例绑定的接口的报文提供路由支持。
安全实例为虚拟防火墙提供相互隔离的安全服务，同样与虚拟防火墙一一对应。
安全实例具备私有的ACL 规则组和NAT地址池；安全实例能够为虚拟防火墙提供地址转换、包过滤、ASPF和NAT ALG等私有的安全服务。
虚拟防火墙的引入一方面是为了解决业务多实例的问题，更主要的是为了将一个物理防火墙划分为多个逻辑防火墙来用。
多个逻辑防火墙可以分别配置单独不同的安全策略，同时默认情况下，不同的虚拟防火墙之间是默认隔离的。
对于防火墙系统接收到的数据流，系统根据数据的Vlan ID、入接口、源地址确定数据流所属的系统。
在各个虚拟防火墙系统中，数据流将根据各自系统的路由完成转发。
2.3.1 根据入接口数据流根据数据流的的入接口信息，防火墙系统根据所绑定的VPN实例信息从而把数据流送入所绑定的虚拟防火墙系统。
如图3所示。
图2-1 防火墙根据入接口识别数据流所属虚拟防火墙2.3.2 根据Vlan ID数据流根据数据流的Vlan ID信息，防火墙系统将会识别出所对应的Vlan子接口从而把数据流送入所绑定的虚拟防火墙系统。
如图4所示。
图2-2 防火墙根据Vlan ID识别数据流所属虚拟防火墙2.3.3 根据目的地址数据流对于访问内部服务器的数据流，根据数据流的目的地址，防火墙根据Nat server配置把数据流送入所绑定的虚拟防火墙系统。
如图5所示。
图2-3 防火墙根据目的地址识别数据流所属虚拟防火墙3 典型组网部署方案3.1 虚拟防火墙在行业专网中的应用目前一些超大型企业（比如：政府，电力）利用MPLS VPN实现跨地域的部门的连通和相关业务部门之间有控制的安全互访。
虽然这些企业的业务和背景都有很大差异，但归纳起来，这些企业主要提出了两个需求：⏹如何实现各业务VPN的独立安全策略，进而能够对相关部门的互访进行有效控制⏹移动办公用户以及分支机构如何通过公网低成本的安全接入到企业MPLS VPN核心网络中在MPLS VPN网络中，虚拟防火墙可以部署在PE和MCE之间实现对各业务VPN独立的安全策略的部署，从而很好的满足上述需求。
详见如下组网模型图。
图3-1 虚拟防火墙在MPLS VPN网络中的部署模式3.1.1 MPLS VPN组网的园区中的虚拟防火墙部署一对大中型的企业MPLS VPN专网，我们主推SecBlade防火墙插板在中、高端交换机上进行部署。
利用交换机的高密度端口和可以动态增减的虚拟防火墙保证企业对今后业务发展的适应能力。
另一方面，充分利用基础网络平台，实现网络和安全的融合。
可以有效的简化拓扑，方便管理。
详见下图：图3-2 防火墙插板的虚拟防火墙典型部署组网说明：(1)插入防火墙插板的中、高端交换机部署为MCE。
