2、基础网络知识回顾：TCP/IP协议栈、子网划分、路由与交换基础、NAT原理、防火墙基本概念

在深入学习OPNsense防火墙的部署与配置之前，必须夯实网络基础知识。防火墙本质上是一个依据网络协议规则进行流量决策的安关，其所有功能——从包过滤到状态检测，从NAT到应用层识别——都建立在TCP/IP协议栈、IP编址与路由交换原理之上。本章将系统梳理这些核心概念，并重点阐明它们与防火墙策略设计之间的直接映射关系，为后续章节的实操配置打下坚实的理论基础。

2.1 TCP/IP协议栈与防火墙的对应关系

核心原理：TCP/IP协议栈是互联网通信的基石，它采用分层模型将复杂的网络通信过程分解为四个相对独立的层次：链路层、网络层、传输层和应用层。每一层负责特定的功能，并为上层提供服务。防火墙的过滤决策正是基于对这些协议层头部信息的解析与匹配。OPNsense防火墙在默认配置下，能够同时检查网络层（IP地址、协议号）、传输层（端口号、TCP标志位）以及应用层（HTTP URI、DNS域名、TLS SNI）的信息。

判断方法：在配置防火墙规则时，需要明确流量特征属于哪一层。例如，pass in on em0 proto tcp from 192.168.1.0/24 to any port 443 这条规则同时使用了网络层信息（源地址、目的地址）和传输层信息（协议、端口）。而OPNsense的“应用层过滤器”或“入侵检测系统（IDS）”则进一步解析应用层载荷，识别出具体的应用程序（如Facebook、YouTube）或攻击特征（如SQL注入）。

2.2 子网划分与IP规划

核心原理：子网划分是将一个大的IP网络（如A类、B类地址）通过借用主机位作为子网位，划分为多个逻辑独立的子网。这有助于减少广播域、优化路由、提升安全性。CIDR（无类域间路由）表示法（如192.168.1.0/24）是现代IP规划的标准。在防火墙部署中，子网划分直接决定了接口IP地址、DHCP地址池、防火墙规则中的源/目的网段定义。

操作流程：进行子网规划时，需遵循以下步骤：1) 确定所需子网数量及每个子网的最大主机数；2) 选择私有IP地址段（如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）；3) 计算子网掩码、网络地址、广播地址和可用主机范围；4) 为每个子网分配网关地址（通常为第一个或最后一个可用地址）；5) 在OPNsense中配置接口IP和VLAN时，严格遵循该规划。

示例：将 192.168.1.0/24 划分为 4 个 /26 子网
子网1: 192.168.1.0/26   (可用主机: .1 - .62, 网关: .1)
子网2: 192.168.1.64/26  (可用主机: .65 - .126, 网关: .65)
子网3: 192.168.1.128/26 (可用主机: .129 - .190, 网关: .129)
子网4: 192.168.1.192/26 (可用主机: .193 - .254, 网关: .193)

2.3 路由与交换基础

核心原理：路由是网络层设备（路由器、防火墙）根据路由表选择最佳路径转发数据包的过程。路由表包含目标网络、子网掩码、下一跳地址和出接口。交换是数据链路层设备（交换机）根据MAC地址表在局域网内转发帧的过程。防火墙通常同时具备路由和交换功能：它作为三层设备连接不同子网，同时其内部交换端口可以划分VLAN。

判断方法：当数据包到达防火墙时，防火墙首先检查目的MAC地址是否匹配自身接口MAC（或广播MAC），然后剥离二层头部，查看三层目的IP地址。接着查询路由表：如果目的IP在直连网段，则直接通过对应接口转发；如果不在，则查找静态路由或动态路由协议（如OSPF）学习到的路由条目，将数据包发送给下一跳。OPNsense支持静态路由、策略路由（基于源地址、端口等）以及动态路由协议（需安装额外插件）。

2.4 NAT原理与防火墙的协同

核心原理：NAT（网络地址转换）通过修改数据包中的IP地址和端口信息，实现私有网络与公网之间的通信。主要类型包括：源NAT（SNAT，内网访问外网时转换源地址）、目的NAT（DNAT，外网访问内网服务器时转换目的地址）和端口转发（Port Forwarding，DNAT的一种特殊形式）。防火墙与NAT紧密配合：防火墙规则决定哪些流量允许通过，NAT则决定这些流量的地址如何转换。

操作流程：在OPNsense中配置NAT的典型流程：1) 创建别名（Alias）定义内网网段或服务器IP；2) 配置出站NAT规则（Outbound NAT），通常选择“自动”模式，防火墙会自动为LAN到WAN的流量执行SNAT；3) 配置端口转发规则（Port Forward），指定WAN接口、公网端口、内网服务器IP和私有端口；4) 确保防火墙规则放行对应流量（NAT规则不替代防火墙规则）。

示例：端口转发配置
WAN接口: em0 (公网IP: 203.0.113.10)
内网服务器: 192.168.20.100 (Web服务器)
规则: WAN TCP 8080 → 192.168.20.100:80
效果: 外网用户访问 http://203.0.113.10:8080 时，防火墙将目的地址和端口转换为 192.168.20.100:80

2.5 防火墙基本概念：从包过滤到状态检测

核心原理：防火墙的核心功能是执行访问控制策略。包过滤防火墙（无状态）仅检查每个数据包的头部信息（IP、端口、协议），不关心连接状态。状态检测防火墙（Stateful Inspection）则维护一个状态表，记录每个活跃连接的状态（如TCP的SYN、SYN-ACK、ESTABLISHED），只有属于已建立连接或符合规则的新连接的数据包才被允许通过。OPNsense默认采用状态检测机制，这大大提高了安全性和性能。

判断方法：在OPNsense中，防火墙规则默认是“有状态”的。当允许一个从内网到外网的TCP连接时，防火墙会自动创建一个状态条目，允许该连接的回程流量（即使没有显式规则允许入站流量）。对于UDP和ICMP，状态检测同样适用，但超时时间不同。应用层过滤（如代理、IPS）则更进一步，检查数据包的内容，识别并阻止恶意软件、非法网站或数据泄露。