4. 网络安全层-边界防护：防火墙策略配置（NAT、ACL）、入侵检测系统（IDS）与入侵防御系统（IPS）部署

4.1 防火墙策略配置：NAT与ACL

防火墙是边界防护的核心设备，其策略配置直接决定了网络的安全性与可用性。本节重点讲解两种最关键的策略：网络地址转换（NAT）和访问控制列表（ACL）。

4.1.1 NAT（网络地址转换）配置

NAT技术主要用于解决公网IP地址短缺问题，同时隐藏内部网络结构。常见的NAT类型包括：

NAT类型	应用场景	配置要点
静态NAT	内部服务器对外发布（如Web服务器）	一对一固定映射，内外地址一一对应
动态NAT	内部用户访问互联网	从地址池中动态分配公网地址
PAT（端口地址转换）	多用户共享一个公网IP上网	通过端口号区分不同会话，最常用

实战配置示例（华为防火墙）：

# 配置静态NAT：将内部服务器192.168.1.10映射到公网IP 202.96.128.10
nat static global 202.96.128.10 inside 192.168.1.10

# 配置PAT：允许内网192.168.1.0/24访问互联网
acl number 2001
 rule 5 permit source 192.168.1.0 0.0.0.255
nat outbound 2001

# 配置NAT策略（NAT Server）：对外发布内部服务器
nat server protocol tcp global 202.96.128.20 80 inside 192.168.1.10 80

4.1.2 ACL（访问控制列表）配置

ACL是防火墙实现流量过滤的核心机制。通过定义规则，允许或拒绝特定流量通过防火墙。

ACL配置原则：

• 最小权限原则：只开放必要的端口和协议
• 顺序匹配原则：ACL规则按顺序匹配，匹配后不再继续
• 默认拒绝原则：末尾隐含拒绝所有流量

实战配置示例（思科防火墙）：

! 创建扩展ACL，允许内部网络访问外部Web服务
access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq 80
access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq 443
! 允许内部网络进行DNS查询
access-list 100 permit udp 192.168.1.0 0.0.0.255 any eq 53
! 拒绝所有其他流量（隐含）
access-list 100 deny ip any any

! 将ACL应用到接口
interface GigabitEthernet0/0
 ip access-group 100 in

4.2 入侵检测系统（IDS）部署

IDS作为“安全摄像头”，通过旁路监听网络流量，分析是否存在攻击行为。IDS不会阻断流量，但能实时告警，为安全分析提供依据。

4.2.1 IDS部署模式

部署模式	特点	适用场景
网络模式（NIDS）	旁路部署，通过端口镜像获取流量	监控整个网段流量
主机模式（HIDS）	安装在服务器上，监控系统日志和文件	关键服务器安全监控
混合模式	NIDS + HIDS 协同工作	大型企业全面安全监控

Snort IDS部署示例：

# 安装Snort
apt-get install snort

# 配置Snort规则（/etc/snort/rules/local.rules）
# 检测SQL注入攻击
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \
(msg:"SQL Injection Attempt"; flow:to_server,established; \
content:"'"; nocase; \
content:"OR"; nocase; \
content:"1=1"; nocase; \
sid:1000001; rev:1;)

# 启动Snort（监听eth0接口）
snort -i eth0 -c /etc/snort/snort.conf -A console

4.3 入侵防御系统（IPS）部署

IPS是IDS的升级版，采用串联部署方式，不仅能检测攻击，还能实时阻断恶意流量。IPS是边界防护的“最后一道闸门”。

4.3.1 IPS部署架构

• 串联部署：IPS串接在防火墙和内部网络之间，所有流量必须经过IPS检查
• 策略配置：根据安全需求配置阻断规则，如SQL注入、XSS攻击、DDoS攻击等
• 性能要求：IPS需要具备高吞吐量和低延迟，避免成为网络瓶颈

华为USG系列IPS配置示例：

# 创建IPS配置文件
ips-profile name default_ips
# 启用SQL注入检测
signature-set sql_injection
  category SQL
  action block
# 启用XSS攻击检测
signature-set xss_attack
  category XSS
  action block
# 启用DDoS防护
anti-ddos enable
  threshold syn-flood 1000

# 将IPS策略应用到安全策略
security-policy
  rule name protect_internal
    source-zone trust
    destination-zone untrust
    profile ips default_ips
    action permit

4.4 实战部署要点总结

安全设备	部署位置	核心功能	关键配置
防火墙	网络边界	NAT转换、ACL过滤	最小权限策略、默认拒绝
IDS	旁路（端口镜像）	攻击检测、告警	规则库更新、误报调优
IPS	串联（在线）	攻击检测、实时阻断	性能调优、白名单配置

部署建议：

• 防火墙策略应遵循“默认拒绝，按需开放”原则，定期审计ACL规则
• IDS建议部署在核心交换机的镜像端口，覆盖所有关键流量
• IPS部署前需进行充分的性能测试，避免影响正常业务
• 建立安全事件响应机制，确保告警能及时处理