徐慧洋，具有十多年数通产品经验，六年防火墙产品经验。曾创作了《USG防火墙IPSec专题》、《华为防火墙双机热备HCIE培训胶片》、《轻松玩转BGP》等广受欢迎的作品，《强叔侃墙》总编。
白杰，具有八年防火墙产品经验，堪称**熟悉华为防火墙的资料开发专家。参与创作《华为网络技术学习指南》，《强叔侃墙》技术贴的主编。
卢宏旺，具有七年华为防火墙产品经验，曾写作《华为防火墙双机热备HCIE实验手册》，《强叔拍案》主编，《小强和小艾台历》主创。

目录

理 论 篇
第 1章 基础知识 2
1．1 什么是防火墙 4
1．2 防火墙的发展历史 5
1．2．1 1989年到1994年 6
1．2．2 1995年到2004年 6
1．2．3 2005年到今 7
1．2．4 总结 7
1．3 华为防火墙产品一览 8
1．3．1 USG2110产品介绍 9
1．3．2 USG6600产品介绍 9
1．3．3 USG9500产品介绍 9
1．4 安全区域 10
1．4．1 接口、网络和安全区域的关系 10
1．4．2 报文在安全区域之间流动的方向 12
1．4．3 安全区域的配置 13
1．5 状态检测和会话机制 16
1．5．1 状态检测 16
1．5．2 会话 18
1．5．3 组网验证 18
1．6 状态检测和会话机制补遗 19
1．6．1 再谈会话 19
1．6．2 状态检测与会话创建 21
1．7 配置注意事项和故障排除指导 25
1．7．1 安全区域 25
1．7．2 状态检测和会话机制 26
第 2章 安全策略 30
2．1 安全策略初体验 32
2．1．1 基本概念 32
2．1．2 匹配顺序 33
2．1．3 缺省包过滤 34
2．2 安全策略发展历程 35
2．2．1 第 一阶段：基于ACL的包过滤 35
2．2．2 第 二阶段：融合UTM的安全策略 36
2．2．3 第三阶段：一体化安全策略 38
2．3 Local区域的安全策略 41
2．3．1 针对OSPF协议配置Local区域的安全策略 41
2．3．2 哪些协议需要在防火墙上配置Local区域的安全策略 46
2．4 ASPF 48
2．4．1 帮助FTP数据报文穿越防火墙 48
2．4．2 帮助QQ/MSN报文穿越防火墙 52
2．4．3 帮助用户自定义协议报文穿越防火墙 54
2．5 配置注意事项和故障排除指导 55
2．5．1 安全策略 55
2．5．2 ASPF 58
第3章 攻击防范 60
3．1 DoS攻击简介 62
3．2 单包攻击及防御 62
3．2．1 Ping of Death攻击及防御 63
3．2．2 Land攻击及防御 63
3．2．3 IP地址扫描攻击 64
3．2．4 防御单包攻击的配置建议 64
3．3 流量型攻击之SYN Flood攻击及防御 65
3．3．1 攻击原理 66
3．3．2 防御方法之TCP代理 67
3．3．3 防御方法之TCP源探测 68
3．3．4 配置命令 69
3．3．5 阈值配置指导 70
3．4 流量型攻击之UDP Flood攻击及防御 70
3．4．1 防御方法之限流 71
3．4．2 防御方法之指纹学习 71
3．4．3 配置命令 73
3．5 应用层攻击之DNS Flood攻击及防御 74
3．5．1 攻击原理 74
3．5．2 防御方法 75
3．5．3 配置命令 78
3．6 应用层攻击之HTTP Flood攻击及防御 78
3．6．1 攻击原理 78
3．6．2 防御方法 79
3．6．3 配置命令 82
第4章 NAT 84
4．1 源NAT 86
4．1．1 源NAT基本原理 86
4．1．2 NAT No-PAT 88
4．1．3 NAPT 90
4．1．4 出接口地址方式 91
4．1．5 Smart NAT 92
4．1．6 三元组NAT 94
4．1．7 多出口场景下的源NAT 98
4．1．8 总结 100
4．1．9 延伸阅读 100
4．2 NAT Server 101
4．2．1 NAT Server基本原理 102
4．2．2 多出口场景下的NAT Server 104
4．3 双向NAT 109
4．3．1 NAT Inbound+NAT Server 110
4．3．2 域内NAT+NAT Server 112
4．4 NAT ALG 115
4．4．1 FTP协议穿越NAT设备 115
4．4．2 QQ/MSN/User-defined协议穿越NAT设备 118
4．4．3 一条命令同时控制两种功能 119
4．4．4 User-defined类型的ASPF和三元组NAT辨义 120
4．5 NAT场景下黑洞路由的作用 121
4．5．1 源NAT场景下的黑洞路由 121
4．5．2 NAT Server场景下的黑洞路由 126
4．5．3 总结 128
4．6 NAT地址复用专利技术 129
第5章 GRE&L2TP VPN 132
5．1 VPN技术简介 134
5．1．1 VPN分类 134
5．1．2 VPN的关键技术 136
5．1．3 总结 138
5．2 GRE 139
5．2．1 GRE的封装/解封装 139
5．2．2 配置GRE基本参数 141
5．2．3 配置GRE安全机制 143
5．2．4 安全策略配置思路 145
5．3 L2TP VPN的诞生及演进 148
5．4 L2TP Client-Initiated VPN 150
5．4．1 阶段1 建立L2TP隧道：3条消息协商进入虫洞时机 151
5．4．2 阶段2 建立L2TP会话：3条消息唤醒虫洞门神 152
5．4．3 阶段3 创建PPP连接：身份认证，发放特别通行证 152
5．4．4 阶段4 数据封装传输：穿越虫洞，访问地球 154
5．4．5 安全策略配置思路 156
5．5 L2TP NAS-Initiated VPN 158
5．5．1 阶段1 建立PPPoE连接：拨号口呼唤VT口 160
5．5．2 阶段2 建立L2TP隧道：3条消息协商进入虫洞时机 161
5．5．3 阶段3 建立L2TP会话：3条消息唤醒虫洞门神 162
5．5．4 阶段4～5 LNS认证，分配IP地址：LNS冷静接受LAC 162
5．5．5 阶段6 数据封装传输：一路畅通 164
5．5．6 安全策略配置思路 165
5．6 L2TP LAC-Auto-Initiated VPN 167
5．6．1 LAC-Auto-Initiated VPN原理及配置 168
5．6．2 安全策略配置思路 171
5．7 总结 174
第6章 IPSec VPN 176
6．1 IPSec简介 178
6．1．1 加密和验证 178
6．1．2 安全封装 180
6．1．3 安全联盟 181
6．2 手工方式IPSec VPN 182
6．3 IKE和ISAKMP 185
6．4 IKEv1 186
6．4．1 配置IKE/IPSec VPN 186
6．4．2建立IKE SA（主模式） 188
6．4．3 建立IPSec SA 191
6．4．4 建立IKE SA（野蛮模式） 193
6．5 IKEv2 194
6．5．1 IKEv2简介 195
6．5．2 IKEv2协商过程 196
6．6 IKE/IPSec对比 198
6．6．1 IKEV1 PK IKEv2 198
6．6．2 IPSec协议框架 198
6．7 IPSec模板方式 200
6．7．1 在点到多点组网中的应用 200
6．7．2 个性化的预共享密钥 203
6．7．3 巧用指定对端域名 204
6．7．4 总结 205
6．8 NAT穿越 206
6．8．1 NAT穿越场景简介 206
6．8．2 IKEv1的NAT穿越协商 210
6．8．3 IKEv2的NAT穿越协商 211
6．8．4 IPSec与NAT并存于一个防火墙 212
6．9 数字证书认证 213
6．9．1 公钥密码学和PKI框架 214
6．9．2 证书申请 214
6．9．3 数字证书方式的身份认证 218
6．10 GRE/L2TP over IPSec 220
6．10．1 分舵通过GRE over IPSec接入总舵 220
6．10．2 分舵通过L2TP over IPSec接入总舵 223
6．10．3 移动用户使用L2TP over IPSec远程接入总舵 226
6．11 对等体检测 227
6．11．1 Keepalive机制 228
6．11．2 DPD机制 228
6．12 IPSec双链路备份 229
6．12．1 IPSec主备链路备份 229
6．12．2 IPSec隧道化链路备份 232
6．13 安全策略配置思路 236
6．13．1 IKE/IPSec VPN场景 236
6．13．2 IKE/IPSec VPN+NAT穿越场景 239
6．14 IPSec故障排除 242
6．14．1 没有数据流触发IKE协商故障分析 243
6．14．2 IKE协商不成功故障分析 244
6．14．3 IPSec VPN业务不通故障分析 248
6．14．4 IPSec VPN业务质量差故障分析