华为防火墙系统的设计与实现
信息社会中,网络是一种主要的信息发布通道,但是海量的垃圾信息肆掠的占有有限的带宽。虽然当今过滤垃圾手段繁多,但现有解决方案大多依附于服务器或客户端软件,通用性和过滤效果都不甚理想,如何建立一个统一、gao效的垃圾信息过滤架构是当今反垃圾信息技术的一个重要研究内容。 本文主要的研究内容及创新有如下两个方面: (1)研发出一种可扩展的基于透明网桥的垃圾信息防火墙系统。该系统创新性的利用透明网桥技术、iptables、netfilter搭建一个实时过滤系统。将网络中相关垃圾信息进行扣留,然后模拟网络协议栈,完成IP层(分片处理)、TCP层(数据流重组)和应用层的协议分析还原,得到完整的信息,利用双缓冲队列保存信息,采用多线程调度机制并行调用过滤算法进行判断。根据判断结果对相关数据包进行转发或丢弃,从而达到实时过滤垃圾信息的目的。 (2)提出了一个基于行为过滤的垃圾信息过滤算法。系统创新性的将支持向量机理论用于垃圾信息的行为过滤,并实现了规则匹配过滤和改进的bayes过滤算法。系统的可扩展性很好,用户可以根据具体需要定义系统过滤的协议类型,同时也能在引擎上扩展更you秀的过滤算法。 本系统du立于服务器和客户端,既不运行在服务器上,也不作为客户端的一个插件,而是部署在服务器前端。由于采用透明网桥方式,所以不为服务器所知。
华为防火墙的网络层防火墙
网络层防火墙可视为一种 IP 封包的过滤器（允许或拒绝封包资料通过的软硬结合装置），运作在底层的 TCP/IP 协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。
我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。现在的操作系统及网络设备大多已内置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型(如 WWW 或是 FTP)。也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤。
华为防火墙混合模式及区域划分
混合模式
如果华为防火墙存在工作在路由模式的接口（接口具有IP地址），又存在工作在透明模式的接口（接口无IP地址），则防火墙工作在混合模式下。这种工作模式基本上是透明模式和路由模式的混合，目前只用于透明模式下提供双机热备份的特殊应用中，其他环境不太建议使用。
华为防火墙的区域划分
防火墙通过区域区分安全和不安全网络，在华为防火墙上安全区域或是一个或多个接口的集合，是防火墙区分与路由器的主要特性。