华为防火墙安全区域

前言

安全区域（Securicty Zone），简称为区域（zone）。安全区域是一个或多个接口的集合，防火墙通过安全区域来划分网络、标识报文流动的路线。一般情况下，当报文在不同的安全区域之间流动时才会受到控制。
默认情况下，报文在不同的安全区域之间流动时受到控制，报文在同一个安全区域内流动时不受控制。但华为防火墙也支持通过安全策略对同一个安全区域内流动的报文进行控制。
防火墙将接口划分到某个安全区域后，该接口背后的所有设备以及产生的报文都被认为是这个安全区域的设备及报文。以下图为例：

安全区域最主要的作用是通过在防火墙上通过把接口划分到不同的安全区域中，在防火墙上划分出不同的网络，实现不同类型或安全等级的网络的隔离以及报文控制，方便对网络中的报文进行合理的规划和管控。
华为防火墙上已经设置了默认的安全区域分别为Trust、DMZ、Untrust和Local，除此之外我们也可以自定义其他区域供我们使用。

• Trust区域：受信任的区域，该区域的受信任程度高，通常用来定义内部用户所在的网络。
• DMZ区域：非军事区（又名隔离区），该区域的受信任程度中等，通常用来定义内部服务器所在的网络。
• Untrust区域：不受信任的区域，该区域的受信任程度低，通常用来定义Internet等不安全的网络。
• Local区域：指防火墙本地接口所在的区域，也就是防火墙本身。由防火墙本身发出的报文被认为是Local区域中发出的，需要防火墙相应并处理（不是转发）的报文被认为是由Local区域接收的。**需要注意的是Local区域不能添加任何接口，但是防火墙上的所有接口都属于Local区域，管理员是没有办法添加或删除Local区域内的接口的。**设定Local区域的好处是方便控制其他设备访问防火墙自身，也能明确Local区域和各个区域的域间关系。