长城防火墙工作原理？

一、长城防火墙工作原理？

防火墙最基本原理就是控制在计算机网络中，不同信任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。典型信任的区域包括互联网和一个内部网络。最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则。

二、中国长城防火墙的原理？

长城很有可能维护了一张IP黑名单，一旦发现发往黑名单中地址的请求数据包，就直接将其丢弃，这将导致源主机得不到目标主机的及时响应而引发超时，从而达到屏蔽对目标主机的访问的目的。

三、为什么要建立长城防火墙？

长城防火墙，也称为中国国家防火墙，英文名称为TheGreatFireWallofChina，简称GFW。是用于抵御国外非法、不健康、不合时宜的网站的网络审查机制。境外网站（包括国内的人在境外租用空间开设的网站）一旦被列入黑名单，中国大陆任何地方均不能访问到它。

四、为什么互联网上要设立防火墙？

互联网上设立防火墙的原因有多个。

首先，防火墙可以保护网络免受恶意攻击和入侵，阻止未经授权的访问和数据泄露。

其次，防火墙可以过滤和监控网络流量，阻止恶意软件和病毒的传播。此外，防火墙还可以限制对特定网站或应用程序的访问，保护用户的隐私和安全。

最后，防火墙可以帮助组织合规性，确保网络安全政策的执行。总之，设立防火墙是保护互联网安全和保障用户利益的重要措施。

五、长城防火墙未来可能解封吗？

肯定能解封，江山代有才人出。

六、互联网防火墙是什么时候开始的？

国内防火墙最早大概是96年左右的时候开始做的。网络防火墙是一种用来加强网络之间访问控制的特殊网络互联设备。计算机流入流出的所有网络通信均要经过此防火墙。

防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。

防火墙还可以关闭不使用的端口，而且它还能禁止特定端口的流出通信，封锁木马。

国内防火墙最早大概是96年左右的时候开始做的，一直到2007年、2008年的时候出现了一个新的产品叫做UTM（安全网关）。

七、电脑怎么关闭防火墙?

题主你好，我是小白一键重装软件的客服，问题的解决方法如下：

win10怎么关闭电脑防火墙

首先在Win10桌面找到“网络”图标，然后在其上鼠标右键，在弹出的右键菜单中，点击进入“属性”

在打开的网络和共享中心界面的左下角就可以找到“Windows防火墙”设置选项，点击进入

打开Windows防火墙设置后，就可以进行“启用或关闭Windows防火墙”、“还原默认”、“高级设置”等操作，如果要关闭防火墙，则点击进入“启用或关闭Windows防火墙”选项

最后只需要将网络设置选择为“关闭Windows防火墙（不推荐）”，然后点击底部的“确定”保存设置就可以了。

以上就是win10关闭电脑防火墙的操作流程了。

八、互联网上要设立防火墙的原因是什么？

　　在互联网中，人们采用类似防火墙的设备，保护内部或私人的网络资源不受侵害，具备这种功能的设备被称为“防火墙”。防火墙实际是一种插在内部网与互联网之间的隔离系统，作为两者之间的关卡，起到加强系统安全与信息审查的功能。建立防火墙的目的是保护内部网络不受外来攻击，为此需要确定“防火墙安全策略” 。目前主要有两种截然不同的安全策略：一是拒绝一切未被特许的信息进入内部网；一是允许一切未被拒绝的信息进入。从网络的安全性来考虑，前都除了被确认是可信任的信息外，其他的信息都不允许通过，对网络的互联性有一定的影响，但安全性好；后者的意思是，除了被确认是来自不可信任的信息源以外的信息都可以进入内部网络，这样有利于信息交换，但存在一定的安全隐患。

九、深入浅出：互联网边界防火墙全面解析

在当今数字化时代，互联网边界防火墙已经成为网络安全的重要一环。无论是企业还是个人用户，都离不开这个关键的网络安全设备。本文将深入浅出地解析互联网边界防火墙，带您了解其定义、原理、作用、分类、部署方式以及如何选择适合自己的边界防火墙。

什么是互联网边界防火墙？

互联网边界防火墙是放置在内部网络和外部网络之间的一道网络安全防护屏障，用于监控和过滤进出网络的数据流量，保护内部网络免受恶意攻击和未授权访问。

互联网边界防火墙的原理

互联网边界防火墙通过制定访问规则、检测恶意行为、过滤数据包等方式，阻止未经授权的外部访问和恶意攻击，确保内部网络的安全。

互联网边界防火墙的作用

互联网边界防火墙的主要作用包括防火墙、防病毒、防黑客、访问控制、内容过滤、入侵检测等多重安全功能，全面保护内部网络安全。

互联网边界防火墙的分类

根据功能和部署方式的不同，互联网边界防火墙可以分为软件防火墙、硬件防火墙、代理防火墙、应用层网关(ALG)等类型，每种类型都有其独特的优势和适用场景。

互联网边界防火墙的部署方式

互联网边界防火墙的部署方式通常包括单层防火墙、多层防火墙、DMZ防火墙等，根据网络规模和安全需求选择不同的部署方式。

如何选择适合自己的互联网边界防火墙？

在选择互联网边界防火墙时，需要考虑网络规模、安全需求、性能要求、扩展性等因素，并结合厂商声誉、技术支持、价格等进行全面评估，选择最适合自己的边界防火墙设备。

通过本文的全面解析，相信您对互联网边界防火墙有了更清晰的认识，并能更好地保护自己的网络安全。

感谢您看完这篇文章，希望能为您带来对互联网边界防火墙的深入了解与帮助。

十、怎么才能精通防火墙技术?

一、防火墙基础知识

防火墙主要用于保护一个网络免受来自另一个网络的攻击和入侵行为。因其隔离、防守的属性，防火墙灵活应用于网络边界、子网隔离等位置，如企业网络出口、大型网络内部子网隔离、数据中心边界等

防火墙与路由器、交换机是有区别的。路由器用来连接不同的网络，通过路由协议保证互联互通，确保将报文转发到目的地；交换机用来组建局域网，作为局域网通信的重要枢纽，通过二层、三层交换快速转发报文；防火墙主要部署在网络边界，对进出网络的访问行为进行控制，安全防护是其核心特性。路由器与交换机的本质是转发，防火墙的本质是控制。

1、接口、网络和安全区域

安全区域，security zone,是一个或多个接口的集合，防火墙通过安全区域来划分网络、标识报文流动的 路线。

在华为防火墙上，一个接口只能加入到一个安全区域中。

Trust区域： 该区域内网络的受信任程度高，通常用来定义内部用户所在的网络。

Untrust区域：该区域代表的是不受信任的网络，通常用来定义Internet等不安全的网络。

Dmz区域：该区域内网络的受信任程度中等，通常用来定义内部服务器所在的网络。

Local区域： 防火墙上提供Local区域，代表防火墙本身。凡是由防火墙主动发出的报文均可认为是从Local区域中发出，凡是需要防火墙响应并处理，而不是转发的报文均可认为是由 Local接收。

Local 区域中不能添加任何接口，但防火墙上所有接口本身都隐含属于Local区域。也就是说，报文通过接口去往某个网络时，目的安全区域是该接口所在的安全区域；报文通过接口到达防火墙本身时，目的安全区域是Local区域。

安全级别

在华为防护墙上，每个安全区域都必须有一个安全级别，该安全级别是唯一的，范围是1-100，数值越大，则代表该区域内的网络越可信。

Local: 100

Trust:85

DMZ: 50

Untrust: 5

华为规定：报文从低级别的安全区域向高级别的安全区域流动时为入方向，从高级别的安全区域向低级别的安全区域流动时为出方向。

如何确定报文的源目安全区域呢？

普通情况下，防火墙从哪个接口接收到报文，该接口所属的安全区域就是报文的源安全区域。

三层模式下，防火墙通过查找路由表确定报文将从哪个接口发出，该接口所属的安全区域就是报文的目的安全区域，二层模式下，防火墙通过查找MAC地址转发表确定报文将要从哪个接口发出，该接口所属的安全区域就是报文的目的安全区域。

VPN场景中，防火墙收到的是封装的报文，将报文解封装后得到原始报文，然后还是通过查找路由表来确定目的安全区域，报文将要从哪个接口发出，该接口所属的安全区域就是报文的目的安全区域。

而源安全区域不能简单地根据收到报文的接口来确定，此时防火墙会采用“反向查找路由表”的方式来确定原始报文的源安全区域。具体来说，防火墙会把原始报文中的源地址假设成是目的地址，然后通过查找路由表确定这个目的地址的报文将要从哪个接口发出，该接口所属的安全区域是报文将要去往的安全区域。反过来说，报文也就是从该安全区域发出的，所以反查路由表得到的这个安全区域就是报文的源安全区域。

确定报文的源和目的安全区域是我们精确的配置安全策略的前提条件，请大家一定要掌握判断报文的源和目的安全区域的方法。

2、安全区域的配置

[FW] firewall zone name test //创建安全区域

[fw-zone-test] set priority 10 //必须先设置安全级别，才能将接口加入到安全区域

[fw-zone-test] add interface gi 0/0/1 //将接口 gi 0/0/1加入安全区域

除了物理接口，防火墙还支持逻辑接口，如子接口、vlanif接口、GRE中的TUNNEL接口，L2TP中的virtual-template接口等，这些接口在使用时也需要加入到安全区域。

3、状态监测与会话机制

状态监测使用基于连接的检测机制，将通信双方之间交互的属于同一连接的所有报文都作为整体的数据流来对待。同一个数据流内的报文不再是孤立的个体，而是存在联系的。例如，为数据流的第一个报文建立会话，后续报文就会直接匹配会话转发，不需要在进行规制的检查，提高了转发效率。

会话表

http VPN: public ---->public 192.168.0.1:2049---->172.16.0.1:80

http 表示协议

192.168.0.1 表示源地址

2049 表示源端口

172.16.0.1 表示目的地址

80 表示目的端口

五元组：源地址、源端口、目的地址、目的端口和协议 ，唯一确定一条连接，这5个元素相同的报文即可认为属于同一条流。

还有一些协议，他们的报文中没有端口信息，防火墙处理这些协议的报文时，如何生成会话表呢？如ICMP协议，报文中不存在端口信息，那么防火墙会把ICMP报文头中ID字段值作为icmp会话的源端口，会以固定值2048作为ICMP会话的目的端口。

[FW]dis firewall session table

2022-10-19 04:18:45.930

Current Total Sessions : 5

icmp VPN: public --> public 192.168.10.1:41338 --> 172.16.0.1:2048

icmp VPN: public --> public 192.168.10.1:41082 --> 172.16.0.1:2048

icmp VPN: public --> public 192.168.10.1:41850 --> 172.16.0.1:2048

icmp VPN: public --> public 192.168.10.1:42106 --> 172.16.0.1:2048

icmp VPN: public --> public 192.168.10.1:41594 --> 172.16.0.1:2048

[FW]dis firewall session table verbose

2022-10-19 04:21:43.590

Current Total Sessions : 5

icmp VPN: public --> public ID: c387fe127dddb48858634f7b51

Zone: trust --> untrust TTL: 00:00:20 Left: 00:00:15

Recv Interface: GigabitEthernet1/0/1

Interface: GigabitEthernet1/0/0 NextHop: 172.16.0.1 MAC: 5489-985b-694f

<--packets: 1 bytes: 60 --> packets: 1 bytes: 60

192.168.10.1:20603 --> 172.16.0.1:2048 PolicyName: trust-untrust

Zone:表示报文在安全区域之间流动的方向，trust --> untrust表示报文是从Trust区域流向Untrust区域。

TTL：表示报文的老化时间，这条会话到期后，这条会话也将会被清楚。

Left: 表示该会话的剩余时间。

Interface: 出接口

Nexthop :下一跳地址

MAC地址 ：报文去往的下一跳MAC地址，本组网中是WEB服务器的MAC地址。

<--packets: 1 bytes: 60 表示会话反向方向上的报文统计信息，即WEB服务器向PC发送报文的个数和字节数

--> packets: 1 bytes: 60 表示会话正向方向上的报文统计信息，即PC向WEB服务器发送报文的个数和字节数

华为防火墙为不同的协议设置了响应的会话默认老化时间，比如ICMP的会话老化时间是20s,DNS的会话老化时间是30S等。

通常情况下采用这些默认值就可以保证各个协议正常运行，如果需要调整默认值，可以通过 firewall session aging-time 命令在配置。如

【FW] firewall session aging-time dns 10

调试命令

display zone 查看防火墙安全区域

状态检查防火墙核心技术就是分析通信双方的连接状态，然后建立会话辅助后续报文转发。所以当业务不通时，在防火墙上检查会话是否成功建立，也是一个定位故障的重要切入点。

配置完成后，如果业务不通，我们可以在防火墙上使用display firewall session table 命令查看是否存在该业务的会话，然后分情况进一步排查。

1、防火墙上不存在该业务的会话

如果防火墙上没有为该业务建立会话，可能的原因包括：第一，业务报文没有到达防火墙；第二，业务报文被防火墙丢弃。

[fw]display firewall statistics system discard

packets discard statistic

total packets discarded: 2

interzone miss packets discarded: 2

造成上述丢包的原因是接口没有加入到安全区域。此时就可以进一步检查接口是否加入安全区域了，可见通过查看防火墙丢包信息能比较快速地定位问题所在。

[fw]display firewall statistics system discard

packets discard statistic

total packets discarded: 2

ARP miss packets discarded: 2

如果发现上述信息，说明防火墙因为无法找到ARP表项而丢包。此时需要检查防火墙上下行连接的设备的ARP功能是否工作正常。

[fw] display firewall statistic system discard

packets discarded statistic

total packets discarded :2

FIB miss packets discarded: 2

造成上述丢包的原因是防火墙上的路由配置出现问题，此时应该检查防火墙上是否存在去往目的地址的路由

[fw] display firewall statistic system discard

packets discarded statistic

total packets discarded :2

session miss packets discarded: 2

造成上述丢包的原因可能是防火墙只收到了后续报文，没有收到首包报文，此时请检查网络环境中是否存在报文来回路径不一致的情况。如果需要的话，可以在防火墙上执行

undo firewall session link-state check 命令关闭状态检测功能，然后再验证业务是否正常。

[fw] display firewall statistic system discard

packets discarded statistic

total packets discarded :2

session create fail packets discarded: 2

造成上述丢包的原因可能是防火墙上的会话数量已经达到规格限制，无法再创建新的会话。此时应该检查防火墙上是否存在大量的其他业务的会话，并且长时间没有老化，占用了系统资源。

2、防火墙上存在该业务的会话

如果发现如下信息，说明会话的正向方向上有统计信息（有报文经过），而反向方向上没有统计信息（没有报文经过）

造成会话反向方向上没有统计信息的原因可能是回应报文没有到达防火墙或者回应报文被防火墙丢弃，此时应首先检查报文在到达防火墙之前是否被其他网络设备丢弃，然后在防火墙上查看丢包统计信息。

二、安全策略

安全策略是基于安全区域的域间关系来呈现，其内容包括两个组成部分。

条件 检查报文的依据，防火墙将报文中携带的信息与条件逐一对比，以此来判断报文是否匹配。

动作 允许permit 拒绝通过 deny 一条策略中只能有一个动作

安全策略中的条件，可分为多个字段，如源地址、目的地址、源端口、目的端口等，这些字段之间是“与”的关系，也就是说，只有报文中的信息和所有字段都匹配上，才算是命中了这条策略。

如果同一个字段中有多个匹配项，如同时有两个源地址或三个目的地址，那么这些匹配项之间是 “或 ”的关系，只要报文匹配了其中的一项，就算匹配了该条件。

1、匹配顺序

安全策略之间是存在顺序的，防火墙在两个安全区域之间转发报文时，会按照从上到下的顺序逐条查找域间存在的安全策略。如果报文命中了某一条安全策略，就会执行该安全策略中的动作，或允许通过或拒绝通过，不会再继续向下查找；如果报文没有命中某条安全策略，则会向下继续查找。

基于上述实现方式，我们在配置安全策略时要遵循“先精细，后粗犷”的原则。具体来说，就是先配置匹配范围小、条件精确的安全策略，然后在配置匹配范围大、条件宽泛的安全策略。相信大家都配置过ACL规则，安全策略的配置和ACL规则是同一个道理。

例如：

允许Trust安全区域到Untrust安全区域的、源地址是192.168.0.0/24网段、目的地址是172.16.0.0/24网段的报文通过。

拒绝192.168.0.0网段中的特定地址192.168.0.100 访问172.16.0.0/24网段，该如何配置呢？

要先配置第一条安全策略：拒绝Trust 安全区域到Untrust 安全区域的、源地址是192.1689.0.100的报文通过；

然后配置第二条安全策略：允许Trust安全区域到Untrust安全区域的、源地址是192.168.0.0/24网段、目的地址是172.16.0.0/24网段的报文通过。

防火墙在查找安全策略时，源地址是192.168.0.100的报文会首先命中第一条策略，然后执行拒绝通过的动作；而192.168.0.0/24网段的其他报文会命中第二条策略，执行允许通过的动作。如果我们把两条安全策略的顺序调换，源地址是192.168.0.100的报文就永远不会命中动作为拒绝通过的那条策略，目的也没法达到。

如果查找安全策略时，所有的策略都没有命中，防火墙该如何处理呢？

报文如果没有命中任何一条安全策略，最后将会命中缺省包过滤，防火墙将会对报文执行缺省包过滤中配置的动作。

默认情况下，缺省包过滤的动作是拒绝通过。有时候，为了简化配置，会把两个安全区域之间缺省包过滤的动作设置为允许通过。这样操作确实省事省时，但是会带来极大的安全风险，网络隔离和访问控制都没法实现。

华为防火墙默认情况下，报文在安全区域之内流动是不受安全策略控制的。报文可以自由通行。

2、local 区域的安全策略

管理员会登录到防火墙上进行管理、INternet上的设备或用户会与防火墙建立VPN、防火墙和路由器之间会运行OSPF路由协议、防火墙会与认证服务器对接等。

这些业务如果想要正常运行，必须在防火墙上配置相应的安全策略，允许防火墙接收各个业务的报文。具体来说，就是要在防火墙的Local区域与业务使用的接口所在的安全区域之间配置安全策略。

（1）针对OSPF协议配置Local区域的安全策略

本实验验证的是防火墙本身参与到OSPF路由计算得场景，即验证防火墙接口所在安全区域与LOcal区域之间如何配置安全策略。在防火墙不参与OSPF路由计算，只是透传OSPF路由报文的场景中，接收和发送OSPF报文的两个接口属于不同的安全区域时，则必须配置安全策略，运行OSPF报文通过。

防火墙上配置如下：

interface GigabitEthernet1/0/0

undo shutdown

ip address 10.1.13.3 255.255.255.0

ospf 1 router-id 3.3.3.3

area 0.0.0.0

network 10.1.13.0 0.0.0.255

路由器R1上配置：

interface GigabitEthernet0/0/0

ip address 10.1.13.1 255.255.255.0

interface GigabitEthernet0/0/1

ip address 10.1.12.1 255.255.255.0

ospf 1 router-id 1.1.1.1

area 0.0.0.0

network 10.1.12.0 0.0.0.255

network 10.1.13.0 0.0.0.255

路由器R2上配置：

interface GigabitEthernet0/0/0

ip address 10.1.12.2 255.255.255.0

ospf 1 router-id 2.2.2.2

area 0.0.0.0

network 10.1.12.0 0.0.0.255

[FW]dis ospf peer brief

2022-10-20 02:17:48.760

OSPF Process 1 with Router ID 3.3.3.3

Peer Statistic Information

----------------------------------------------------------------------------

Area Id Interface Neighbor id State

0.0.0.0 GigabitEthernet1/0/0 1.1.1.1 ExStart

----------------------------------------------------------------------------

Total Peer(s): 1

dis ospf peer brief

OSPF Process 1 with Router ID 1.1.1.1

Peer Statistic Information

----------------------------------------------------------------------------

Area Id Interface Neighbor id State

0.0.0.0 GigabitEthernet0/0/0 3.3.3.3 ExStart

0.0.0.0 GigabitEthernet0/0/1 2.2.2.2 Full

----------------------------------------------------------------------------

可以看出，防火墙和R1之间OSPF邻居状态停留在ExStart状态。

我们怀疑，可能是防火墙丢弃了DD报文。在防火墙上使用display firewall statistic system discarded 命令查看丢包信息。

dis firewall statistics system discard

2022-10-20 02:23:38.660

Discard statistic information:

Fib miss packets discarded: 3

Invalid receive zone packets discarded: 181

Invalid send zone packets discarded: 179

接下来我们在防火墙上开启LOCAL和UNTRUST区域的安全策略，允许OSPF报文通过。需要注意的是，因为防火墙既要发送又要接收ospf报文，所以inbound和outbound方向的安全策略都要开启。

firewall zone untrust

set priority 5

add interface GigabitEthernet1/0/0

security-policy

rule name local-untrust

source-zone local

destination-zone untrust

service ospf

action permit

rule name untrust-local

source-zone untrust

destination-zone local

service ospf

action permit

验证结果

[FW]dis ospf peer brief

2022-10-20 02:33:26.290

OSPF Process 1 with Router ID 3.3.3.3

Peer Statistic Information

----------------------------------------------------------------------------

Area Id Interface Neighbor id State

0.0.0.0 GigabitEthernet1/0/0 1.1.1.1 Full

----------------------------------------------------------------------------

Total Peer(s): 1

dis ospf peer b

OSPF Process 1 with Router ID 1.1.1.1

Peer Statistic Information

----------------------------------------------------------------------------

Area Id Interface Neighbor id State

0.0.0.0 GigabitEthernet0/0/0 3.3.3.3 Full

0.0.0.0 GigabitEthernet0/0/1 2.2.2.2 Full

可以看出，防火墙和R1之间已经建立了FULL的邻居关系。

总结，一般情况下，单播报文是受安全策略控制，所以需要配置安全策略允许报文通过；而组播报文不受安全策略控制，也就不需要配置相应的安全策略。

网络类型是broadcast类型时，ospf报文中的DD报文和LSR报文都是单播报文，需要配置安全策略；网络类型是P2P时，OSPF报文都是组播报文，因此无需配置安全策略。

在实际网络环境中，如果防火墙上的OSPF运行状态不正常，也可以从安全策略这个角度入手，检查是不是由于没有配置安全策略允许报文通过所导致的。

3、ASPF

应用：

1、帮助FTP数据报文穿越防火墙

2、帮助QQ/MSN报文穿越防火墙

3、帮助用户自定义协议报文穿越防火墙

此外，防火墙上的ASPF功能还可以阻断HTTP协议中的有害插件。HTTP协议中会包含Java和ActiveX插件，他们非常容易被制作成木马和病毒，危害内网主机安全。Java和ActiveX插件通常被包含在HTTP报文的载荷中进行传输，如果只检查HTTP报文头信息，无法将其识别出来。所以必须通过ASPF来对HTTP报文的载荷信息进行检测，识别并阻断Java和ActiveX插件，保护内网主机。

阻断HTTP协议中有害插件的配置也很简单，在安全区域的域间或域内执行detect activex-blocking或detect java-blocking命令即可。当然，不同型号的防火墙产品上的支持情况和命令格式略有不同。

FTP数据报文穿越防火墙

在这里把PC换成一台路由器

在路由器上配置静态路由 ip route-static 172.16.0.1 24 192.168.10.254

在防火墙上配置安全策略

rule name trust-untrust

source-zone trust

destination-zone untrust

service ftp

action permit

在路由器上做测试

ping 172.16.0.1

PING 172.16.0.1: 56 data bytes, press CTRL_C to break

Reply from 172.16.0.1: bytes=56 Sequence=1 ttl=254 time=10 ms

Reply from 172.16.0.1: bytes=56 Sequence=2 ttl=254 time=20 ms

ftp 172.16.0.1

Trying 172.16.0.1 ...

Press CTRL+K to abort

Connected to 172.16.0.1.

220 FtpServerTry FtpD for free

User(172.16.0.1:(none)):

331 Password required for .

Enter password:

230 User logged in , proceed

FTP协议是一个典型的多通道协议，在其工作过程中，FTP客户端和FTP服务器之间将会建立两条连接：控制连接和数据连接。控制连接用来传输FTP指令和参数，其中就包括建立数据连接所需要的的信息；数据连接用来获取目录及传输数据。

根据数据连接的方式，FTP协议分为两种工作模式：

主动模式（PORT模式）： FTP服务器主动向FTP客户端发起数据连接

被动模式（PASV模式）： FTP服务器被动接收FTP客户端发起的数据连接

ASPF主要是检测报文的应用层信息，记录应用层信息中携带的关键数据，使得某些在安全策略中没有明确定义要放行的报文也能够得到正常转发。

记录应用层信息中关键数据的表项成为server-map表，报文命中该表后，不再受安全策略的控制，这相当于在防火墙上开启了一条“隐形通道".

这条server-map表项不会永远存在，老化时间到期之后就会被删除，这就确保了这条“隐形通道”不会永久开启，保证了安全性。

调试命令 display firewall server-map 查看server-map表

华三防火墙怎样通过命令查看策略命中数

# 显示IPv4安全策略下名称为abc的规则的统计信息。

display security-policy statistics ip rule 安全策略的名字

dis acl all //查看ACL的命中数