当前位置：首页 > news >正文

防火墙的白名单和黑名单

news 2025/10/20 10:23:39

前言：

在防火墙中，配置黑名单和白名单是管控网络访问权限的核心方法。黑名单用于阻断特定来源的访问，而白名单则只允许受信任的来源访问，直接放行且不经过其他安全策略检查
该章节为防火墙系列的第三章，主要来介绍防火墙的黑名单和白名单的区别，实现对防火墙黑名单和白名单的命令和Web端配置，继续加深对防火墙的学习

在实验中理解黑白名单

实验配置

实验所需步骤：

搭建如上的拓扑图

开始配置防火墙的接口、划分区域并配置安全策略

路由器
[R1] int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 172.16.1.1 24
[R1]ip route-static 192.168.1.0 255.255.255.0 172.16.1.2 防火墙 接口配置
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 172.16.1.2 24
[FW1-GigabitEthernet1/0/0]service-manage ping permit 
[FW1-GigabitEthernet1/0/0]q
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 192.168.1.1 24
[FW1-GigabitEthernet1/0/1]service-manage ping permit 
划分区域
[FW1]firewall zone trust 
[FW1-zone-trust]add interface GigabitEthernet 1/0/1[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface GigabitEthernet 1/0/0
配置安全策略
[FW1]security-policy
[FW1-policy-security]rule name t-to-dmz
[FW1-policy-security-rule-t-to-dmz]source-zone trust 
[FW1-policy-security-rule-t-to-dmz]destination-zone dmz 
[FW1-policy-security-rule-t-to-dmz]action permit

此时两台PC都可以 Ping通路由器

此时开始配置黑名单，要求：阻止PC1（192.168.1.254）访问路由器，而PC2还可以继续访问

[FW1]firewall blacklist enable                         开启黑名单
[FW1]firewall blacklist item source-ip 192.168.1.254   将源IP为192.168.1.254的IP地址加入到黑名单中

此时，就完成了PC1无法 Ping 通路由器，而PC2 不受任何影响

白名单配置实验（通常使用安全策略来实现）下述命令只是举个例子。要求：将PC2加入到白名单里，白名单就是代表明确放行

[FW1]firewall whitelist enable                          开启白名单
[FW1]firewall whitelist item source-ip 192.168.1.252    将源地址为192.168.1.252的IP地址加入到白名单中

黑名单

黑名单，是指根据报文的源VPN和源IP地址进行过滤的一种方式。和ACL相比，由于进行匹配的域非常简单，可以以很高的速度实现报文的过滤，从而有效地将特定IP地址发送来的报文屏蔽，同时支持用户静态配置黑名单和防火墙动态生成黑名单。

黑名单是一种基于报文的源VPN和源IP地址进行过滤的机制。与ACL（访问控制列表）相比，黑名单的匹配域更为简单，能以更快的速度来实现报文过滤，有效屏蔽特定IP地址发送的报文。它支持用户静态配置，也可由防火墙动态生成

除了用户可以静态配置黑名单外，设备在检测到特定IP地址发起IP扫描攻击或端口扫描攻击时，会自动将该IP地址（发动攻击的）加入黑名单，如果黑名单处于开启状态话，会在一定时间内过滤来自该IP地址的所有报文

自动加入黑名单的条件

IP扫描攻击：设备检测到某个源IP地址每秒发往不同目的IP地址的报文数超过设定的阈值
端口扫描攻击：设备检测到某个源IP地址每秒发出的报文中目的端口不同的报文数超过设定的阈值

黑名单的作用

在黑名单有效期内，设备会过滤掉来自该IP地址的所有报文，阻止其进一步访问网络资源

除此之外，设备的黑名单还可以通过以下方式来增强网络安全防护能力。具体来说：

自动识别并阻断扫描攻击：通过识别扫描行为和扫描器特征，阻止攻击者或扫描器对网站的大规模扫描行为，自动阻断高频Web攻击、高频目录遍历攻击，并封禁攻击源IP一段时间，帮助Web业务降低被入侵的风险并减少扫描带来的垃圾流量
配置黑名单老化时间：用户可以配置静态和动态黑名单的老化时间，以便在一定时间后自动解除对某些IP地址的封锁，如果不配置老化时间，就是默认允许这个黑名单一直生效
防火墙丢弃命中黑名单的数据包：无论命中了黑名单的数据包是否为ACL规则允许的访问，防火墙都会对此类数据包予以丢弃
导出和导入黑名单配置信息：用户可以将黑名单配置信息导出到文件中，也可以通过文件导入黑名单配置，方便管理和备份