防火墙虚拟系统概述及实现原理

一、概述

虚拟系统技术是把一台防火墙从逻辑上划分为多台防火墙，即虚拟系统。每个虚拟系统可相当于一台真实的设备，可以拥有自己的接口以及路由表等软硬件资。虚拟系统之间默认互相隔离，便于管理以及提高了安全性。

1、几方面的虚拟化

资源虚拟化：管理员可以为每个虚拟系统分配独享的系统资源以及对资源的配额进行限制，充分利用整机的资源，同时避免某个虚拟系统的业务繁忙影响其他虚拟系统的业务运行。

业务配置虚拟化：可以实现配置一个虚拟系统的业务如同配置一台物理防火墙，简化了网络的管理模式以及业务配置的复杂度。

路由表项虚拟化：每个虚拟系统都拥有独立的路由表，不同虚拟系统下的子网即使使用了相同的网段仍可以正常通信，同时，虚拟系统之间的流量相互隔离，仅在有业务需求时能够通过配置实现安全互访。

安全功能虚拟化：每个虚拟系统都可以配置独立的安全策略及其他安全功能，实现对虚拟系统下局域网的安全防护，只有属于该虚拟系统的报文才会受到该虚拟系统下配置的安全功能的影响。

2、场景

大中型企业的网络隔离：大中型企业网络一般为多地部署，防火墙数量众多，网络环境复杂，各业务部门职能权责分明，会有不同的安全需求，将会导致防火墙配置异常复杂，通过防火墙的虚拟系统，可以在实现网络隔离的基础上，使得业务管理更加清晰简便。

云计算中心安全网关：将网络资源和计算能力存放在网络云端，网络用户只需通过网络终端接入公有网络，就可以访问相应的网络资源并使用对应服务，通过配置虚拟系统，可以让部署在云计算中心出口的防火墙具备有云计算网关的能力，对用户流量进行隔离的同时提供强大的安全防护能力。

二、实现原理

1、虚拟系统类型

根系统：Public，默认存在的一个特殊的虚拟系统，即使VSYS为启用，public也依然存在，管理员默认对防火墙配置等同于对public进行配置，作用是管理其他VSYS，并为虚拟系统间通信提供服务。

虚拟系统：在防火墙上划分出来的独立运行的逻辑防火墙，需要在根系统下创建以及为其分配资源。

2、虚拟系统管理员权限

根系统管理员：虚拟系统功能启动后防火墙管理员自动成为根系统管理员，管理员的登录方式、管理权限、认证方式等均保持不变，根系统管理员负责管理和维护防火墙、配置根系统业务。

虚拟系统管理员：创建虚拟系统后，根系统管理员可以为虚拟系统创建一个或者多个管理员，虚拟系统管理员只能进入其所属的虚拟系统配置界面，根系统管理可以进入所有虚拟系统的配置界面。虚拟系统管理员用户名格式：管理员名@@虚拟系统名

3、虚拟系统的资源分配

管理员可以为每个虚拟系统分配独享的系统资源以及对资源的配额进行限制，充分利用整机的资源。

3.1、定额分配

支持定额分配的资源项

资源项名称	说明
SSL VPN虚拟网关	根系统最多可创建的虚拟网关数量受整机规格限制，单个虚拟系统最多可创建4个虚拟网关，所有虚拟系统和根系统最多可创建的虚拟网关数量不超过整机规格。
安全区域	虚拟系统安全区域的规格与根系统完全一致且相互独立，每个虚拟系统都拥有四个默认的安全区域且不能删除及修改，即trust、untrust、local、dmz。
五元组抓包队列	根系统有四个抓包队列，单个虚拟系统有2个抓包队列，所有虚拟系统抓包队列的总数受整机规格限制，当虚拟系统已使用的抓包队列达到整机规格的上限时，用户无法在虚拟系统中配置新的五元组抓包。

支持定额分配的资源项会根据系统规格在虚拟系统创建时自动分配给虚拟系统。

3.2、手工分配

3.2.1、创建虚拟系统直接分配

资源项名称	说明
公网IP地址	虚拟系统中配置NAT地址池或NAT服务器映射地址时需要使用公网IP地址。此时，必须使用在创建虚拟系统时为虚拟系统分配的公网IP地址，否则会导致NAT的相关配置下发失败。 公网IP地址的分配模式包括独立模式和共享模式： 在独立模式下，已分配的公网IP地址不能再分配给其他虚拟系统使用。 在共享模式下，已分配的公网IP地址可以以共享模式再次分配给其他虚拟系统使用。 无论分配模式使用的是独立模式还是共享模式，IP地址分配给虚拟系统后，根系统的 NAT地址池和NAT服务器映射地址都不能再使用该IP地址。 配置命令为虚拟系统管理视图下的assign global-ip start-address end-address { exclusive | free}
L2TP资源	表示虚拟系统下可使用的L2TP资源（组类型为LNS和LAC的L2TP）个数的总和，可理解为虚拟系统下最多支持绑定的Virtual-Template接口个数。在配置时，需要先在根系统下配置一个Virtual-Template接口，然后在虚拟系统管理员视图下使用assign interface命令将事先配置好的Virtual-Template接口绑定到虚拟系统下。 最多支持为一个虚拟系统预分配10个Virtual-Template接口，该配置项未配置时默认为0，表示虚拟系统下未分配Virtual-Template接口。
内容安全开关	仅支持为虚拟系统配置内容安全特性（反病毒、入侵防御、URL过滤）的使用权限，不支持为虚拟系统分配具体的资源。为虚拟系统配置URL过滤功能的使用权限后，虚拟系统可同时获得DNS过滤功能的使用权限。 配置命令为虚拟系统管理视图下的assign function { av | ips | url-filter }
日志缓冲区	虚拟系统的日志缓冲区用于存放虚拟系统产生的日志信息(包括系统日志和业务日志)，与根系统的日志缓冲区互为独立存在，防火墙上所有的虚拟系统均共享并抢占该虚拟系统日志缓冲区资源。 支持为单个虚拟系统配置系统日志及业务日志的日志缓冲区保证值，配置后同时对两种日志生效。 配置命令为虚拟系统管理视图下的assign logbuffer reserved-size reserved-size-value

还有接口、VLAN、VXLAN也属于此类型分配。

3.2.1、通过创建资源类和绑定资源类分配

保证值：虚拟系统可使用某项资源的最小数量，一旦分配即独占。

最大值：最大数量，空闲时可额外分配于虚拟系统。

支持配置和绑定资源类方式分配的资源项：IPv4会话数、IPv6会话数、在线用户数、用户数、用户组数、安全组数、策略数、带宽策略数、IPSec隧道数、L2TP隧道数、SSL VPN并发用户数、入方向带宽、出方向带宽、整体带宽、IPv4新建会话速率、IPv6新建会话速率。

若虚拟系统绑定的资源类对某些资源未指定最大值和保证值，则虚拟系统对这些资源的使用不受限制。

资源类中的带宽资源分为入方向带宽、出方向带宽和整体带宽三类。如何判断：看该数据流的出接口或者如接口。

入方向带宽：从公网接口到私网接口的带宽。

出方向带宽：从私网接口到公网接口的带宽。

整体带宽：虚拟系统的整体带宽=入方向带宽+出方向带宽+私网接口到私网接口的带宽+公网接口到公网接口的带宽。

公网接口：分配接口时设定的公共接口（set public-interface的接口）

私网接口：未配置set public-interface的接口

在虚拟系统互访中，虚拟接口默认为公网接口。

例子①：创建资源类r1，会话保证值1000、会话最大值5000、用户数300、用户组数10、策略数300、整体带宽限制为10Mbit/s。

1. [USG]vsys enable
2. [USG]display resource global-resource
3. 2024-02-07 06:37:19.260
4. Global resource table:
5. ------------------------------------------------------------
6. Global-Number Remained-Number
7. session 5000 5000
8. session-rate 6000 6000
9. ipv6 session 128 128
10. ipv6 session-rate 10000 10000
11. bandwidth 10 10
12. policy 1000 1000
13. traffic-policy 16 16
14. ssl-vpn-concurrent 100 100
15. online-user 500 500
16. user 500 500
17. user-group 128 128
18. security-group 500 500
19. l2tp-tunnel 200 200
20. ipsec-tunnel 10 10
21. ------------------------------------------------------------
22. [USG]resource-class r1
23. [USG-resource-class-r1]resource-item-limit ?
24. bandwidth Indicate bandwidth
25. ipsec-tunnel Indicate ipsec tunnel numbers
26. ipv6 Indicate IPv6
27. l2tp-tunnel Indicate the number of L2TP tunnels
28. online-user Indicate the number of online users
29. policy Indicate the number of policies
30. security-group Indicate the number of security groups
31. session Indicate the number of sessions
32. session-rate Indicate new sessions per second
33. ssl-vpn-concurrent Indicate the ssl vpn
34. traffic-policy Indicate the number of traffic policies
35. user Indicate the number of users
36. user-group Indicate the number of user groups

1. [USG-resource-class-r1]resource-item-limit session reserved-number 1000 maximum
2. 5000
3. [USG-resource-class-r1]resource-item-limit user reserved-number 300
4. [USG-resource-class-r1]resource-item-limit user-group reserved-number 10
5. [USG-resource-class-r1]resource-item-limit policy reserved-number 300
6. [USG-resource-class-r1]resource-item-limit bandwidth 10 entire

例子②：利用例子①的资源类，创建虚拟系统vsysa并分配资源。

1. [USG]vsys name vsysa
2. [USG-vsys-vsysa]assign resource-class r1
3. [USG-vsys-vsysa]assign interface GigabitEthernet 1/0/1
5. [USG]switch vsys vsysa
6. sys
7. Enter system view, return user view with Ctrl+Z.
8. [USG-vsysa]]

3.3、共享抢占

共享抢占，即不可分配。

地址、地址组、NAT地址池、证书、时间段、自定义服务/服务组、自定义应用/应用组、地区/地区组、带宽通道、静态路由条目、Server-map表、IP-MAC表、ARP表、MAC表等表项。

4、虚拟系统的分流

4.1、基于接口分流

防火墙工作在第三层，根据组网需要，将G1/0/1、G1/0/2、G1/0/3接口分别分配给虚拟系统vsysa、vsysb、vsysc，作为其专属的内网接口，接口分配给虚拟系统后，从此接口接收到的报文都会被认为属于该虚拟系统，并根据该虚拟系统的配置进行处理。

1. [USG]vsys enable
3. [USG]vsys name vsysa
4. [USG-vsys-vsysc]assign interface GigabitEthernet 1/0/1
5. Info: All related configurations on this interface are removed.
7. [USG]vsys name vsysb
8. [USG-vsys-vsysb]assign interface GigabitEthernet 1/0/2
9. Info: All related configurations on this interface are removed.
11. [USG]vsys name vsysc
12. [USG-vsys-vsysc]assign interface GigabitEthernet 1/0/3
13. Info: All related configurations on this interface are removed.

4.2、基于VLAN分流

防火墙工作在第二层，根据组网需要，内网接口为Trunk接口并允许VLAN 10、20、30报文通过，且通过不同虚拟系统处理。

1. [USG]vlan batch 10 20 30
2. Info: This operation may take a few seconds. Please wait for a moment...done.
3. [USG]vsys name vsysa
4. [USG-vsys-vsysa]assign vlan 10
5. [USG-vsys-vsysa]vsys name vsysb
6. [USG-vsys-vsysb]assign vlan 20
7. [USG-vsys-vsysb]vsys name vsysc
8. [USG-vsys-vsysc]assign vlan 30

---

参考资料：防火墙和VPN技术与实践——李学昭