工业网络5.3.1防火墙技术

防火墙技术主讲老师：郝世宇防火墙技术防火墙基础定义与核心三大特性唯一性边界网关：内网与互联网、远程厂区仅通过防火墙这一条通道通信，消除多旁路带来的防护失效风险。策略驱动过滤：流量依据管理员配置规则执行放行/阻断；未匹配规则的报文默认丢弃。自身高抗攻击性：操作系统、固件进行安全加固；具备防端口扫描、防渗透能力，避免自身成为网络攻击突破口。防火墙三大安全区域划分Trust可信区域构成：工厂内部控制网络，含PLC、分布式IO、机器人伺服、本地HMI。访问规则：区域内设备互访规则宽松；外网、DMZ访问该区域严格限制，仅开放组态、采集必要端口，防止外部篡改控制程序。Untrust不可信区域构成：互联网、异地公网远程终端。访问规则：所有入内网流量严格审计；默认禁止主动向内发起连接；仅放行内网向外请求对应的回程报文。DMZ隔离缓冲区用途：部署需要内外网同时访问的服务器，如MES数据服务器、Web生产查询终端。隔离逻辑：隔离Trust控制网与Untrust外网。将产线控制网段划入Trust可信区，企业云服务器部署在DMZ隔离区，互联网归为Untrust不可信区，三区配置单向访问策略，实现工业网络分级隔离防护。三类主流防火墙技术原理、优缺点与工业适用场景✔静态包过滤防火墙工作在网络层、传输层，依靠ACL访问控制列表匹配报文头部信息：源IP、目的IP、源端口、目的端口、协议类型，快速判定放行或阻断。明示允许：默认阻断，仅开放必要工业端口，安全性高，工控场景推荐；明示禁止：默认放行，仅拦截危险流量，配置简单但风险高，不用于控制网边界。0102

原理：基于静态ACL，增加会话状态跟踪，维护会话表，记录TCP/UDP连接状态，区分新建连接、会话回程报文；只放行内网主动请求的回流流量，丢弃外网主动新建连接，抵御IP欺骗、端口扫描。优势：兼顾转发性能与安全性，工业项目主流选择短板：仅四层会话跟踪，不能识别Modbus、Profinet等应用层恶意操作适用场景：汽车、包装、中小型化工产线的内外网边界防护状态检测型防火墙

原理：工作于应用层，充当内外网中间人，内外网不直接通信；代理代为收发数据，外网无法获知内网真实IP与网络拓扑；优势：切断内外网直连，工控协议深度检测，攻击面小短板：运算开销大、转发延迟高，可能干扰实时运动控制时序；不同应用需要专属代理程序适用场景：石油、燃气、核电等高风险流程工业，高安全要求的关键生产装置应用代理型防火墙工业网络防护核心原则：最小权限开放，仅放开生产必需端口，其余全部阻断。允许Trust内网全部设备访问外网MES服务器502端口，上传产量数据。拒绝Untrust外网任意IP主动访问Trust区域PLC的Modbus502端口。外网仅允许访问DMZ区域Web服务80、443查询页面。全网拦截TCP23、445等高风险远程、文件共享端口。禁止DMZ服务器主动访问Trust控制网段，阻断跨区渗透路径。静态包过滤：只检测四层报文头部；转发速度快、成本低；安全能力弱；用于小型简易网络。01状态检测（动态包过滤）：跟踪会话连接状态；性能与安全性兼顾；为通用智能制造的标准方案。02应用代理（应用网关）：深度解析应用层工控报文；安全等级最高；存在转发延迟；适用于高危流程工业场景。03掌握Trust、Untrust、DMZ三大网络安全区域的逻辑隔离、单向访问防护架构。明晰静态包过滤、