自學思科SD-WAN Zone Based Firewall(ZBF)區域防火牆

一、vEdge VPN和安全分區

基於區域而不是特定IP進行匹配

VPN之間彼此隔離，每個VPN都可以定義為唯一的區域
VPN之間通信將受到ZB-FW規則的約束
比如DIA、Extranet、Shared Services (e.g. Printer based on IP)

二、ZB-FW：區域內安全性

VPN1內的用戶可以互訪

三、ZB-FW：區域間安全性

默認VPN1之前可以互訪
若需要不同VPN間（VON1和VPN2）互訪，采用路由泄露（Route Leaking）

四、ZB-FW：DIA/DCA安全性

默認相同VPN之間互通，不同VPN之間是不可以互訪。
VPN1和VPN2可以位於同一個安全區域中。
如果VPN1和VPN2之間采用路由泄露（互訪），則需要區域內安全性。

五、ZB-FW：策略規則

policy
 lists data-prefix-list list-name  ip-prefix prefix/length

 zone source-zone-name  vpn vpn-id [one or more VPNs]

 zone destination-zone-name vpn vpn-id  [one or more VPNs]
  
 zone-to-no-zone-internet (allow | deny)

 zone-pair pair-name
   source-zone source-zone-name
   destination-zone destination-zone-name
   zone-policy policy-name

 zone-based-policy policy-name sequence number
   match ip-address or port only; protocol match-parameters

 action
    inspect (allows a return connection),drop, pass (does not allow return connection), log other actions
 
default-action (drop | pass | inspect)  [default is drop]

六、ZB-FW：配置示例

第①步：在vEdge上面本地策略----安全策略