简介

安全区域（Security Zone），或者简称为区域（Zone），是设备所引入的一个安全概念，大部分的安全策略都基于安全区域实施。

定义

一个安全区域是若干接口所连网络的集合，这些网络中的用户具有相同的安全属性。

目的

在网络安全的应用中，如果网络安全设备对所有报文都进行逐包检测，会导致设备资源的大量消耗和性能的急剧下降。而这种对所有报文都进行检查的机制也是没有必要的。所以在网络安全领域出现了基于安全区域的报文检测机制。

引入安全区域的概念之后，网络管理员可以将具有相同优先级的网络设备划入同一个安全区域。由于同一安全区域内的网络设备是“同样安全”的，FW认为在同一安全区域内部发生的数据流动是不存在安全风险的，不需要实施任何安全策略。只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相应的安全策略。

所以FW在支持报文直接转发的基础上，还支持了安全区域的创建，并且允许网络管理员在安全区域的基础上实施各种特殊的报文检测与安全功能。

安全区域有优先级的区分。优先级通过1～100的数字表示，数字越大表示优先级越高。

（系统默认的安全区域不能被删除，优先级也无法被重新配置或者删除。用户可以根据实际组网需要，自行创建安全区域并定义其优先级。）

设备上缺省的安全区域如表1所示。

安全域间与方向

安全域间这个概念用来描述流量的传输通道，它是两个“区域”之间的唯一“道路”。如果希望对经过这条通道的流量进行检测等，就必须在通道上设立“关卡”，如ASPF等功能。

任意两个安全区域都构成一个安全域间（Interzone），并具有单独的安全域间视图。

安全域间的数据流动具有方向性，包括入方向（Inbound）和出方向（Outbound）。

入方向：数据由低优先级的安全区域向高优先级的安全区域传输。

出方向：数据由高优先级的安全区域向低优先级的安全区域传输。

通常情况下，通信双方一定会交互报文，即安全域间的两个方向上都有报文的传输。而判断一条流量的方向应以发起该条流量的第一个报文为准。

例如，发起连接的终端位于trust区域，它向位于untrust区域的Web服务器发送了第一个报文，以请求建立HTTP连接。由于untrust区域的优先级比trust区域低，所以FW设备将认为这个报文属于Outbound方向，并根据Outbound方向上的域间配置决定是否匹配并进一步处理该数据流。

##本文参考自华为官方usg产品文档##