简介这是一份面向网络安全初学者与高校信息安全课程学习者的《防火墙技术与产品》教学课件以安全讲座形式系统梳理防火墙相关知识体系适合课堂教学、自学入门或备考复习使用。压缩包内共1个PPT文件整体约1.47MB以幻灯片形式呈现便于按章节浏览与课堂演示。内容从防火墙概念、特征与功能切入涵盖协议与服务、防火墙技术内容、体系结构及实现策略等核心模块并延伸至对防火墙技术与产品发展的介绍及未来展望。课件结合OSI参考模型与TCP/IP协议分层讲解物理层、数据链路层、网络层、传输层等各层职责帮助读者理解防火墙在不同协议层次上的作用机制。同时围绕集中化安全管理、访问控制、隐私保护与监控审计等特征展开说明防火墙如何保护脆弱网络服务、创建安全域并增强机构安全策略。目前已有58人学习适合希望系统建立防火墙知识框架、理清协议分层与安全策略关系的读者参考。1. 从一份老课件说起为什么防火墙的底层逻辑至今没变很多人第一次接触防火墙配置是在模拟器里敲命令、调策略、抓包排错但问到「防火墙到底在 OSI 哪一层工作」「包过滤和应用代理的本质区别是什么」往往答不上来。这份《防火墙技术与产品》PPT 课件就是用来补这块地基的。它从防火墙概念、特征、功能讲到协议分层、体系结构和实现策略覆盖了从理论到产品形态的完整链路。适合正在学网络安全、准备认证考试或者需要给团队做安全培训的从业者。课件本身是 PPT 格式内容偏讲座风格但技术点密度不低尤其是协议分层和体系结构那几页配合实际设备调试时会有「原来如此」的感觉。2. 防火墙技术底座从 OSI 分层到 TCP/IP 协议簇的落地理解2.1 协议分层不是背诵题是排错地图课件里花了大量篇幅讲 ISO/OSI 七层模型和 TCP/IP 四层模型的对应关系很多人觉得这是纯理论实际排错时才发现这是定位问题的坐标系。比如你在华为防火墙上配了策略路由流量没按预期走如果不知道网络层负责寻径、传输层负责端到端可靠性就很难判断是路由表问题还是策略匹配问题。课件中有一页把 OSI 参考模型和 Internet 协议簇做了对照我把它整理成表格方便对照查阅OSI 层TCP/IP 层典型协议防火墙关注点应用层/表示层/会话层应用层FTP、TELNET、SMTP、SNMP、NFS、RPC应用层过滤、内容检测传输层传输层TCP、UDP端口控制、会话状态跟踪网络层网间网层IP、ICMP、ARP、RARP包过滤、源路由攻击防护数据链路层/物理层网络接口层以太网、PPPMAC 过滤、物理隔离这张表的价值在于当你看到「防火墙黑白名单」这类热搜词时要意识到黑白名单可以作用在不同层。IP 黑名单在网络层端口黑名单在传输层URL 黑名单在应用层。课件里讲「屏蔽部分主机的特定服务」说的就是传输层和应用层的组合控制。2.2 包过滤、应用代理、状态检测三种实现策略的选型逻辑课件在「防火墙实现策略」部分提到了几种技术路线虽然 PPT 篇幅有限但选型逻辑讲清楚了。我结合实际产品形态补充一下包过滤防火墙工作在网间网层和传输层检查每个数据包的源 IP、目的 IP、源端口、目的端口和协议类型。优点是快、对用户透明缺点是无法理解应用层内容容易受 IP 欺骗攻击。常见做法是用 ACL 实现比如在华为防火墙上配acl 3000然后rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80。应用代理防火墙工作在应用层为每种服务运行一个代理进程客户端先和代理建立连接代理再和后端服务器建立连接。优点是能深度检测内容、隐藏内部拓扑缺点是性能差、每种协议都要单独适配。课件里提到的「保护脆弱和有缺陷的网络服务」主要靠的就是这种细粒度控制。状态检测防火墙是前两者的折中它在网络层和传输层工作但维护一个连接状态表只允许合法会话的返回流量通过。这是目前主流防火墙的默认模式华为、深信服、锐捷的设备都支持。提示如果你在模拟器里做实验比如 ensp 含防火墙的实验建议先用包过滤策略跑通基础连通性再切换到状态检测模式观察会话表变化这样能直观理解「状态」到底维护了什么。2.3 从课件到设备把协议知识映射到配置命令课件里讲「防火墙是不同网络之间的唯一出入口」这句话在实际配置中对应的是接口划分和安全域绑定。以华为防火墙为例你需要先把接口加入安全域再配域间策略# 进入系统视图 system-view # 配置接口 IP 并加入安全域 interface GigabitEthernet 0/0/1 ip address 192.168.1.1 24 quit firewall zone trust add interface GigabitEthernet 0/0/1 quit interface GigabitEthernet 0/0/2 ip address 10.0.0.1 24 quit firewall zone untrust add interface GigabitEthernet 0/0/2 quit # 配置域间安全策略允许 trust 到 untrust 的 HTTP 流量 security-policy rule name allow_http source-zone trust destination-zone untrust source-address 192.168.1.0 24 destination-address 10.0.0.0 24 service http action permit quit这段配置的逻辑是先定义「谁」安全域和接口再定义「能干什么」安全策略。课件里说的「根据企业安全政策控制出入网络的信息流」落到命令行就是security-policy里的rule。参数上要注意source-address和destination-address的掩码写法华为设备用通配符掩码24表示前 24 位匹配。如果策略不生效先检查接口有没有加入正确的安全域再看策略的匹配顺序——防火墙策略是从上往下匹配命中即停。3. 防火墙体系结构与产品形态从课件里的分类到真实设备选型3.1 双重宿主主机、屏蔽主机、屏蔽子网三种体系结构的适用场景课件在「防火墙体系结构」部分介绍了三种经典结构虽然 PPT 上只有示意图但选型时非常有用。双重宿主主机结构是一台主机装两块网卡分别连内网和外网开启 IP 转发和代理服务。这种结构最简单但存在单点故障一旦主机被攻破内网就完全暴露。适合小型网络或实验环境。屏蔽主机结构是在内网和外网之间加一台路由器做包过滤同时用一台堡垒主机做应用代理。路由器负责粗粒度过滤堡垒主机负责细粒度控制。这种结构比双重宿主主机安全但堡垒主机仍然是单点。屏蔽子网结构是最安全的它在内网和外网之间加一个「非军事区」DMZ用两台路由器分别连接内网和 DMZ、DMZ 和外网堡垒主机放在 DMZ 里。即使堡垒主机被攻破攻击者还要突破内网路由器才能进入内网。课件里提到的「创建安全域」对应的就是这种分区隔离思想。注意现在很多防火墙产品把这三层结构虚拟化成「安全区域」比如 trust、untrust、dmz 三个 zone配置逻辑是一样的但物理上可能只有一台设备。3.2 从「防火墙特征」看产品选型集中管理、访问控制、监控审计课件把防火墙特征归纳为五条保护脆弱服务、集中化管理、加强访问控制、加强隐私、监控审计。这五条放到今天的产品选型里仍然是核心指标。集中化管理对应的是防火墙的集中管理平台比如华为的 eSight、深信服的集中管理平台。如果你管着几十台设备没有集中管理平台逐台配策略会疯掉。访问控制对应的是策略粒度和性能。课件里说「屏蔽部分主机的特定服务」实际选型时要看设备支持多少条策略、策略匹配是否影响吞吐。有些低端防火墙配了几千条策略后性能断崖式下跌这就是「血泪经验」。监控审计对应的是日志和报表功能。课件里强调「记录访问并作出日志记录」实际使用中要关注日志存储周期、是否支持 syslog 外发、报表是否可定制。如果日志只存本地且只能存三天出了安全事件根本没法追溯。隐私保护对应的是 NAT 和代理功能。课件里说「隐蔽内部细节如 Finger、DNS 等服务」现在更多是靠 NAT 隐藏内网 IP靠应用层代理隐藏内网结构。3.3 协议与服务课件里的协议栈知识怎么用在策略配置上课件在「协议与服务」部分详细讲了 TCP/IP 各层的功能这些知识直接决定你策略怎么写。比如传输层提供端到端通信TCP 可靠但开销大UDP 高效但不可靠。配策略时如果是视频流媒体通常放行 UDP如果是网页访问放行 TCP 80/443。课件里还提到 ICMP 重定向攻击和 IP 源路由攻击这些在网络层。实际配置时可以在防火墙上禁用 ICMP 重定向、丢弃源路由选项的包。华为防火墙的命令是# 禁用 ICMP 重定向 interface GigabitEthernet 0/0/1 undo icmp redirect send undo icmp redirect receive quit # 丢弃源路由包通过 ACL 实现 acl number 3001 rule deny ip source-route quit参数说明undo icmp redirect send禁止接口发送 ICMP 重定向报文undo icmp redirect receive禁止接收。源路由攻击的防护通过 ACL 的source-route关键字匹配直接丢弃。4. 避坑与排查课件没写但实际配置中一定会遇到的问题4.1 策略配了但不生效流量还是不通现象在防火墙上配了允许策略但内网主机访问外网仍然失败。原因最常见的是接口没加入安全域或者安全域之间的默认策略是 deny。华为防火墙默认域间策略是拒绝所有必须显式放行。另一个原因是策略匹配顺序如果前面有一条 deny 策略命中了后面的 permit 不会生效。解决先用display firewall session table看会话有没有建立再用display security-policy rule all看策略命中计数。如果计数为 0说明流量没匹配到这条策略检查源目地址和区域是否正确。4.2 防火墙重启后策略丢失现象设备重启后之前配的策略全没了。原因配置没保存。华为设备用save命令保存到 flash锐捷设备用write或copy running-config startup-config。很多人配完直接断电配置还在内存里重启就丢。解决养成习惯配完关键策略后执行save并确认保存成功。如果是模拟器有些版本不支持保存需要每次重新配。4.3 关闭防火墙后服务正常开启后端口不通现象本机测试数据库 1521 端口能通但远程连不上关闭防火墙就正常。原因防火墙默认阻止入站连接需要显式放行端口。比如 server2016 防火墙通过 1521 端口需要新建入站规则。解决在防火墙策略里放行对应端口或者临时关闭防火墙测试。但生产环境不建议关闭防火墙应该精确放行。4.4 ensp 防火墙一直显示现象在 ensp 里启动防火墙设备命令行一直显示####无法进入。原因设备启动需要时间或者镜像文件损坏、内存不足。解决等待几分钟如果一直这样检查 ensp 的防火墙镜像是否完整或者换一台设备重新拖拽。有时候重启 ensp 也能解决。4.5 双机热备与 IPsec 配置后主备切换失败现象配了双机热备和 IPsec主设备故障后备设备没接管。原因心跳线不通或者 HRP 配置不完整或者 IPsec 隧道没同步。解决先检查心跳接口的连通性再看display hrp state确认主备状态。IPsec 需要配置hrp auto-sync同步会话表否则切换后隧道重建慢。5. 把课件知识用起来从理论到模拟器实验的进阶路径课件的价值不在于读完而在于读完能配。我一般会按这个路径把课件里的知识点过一遍第一步对照协议分层表在模拟器里抓一次包看每个层的头部字段。比如抓一个 HTTP 请求看网络层的 IP 地址、传输层的端口号、应用层的 HTTP 头。这一步能把课件里抽象的「层」变成具体的字节。第二步用包过滤策略跑通基础访问再切换到状态检测模式对比会话表的变化。你会看到状态检测模式下只有首包需要匹配策略后续包直接查会话表这就是性能差异的来源。第三步搭一个屏蔽子网结构配 trust、dmz、untrust 三个区域把 Web 服务器放 dmz数据库放 trust外网只能访问 dmz 的 80 端口dmz 只能访问 trust 的 3306 端口。这个实验能把课件里的「体系结构」和「访问控制」串起来。第四步配双机热备模拟主设备断电观察备设备接管时间和会话保持情况。这一步能理解课件里「集中化管理」和「监控审计」的实际意义——没有热备单点故障就是 100% 失败。我自己的习惯是每次配完策略先display security-policy rule all看命中计数再display firewall session table看会话最后display logbuffer看日志。这三条命令走一遍基本能定位 90% 的问题。从那以后我每次上架新设备都强制走一遍这个流程省了很多后悔药。希望这份课件能帮你把防火墙的地基打牢配上模拟器实验理论就能变成手上的功夫。本文还有配套的精品资源点击获取
防火墙技术从课件到实战：协议分层、体系结构与配置避坑指南
简介这是一份面向网络安全初学者与高校信息安全课程学习者的《防火墙技术与产品》教学课件以安全讲座形式系统梳理防火墙相关知识体系适合课堂教学、自学入门或备考复习使用。压缩包内共1个PPT文件整体约1.47MB以幻灯片形式呈现便于按章节浏览与课堂演示。内容从防火墙概念、特征与功能切入涵盖协议与服务、防火墙技术内容、体系结构及实现策略等核心模块并延伸至对防火墙技术与产品发展的介绍及未来展望。课件结合OSI参考模型与TCP/IP协议分层讲解物理层、数据链路层、网络层、传输层等各层职责帮助读者理解防火墙在不同协议层次上的作用机制。同时围绕集中化安全管理、访问控制、隐私保护与监控审计等特征展开说明防火墙如何保护脆弱网络服务、创建安全域并增强机构安全策略。目前已有58人学习适合希望系统建立防火墙知识框架、理清协议分层与安全策略关系的读者参考。1. 从一份老课件说起为什么防火墙的底层逻辑至今没变很多人第一次接触防火墙配置是在模拟器里敲命令、调策略、抓包排错但问到「防火墙到底在 OSI 哪一层工作」「包过滤和应用代理的本质区别是什么」往往答不上来。这份《防火墙技术与产品》PPT 课件就是用来补这块地基的。它从防火墙概念、特征、功能讲到协议分层、体系结构和实现策略覆盖了从理论到产品形态的完整链路。适合正在学网络安全、准备认证考试或者需要给团队做安全培训的从业者。课件本身是 PPT 格式内容偏讲座风格但技术点密度不低尤其是协议分层和体系结构那几页配合实际设备调试时会有「原来如此」的感觉。2. 防火墙技术底座从 OSI 分层到 TCP/IP 协议簇的落地理解2.1 协议分层不是背诵题是排错地图课件里花了大量篇幅讲 ISO/OSI 七层模型和 TCP/IP 四层模型的对应关系很多人觉得这是纯理论实际排错时才发现这是定位问题的坐标系。比如你在华为防火墙上配了策略路由流量没按预期走如果不知道网络层负责寻径、传输层负责端到端可靠性就很难判断是路由表问题还是策略匹配问题。课件中有一页把 OSI 参考模型和 Internet 协议簇做了对照我把它整理成表格方便对照查阅OSI 层TCP/IP 层典型协议防火墙关注点应用层/表示层/会话层应用层FTP、TELNET、SMTP、SNMP、NFS、RPC应用层过滤、内容检测传输层传输层TCP、UDP端口控制、会话状态跟踪网络层网间网层IP、ICMP、ARP、RARP包过滤、源路由攻击防护数据链路层/物理层网络接口层以太网、PPPMAC 过滤、物理隔离这张表的价值在于当你看到「防火墙黑白名单」这类热搜词时要意识到黑白名单可以作用在不同层。IP 黑名单在网络层端口黑名单在传输层URL 黑名单在应用层。课件里讲「屏蔽部分主机的特定服务」说的就是传输层和应用层的组合控制。2.2 包过滤、应用代理、状态检测三种实现策略的选型逻辑课件在「防火墙实现策略」部分提到了几种技术路线虽然 PPT 篇幅有限但选型逻辑讲清楚了。我结合实际产品形态补充一下包过滤防火墙工作在网间网层和传输层检查每个数据包的源 IP、目的 IP、源端口、目的端口和协议类型。优点是快、对用户透明缺点是无法理解应用层内容容易受 IP 欺骗攻击。常见做法是用 ACL 实现比如在华为防火墙上配acl 3000然后rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80。应用代理防火墙工作在应用层为每种服务运行一个代理进程客户端先和代理建立连接代理再和后端服务器建立连接。优点是能深度检测内容、隐藏内部拓扑缺点是性能差、每种协议都要单独适配。课件里提到的「保护脆弱和有缺陷的网络服务」主要靠的就是这种细粒度控制。状态检测防火墙是前两者的折中它在网络层和传输层工作但维护一个连接状态表只允许合法会话的返回流量通过。这是目前主流防火墙的默认模式华为、深信服、锐捷的设备都支持。提示如果你在模拟器里做实验比如 ensp 含防火墙的实验建议先用包过滤策略跑通基础连通性再切换到状态检测模式观察会话表变化这样能直观理解「状态」到底维护了什么。2.3 从课件到设备把协议知识映射到配置命令课件里讲「防火墙是不同网络之间的唯一出入口」这句话在实际配置中对应的是接口划分和安全域绑定。以华为防火墙为例你需要先把接口加入安全域再配域间策略# 进入系统视图 system-view # 配置接口 IP 并加入安全域 interface GigabitEthernet 0/0/1 ip address 192.168.1.1 24 quit firewall zone trust add interface GigabitEthernet 0/0/1 quit interface GigabitEthernet 0/0/2 ip address 10.0.0.1 24 quit firewall zone untrust add interface GigabitEthernet 0/0/2 quit # 配置域间安全策略允许 trust 到 untrust 的 HTTP 流量 security-policy rule name allow_http source-zone trust destination-zone untrust source-address 192.168.1.0 24 destination-address 10.0.0.0 24 service http action permit quit这段配置的逻辑是先定义「谁」安全域和接口再定义「能干什么」安全策略。课件里说的「根据企业安全政策控制出入网络的信息流」落到命令行就是security-policy里的rule。参数上要注意source-address和destination-address的掩码写法华为设备用通配符掩码24表示前 24 位匹配。如果策略不生效先检查接口有没有加入正确的安全域再看策略的匹配顺序——防火墙策略是从上往下匹配命中即停。3. 防火墙体系结构与产品形态从课件里的分类到真实设备选型3.1 双重宿主主机、屏蔽主机、屏蔽子网三种体系结构的适用场景课件在「防火墙体系结构」部分介绍了三种经典结构虽然 PPT 上只有示意图但选型时非常有用。双重宿主主机结构是一台主机装两块网卡分别连内网和外网开启 IP 转发和代理服务。这种结构最简单但存在单点故障一旦主机被攻破内网就完全暴露。适合小型网络或实验环境。屏蔽主机结构是在内网和外网之间加一台路由器做包过滤同时用一台堡垒主机做应用代理。路由器负责粗粒度过滤堡垒主机负责细粒度控制。这种结构比双重宿主主机安全但堡垒主机仍然是单点。屏蔽子网结构是最安全的它在内网和外网之间加一个「非军事区」DMZ用两台路由器分别连接内网和 DMZ、DMZ 和外网堡垒主机放在 DMZ 里。即使堡垒主机被攻破攻击者还要突破内网路由器才能进入内网。课件里提到的「创建安全域」对应的就是这种分区隔离思想。注意现在很多防火墙产品把这三层结构虚拟化成「安全区域」比如 trust、untrust、dmz 三个 zone配置逻辑是一样的但物理上可能只有一台设备。3.2 从「防火墙特征」看产品选型集中管理、访问控制、监控审计课件把防火墙特征归纳为五条保护脆弱服务、集中化管理、加强访问控制、加强隐私、监控审计。这五条放到今天的产品选型里仍然是核心指标。集中化管理对应的是防火墙的集中管理平台比如华为的 eSight、深信服的集中管理平台。如果你管着几十台设备没有集中管理平台逐台配策略会疯掉。访问控制对应的是策略粒度和性能。课件里说「屏蔽部分主机的特定服务」实际选型时要看设备支持多少条策略、策略匹配是否影响吞吐。有些低端防火墙配了几千条策略后性能断崖式下跌这就是「血泪经验」。监控审计对应的是日志和报表功能。课件里强调「记录访问并作出日志记录」实际使用中要关注日志存储周期、是否支持 syslog 外发、报表是否可定制。如果日志只存本地且只能存三天出了安全事件根本没法追溯。隐私保护对应的是 NAT 和代理功能。课件里说「隐蔽内部细节如 Finger、DNS 等服务」现在更多是靠 NAT 隐藏内网 IP靠应用层代理隐藏内网结构。3.3 协议与服务课件里的协议栈知识怎么用在策略配置上课件在「协议与服务」部分详细讲了 TCP/IP 各层的功能这些知识直接决定你策略怎么写。比如传输层提供端到端通信TCP 可靠但开销大UDP 高效但不可靠。配策略时如果是视频流媒体通常放行 UDP如果是网页访问放行 TCP 80/443。课件里还提到 ICMP 重定向攻击和 IP 源路由攻击这些在网络层。实际配置时可以在防火墙上禁用 ICMP 重定向、丢弃源路由选项的包。华为防火墙的命令是# 禁用 ICMP 重定向 interface GigabitEthernet 0/0/1 undo icmp redirect send undo icmp redirect receive quit # 丢弃源路由包通过 ACL 实现 acl number 3001 rule deny ip source-route quit参数说明undo icmp redirect send禁止接口发送 ICMP 重定向报文undo icmp redirect receive禁止接收。源路由攻击的防护通过 ACL 的source-route关键字匹配直接丢弃。4. 避坑与排查课件没写但实际配置中一定会遇到的问题4.1 策略配了但不生效流量还是不通现象在防火墙上配了允许策略但内网主机访问外网仍然失败。原因最常见的是接口没加入安全域或者安全域之间的默认策略是 deny。华为防火墙默认域间策略是拒绝所有必须显式放行。另一个原因是策略匹配顺序如果前面有一条 deny 策略命中了后面的 permit 不会生效。解决先用display firewall session table看会话有没有建立再用display security-policy rule all看策略命中计数。如果计数为 0说明流量没匹配到这条策略检查源目地址和区域是否正确。4.2 防火墙重启后策略丢失现象设备重启后之前配的策略全没了。原因配置没保存。华为设备用save命令保存到 flash锐捷设备用write或copy running-config startup-config。很多人配完直接断电配置还在内存里重启就丢。解决养成习惯配完关键策略后执行save并确认保存成功。如果是模拟器有些版本不支持保存需要每次重新配。4.3 关闭防火墙后服务正常开启后端口不通现象本机测试数据库 1521 端口能通但远程连不上关闭防火墙就正常。原因防火墙默认阻止入站连接需要显式放行端口。比如 server2016 防火墙通过 1521 端口需要新建入站规则。解决在防火墙策略里放行对应端口或者临时关闭防火墙测试。但生产环境不建议关闭防火墙应该精确放行。4.4 ensp 防火墙一直显示现象在 ensp 里启动防火墙设备命令行一直显示####无法进入。原因设备启动需要时间或者镜像文件损坏、内存不足。解决等待几分钟如果一直这样检查 ensp 的防火墙镜像是否完整或者换一台设备重新拖拽。有时候重启 ensp 也能解决。4.5 双机热备与 IPsec 配置后主备切换失败现象配了双机热备和 IPsec主设备故障后备设备没接管。原因心跳线不通或者 HRP 配置不完整或者 IPsec 隧道没同步。解决先检查心跳接口的连通性再看display hrp state确认主备状态。IPsec 需要配置hrp auto-sync同步会话表否则切换后隧道重建慢。5. 把课件知识用起来从理论到模拟器实验的进阶路径课件的价值不在于读完而在于读完能配。我一般会按这个路径把课件里的知识点过一遍第一步对照协议分层表在模拟器里抓一次包看每个层的头部字段。比如抓一个 HTTP 请求看网络层的 IP 地址、传输层的端口号、应用层的 HTTP 头。这一步能把课件里抽象的「层」变成具体的字节。第二步用包过滤策略跑通基础访问再切换到状态检测模式对比会话表的变化。你会看到状态检测模式下只有首包需要匹配策略后续包直接查会话表这就是性能差异的来源。第三步搭一个屏蔽子网结构配 trust、dmz、untrust 三个区域把 Web 服务器放 dmz数据库放 trust外网只能访问 dmz 的 80 端口dmz 只能访问 trust 的 3306 端口。这个实验能把课件里的「体系结构」和「访问控制」串起来。第四步配双机热备模拟主设备断电观察备设备接管时间和会话保持情况。这一步能理解课件里「集中化管理」和「监控审计」的实际意义——没有热备单点故障就是 100% 失败。我自己的习惯是每次配完策略先display security-policy rule all看命中计数再display firewall session table看会话最后display logbuffer看日志。这三条命令走一遍基本能定位 90% 的问题。从那以后我每次上架新设备都强制走一遍这个流程省了很多后悔药。希望这份课件能帮你把防火墙的地基打牢配上模拟器实验理论就能变成手上的功夫。本文还有配套的精品资源点击获取
