第六章-包過(guò)濾技術(shù)課件

掌握包過(guò)濾技術(shù)的原理與配置掌握ASPF的原理與配置掌握黑名單原理與配置課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：包過(guò)濾介紹包過(guò)濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄包過(guò)濾技術(shù)介紹公司總部?jī)?nèi)部網(wǎng)絡(luò)未授權(quán)用戶(hù)辦事處防火墻包過(guò)濾介紹包過(guò)濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄包過(guò)濾防火墻基本配置包過(guò)濾防火墻配置包括允許或禁止防火墻設(shè)置防火墻缺省過(guò)濾方式設(shè)置包過(guò)濾防火墻分片報(bào)文檢測(cè)開(kāi)關(guān)配置分片報(bào)文檢測(cè)的上、下門(mén)限值在接口上應(yīng)用訪問(wèn)控制列表

包過(guò)濾基本配置允許或者禁止防火墻操作命令允許防火墻firewall

packet-filterenable

禁止防火墻undofirewall

packet-filterenable

包過(guò)濾基本配置設(shè)置包過(guò)濾防火墻缺省過(guò)濾方式操作命令設(shè)置缺省過(guò)濾方式為允許通過(guò)firewall

packet-filterdefault

permit

設(shè)置缺省過(guò)濾方式為禁止通過(guò)firewall

packet-filterdefault

deny

包過(guò)濾基本配置設(shè)置包過(guò)濾防火墻分片檢測(cè)操作命令打開(kāi)分片報(bào)文檢測(cè)firewall

packet-filterfragments-inspect

關(guān)閉分片報(bào)文檢測(cè)undo

firewall

packet-filterfragments-inspect

包過(guò)濾基本配置配置分片報(bào)文檢測(cè)的上下限域值操作命令指定上、下限分片狀態(tài)記錄數(shù)目firewall

packet-filterfragments-inspect{high|low}{default|number}恢復(fù)上限分片狀態(tài)記錄數(shù)目為缺省值undo

firewall

packet-filterfragments-inspect{high|low}包過(guò)濾基本配置在接口上應(yīng)用訪問(wèn)控制列表操作命令指定接口上過(guò)濾接收?qǐng)?bào)文的規(guī)則firewall

packet-filter

acl-number{inbound|outbound}[match-fragments{normally|exactly}]取消接口上過(guò)濾接收?qǐng)?bào)文的規(guī)則undo

firewall

packet-filter

acl-number{inbound|outbound}包過(guò)濾基本配置包過(guò)濾防火墻顯示與調(diào)試操作命令顯示接口的有關(guān)防火墻的統(tǒng)計(jì)信息display

firewallpacket-filterstatistics{all|interface

typenumber|fragments-inspect}顯示分片表displayfirewallfragment

打開(kāi)防火墻包過(guò)濾調(diào)試信息開(kāi)關(guān)debugging

firewall

packet-filter{all|denied|permitted|icmp|tcp|udp|fragments-inspect|others}[interface

typenumber]包過(guò)濾基本配置包過(guò)濾防火墻顯示與調(diào)試(續(xù))操作命令關(guān)閉防火墻包過(guò)濾調(diào)試信息開(kāi)關(guān)undo

debugging

packet-filterfirewall{all|denied|permitted|icmp|tcp|udp|fragments-inspect|others}[interface

typenumber]清除包過(guò)濾防火墻的統(tǒng)計(jì)信息reset

firewallpacket-filterstatistics{all|interface

typenumber}包過(guò)濾介紹包過(guò)濾基本配置

ASPF原理介紹

ASPF基本配置黑名單原理介紹黑名單基本配置目錄包過(guò)濾技術(shù)存在的問(wèn)題ACL能夠解決所有問(wèn)題嗎？ASPF介紹能夠檢查應(yīng)用層協(xié)議信息能夠檢測(cè)傳輸層協(xié)議信息JavaBlocking（Java阻斷）DoS（DenialofService，拒絕服務(wù)）的檢測(cè)和防范ActiveXBlocking（ActiveX阻斷）支持端口到應(yīng)用的映射，為基于應(yīng)用層協(xié)議的服務(wù)指定非通用端口增強(qiáng)的會(huì)話(huà)日志功能ASPF基本概念JavaBlocking端口映射單通道協(xié)議/多通道協(xié)議內(nèi)部接口和外部接口ASPF檢測(cè)應(yīng)用層協(xié)議基本原理ClientAServer被保護(hù)的網(wǎng)絡(luò)用戶(hù)A初始化一個(gè)會(huì)話(huà)用戶(hù)A的會(huì)話(huà)返回報(bào)文被允許通過(guò)其他會(huì)話(huà)的報(bào)文被阻斷ASPF檢測(cè)多通道應(yīng)用層協(xié)議基本原理FTPClientFTPServerport:1333port:1600port:21port:20控制通道連接數(shù)據(jù)通道連接FTP指令和應(yīng)答port指令包過(guò)濾介紹包過(guò)濾基本配置

ASPF原理介紹

ASPF基本配置黑名單原理介紹黑名單基本配置目錄ASPF基本配置ASPF配置包括允許防火墻配置訪問(wèn)控制列表定義一個(gè)ASPF策略在選定的接口上應(yīng)用ASPF策略過(guò)濾范圍ASPF基本配置允許防火墻操作命令允許防火墻firewall

packet-filterenable

ASPF基本配置配置訪問(wèn)控制列表操作命令配置訪問(wèn)控制列表（在ACL視圖下）ruledeny將ACL應(yīng)用到出接口上（在接口視圖下）firewallpacket-filteracl-numinbound

ASPF基本配置定義ASPF策略之創(chuàng)建ASPF策略操作命令創(chuàng)建一個(gè)ASPF策略aspf-policyaspf-policy-number

刪除創(chuàng)建一個(gè)ASPF策略u(píng)ndo

aspf-policy

aspf-policy-numberASPF基本配置定義ASPF策略之配置空閑超時(shí)值操作命令配置空閑超時(shí)值aging-time{syn|fin|tcp|udp}seconds

恢復(fù)默認(rèn)的空閑超時(shí)值undo

aging-time{syn|fin|tcp|udp}ASPF基本配置定義ASPF策略之配置應(yīng)用層檢測(cè)操作命令配置空閑超時(shí)值detect

protocol[aging-time

seconds]刪除配置的應(yīng)用協(xié)議檢測(cè)undo

detect

protocol

ASPF基本配置定義ASPF策略之配置通用TCP和UDP檢測(cè)操作命令配置通用TCP協(xié)議檢測(cè)detect

tcp[aging-time

seconds]配置通用UDP協(xié)議檢測(cè)detect

udp[aging-time

seconds]刪除通用TCP協(xié)議檢測(cè)undo

detect

tcp

刪除通用UDP協(xié)議檢測(cè)undo

detect

udp

ASPF基本配置在接口上應(yīng)用ASPF策略操作命令在接口上應(yīng)用ASPF策略firewall

aspf

aspf-policy-number{inbound|outbound}刪除該接口上應(yīng)用的ASPF策略u(píng)ndo

firewall

aspf

aspf-policy-number{inbound|outbound}包過(guò)濾介紹包過(guò)濾基本配置

ASPF原理介紹

ASPF基本配置黑名單原理介紹黑名單基本配置目錄黑名單原理介紹從來(lái)的大量SYN報(bào)文主機(jī)在實(shí)行SynFlood攻擊，后面來(lái)的數(shù)據(jù)包不能通過(guò)！防火墻黑名單列表表項(xiàng)的來(lái)源1.手動(dòng)添加2.動(dòng)態(tài)創(chuàng)建防火墻黑名單過(guò)濾報(bào)文的類(lèi)型以及范圍過(guò)濾報(bào)文類(lèi)型IcmpTcpUdpothers過(guò)濾范圍blacklistglobal包過(guò)濾介紹包過(guò)濾基本配置

ASPF原理介紹

ASPF基本配置黑名單原理介紹黑名單基本配置目錄黑名單基本配置黑名單基本配置包括啟動(dòng)或禁止黑名單配置黑名單表項(xiàng)黑名單的顯示與調(diào)試黑名單基本配置啟動(dòng)或禁止黑名單

操作命令啟動(dòng)黑名單功能firewallblacklistenable

禁止黑名單功能undofirewallblacklistenable

黑名單基本配置配置黑名單表項(xiàng)操作命令配置黑名單表項(xiàng)firewallblacklistsour-addr[timeout

minutes]刪除黑名單表項(xiàng)undofirewallblacklistitem[

sour-addr

]黑名