防火墙命令手册.docVIP

防火墙命令手册 目 录 1 简介 3 2 功能简述 3 2.1 连接监测 3 2.2 包过滤策略 4 2.3 协议状态检测 4 2.4 基于MAC地址的桥过滤 4 3 配置防火墙 5 4 典型配置 17  简介 Internet 的发展给政府结构、企事业单位带来了革命性的改革和开放。他们正努力通过利用 Internet 来提高办事效率和市场反应速度，以便更具竞争力。通过 Internet ，企业可以从异地取回重要数据，同时又要面对 Internet 开放带来的数据安全的新挑战和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加筑安全的 战壕 ，而这个 战壕 就是防火墙。 防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入 Internet 网络为最甚。 防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。 　　在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和 Internet 之间的任何活动，保证了内部网络的安全。 　　除了安全作用，防火墙还支持具有 Internet 服务特性的企业内部网络技术体系 VPN 。通过 VPN ，将企事业单位在地域上分布在全世界各地的 LAN 或专用子网，有机地联成一个整体。不仅省去了专用通信线路，而且为信息共享提供了技术保障。基于状态的资源和连接控制基于这样的观点：如果连接长时间没有应答，一直处于半连接状态，浪费连接资源连接已经建立，但长时间没有数据穿过，浪费了连接资源 ip inspect [on|off] 使用模式 配置模式(config)# 功能 启用IP Inspect功能 参数解释 命令 [no] ip inspect check loose 使用模式 配置模式(config)# 功能 [不]执行松散TCP状态检查。缺省为不执行松散TCP状态检查。 参数解释 命令 [no|default] ip inspect limit connection max 0 – 2000000 system 使用模式 配置模式(config)# 功能 限定系统总的连接数 参数解释 命令 [no|default] ip inspect limit connection max 0 – 2000000 tcp|udp|icmp|generic 使用模式 配置模式(config)# 功能 限定系统总的TCP连接数 参数解释 命令 [no|default] ip inspect limit halfopen high 0 – 2000000 system 使用模式 配置模式(config)# 功能 限定系统的连接数最高水准 参数解释 命令 [no|default] ip inspect limit halfopen high 0 – 2000000 tcp|udp|icmp|generic 使用模式 配置模式(config)# 功能 限定系统的TCP连接数最高水准 参数解释 命令 [no|default] ip inspect limit halfopen low 0 – 2000000 system 使用模式 配置模式(config)# 功能 限定系统的连接数最低水准 参数解释 命令 [no|default] ip inspect limit halfopen low 0 – 2000000 tcp|udp|icmp|generic 使用模式 配置模式(config)# 功能 限定系统的TCP连接数最低水准 参数解释 命令 [no|default] ip inspect limit halfopen-rate high 0 – 2000000 system 使用模式 配置模式(config)# 功能 限定系统的连接数最高水准 参数解释 命令 [no|default] ip inspect limit halfopen-rate high 0 – 2000000 tcp|udp|icmp|generic 使