防火墙应用(高级).pptVIP

第七章:长连接应用环境 2) 定制访问策略 选择防火区域 在已激活防火墙集中管理器中高级管理下访问策略项目中，选择需要制定访问策略的 防火区 b) 选择添加方式 c) 选择包过滤类型 第七章:长连接应用环境 d) 定义策略源、目的对象 e) 定义访问服务 f) 定义访问策略控制 第七章:长连接应用环境 g) 在“访问权限”选允许，在“连接属性”中选长连接即可 第七章:RADUIS 认证应用环境 本章目标： 了解RADUIS协议 为什么使用RADUIS认证 防火墙支持RADUIS认证服务的配置 第七章:RADUIS 认证应用环境 RADUIS协议简介 RADIUS（Remote Authentication Dial In User Service）协议最初是由Livingston公司提出的，原先的目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议。其协议的标准最新的定义在rfc2865和2866中，也可以在处得到相关的rfc。 RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。 RADIUS的基本工作原理。用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account-Require，RADIUS服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。 RADIUS协议还规定了重传机制。如果NAS向某个RADIUS服务器提交请求没有收到返回信息，那么可以要求备份RADIUS服务器重传。由于有多个备份RADIUS服务器，因此NAS进行重传的时候，可以采用轮询的方法。如果备份RADIUS服务器的密钥和以前RADIUS服务器的密钥不同，则需要重新进行认证。 RADIUS协议应用范围很广，包括普通电话、上网业务计费，对VPN的支持可以使不同的拨入服务器的用户具有不同权限。最近IEEE提出了802.1x标准，这是一种基于端口的标准，用于对无线网络的接入认证，在认证时也采用RADIUS协议。 第七章:RADUIS 认证应用环境 使用RADUIS认证的好处 网络环境比较复杂的情况下，有时用IP做规则限制访问不是很方便，这时就只有用用户规则来限制访问， RADUIS用户认证系统是业内公认的认证系统 防火墙支持RADUIS认证服务的配置 在已激活防火墙集中管理器中高级管理下特殊对象项目中，选择“用户认证数据库”，在右侧窗口点右键选“定义新对象” 第七章:RADUIS 认证应用环境 上图参数说明： 用户的缺省空闲超时：用户认证通过后，在该时间段内和穿过防火墙的外 界没有数据交换时将断开。 用户的缺省绝对超时：用户认证通过后，在该时间段内无论与外界是否有 数据交换都将断开。（这样做是为了强制用户每隔 一段时间从新认证） 认证服务器使用的端口：依具体Radius服务器而定。 顺序：如果存在多台Radius服务器，那么该顺序表示防火墙将首先到哪台 服务器提交认证信息。0级别最高，7级别最低，即首先寻找级别为0 的服务器。 是否需要CHAP挑战：有些Radius服务器需要该类型挑战，此时将其选中。 共享密钥：防火墙和Radius服务器相互认证的密钥，两端必须一致。 第七章:RADUIS 认证应用环境 2. 在已激活防火墙集中管理器中高级管理下特殊对象项目中，选择“用户”，在右侧窗口点右键选“定义新对象”(用户) 用户是RADUIS认证数据库中的