防火墙策略-01精品.pptVIP

映射服务器——设置服务器的负载均衡 选择使用服务器负载均衡 外部的IP 分配流量的方式 外部的IP端口 内部的服务器列表 映射服务器——添加允许访问服务器的策略 策略是从外向内建立的 目标地址是服务器映射的虚拟IP 不需要启用NAT 实验 将内部服务器10.0.X.1映射到0X，让旁人ping 0X，然后抓包分析 Diagnose sniffer packet any ‘icmp’ 4 Diagnose sys session clear 基于策略的流量控制 在防火墙策略中启动流量控制设置。如果您不对防火墙策略设置任何的流量控制，那么默认情况下，流量的优先级别设置为高级。 防火墙策略中的流量控制选项设置为三个优先级别（低、中、高）。 确定防火墙策略中所有基本带宽之和需要低于接口所承载的最大容量。 流量控制设置只有对设置动作为Accept，IPSEC以及SSL-VPN的策略可用。 将应用层的安全附加在防火墙策略上——保护内容表 保护内容表 – 说明 可以进行更细粒度的应用层的内容检测技术 防火墙 保护内容表 保护内容表涵盖病毒、IPS、Web过滤、内容归档、IM/P2P、VoIP、与以上相关的日志 保护内容表 – 应用到防火墙策略 保护内容表可以被应用到允许的防火墙策略 如果使用防火墙认证的话，则将保护内容表应用到用户组 可以创建多个保护内容表: 单一的保护内容表可以被应用到多个策略上 实验 我们将DMZ 54 80 映射到X1的80端口上 54 443 映射到X2 443 内部用户10.0.X.1 通过公网地址X3访问internet 内部用户10.0.X.2 通过公网地址X4访问Internet TCP状态在会话表中可以跟踪 为非状态协议建立伪状态 IP, UDP, ICMP In the above diagram notice there is a “Multiple” button for source address, destination address, and service. This allows for simplified policy creation, and to avoid using address groups, and service groups. Generally speaking, if you are intend to group addresses or services for only a single policy simply use the “Multiple” button. If more than one firewall policy will group the addresses or services in the same fashion simply create a grouping via (firewall address group) or (firewall service group) 可以建立地址组将多个防火墙地址对象组合在一起。配置地址和地址组的命令如下: conf firewall address edit “manufacturing” set associated-interface “port3” set subnet “ ” next edit “warehouse” set associated-interface “port3” set subnet “ ” next conf firewall addrgrp edit “shipping” set member “manufacturing” “warehouse” next End 地址可以同接口绑定，也可以不绑定。如果绑定的话，则该地址对象只能用于该接口。 The purpose of the source and destination port fields is not to account for dynamic port assignment during port address translation. Rather, it is to account for client-server variance on the original request. The firewall is stateful, and is therefore session aware. What these assignments deal with is session creation, rather than actual port traffic flow during a