原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
名称：防火墙、安全知识点
知识点：
防火墙的工作原理
防火墙的分类
DMZ区、信任域、非信任域等概念
配置防火墙策略
流量过滤、双机热备、路由协议配置、URL过滤、IP映射
端口安全
ACL
ARP检查/DAI
DHCP监听
SSH
AAA
笔记：
防火墙知识点
在逻辑上，防火墙既是一个分离器，一个限制器，也是一个分析器。他有效地监控了内部网络（TrustZone）和Internet（UntrustZone）之间的任何活动，并将服务隔离在DMZ（DemilitarizedZone，非军事区）区域内，保证了内部网络的安全。
防火墙的DMZ区域直译为非军事区或停火区，就是指介于内网（可信任区）和外网（不可信区）之间的一个中间公共访问区域（独立网络），目的在于向外界提供在线服务的同时，阻止外部用户直接访问内网，以确保内部网络环境的安全。
接口工作模式：路由模式是指接口对报文进行路由转发，混合模式是指接口对报文进行透明桥接转发。
防火墙是位于两个信任程度不同的网络之间（例如企业内部网络和Internet之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问，以达到保护系统安全的目的。
防火墙的体系结构主要分为屏蔽路由器、双宿主机、屏蔽主机、屏蔽子网四类。
防火墙采用的关键技术主要分为包过滤技术和应用代理技术两大类，其中包过滤技术又发展出了状态检测技术。
在网络中部署防火墙时，需要根据网络的实际情况和安全需求选择合适的防火墙，并设置合适的安全策略，并不断的对系统进行测试，以保证防火墙系统正常工作。
防火墙的基本策略：没有明确被允许的行为都是被禁止的
防火墙按规则序号顺序从小到大的顺序匹配规则并执行。序号为数字。若该数字与已定义的规则序号有重复，则防火墙会自动将原策略规则以及序号排在其后的所有规则自动后移一个数字，将新增策略规则的序号设为输入的序号。
防火墙体系及功能：包过滤防火墙、代理防火墙、应用网关防火墙、状态检测防火墙
包过滤防火墙：
基本思想：对于每个进来的包，适用一组规则，然后决定转发或者丢弃该包
往往配置成双向的
安全知识点
端口安全
一个安全端口必须是一个Access端口，及连接终端设备的端口，而非Trunk端口
一个安全端口不能是一个聚合端口（AggregatePort）
没有绝对安全的网络，网络安全是一个不断维护的过程
网络安全技术：
数据链路层：涉及到的主要安全技术为协议的认证，如PPP协议的PAP及CHAP认证
网络层：最典型的安全技术是IPSec技术。IPSec协议不是一个单独的协议，包括认证头AH协议、封装安全有效负载ESP协议、密钥管理IKE协议和用于网络验证及加密的一些算法等。其中，AH和ESP两种方法可单独使用，也可共同使用来保障数据。但IPSec只支持IP单播数据流。
传输层：SSL是SecureSocketLayer（安全套接字层），其分为2层：SSL记录协议、SSL握手协议
应用层
SSH连接所提供的功能类似于一个Telnet连接，但SSH所有的传输都是加密的。基于SSH连接安全性的考虑，禁止使用无认证方式登录。
Ruijie(config)#enableservicessh-server
Ruijie(config)#ipsshtime-outtime
RADIUS(RemoteAuthenticationDial-InUserService，远程认证拨号用户服务)是一种分布式的客户机/服务器系统，与AAA结合对试图连接到服务或设备的用户进行身份认证，防止未经授权的访问。目前应用最广泛的安全服务器
模糊点与薄弱点：
锐捷防火墙RG-WALL60
防火墙主要以2种方式接入网络：路由方式和混合方式。在路由方式下，配置完防火墙后您还需要把受保护区域内的主机的网关指向防火墙；混合方式时，由防火墙自动判定具体报文应该通过路由方式还是透明桥方式转发，如果为透明桥方式，则不用修改已有的网络配置。
连接管理主机与防火墙
利用随机附带的网线直接连接管理主机网口和防火墙WAN网口（初始配置，只能将管理主机连接在防火墙的WAN网口上），将管理主机IP设为192.68.10.200，掩码为255.255.255.0
防火墙的接口默认都是工作在路由模式
注意：若lan、wan都是混合模式，则lan的地址必须配置，wan的地址可以不配
规则的执行顺序：先执行优先级高的规则，规则的序号代表了规则的优先级，一般越先添加的规则，序号越小，优先级越高。
如果忘记了超级管理员的账号，可以通过超级终端接入防火墙，使用系统恢复账号：rescue，口令：rescue来设置超级管理员的口令和账号。注意：该恢复账号只可通过超级终端使用，并且其功
文档评论（0）