防火墙配置
目录
一．防火墙的基本配置原则 (2)
1.防火墙两种情况配置 (2)
2.防火墙的配置中的三个基本原则 (2)
3.网络拓扑图 (3)
二．方案设计原则 (4)
1. 先进性及成熟性 (4)
2. 实用性及经济性 (4)
3. 扩展性及兼容性 (4)
4. 标准化及开放性 (5)
5. 安全性及可维护性 (5)
6. 整合型好 (5)
三．防火墙的初始配置 (6)
1.简述 (6)
2.防火墙的具体配置步骤 (6)
四．Cisco PIX防火墙的基本配置 (8)
1. 连接 (8)
2. 初始化配置 (8)
3. enable命令 (8)
4．定义以太端口 (8)
5. clock (8)
6. 指定接口的安全级别 (9)
7. 配置以太网接口IP地址 (9)
8. access-group (9)
9．配置访问列表 (9)
10. 地址转换（NAT） (10)
11. Port Redirection with Statics (10)
1.命令 (10)
2．实例 (11)
12. 显示及保存结果 (12)
五．过滤型防火墙的访问控制表（ACL）配置 (13)
1. access-list：用于创建访问规则 (13)
2. clear access-list counters：清除访问列表规则的统计信息 (14)
3. ip access-grou (15)
4. show access-list (15)
5. show firewall (16)
一．防火墙的基本配置原则
1.防火墙两种情况配置
拒绝所有的流量，这需要在你的网络中特殊指定能够进入和出去的流量的一些类型。
允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。可论证地，大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的员工们能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP的进程。
2.防火墙的配置中的三个基本原则
（1）. 简单实用：对防火墙环境设计来讲，首要的就是越简单越好。其实这也是任何事物的基本原则。越简单的实现方式，越容易理解和使用。而且是设计越简单，越不容易出错，防火墙的安全功能越容易得到保证，管理也越可靠和简便。
每种产品在开发前都会有其主要功能定位，比如防火墙产品的初衷就是实现网络之间的安全控制，入侵检测产品主要针对网络非法行为进行监控。但是随着技术的成熟和发展，这些产品在原来的主要功能之外或多或少地增加了一些增值功能，比如在防火墙上增加了查杀病毒、入侵检测等功能，在入侵检测上增加了病毒查杀功能。但是这些增值功能并不是所有应用环境都需要，在配置时我们也可针对具体应用环境进行配置，不必要对每一功能都详细配置，这样一则会大大增强配置难度，同时还可能因各方面配置不协调，引起新的安全漏洞，得不偿失。
（2）. 全面深入：单一的防御措施是难以保障系统的安全的，只有采用全面的、多层次的深层防御战略体系才能实现系统的真正安全。在防火墙配置中，我们不要停留在几个表面的防火墙语句上，而应系统地看等整个网络的安全防护体系，尽量使各方面的配置相互加强，从深层次上防护整个系统。这方面可以体现在两个方面：一方面体现在防火墙系统的部署上，多层次的防火墙部署体系，即采用集互联网边界防火墙、部门边界防火墙和主机防火墙于一体的层次防御；另一方面将入侵检测、网络加密、病毒查杀等多种安全措施结合在一起的多层安全体系。
（3）. 内外兼顾：防火墙的一个特点是防外不防内，其实在现实的网络环境中，80%以上的威胁都来自内部，所以我们要树立防内的观念，从根本上改变过去那种防外不防内的传统观念。对内部威胁可以采取其它安全措施，比如入侵检测、主机防护、漏洞扫描、病毒查杀。这方面体现在防火墙配置方面就是要引入全面防护的观念，最好能部署及上述内部防护手段一起联动的机制。目前来说，要做到这一点比较困难。
3.网络拓扑图
二．方案设计原则
1. 先进性及成熟性
采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的总体设计的先进性原则主要体现在使用Thin-Client/Server计算机体系是先进的、开放的体系结构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。
2. 实用性及经济性
实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，应避免过度追求超前技术而浪费投资。
3. 扩展性及兼容性
系统设计除了可以适应目前的应用需要以外，应充分考虑日后的应用发展需要，随着数据量的扩大，用户数的增加以及应用范围的拓展，只要相应的调整硬件设备即可满足需求。通过采用先进的存储平台，保证对海量数据的存取、查询以及统计等的高性能和高效率。同时考虑整个平台的统一管理，监控，降低管理成本。
4. 标准化及开放性
系统设计应采用开放技术、开放结构、开放系统组件和开放用户接口，以利于网络的维护、扩展升级及外界信息的沟通。
计算机软硬件和网络技术有国际和国内的标准，但技术标准不可能详细得面面俱到，在一些技术细节上各个生产厂商按照自己的喜好设计开发，结果造成一些产品只能在较低的层面上互通，在较高层面或某些具体方面不能互通。我们不但选用符合标准的产品，而且尽量选用市场占有率高、且发展前景好的产品，以提高系统互通性和开放性。
5. 安全性及可维护性
随着应用的发展，系统需要处理的数据量将有较大的增长，并且将涉及到各类的关键性应用，系统的稳定性和安全性要求都相对较高，任意时刻系统故障都可能给用户带来不可估量的损失，建议采用负载均衡的服务器群组来提高系统整体的高可用。
6. 整合型好
当前采用企业级的域控制管理模式，方便对所有公司内所有终端用户的管理，同时又可以将公司里计算机的纳入管理范围，极大地降低了网络维护量，并能整体提高当前网络安全管理！
三．防火墙的初始配置
1.简述
像路由器一样，在使用之前，防火墙也需要经过基本的初始配置。但因各种防火墙的初始配置基本类似，所以在此仅以Cisco PIX防火墙为例进行介绍。
防火墙的初始配置也是通过控制端口（Console）及PC机（通常是便于移动的笔记本电脑）的串口连接，再通过Windows系统自带的超级终端（HyperTerminal）程序进行选项配置。防火墙的初始配置物理连接及前面介绍的交换机初始配置连接方法一样。
防火墙除了以上所说的通过控制端口（Console）进行初始配置外，也可以通过telnet 和Tffp配置方式进行高级配置，但Telnet配置方式都是在命令方式中配置，难度较大，而Tffp方式需要专用的Tffp服务器软件，但配置界面比较友好。
防火墙及路由器一样也有四种用户配置模式，即：普通模式（Unprivileged mode）、特权模式（Privileged Mode）、配置模式（Configuration Mode）和端口模式（Interface Mode），进入这四种用户模式的命令也及路由器一样：
普通用户模式无需特别命令，启动后即进入；
进入特权用户模式的命令为"enable"；进入配置模式的命令为"config terminal"；而进入端口模式的命令为"interface ethernet（）"。不过因为防火墙的端口没有路由器那么复杂，所以通常把端口模式归为配置模式，统称为"全局配置模式"。
2.防火墙的具体配置步骤
1. 将防火墙的Console端口用一条防火墙自带的串行电缆连接到笔记本电脑的一个空余串口上。
2. 打开PIX防火电源，让系统加电初始化，然后开启及防火墙连接的主机。
3. 运行笔记本电脑Windows系统中的超级终端（HyperTerminal）程序（通常在"附件"程序组中）。对超级终端的配置及交换机或路由器的配置一样，参见本教程前面有关介绍。
4. 当PIX防火墙进入系统后即显示"pixfirewall>"的提示符，这就证明防火墙已启动成功，所进入的是防火墙用户模式。可以进行进一步的配置了。
5. 输入命令：enable,进入特权用户模式，此时系统提示为：pixfirewall#。
6. 输入命令： configure terminal,进入全局配置模式，对系统进行初始化设置。
（1）. 首先配置防火墙的网卡参数（以只有1个LAN和1个WAN接口的防火墙配置为例）
Interface ethernet0 auto # 0号网卡系统自动分配为WAN网卡，"auto"选项为系统自适应网卡类型
Interface ethernet1 auto
（2）. 配置防火墙内、外部网卡的IP地址
IP address inside ip_address netmask # Inside代表内部网卡
IP address outside ip_address netmask # outside代表外部网卡
（3）. 指定外部网卡的IP地址范围：
global 1 ip_address-ip_address
（4）. 指定要进行转换的内部地址
nat 1 ip_address netmask
（5）. 配置某些控制选项：
conduit global_ip port[-port] protocol foreign_ip [netmask]
其中，global_ip：指的是要控制的地址；port：指的是所作用的端口，0代表所有端口；protocol：指的是连接协议，比如：TCP、UDP等；foreign_ip：表示可访问的global_ip 外部IP地址；netmask：为可选项，代表要控制的子网掩码。
7. 配置保存：wr mem
8. 退出当前模式
9. 查看当前用户模式下的所有可用命令：show，在相应用户模式下键入这个命令后，即显示出当前所有可用的命令及简单功能描述。
10. 查看端口状态：show interface，这个命令需在特权用户模式下执行，执行后即显示出防火墙所有接口配置情况。
11. 查看静态地址映射:show static，这个命令也须在特权用户模式下执行，执行后显示防火墙的当前静态地址映射情况。
四．Cisco PIX防火墙的基本配置
1. 连接
同样是用一条串行电缆从电脑的COM口连到Cisco PIX 525防火墙的console口；
2. 初始化配置
开启所连电脑和防火墙的电源，进入Windows系统自带的"超级终端"，通讯参数可按系统默然。进入防火墙初始化配置，在其中主要设置有：Date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡IP地址)、domain(主域)等，完成后也就建立了一个初始化设置了。此时的提示符为：pix255>。
3. enable命令
输入enable命令，进入Pix 525特权用户模式,默然密码为空。如果要修改此特权用户模式密码，则可用enable password命令，命令格式为：enable password password [encrypted]，这个密码必须大于16位。Encrypted选项是确定所加密码是否需要加密。
4．定义以太端口
先必须用enable命令进入特权用户模式，然后输入configure terminal（可简称为config t）,进入全局配置模式模式。
在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。
5. clock
配置时钟，这也非常重要，这主要是为防火墙的日志记录而资金积累的，如果日志记录时间和日期都不准确，也就无法正确分析记录中的信息。这须在全局配置模式下进行。
6. 指定接口的安全级别
指定接口安全级别的命令为nameif，分别为内、外部网络接口指定一个适当的安全级别。在此要注意，防火墙是用来保护内部网络的，外部网络是通过外部接口对内部网络构成威胁的，所以要从根本上保障内部网络的安全，需要对外部网络接口指定较高的安全级别，而内部网络接口的安全级别稍低，这主要是因为内部网络通信频繁、可信度高。在Cisco PIX系列防火墙中，安全级别的定义是由security（）这个参数决定的，数字越小安全级别越高，所以security0是最高的，随后通常是以10的倍数递增，安全级别也相应降低。
7. 配置以太网接口IP地址
所用命令为：ip address，如要配置防火墙上的内部网接口IP地址为：192.168.1.0 255.255.255.0；外部网接口IP地址为：220.154.20.0 255.255.255.0。
8. access-group
这个命令是把访问控制列表绑定在特定的接口上。须在配置模式下进行配置。命令格式为：access-group acl_ID in interface interface_name，其中的"acl_ID"是指访问控制列表名称，interface_name为网络接口名称。
9．配置访问列表
所用配置命令为：access-list，合格格式比较复杂。
它是防火墙的主要配置部分，上述格式中带"[]"部分是可选项，listnumber参数是规则号，标准规则号（listnumber1）是1~99之间的整数，而扩展规则号（listnumber2）是100~199之间的整数。它主要是通过访问权限"permit"和"deny"来指定的，网络协议一般有IP TCP UDP ICMP等等。如只允许访问通过防火墙对主机:220.154.20.254进行www访问。
其中的100表示访问规则号，根据当前已配置的规则条数来确定，不能及原来规则的重复，也必须是正整数。关于这个命令还将在下面的高级配置命令中详细介绍。
10. 地址转换（NAT）
防火墙的NA T配置及路由器的NA T配置基本一样，首先也必须定义供NA T转换的内部IP地址组，接着定义内部网段。
定义供NAT转换的内部地址组的命令是nat，它的格式为：nat [(if_name)] nat_id local_ip [netmask [max_conns [em_limit]]]，其中if_name为接口名；nat_id参数代表内部地址组号；而local_ip为本地网络地址；netmask为子网掩码；max_conns为此接口上所允许的最大TCP 连接数，默认为"0"，表示不限制连接；em_limit为允许从此端口发出的连接数，默认也为"0"，即不限制。
表示把所有网络地址为10.1.6.0，子网掩码为255.255.255.0的主机地址定义为1号NAT 地址组。
随后再定义内部地址转换后可用的外部地址池，它所用的命令为global,基本命令格式为：
global [(if_name)] nat_id global_ip [netmask [max_conns [em_limit]]] ，各参数解释同上。如：
global (outside) 1 175.1.1.3-175.1.1.64 netmask 255.255.255.0
将上述nat命令所定的内部IP地址组转换成175.1.1.3~175.1.1.64的外部地址池中的外部IP地址，其子网掩耳盗铃码为255.255.255.0。
11. Port Redirection with Statics
1.命令
这是静态端口重定向命令。在Cisco PIX版本6.0以上，增加了端口重定向的功能，允许外部用户通过一个特殊的IP地址/端口通过防火墙传输到内部指定的内部服务器。其中重定向后的地址可以是单一外部地址、共享的外部地址转换端口（PAT），或者是共享的外部端口。这种功能也就是可以发布内部WWW、FTP、Mail等服务器，这种方式并不是直接及内部服务器连接，而是通过端口重定向连接的，所以可使内部服务器很安全。
命令格式有两种，分别适用于TCP/UDP通信和非TCP/UDP通信：
(1). static[(internal_if_name, external_if_name)]{global_ip interface}local_ip[netmask
mask] max_conns [emb_limit[norandomseq]]]
（2）. static [(internal_if_name, external_if_name)] {tcp udp}{global_ip interface} global_port local_ip local_port [netmask mask] [max_conns [emb_limit [norandomseq]]] 此命令中的以上各参数解释如下：
internal_if_name：内部接口名称；external_if_name：外部接口名称；{tcp udp}：选择通信协议类型；{global_ip interface}：重定向后的外部IP地址或共享端口；local_ip：本地IP地址；[netmask mask]：本地子网掩码；max_conns：允许的最大TCP连接数，默认为"0"，即不限制；emb_limit：允许从此端口发起的连接数，默认也为"0"，即不限制；norandomseq：不对数据包排序，此参数通常不用选。
2．实例
现在我们举一个实例，实例要求如下
●外部用户向172.18.124.99的主机发出Telnet请求时，重定向到10.1.1.6。
●外部用户向172.18.124.99的主机发出FTP请求时，重定向到10.1.1.3。
●外部用户向172.18.124.208的端口发出Telnet请求时，重定向到10.1.1.4。
●外部用户向防火墙的外部地址172.18.124.216发出Telnet请求时，重定向到
10.1.1.5。
●外部用户向防火墙的外部地址172.18.124.216发出HTTP请求时，重定向到
10.1.1.5。
●外部用户向防火墙的外部地址172.18.124.208的8080端口发出HTTP请求时，重定向到10.1.1.7的80号端口。
以上重写向过程要求如图2所示，防火墙的内部端口IP地址为10.1.1.2，外部端口地址为172.18.124.216。
以上各项重定向要求对应的配置语句如下：
static (inside,outside) tcp 172.18.124.99 telnet 10.1.1.6 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.99 ftp 10.1.1.3 ftp netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.208 telnet 10.1.1.4 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp interface telnet 10.1.1.5 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp interface www 10.1.1.5 www netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.208 8080 10.1.1.7 www netmask 255.255.255.255 0 0
12. 显示及保存结果
显示结果所用命令为：show config；保存结果所用命令为：write memory。
Fortigate防火墙安全配置规范
1.概述 1.1. 目的 本规范明确了Fortigate防火墙安全配置方面的基本要求。为了提高Fortigate防火墙的安全性而提出的。 1.2. 范围 本标准适用于 XXXX使用的Fortigate 60防火墙的整体安全配置，针对不同型号详细的配置操作可以和产品用户手册中的相关内容相对应。
2.设备基本设置 2.1. 配置设备名称 制定一个全网统一的名称规范，以便管理。 2.2. 配置设备时钟 建议采用NTP server同步全网设备时钟。如果没有时钟服务器，则手工设置，注意做HA的两台设备的时钟要一致。 2.3. 设置Admin口令 缺省情况下，admin的口令为空，需要设置一个口令。密码长度不少于8个字符，且密码复杂。 2.4. 设置LCD口令 从设备前面板的LCD可以设置各接口IP地址、设备模式等。需要设置口令，只允许管理员修改。密码长度不少于8个字符，且密码复杂。 2.5. 用户管理 用户管理部分实现的是对使用防火墙某些功能的需认证用户（如需用户认证激活的防火墙策略、IPSEC扩展认证等）的管理，注意和防火墙管理员用于区分。用户可以直接在fortigate上添加，或者使用RADIUS、LDAP服务器上的用户数据库实现用户身份认证。 单个用户需要归并为用户组，防火墙策略、IPSEC扩展认证都是和用户组关联的。 2.6. 设备管理权限设置 为每个设备接口设置访问权限，如下表所示：
接口名称允许的访问方式 Port1 Ping/HTTPS/SSH Port2 Ping/HTTPS/SSH Port3 Ping/HTTPS/SSH Port4 HA心跳线，不提供管理方式 Port5 （保留） Port6 （保留） 且只允许内网的可信主机管理Fortinet设备。 2.7. 管理会话超时 管理会话空闲超时不要太长，缺省5分钟是合适的。 2.8. SNMP设置 设置SNMP Community值和TrapHost的IP。监控接口状态及接口流量、监控CPU/Memory等系统资源使用情况。 2.9. 系统日志设置 系统日志是了解设备运行情况、网络流量的最原始的数据，系统日志功能是设备有效管理维护的基础。在启用日志功能前首先要做日志配置，包括日志保存的位 置（fortigate内存、syslog服务器等）、需要激活日志功能的安全模块等。如下图 所示：
东软防火墙日志审计系统 培训资料 杭州亿普科技有限公司咨询服务部 2008-08-15
目录 一、概述 (3) 二、防火墙日志审计功能设置 (4) 1、防火墙管理方式的利弊分析 (4) 2、B/S管理方式的防火墙日志审计设置 (5) 3、C/S管理方式的防火墙日志审计设置 (9) 四、常见问题 (10) 1、日志客户端无法登陆 (10) 2、忘记了ROOT用户密码 (10) 3、可以登陆日志客户端但无审计结果显示 (10)
一、概述 随着国家信息系统安全等级保护工作的逐步开展，会逐步要求我们把信息安全作为日常化的一些工作来开展，信息系统存在、应用着就会有信息安全的工作内容需要做，要求我们在网络技术及运维管理方面都要具备更高的层次。这就要求我们日后的工作重点不在是如何高效率的搭建、维护一个网络平台和应用环境了，而是能清楚的了解网络里的访问流量是否正常、是否有威胁到我们信息完全的不当配置和漏洞，怎么样保证信息系统的安全运行成了体现我们价值的一个重要途径。 那么针对整个浙江火电的信息系统，对中心机房以及各项目的物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、信息安全管理要求方面都有一系列的工作需要开展，为了使这些工作能够顺利、有效的进行，第一步是提高我们管理人员的专业技术管理能力，所以从这次培训开始我们将会进行后续的信息安全相关的一些培训工作，如：信息安全等级保护的培训、信息安全等级保护的实施方法、网络安全、主机安全、数据安全、备份恢复等相关技术培训。 同时也希望大家能够引起足够的重视，通过本次的防火墙日志审计系统的培训工作来为我们日后逐步开展的信息安全工作来开一个好头。我想通过我们做的这些工作对公司或对我们自己都是一个很好的锻炼机会，最后祝大家能够迅速的成长起来，来体现自己的能力和价值。
实验七交换机基本配置 一、实验目的 （1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。 实验设备与器材 熟悉交换机开机界面； （2）掌握Quidway S系列中低端交换机几种常用配置方法； （3）掌握Quidway S系列中低端交换机基本配置命令。 二、实验环境 Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。 交换机，标准Console配置线。 三、实验内容 学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。 预备知识 1、防火墙 防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。 2、包过滤技术 一般情况下，包过滤是指对转发IP数据包的过滤。对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。 3、访问控制列表 路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。 访问控制列表(Access Control List )的作用 访问控制列表可以用于防火墙； 访问控制列表可用于Qos（Quality of Service），对数据流量进行控制； 访问控制列表还可以用于地址转换； 在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。 一个IP数据包如下图所示（图中IP所承载的上层协议为TCP） ACL示意图 ACL的分类 按照访问控制列表的用途，可以分为四类： ●基本的访问控制列表（basic acl） ●高级的访问控制列表（advanced acl） ●基于接口的访问控制列表（interface-based acl） ●基于MAC的访问控制列表（mac-based acl） 访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。 4、防火墙的配置项目 防火墙的配置包括：
系统安全配置技术规范—Cisco防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)
（一）初始化设备 1)初始化配置步骤： 1.用超级终端通过串口控制台连接（RJ-45 null-modem 线缆）来完成初始配置。完成初始配置后，可不再使用控制台。 2.打开NetEye 设备的电源开关。 3.终端控制台将显示如下提示： LILO 2 bootmgr Press key '2' to enter BOOTMGR command mode 该提示信息将显示约5 秒钟，在此期间输入1 并按回车。 4.配置设备。 Config the firewall or quit (y/n)(n)y 5.修改主机名。 Please input the host name for this system Host name:
(2) Chinese Please input a choice[1-2,q](2) <1、2 或q> 选择2，中文，回车 8.更改根管理员口令。（此步骤可选，但东软强烈建议首次登录后修改口令。） Changing default password of root(y/n)(y): Old password(6-128): neteye Password(6-128): < 新密码> Repeat Password(6-128): < 新密码> 这里我们不更改它的默认密码，选择n 9.添加根系统管理员及选择登录方式。 Creating an administrator(y/n)(y): Username: < 用户名> Please select a login type (1) Web (2) Telnet (3) SSH (4) SCM Please input a choice[1-4](1)(example: 1,2,3):1，2，3，4 Password(6-128): < 密码> Repeat Password(6-128): < 密码> 选择y，添加ycz用户，设备相应密码，Web管理，Telnet。
NetEye IDS 东软入侵检测系统 NetEye IDS 技术白皮书
Neteye IDS 目录 1概述 (2) 1.1网络面临的主要威胁 (2) 1.2入侵检测系统IDS，消除网络威胁 (2) 1.3NetEye IDS 2.2, 给您提供全面的安全 (2) 2系统结构 (2) 2.1检测引擎 (2) 2.2NetEye IDS 管理主机 (2) 3功能模块简介 (2) 3.1网络攻击与入侵检测功能 (2) 3.2多种通信协议内容恢复功能 (2) 3.3应用审计和网络审计功能 (2) 3.4图表显示网络信息功能 (2) 3.5报表功能 (2) 3.6实时网络监控功能 (2) 3.7网络扫描器。 (2) 3.8数据备份恢复功能 (2) 3.9其它辅助管理，配置工具。 (2) 4技术特点 (2) 5典型应用示例 (2) 5.1简单区域网应用示例 (2) 5.2分布式监测应用示例 (2) 2
Neteye IDS 1概述 由于互联网络的发展，整个世界经济正在迅速地融为一体，而整个国家犹如一部巨大的网络机器。计算机网络已经成为国家的经济基础和命脉。计 算机网络在经济和生活的各个领域正在迅速普及，一句话，整个社会对网络 的依赖程度越来越大。众多的企业、各种组织、政府部门与机构都在组建和 发展自己的网络，并连接到Internet上，以充分利用网络的信息和资源。网 络已经成为社会和经济发展强大动力，其地位越来越重要。伴随着网络的发 展，带来了很多的问题，其中安全问题尤为突出。了解网络面临的各种威胁， 防范和消除这些威胁，实现真正的网络安全已经成了网络发展中最重要的事 情。 网络面临的主要威胁 日益严重的网络信息安全问题，不仅使上网企业、机构及用户蒙受巨大的经济损失，而且使国家的安全与主权面临严重威胁。要避免网络信息安全 问题，首先必须搞清楚触发这一问题的原因。总结起来，主要有以下几个方 面原因： （1）黑客的攻击:黑客对于大家来说，不再是一个高深莫测的人物，黑客技术逐渐被越来越多的人掌握和发展。目前，世界上有20多万个黑客网 站，这些站点介绍一些攻击方法和攻击软件的使用以及系统存在的一些漏 洞，因而系统、站点遭受攻击的可能性就变大了。尤其是现在还缺乏针对网 络犯罪卓有成效的反击和跟踪手段，使得黑客攻击的隐蔽性好，“杀伤力” 强，是网络安全的主要威胁。 （2）管理的欠缺： 3
网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信 息安全的首要目标。网络安全技术主要有，认证授权、数据加密、访问 控制、安全审计等。而提供安全网关服务的类型有：地址转换、包过滤、 应用代理、访问控制和DoS防御。本文主要介绍地址转换和访问控制两 种安全网关服务，利用cisco路由器对ISDN拨号上网做安全规则设置。 试验环境是一台有fir ewall 版本IOS的cisco2621 路由器、一台交换 机组成的局域网利用ISDN拨号上网。 一、地址转换 我们知道，Internet 技术是基丁IP协议的技术，所有的信息通信都 是通过IP包来实现的，每一个设备需要进行通信都必须有一个唯一的 IP地址。因此，当一个网络需要接入Inte rnet的时候，需要在Internet 上进行通信的设备就必须有一个在全球Internet 网络上唯一的地址。当一个网络需要接入Internet 上使用时，网络中的每一台设备都有一个I nternet 地址，这在实行各种Internet 应用上当然是最理想不过的。但 是，这样也导致每一个设备都暴露在网络上，任何人都可以对这些设备 攻击，同时由丁I nternet目前采用的IPV4协议在网络发展到现在，所 剩下的可用的IP地址已经不多了，网络中的每一台设备都需要一个IP 地址，这几乎是不可能的事情。 采用端口地址转换，管理员只需要设定一个可以用作端口地址转换的公 有Internet 地址，用户的访问将会映射到IP池中IP的一个端口上去， 这使每个合法Internet IP 可以映射六万多台部网主机。从而隐藏部网
路地址信息，使外界无法直接访问部网络设备。 Cisco路由器提供了几种NAT转换的功能： 1、部地址与出口地址的——对应 缺点：在出口地址资源稀少的情况下只能使较少主机连到internet 。2、部地址分享出口地址 路由器利用出口地址和端口号以及外部主机地址和端口号作为接口。其 中部地址的端口号为随机产生的大丁1024的，而外部主机端口号为公认 的标准端口号。这样可以用同一个出口地址来分配不同的端口号连接任 意数量的部主机到外网。 具体配置：由丁实验用的是ISDN拨号上网，在internet 上只能随机获得出口地址，所以NAT转换的地址池设置为BRI 口上拨号所获得的地址。interface FastEthernet0/0 ip address 172.16.18.200 255.255.255.0 ip nat inside the interface connected to inside world ! interface BRI0/0 ip address negotiated ip nat outside the interface connected to outside network encapsulation ppp no ip split-horizon dialer string 163 dialer load-threshold 150 inbound
v1.0 可编辑可修改 安全配置作业指导书 防火墙设备 XXXX集团公司 2012年7月
前言 为规范XXXX集团公司网络设备的安全管理，建立统一的防火墙设备安全配置标准，特制定本安全配置作业指导书。 本技术基线由XXXX集团公司提出并归口 本技术基线起草单位：XXXX集团公司 本技术基线主要起草人： 本技术基线主要审核人：
目录 1.适用范围 (1) 2.规范性引用文件 (1) 3.术语和定义 (1) 4.防火墙安全配置规范 (2) 4.1.防火墙自身安全性检查 (2) 4.1.1.检查系统时间是否准确 (2) 4.1.2.检查是否存在分级用户管理 (3) 4.1.3.密码认证登录 (3) 4.1.4.登陆认证机制 (4) 4.1.5.登陆失败处理机制 (5) 4.1.6.检查是否做配置的定期备份 (6) 4.1.7.检查双防火墙冗余情况下，主备切换情况 (7) 4.1.8.防止信息在网络传输过程中被窃听 (8) 4.1.9.设备登录地址进行限制 (9) 4.1.10.SNMP访问控制 (10) 4.1.11.防火墙自带的病毒库、入侵防御库、应用识别、web过滤为模块及时升级11 4.2.防火墙业务防御检查 (12) 4.2.1.启用安全域控制功能 (12) 4.2.2.检查防火墙访问控制策略 (13) 4.2.3.防火墙访问控制粒度检查 (14) 4.2.4.检查防火墙的地址转换情况 (15) 4.3.日志与审计检查 (16) 4.3.1.设备日志的参数配置 (16) 4.3.2.防火墙流量日志检查 (17) 4.3.3.防火墙设备的审计记录 (17)
部署防火墙的步骤 部署防火墙的步骤一#转换特权用户pixfirewall>ena pixfirewall# #进入全局配置模式 pixfirewall# conf t #激活内外端口 interface ethernet0 auto interface ethernet1 auto #下面两句配置内外端口的安全级别 nameif ethernet0 outside security0 nameif ethernet1 inside security100 #配置防火墙的用户信息 enable password pix515 hostname pix515 domain-name domain #下面几句配置内外网卡的ip地址 ip address inside 192.168.4.1 255.255.255.0 ip address outside 公网ip 公网ip子网掩码global (outside) 1 interface nat (inside) 1 192.168.4.0 255.255.255.0 0 0
#下面两句将定义转发公网ip的ssh和www服务到192.168.4.2 static (inside,outside) tcp 公网ip www 192.168.4.2 www netmask 255.255.255.255 0 0 static (inside,outside) tcp 公网ip ssh 192.168.4.2 ssh netmask 255.255.255.255 0 0 #下面两句将定义外部允许访问内部主机的服务 conduit permit tcp host 公网ip eq www any conduit permit tcp host 公网ip eq ssh 信任ip 255.255.255.255 #允许内部服务器telnet pix telnet 192.168.4.2 255.255.255.0 inside #下面这句允许ping conduit permit icmp any any #下面这句路由网关 route outside 0.0.0.0 0.0.0.0 公网ip网关 1 #保存配置 write memory 部署防火墙的步骤二步骤一：安装程序时 许多程序在安装时都要求关闭防火墙(如wps office 2003)。有些程序虽然并未直接明示，但若不及时关闭，就有可能造成安装失败，比如弹出“读取错误”、“安装*.exe出错”等信息，或者干脆死机，或者安装上去之后不能正常使用。笔者在安装金山影霸、office xp等程序时已经屡经验证。
1目的 Objective 规范防火墙系统的安全管理，保障公司防火墙系统的安全。 2适用范围 Scope 本规定适用于公司范围内所有防火墙系统、防火墙策略的维护与管理。 3定义 DMZ（demilitarized zone）：中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。通常,它放在外网和内网中间，是内网中不被信任的系统。在进行防火墙设置时可阻断内网对DMZ的公开访问，尤其禁止DMZ到内网的主动连接。 GRE（Generic Routing Encapsulation）：即通用路由封装协议，它提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在异种网络中传输。 VPN（Virtual Private Networking）：即虚拟专用网，VPN是用以实现通过公用网络（Internet）上构建私人专用网络的一种技术。 4管理细则 4.1基本管理原则 1.公司IT系统不允许直接和外部网络连接（包括Internet、合资公司等等），必须经 过防火墙的限制保护。防火墙的建设、安装须遵守《防火墙建设规范》。 2.防火墙指令的配置须严格遵守附件一《防火墙指令描述格式》。 3.防火墙口令设置参照《帐号和口令标准》，并由安全控制办统一管理。 4.防火墙日志管理参照《系统日志管理规定》。 5.防火墙变更管理参照《IT生产环境变更管理流程》。 6.防火墙不允许直接通过Internet管理；内部管理IP地址只允许相关人员知晓。 7.防火墙紧急开通策略有效期为2周。如2周内没有申请防火墙策略，则将自动失效。 8.在非工作时间处理防火墙紧急申请须遵循《紧急故障处理Token卡管理规定》。 4.2防火墙系统配置细则 1.当防火墙启动VPN功能时，需使用IPSEC进行隧道加密：认证算法采用SHA-1，加密 算法采用3DES算法。
防火墙安全策略配置 -标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
一、防火墙设置外网不能访问内网的方法： 1、登录到天融信防火墙集中管理器； 2、打开“高级管理”→“网络对象”→“内网”，在右边窗口空白处点击右键，在弹出的快捷菜单中选择“定义新对象”→“子网”，填入子网名称（自己命名），如“120段”，地址范围中，输入能够上网机器的所有IP范围（能够上网的电脑IP 范围）。点击确定。 3、在“网络对象”中选择“外网”，在右边窗口空白处点击右键，在弹出的快捷菜单中选择“定义新对象”“子网”，填入子网名称（自己命名），如“外网IP”，地址范围中，输入所有IP范围。点击确定。
4、访问策略设置 A、在“高级管理”中选择“访问策略”“内网”，在右边的窗口中，点击右键，选择“增加”，点击“下一步”。 B、在“策略源”中选择“外网IP”（刚才设置的外网IP），点击“下一步”。
C、在“策略目的”中选择“内网”和“120段”（刚才设置的上网IP），点击“下一步”。
D、在“策略服务”中，我们不做任何选择，直接点击“下一步”。（因为我们要限制所有外网对我们内网的访问，在此我们要禁用所有服务，因此不做选择） E、在“访问控制”中，“访问权限”选择“禁止”（因为我们上一步没有选择服务，在此我们选择禁止，表示我们将禁止外网对我们的所有服务），“访问时间”选择“任何”，“日志选项”选择“日志会话”，其他的不做修改，点击“下一步”。
F、最后，点击“完成”。 5、至此，我们就完成了对外网访问内网的设置。
防火墙安全配置规范试题 总分：100分时间：70分钟姓名：_____________ 工号：__________ 一、判断题（每题2分，共20分） 1、工程师开局需要使用推荐版本和补丁。（对） 2、防火墙Console口缺省没有密码，任何人都可以使用Console口登录设备。（错） 3、一般情况下把防火墙连接的不安全网络加入低优先级域，安全网络加入高优先级域 （对） 4、防火墙缺省包过滤默认是打开的。（错） 5、防火墙local域和其它域inbound方向可以不做安全策略控制。（错） 6、防火墙双机热备场景下，HRP心跳线可以只用一条物理链路。（错） 7、原则上SNMP需要采用安全的版本，不得采用默认的community，禁用SNMP写功能， 配置SNMP访问列表限制访问。（对） 8、防火墙可以一直开启ftp server功能。（错） 9、远程登录防火墙建议使用SSH方式。（对） 10、正确设置设备的系统时间，确保时间的正确性。（对） 二、单选题（每题3分，共36分） 1. 防火墙一般部署在内网和外网之间，为了保护内网的安全，防火墙提出了一种区别路由 器的新概念（A），用来保障网络安全。 A. 安全区域 B. 接口检测 C. 虚拟通道 D. 认证与授权 2. 防火墙默认有4 个安全区域，安全域优先级从高到低的排序是（C） A. Trust、Untrust 、DMZ、Local B. Local、DMZ 、Trust 、Untrust
C. Local、Trust、DMZ 、Untrust D. Trust 、Local、DMZ 、Untrust 3. 针对防火墙安全功能描述错误的是（D） A. 防火墙可以划分为不同级别的安全区域，优先级从1-100 B. 一般将内网放入Trust 域，服务器放入 DMZ 域，外网属于Untrust 域 C. 要求在域间配置严格的包过滤策略 D. 防火墙默认域间缺省包过滤是permit 的 4.防火墙Console口缺省用户名和密码是（ D） A. huawei；huawei B. huawei；huawei@123 C. root；huawei D. admin；Admin@123 5.防火墙登录密码必须使用强密码，什么是强密码？（D ） A.长度大于8，同时包含数字、字母 B.包含数字，字母、特殊字符 C.包含数字，字母 D.长度大于8，同时包含数字、字母、特殊字符 6.对于防火墙域间安全策略，下面描述正确的是（） A.防火墙域间可以配置缺省包过滤，即允许所有的流量通过 B.域间inbound方向安全策略可以全部放开 C.域间outbound方向安全策略可以全部放开 D.禁止使用缺省包过滤，域间要配置严格的包过滤策略；若要使用缺省包过滤，需得 到客户书面授权。
（一）初始化设备 1) 初始化配置步骤： 1.用超级终端通过串口控制台连接（RJ-45 null-modem 线缆）来完成初始配置。完成初始配置后，可不再使用控制台。 2.打开NetEye 设备的电源开关。 3.终端控制台将显示如下提示： LILO 22.7.1 1 NetEye_FW_4_2_build_200080.install 2 bootmgr Press key '2' to enter BOOTMGR command mode 该提示信息将显示约5 秒钟，在此期间输入1 并按回车。 4.配置设备。 Config the firewall or quit (y/n)(n)y 5.修改主机名。 Please input the host name for this system Host name:
10:22:36 7.设置系统语言。 Please set system language (1) English (2) Chinese Please input a choice[1-2,q](2) <1、2 或q> 选择2，中文，回车 8.更改根管理员口令。（此步骤可选，但东软强烈建议首次登录后修改口令。） Changing default password of root?(y/n)(y): Old password(6-128): neteye Password(6-128): < 新密码> Repeat Password(6-128): < 新密码> 这里我们不更改它的默认密码，选择n 9.添加根系统管理员及选择登录方式。 Creating an administrator?(y/n)(y): Username: < 用户名> Please select a login type (1) Web (2) Telnet (3) SSH
Windows 7防火墙设置详解(一) 文介绍Windows 7防火墙的设置方法，自从Vista开始，Windows的防火墙功能已经是越加臻于完善、今非昔比了，系统防火墙已经成为系统的一个不可或缺的部分，不再像XP那样防护功能简单、配置单一，所以无论是安装哪个第三方防火墙，Windows 7自带的系统防火墙都不应该被关闭掉，反而应该学着使用和熟悉它，对我们的系统信息保护将会大有裨益。 防火墙有软件的也有硬件德，当然了，其实硬件仍然是按照软件的逻辑进行工作的，所以也并非所有的硬防就一定比软防好，防火墙的作用是用来检查网络或Internet的交互信息，并根据一定的规则设置阻止或许可这些信息包通过，从而实现保护计算机的目的，下面这张图是Windows 7帮助里截出来的工作原理图： Windows 7防火墙的常规设置方法还算比较简单，依次打开“计算机”——“控制面板”——“Windows防火墙”，如下图所示：
上图中，天缘启用的是工作网络，家庭网络和工作网络同属于私有网络，或者叫专用网络，图下面还有个公用网络，实际上Windows 7已经支持对不同网络类型进行独立配置，而不会互相影响，这是windows 7的一个改进点。图2中除了右侧是两个帮助连接，全部设置都在左侧，如果需要设置网络连接，可以点击左侧下面的网络和共享中心，具体设置方法，可以参考《Windows 7的ADSL网络连接和拨号连接设置方法》和《Windows 7的网络连接和共享设置教程》两篇文章，另外如果对家庭网络、工作网络和公用网络有疑问也可参考一下。 下面来看一下Windows 7防火墙的几个常规设置方法： 一、打开和关闭Windows防火墙
建议用方法一：debug抓包 首先依次按顺序输入必要命令： < neteye > debug dump hook all 定义抓包类型 < neteye > debug match bidir on 开启双向监控 < neteye > debug dump complex on 输出包头详细信息 再定义过滤策略，按自己需求输入一个或多个命令 < neteye > debug match ip any/sip any/dip 指定源和目的IP抓包 < neteye > debug match protocol any/tcp/udp 指定通信协议抓包 < neteye > debug match port any/sport any/dport 指定源和目的端口抓包 开启debug命令 < neteye > debug start 600 抓600秒 停止debug命令 < neteye > debug stop 方法二：tcpdump 首先进入bash模式 < neteye > bash Password：neteye Neteye# 1、针对端口抓包： tcpdump -i eth* port 21 2、针对IP地址抓包： tcpdump -i eth* host 1.1.1.1 3、针对源IP和目的IP抓包： tcpdump -i eth* src host 1.1.1.1 and dst host 2.2.2.2 4、针对源IP和目的IP抓双向的： tcpdump -i eth* host 1.1.1.1 and host 2.2.2.2
5、针对协议抓包：安全产品营销中心售后服务部22 tcpdump -i eth* icmp Ctrl + C 停止抓包 Exit 退出到
目录 1 防火墙策略配置向导..........................................................................................................................1-1 1.1 概述...................................................................................................................................................1-1 1.2 防火墙策略配置.................................................................................................................................1-1 1.2.1 配置概述.................................................................................................................................1-1 1.2.2 配置防火墙策略......................................................................................................................1-1
中国移动安氏防火墙安全配 置规范 S p e c i f i c a t i o n f o r C o n f i g u r a t i o n o f F i r e w a l l U s e d i n C h i n a M o b i l e
版本号：1.0.0 ╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施 中国移动通信有限公司网络部
目录 1.范围 (1) 2.规范性引用文件 (1) 3.术语、定义和缩略语 (1) 4.防火墙功能和配置要求 (1) 4.1.引用说明 (1) 4.2.日志配置要求 (3) 4.3.告警配置要求 (3) 4.4.安全策略配置要求 (3) 4.5.攻击防护配置要求 (4) 4.6.虚拟防火墙配置要求 (4) 4.7.设备其他安全要求 (5) 5.编制历史 (5)
前言 为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。 本标准明确了安氏防火墙的配置要求。 本标准主要包括日志配置、告警配置、安全策略配置、攻击防护配置，虚拟防火墙配置、设备其他安全要求等方面的配置要求。 本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团天津、江苏有限公司 本标准主要起草人：张瑾、赵强、来晓阳、周智、曹一生、陈敏时。
附录命令速查 命令页码 A application_filter anti dcom-lssass { enable | disable} 2-32 application_filter netmeeting { enable | disable} 2-32 application_filter oracle { enable | disable} 2-33 application_filter rtsp { enable | disable} 2-33 application_filter tftp { enable | disable} 2-33 application_filter tuxedo { enable | disable} port number 2-33 auth-management local-domain domain-name 2-5 auth-management local-user domain-name username rolename 2-5 auth-management password domain-name username 2-5 B
NetEye 防火墙3.2.2命令手册 backup ipaddress config-filename2-6 C clear line vty number2-30 connection timeout { icmp | udp | syn | fin | est | close | auth } number2-24 console timeout number2-29 D dns ipaddress [ primary ]2-12 H host { group groupname | id number } 2-16 hostname hostname 2-16 I interface id number zone-name 2-8 interface zone-name { enable | disable } 2-8 interface zone-name ipaddress netmask 2-8 L
防火墙测试搭建环境 操作步骤 SVVD
东软集团股份有限公司 总页数9 正文 6 附录生效日期2011-7-19 编制批准 文件修改控制 修改编号版本修改条款及内容 修改日期
目录 目录 (2) 画拓扑图 (3) 1. 建立虚拟墙的操作步骤 (3) 2. 多台防火墙。 (8)
画拓扑图 在搭建虚拟环境之前要根据情况画拓扑图，标识虚拟防火墙的IP，网关等。 1.建立虚拟墙的操作步骤 2.1安装防火墙 1)打开VMware Workstation，左侧Sidebar中空白处右键—OPEN—在弹出的对话框中选择要建立的虚拟墙。 2）在左侧Sidebar中空白处右键添加新的Team。在弹出的对话框中点击下一步，修改team的名字和保存地址，再下一步，如图2-1中添加打开的防火墙。 2-1 3）打开FTP服务器。账号：s，密码：s，访问目录为FTP等文件所在文件夹。 4）运行team，运行虚拟墙，双击进入到编辑状态，Ctrl+Alt跳出编辑。 5）右建单击防火墙，点击Edit virtual machine setting对防火墙进行设置如图2-2。
2-2 2.2升级防火墙版本 1）右建点击防火墙—power on ，在刚进入系统时选择bootger(应该是选项2或者3)，进行升级。如果不键入，系统会自动默认选1。如果没有键入可以右建点击防火墙—Reset。(将防火墙由低到高升级，serial number不会发生变化，不需重新上传license，平级间的升级会使防火墙的serial number变化，需重新上传license，复制一个防火墙，打开时，选择move 而不选择copy 否则serial number一样会发生变化) 2）出现3个选项：（1）键入“install”安装NetEye。 （2）键入“install_bootmgr” 安装install bootmgr。 （3）键入memtest测试memory。 根据情况，依据要安装的，键入相应内容。在这里键入install。 3）选择接口，键入客户端的IP、子网掩码和网关、FTP的IP和账号密码（FTP服务器-20CN MINI）（如图2-3），然后确定输入内容。 {客户端IP、客户端的子网掩码、网关、FTP服务器的IP FTP服务器所在的位置（若是直接在vm文件夹下，则直接输入文件名称--例：200200.install，若在其下的文件夹下，则输入vm下的每层文件夹名）}
系统安全配置技术规—Juniper防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1. 适用围 (4) 2. 帐号管理与授权 (4) 2.1 【基本】删除与工作无关的帐号 (4) 2.2 【基本】建立用户帐号分类 (4) 2.3 【基本】配置登录超时时间 (5) 2.4 【基本】允许登录的帐号 (6) 2.5 【基本】失败登陆次数限制 (6) 2.6 【基本】口令设置符合复杂度要求 (6) 2.7 【基本】禁止ROOT远程登录 (7) 3. 日志配置要求 (8) 3.1 【基本】设置日志服务器 (8) 4. IP协议安全要求 (8) 4.1 【基本】禁用T ELNET方式访问系统 (8) 4.2 【基本】启用SSH方式访问系统 (9) 4.3 配置SSH安全机制 (9) 4.4 【基本】修改SNMP服务的共同体字符串 (10) 5. 服务配置要求 (10) 5.1 【基本】配置NTP服务 (10) 5.2 【基本】关闭DHCP服务 (11) 5.3 【基本】关闭FINGER服务 (11) 6. 其它安全要求 (12) 6.1 【基本】禁用A UXILIARY端口 (12) 6.2 【基本】配置设备名称 (12)
1.适用围 如无特殊说明，本规所有配置项适用于Juniper防火墙 JUNOS 8.x / 9.x / 10.x 版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。 2.帐号管理与授权 2.1【基本】删除与工作无关的帐号 2.2【基本】建立用户帐号分类