為solaris服務(wù)器配置款安全的防火墻-文庫吧
2025-03-25 11:20 本頁面
【正文】 0。操作后面的下一個單詞必須是 in 或 out。您的選擇將確定是將包過濾規(guī)則應(yīng)用于傳入包還是應(yīng)用于傳出包?！ ?.接下來，可以從選項列表中進行選擇。如果使用多個選項，則這些選項必須采用此處顯示的順序?！ og ：如果規(guī)則是最后一個匹配規(guī)則，則記錄包。使用 ipmon 命令可查看日志。 quick ：如果存在匹配的包，則執(zhí)行包含 quick 選項的規(guī)則。所有進一步的規(guī)則檢查都將停止?！ n interfacename ：僅當包移入或移出指定接口時才應(yīng)用規(guī)則?！ upto interfacename：復(fù)制包并將 interfacename 上的副本向外發(fā)送到選擇指定的 IP 地址?！ o interfacename ：將包移動到 interfacename 上的外發(fā)隊列?！ ?.指定選項后，可以從確定包是否與規(guī)則匹配的各關(guān)鍵字中進行選擇。必須按此處顯示的順序使用以下關(guān)鍵字。 tos ：基于表示為十六進制或十進制整數(shù)的服務(wù)類型值，對包進行過濾?！ tl ：基于包的生存時間值與包匹配。在包中存儲的生存時間值指明了包在被廢棄之前可在網(wǎng)絡(luò)中存在的時間長度?！ roto ：與特定協(xié)議匹配?？梢允褂迷?/etc/protocols 文件中指定的任何協(xié)議名稱，或者使用十進制數(shù)來表示協(xié)議。關(guān)鍵字 tcp/udp 可以用于與 TCP 包或 UDP 包匹配?！ rom/to/all/any ：與以下任一項或所有項匹配：源 IP 地址、目標 IP 地址和端口號。all 關(guān)鍵字用于接受來自所有源和發(fā)往所有目標的包?！ ith ：與和包關(guān)聯(lián)的指定屬性匹配。在關(guān)鍵字前面插入 not 或 no 一詞，以便僅當選項不存在時才與包匹配?！ lags ：供 TCP 用來基于已設(shè)置的 TCP 標志進行過濾?！ cmptype ：根據(jù) ICMP 類型進行過濾。僅當 proto 選項設(shè)置為 icmp 時才使用此關(guān)鍵字；如果使用 flags 選項，則不使用此關(guān)鍵字?！ eep keepoptions ：確定為包保留的信息?？捎玫?keepoptions 包括 state 選項和 frags 選項。state 選項會保留有關(guān)會話的信息，并可以保留在 TCP、UDP 和 ICMP 包中。frags 選項可保留有關(guān)包片段的信息，并將該信息應(yīng)用于后續(xù)片段。keepoptions 允許匹配包通過，而不會查詢訪問控制列表?！ ead number ：為過濾規(guī)則創(chuàng)建一個新組，該組由數(shù)字 number 表示?！ roup number ：將規(guī)則添加到編號為 number 的組而不是缺省組。如果未指定其他組，則將所有過濾規(guī)則放置在組 0 中?！ ∷摹㈤_始編寫規(guī)則 防火墻運行情況 Solaris 10 上IPFilter 的啟動和關(guān)閉是由 SMF 管理的,在Solaris 10 上工作的進程大多都交由SMF 管理，這和先前版本的Solaris 操作系統(tǒng)有很大的區(qū)別。Solaris IP 過濾防火墻隨 Solaris 操作系統(tǒng)一起安裝。但是，缺省情況下不啟用包過濾。使用以下過程可以激活 Solaris IP 過濾器。使用命令“svcsa|grepnetwork|egreppfil|ipf”查看。IP Filter 有兩個服務(wù)ipfilter 和pfil，默認情況下ipfilter 是關(guān)閉的，而pfil 是打開的。 svcs a |grep network |egrep pfil|ipfdisabled 7:17:43 svc:/network/ipfilter:defaultonline 7:17:46 svc:/network/pfil:default lo0: flags=2001000849UP,LOOPBACK,RUNNING,MULTICAST,IPv4,VIRTUAL mtu 8232 index 1 inet netmask ff000000p0: flags=1000843UP,BROADCAST,RUNNING,MULTICAST,IPv4 mtu 1500 index 2 inet netmask ff000000 broadcast 可以看到網(wǎng)卡接口是p0?！ 〈宋募鳈C上網(wǎng)絡(luò)接口卡 (network interface card, NIC) 的名稱。缺省情況下，這些名稱已被注釋掉。對傳輸要過濾的網(wǎng)絡(luò)通信流量的設(shè)備名稱取消注釋。編輯配置文件修改為如下內(nèi)容：圖2 配置文件修改為如下內(nèi)容 4. 編輯防火墻規(guī)則
公司管理相關(guān)推薦
鄂ICP備17016276號-1