fortigate02-防火墻策略(已修改)
2025-05-30 08:04 本頁(yè)面
【正文】 防火墻策略 OS 防火墻策略使用“ Any”接口 支持“ Any”接口 ? Any相當(dāng)于所有接口的集合 兩種查看方式 ——Section或者 Global ? 使用了 Any作為接口只能支持 Global view ? “any”接口不能用于 VIP或 IPpool 防火墻策略使用“ Any”接口 ? 源或目的接口都可以設(shè)置為 “any” ? 如果任何一條防火墻策略使用了“ any”接口，則只能使用防火墻策略全局視圖 ? “any”接口不能用于 VIP或 IPpool 支持“ Any”接口 ? Any相當(dāng)于所有接口的集合 兩種 查 看方式 ——Section或者 Global ? 使用了 Any作 為 接口只能支持 Global view 基于用戶(hù)認(rèn)證的子策略 ? 啟用基于用戶(hù)的子策略 ? 可以針對(duì)不同的用戶(hù)組使用不同的 ? 時(shí)間表 ? 服務(wù) ? 保護(hù)內(nèi)容表 ? 流量控制 ? 流量日志 基于用戶(hù)認(rèn)證的子策略 ——例 ? 說(shuō)明 根據(jù)不同的用戶(hù)組部署不同的保護(hù)內(nèi)容表和流量控制 基于接口的 DoS策略 特點(diǎn)： ? 基于接口部署 ? 可以指定服務(wù) 流量控制增強(qiáng) Traffic Shaper FW Policy APP Control – P2P 流量控制的方向 ? 如果只 設(shè) 置流量控制，而沒(méi)有 設(shè) 置 Reverse Direction Traffic Shapping，則該 流量控制是 針對(duì) 上下行同 時(shí) 起作用的 ? 如果 設(shè) 置了 Reverse Direction Traffic Shapping，則 上行的速度有流量控制來(lái)起作用，而 Reverse Direction Traffic Shapping則控制下行速度 虛 擬 IP的 間 隔式 ARP廣播 ? 通 過(guò) 配置 發(fā) 送 ARP廣播的方式 讓 路由器自 動(dòng) 地更新 ARP表。通過(guò) 命令行可以 設(shè) 置 發(fā) 送 ARP廣播的 頻 率。 間 隔 時(shí)間設(shè) 置 為 0時(shí) ，則 關(guān) 閉 ARP廣播 config firewall vip edit new_vip (configure the virtual IP) set gratuitousarpinterval interval_seconds end 虛 擬 IP的 ARP廣播 服 務(wù) 器 負(fù)載 均衡 ——新建虛 擬 服 務(wù) 器 虛 擬 服 務(wù) 器支持的 多種分配方式 ? Static 根據(jù) 發(fā) 起 請(qǐng) 求的源 IP來(lái)分配流量， 對(duì) 于某一源 IP來(lái) 說(shuō) ，在沒(méi)有達(dá)到目的 IP的會(huì) 話(huà) 限制前，不會(huì) 輪詢(xún) 到下一個(gè)目的 IP ? Round Robin 根據(jù) 發(fā) 起的會(huì) 話(huà) 來(lái)分配，根據(jù)會(huì) 話(huà) 來(lái) 輪換 目 標(biāo) IP ? Weighted 按照 權(quán) 重來(lái)分配會(huì) 話(huà) ，比如分 別設(shè) 置兩個(gè)服 務(wù) 器的 權(quán) 重 為 2和 10，則 會(huì) 話(huà) 按照 2：10的方式來(lái)分配 多種分配方式 ? First Alive 根據(jù)健康 檢查 狀況，永 遠(yuǎn) 把流量 轉(zhuǎn) 向第一個(gè)保持存活的服 務(wù) 器 ? Last RTT 根據(jù)健康 檢查 的 ping獲 得的 RTT來(lái)判斷將流量 傳 到哪臺(tái)服 務(wù) 器 ? Last Session 按照 權(quán) 重來(lái)分配會(huì) 話(huà) ，比如分 別設(shè) 置兩個(gè)服 務(wù) 器的 權(quán) 重 為 2和 10，則 會(huì) 話(huà) 按照 2：10的方式來(lái)分配 健康 檢查 TCP ? 通 過(guò) 不 傳 數(shù)據(jù)的空 連 接來(lái) 檢測(cè) Ping ? Ping包 HTTP ? Get一個(gè)內(nèi)容然后 進(jìn) 行匹配 不同的保持方式（ Persistence ）——Cookie ? None ? HTTP Cookie ? SSL 不同的保持方式（ Persistence ）——SSL 根據(jù) SSL ID來(lái)分配流量 只能在支持 SSL offload功能中使用 Diagnose debug application vs 7 SSL Offload ? 僅 FG110C FG310B FG620B FG3016B FG3600A FG 3810A FG 5002A 支持 ? 兩種模式 客 戶(hù) 端到 FG加密， FG到 Server不加密 客 戶(hù) 端到 FG加密， FG到 Server加密 ? 客 戶(hù) 端到 FG加密采用的是 FG頒發(fā) 的 證書(shū) ，而非服 務(wù) 器 頒發(fā) ? 目前 build141可以正常工作，MR1不可以，可以支持 Firefox, IE 。 HTTP multiplex(多路復(fù)用 )一 HTTP multiplex(多路復(fù)用 )二 如果選中 沒(méi)有選中 Vdom的 資 源限制 全局的 資 源 每個(gè)虛擬域的資源 修改 恢復(fù)出廠值 POST三種 處 理方式 ? Normal 正常允 許 ? Block 阻斷 POST動(dòng) 作 ? Comfort 對(duì) 于 Post采用定 時(shí)發(fā) 送數(shù)據(jù)包的方式保持 連 接 Block阻斷方式 禁止 Post動(dòng) 作 Comfort方式 ? Comfort模式 查 看 進(jìn) 程的 動(dòng) 作 : Diag debug app 1: [2]: :3362 :80: [CLTRDRDY ] Event HTTP_REQUEST_EVENT [2]: :3362 :80: [CLTRDRDY ] HTTP_REQUEST_STATE [2]: :3362 :80: [LOOPEND ] Event BUFFER_EVENT [2]: :3362 :80: [LOOPEND ] HTTP_REQUEST_BUFFER_STATE ? 抓包分析 : ? 設(shè) 置 fort的 時(shí)間間 隔和數(shù)量 AMC Bypass ? 測(cè)試過(guò) build 92和 141均無(wú)法支持 AMCCX4，無(wú)法切 換 到正常模式，只能停留在 Bypass模式上 config system amc set sw1 asmcx4 set watchdogrecovery
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1