fortigate02-防火墻策略(已修改)
2025-05-30 08:04 本頁面
【正文】 防火墻策略 OS 防火墻策略使用“ Any”接口 支持“ Any”接口 ? Any相當于所有接口的集合 兩種查看方式 ——Section或者 Global ? 使用了 Any作為接口只能支持 Global view ? “any”接口不能用于 VIP或 IPpool 防火墻策略使用“ Any”接口 ? 源或目的接口都可以設置為 “any” ? 如果任何一條防火墻策略使用了“ any”接口，則只能使用防火墻策略全局視圖 ? “any”接口不能用于 VIP或 IPpool 支持“ Any”接口 ? Any相當于所有接口的集合 兩種 查 看方式 ——Section或者 Global ? 使用了 Any作 為 接口只能支持 Global view 基于用戶認證的子策略 ? 啟用基于用戶的子策略 ? 可以針對不同的用戶組使用不同的 ? 時間表 ? 服務 ? 保護內(nèi)容表 ? 流量控制 ? 流量日志 基于用戶認證的子策略 ——例 ? 說明 根據(jù)不同的用戶組部署不同的保護內(nèi)容表和流量控制 基于接口的 DoS策略 特點： ? 基于接口部署 ? 可以指定服務 流量控制增強 Traffic Shaper FW Policy APP Control – P2P 流量控制的方向 ? 如果只 設 置流量控制，而沒有 設 置 Reverse Direction Traffic Shapping，則該 流量控制是 針對 上下行同 時 起作用的 ? 如果 設 置了 Reverse Direction Traffic Shapping，則 上行的速度有流量控制來起作用，而 Reverse Direction Traffic Shapping則控制下行速度 虛 擬 IP的 間 隔式 ARP廣播 ? 通 過 配置 發(fā) 送 ARP廣播的方式 讓 路由器自 動 地更新 ARP表。通過 命令行可以 設 置 發(fā) 送 ARP廣播的 頻 率。 間 隔 時間設 置 為 0時 ，則 關 閉 ARP廣播 config firewall vip edit new_vip (configure the virtual IP) set gratuitousarpinterval interval_seconds end 虛 擬 IP的 ARP廣播 服 務 器 負載 均衡 ——新建虛 擬 服 務 器 虛 擬 服 務 器支持的 多種分配方式 ? Static 根據(jù) 發(fā) 起 請 求的源 IP來分配流量， 對 于某一源 IP來 說 ，在沒有達到目的 IP的會 話 限制前，不會 輪詢 到下一個目的 IP ? Round Robin 根據(jù) 發(fā) 起的會 話 來分配，根據(jù)會 話 來 輪換 目 標 IP ? Weighted 按照 權 重來分配會 話 ，比如分 別設 置兩個服 務 器的 權 重 為 2和 10，則 會 話 按照 2：10的方式來分配 多種分配方式 ? First Alive 根據(jù)健康 檢查 狀況，永 遠 把流量 轉 向第一個保持存活的服 務 器 ? Last RTT 根據(jù)健康 檢查 的 ping獲 得的 RTT來判斷將流量 傳 到哪臺服 務 器 ? Last Session 按照 權 重來分配會 話 ，比如分 別設 置兩個服 務 器的 權 重 為 2和 10，則 會 話 按照 2：10的方式來分配 健康 檢查 TCP ? 通 過 不 傳 數(shù)據(jù)的空 連 接來 檢測 Ping ? Ping包 HTTP ? Get一個內(nèi)容然后 進 行匹配 不同的保持方式（ Persistence ）——Cookie ? None ? HTTP Cookie ? SSL 不同的保持方式（ Persistence ）——SSL 根據(jù) SSL ID來分配流量 只能在支持 SSL offload功能中使用 Diagnose debug application vs 7 SSL Offload ? 僅 FG110C FG310B FG620B FG3016B FG3600A FG 3810A FG 5002A 支持 ? 兩種模式 客 戶 端到 FG加密， FG到 Server不加密 客 戶 端到 FG加密， FG到 Server加密 ? 客 戶 端到 FG加密采用的是 FG頒發(fā) 的 證書 ，而非服 務 器 頒發(fā) ? 目前 build141可以正常工作，MR1不可以，可以支持 Firefox, IE 。 HTTP multiplex(多路復用 )一 HTTP multiplex(多路復用 )二 如果選中 沒有選中 Vdom的 資 源限制 全局的 資 源 每個虛擬域的資源 修改 恢復出廠值 POST三種 處 理方式 ? Normal 正常允 許 ? Block 阻斷 POST動 作 ? Comfort 對 于 Post采用定 時發(fā) 送數(shù)據(jù)包的方式保持 連 接 Block阻斷方式 禁止 Post動 作 Comfort方式 ? Comfort模式 查 看 進 程的 動 作 : Diag debug app 1: [2]: :3362 :80: [CLTRDRDY ] Event HTTP_REQUEST_EVENT [2]: :3362 :80: [CLTRDRDY ] HTTP_REQUEST_STATE [2]: :3362 :80: [LOOPEND ] Event BUFFER_EVENT [2]: :3362 :80: [LOOPEND ] HTTP_REQUEST_BUFFER_STATE ? 抓包分析 : ? 設 置 fort的 時間間 隔和數(shù)量 AMC Bypass ? 測試過 build 92和 141均無法支持 AMCCX4，無法切 換 到正常模式，只能停留在 Bypass模式上 config system amc set sw1 asmcx4 set watchdogrecovery
環(huán)評公示相關推薦
鄂ICP備17016276號-1