【文章內(nèi)容簡介】 ow priority ( 缺省)策略的優(yōu)先級設置意味著未分配給其它策略的帶寬基于高優(yōu)先級在前和低優(yōu)先級在后的原則進行了排列。具有相同優(yōu)先級設置的策略將以輪詢方式競爭帶寬。 NetScreen 設備首先處理具有較高優(yōu)先級策略的所有信息流，然后再處理具有次優(yōu)先級設置策略的信息流，依此類推，直至處理完所有的信息流請求。如果信息流請求超過可用帶寬，則將丟棄優(yōu)先級最低的信息流。如果您未分配任何保障帶寬，則可使用優(yōu)先級排列來管理網(wǎng)絡的所有信息流。也就是說，必須在發(fā)送完全部高優(yōu)先級信息流之后，才能發(fā)送2nd priority 信息流，依此類推。只有在處理完其它所有信息流之后， NetScreen 設備才處理低優(yōu)先級信息流。配置實例：在本例中，您需要為三個部門(Support、Sales 和Marketing) 配置保障帶寬和最大帶寬，如下所示:如果三個部門同時通過NetScreen 防火墻發(fā)送和接收信息流，那么NetScreen 設備必須分配20 Mbps 的帶寬以滿足保證的策略要求。ethernet1 接口被綁定到Trust 區(qū)段，而ethernet3 被綁定到Untrust 區(qū)段。WebUI1. 接口帶寬Interfaces Edit ( 對于ethernet1 ): 輸入以下內(nèi)容，然后單擊OK:Traffic Bandwidth: 40000Interfaces Edit ( 對于ethernet3 ): 輸入以下內(nèi)容，然后單擊OK:Traffic Bandwidth: 400002. 策略帶寬Policies (From: Trust, To: Untrust) New: 輸入以下內(nèi)容，然后單擊OK:Name: SupoutSource Address:Address Book Entry: (選擇), SupportDestination Address:Address Book Entry: (選擇), AnyService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 5000Maximum Bandwidth: 40000Traffic Priority: High priorityDiffServ Codepoint Marking5 : (選擇)Policies (From: Trust, To: Untrust) New: 輸入以下內(nèi)容，然后單擊OK:Name: SaloutSource Address:Address Book Entry: (選擇), SalesDestination Address:Address Book Entry: (選擇), AnyService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 2500Maximum Bandwidth: 40000Traffic Priority: 2nd priorityDiffServ Codepoint Marking: EnablePolicies (From: Trust, To: Untrust) New: 輸入以下內(nèi)容，然后單擊OK:Name: MaroutSource Address:Address Book Entry: (選擇), MarketingDestination Address:Address Book Entry: (選擇), AnyService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 2500Maximum Bandwidth: 40000Traffic Priority: 3rd priorityDiffServ Codepoint Marking: ( 選擇)Policies (From: Untrust, To: Trust) New: 輸入以下內(nèi)容，然后單擊OK:Name: SupinSource Address:Address Book Entry: (選擇), AnyDestination Address:Address Book Entry: (選擇), SupportService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 5000Maximum Bandwidth: 40000Traffic Priority: High priorityDiffServ Codepoint Marking: ( 選擇)Policies (From: Untrust, To: Trust) New: 輸入以下內(nèi)容，然后單擊OK:Name: SalinSource Address:Address Book Entry: (選擇), AnyDestination Address:Address Book Entry: (選擇), SalesService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 3500Maximum Bandwidth: 40000Traffic Priority: 2nd priorityDiffServ Codepoint Marking: ( 選擇)Policies (From: Untrust, To: Trust) New: 輸入以下內(nèi)容，然后單擊OK:Name: MarinSource Address:Address Book Entry: (選擇), AnyDestination Address:Address Book Entry: (選擇), MarketingService: AnyAction: Permit Advanced: 輸入以下內(nèi)容，然后單擊Return，設置高級選項并返回基本配置頁:Traffic Shaping: ( 選擇)Guaranteed Bandwidth: 1500Maximum Bandwidth: 40000Traffic Priority: 3rd priorityDiffServ Codepoint Marking: ( 選擇)CLI1. 接口帶寬set interface ethernet1 bandwidth 40000set interface ethernet3 bandwidth 400002. 策略帶寬set policy name supout from trust to untrust support any any permit trafficgbw 5000 priority 0 mbw 40000 dscp enableset policy name salout from trust to untrust sales any any permit traffic gbw2500 priority 2 mbw 40000 dscp enableset policy name marout from trust to untrust marketing any any permit trafficgbw 2500 priority 3 mbw 40000 dscp enableset policy name supin from untrust to trust any support any permit traffic gbw5000 priority 0 mbw 40000 dscp enableset policy name salin from untrust to trust any sales any permit traffic gbw3500 priority 2 mbw 40000 dscp enableset policy name marin from untrust to trust any marketing any permit trafficgbw 1500 priority 3 mbw 40000 dscp enable 典型配置（4）――攻擊監(jiān)視雖然您通常希望 NetScreen設備封鎖攻擊，有時也可能希望收集有關這些攻擊的信息。您可能希望具體了解一個特定的攻擊－發(fā)現(xiàn)其意圖、技巧和可能的來源(如果攻擊者不小心或不夠老練)。如果您希望收集有關攻擊的信息，可以讓它發(fā)生、監(jiān)視它、分析它、執(zhí)行辯論練習，然后按照先前準備好的事件響應計劃的描述做出響應。您可以指示NetScreen 設備將攻擊的情況通知您，但NetScreen 不采取應對措施，而是允許該攻擊發(fā)生。然后可以研究所發(fā)生的現(xiàn)象，并嘗試了解攻擊者的方法、策略和目的。增加了對網(wǎng)絡的威脅的了解之后，就能讓您更好地加強防御。雖然精明的攻擊者會隱藏其位置和身份，但您或許能通過收集足夠的信息來識別攻擊的始發(fā)點。您也許還能估計攻擊者的能力。這種信息使您能評估一些響應。配置實例：在本例中，來自Untrust區(qū)段的IP欺騙攻擊每日都發(fā)生，通常是在晚上9:00點與12:00 之間。當含有欺騙性源IP地址的封包到來時，您希望NetScreen設備發(fā)出通知，但不將其丟棄，而是讓其通過，或許是將其引導到您在DMZ接口連接上連接的“蜜罐” (honeypot)中。晚上8:55時，您將更改防火墻的行為，從通知并拒絕屬于已檢測到的攻擊的封包，變?yōu)橥ㄖ⒔邮?。當該攻擊發(fā)生時，即可使用該“蜜罐”監(jiān)視攻擊者越過防火墻后的活動。也可以與上游ISP(互聯(lián)網(wǎng)服務提供商)合作開始跟蹤封包來源以找出其來源。WebUIScreening Screen (Zone: Untrust): 輸入以下內(nèi)容，然后單擊Apply:Generate Alarms without Dropping Packet: (選擇)IP Address Spoof Protection: (選擇)CLIset zone untrust screen alarmwithoutdropset zone untrust screen ipspoofingsave 典型配置（5）――三層IP欺騙保護試獲得網(wǎng)絡中受限區(qū)域的訪問權(quán)限的一個方法是，在封包包頭中插入虛假的源地址，以使該封包看似發(fā)自信任來源。這種技術(shù)稱為IP 欺騙。NetScreen 具有兩種 IP 欺騙檢測方法，這兩種方法能完成同樣的任務:確定封包并非來自其包頭所指示的位置。配置實例：在本例中，為在第3層工作的NetScreen 設備的Trust、DMZ 和Untrust 區(qū)段啟用IP 欺騙保護。在缺省情況下，NetScreen 設備在路由表中自動為接口IP 地址中指定的子網(wǎng)生成條目。除了這些自動路由表條目外，請手動輸入以下三個路由：如果啟用了IP 欺騙保護SCREEN 選項但沒有輸入上述三個路由，則NetScreen 設備將丟棄來自“目的地”欄中地址的所有信息流，并在事件日志中輸入警報信息。例如， 的封包到達ethernet1，并且沒有通過ethernet1 ，則NetScreen 設備將確定該封包已到達無效的接口，并將其丟棄。WebUINetwork Interfaces Edit (對于ethernet1 ): 輸入以下內(nèi)容，然后單擊Apply:Zone Name: TrustStatic IP: (有此選項時將其選定)IP Address/Netmask: 輸入以下內(nèi)容，然后單擊OK:Interface Mode: NATNetwork Interfaces Edit (對于ethernet2 ): 輸入以下內(nèi)容，然后單擊OK:Zone Name: DMZStatic IP: (有此選項時將其選定)IP Address/Netmask: Network Interfaces Edit (對于ethernet3 ): 輸入以下內(nèi)容，然后單擊OK:Zone Name: UntrustStatic IP: (有此選項時將其選定)IP Address/Netmask: Network Routing Routing Entries trustvr New: 輸入以下內(nèi)容，然后單擊OK:Network Address/Netmask: Gateway: (選擇)Interface: ethernet1Gateway IP Address: Network Routing Routing Entries trustvr New: 輸入以下內(nèi)容，然后單擊OK:Network Address/Netmask: Gateway: (選擇)Interface: ethernet2Gateway IP Address: Network Routing Routing Entries trustvr New: 輸入以下內(nèi)容，