【文章內容簡介】 功能。 ? 透明模式可以配置系統(tǒng) IP。 內部資料，注意保密 34 防火墻的三種工作模式（四） ? 混合模式是指防火墻一部份接口工作在透明模式，另一部分接口工作在路由模式。提出混合模式的概念，主要是為了解決防火墻在純粹的透明模式下無法使用雙機熱備份功能的問題。雙機熱備份所依賴的 VRRP需要在接口上配置 IP地址，而透明模式無法實現(xiàn)這一點。 內部資料，注意保密 35 第三章 防火墻原理與特性 第 1節(jié) 安全區(qū)域 第 2節(jié) 工作模式 第 3節(jié) 安全防范 第 4節(jié) VRRP amp。 HRP 內部資料，注意保密 36 防火墻的安全防范 ? ACL（參考 ACL原理） ? 安全策略 ? NAT ? 攻擊防范 ? IDS聯(lián)動 內部資料，注意保密 37 ACL加速 ? 應為每次區(qū)域間轉發(fā)數(shù)據(jù)報時都要線性檢查 ACL中的所有規(guī)則 ,當 ACL中的規(guī)則較多時 ,將極大的影響轉發(fā)速度。 ACL加速查找功能是一種能大大提高訪問控制列表查找性能的技術。 ACL加速查找不會因為訪問控制列表中規(guī)則條目的增加而降低規(guī)則的匹配速度，因此使能 ACL加速查找功能可以在規(guī)則數(shù)目很多的時候顯著提高防火墻的性能。 ? 增加規(guī)則要重新下發(fā)：系統(tǒng)視圖下 acl accelerate enable ? 基于 MAC地址的訪問控制列表不支持 ACL加速查找功能 Rule 1 Rule 2 Rule 3 ACL 規(guī)則庫 內部資料，注意保密 38 防火墻的安全防范 ? ACL ? 安全策略 ? NAT ? 攻擊防范 ? IDS聯(lián)動 內部資料，注意保密 39 ASPF ? ASPF（ Application Specific Packet Filter）是針對應用層的包過濾，即基于狀態(tài)的報文過濾。它和普通的靜態(tài)防火墻協(xié)同工作，以便于實施內部網絡的安全策略。ASPF能夠檢測試圖通過防火墻的應用層協(xié)議會話信息，阻止不符合規(guī)則的數(shù)據(jù)報文穿過。 ? 為保護網絡安全，基于 ACL規(guī)則的包過濾可以在網絡層和傳輸層檢測數(shù)據(jù)包，防止非法入侵。 ? ASPF對應用層的協(xié)議信息進行檢測，通過維護會話的狀態(tài)和檢查會話報文的協(xié)議和端口號等信息，阻止惡意的入侵。 內部資料，注意保密 40 黑名單（一） ? 黑名單，指根據(jù)報文的源 IP地址進行過濾的一種方式。同基于 ACL的包過濾功能相比，由于黑名單進行匹配的域非常簡單，可以以很高的速度實現(xiàn)報文的過濾，從而有效地將特定 IP地址發(fā)送來的報文屏蔽。黑名單最主要的一個特色是可以由 Eudemon防火墻動態(tài)地進行添加或刪除，當防火墻中根據(jù)報文的行為特征察覺到特定 IP地址的攻擊企圖之后，通過主動修改黑名單列表從而將該 IP地址發(fā)送的報文過濾掉。因此，黑名單是防火墻一個重要的安全特性。 內部資料，注意保密 41 黑名單（二） ? 黑名單的創(chuàng)建 ? [undo] firewall blacklist item souraddr [ timeout minutes ] ? 黑名單的使能 ? [undo] firewall blacklist enable ? 黑名單的報文過濾類型和范圍的設置 ? firewall blacklist filtertype { icmp | tcp | udp | others } [ range { blacklist | global } ] 內部資料，注意保密 42 黑名單配置舉例（一） ? 服務器和客戶機分別位于防火墻 Trust區(qū)域和 Untrust區(qū)域中，現(xiàn)要在 100分鐘內過濾掉客戶機發(fā)送的所有 ICMP報文。 Eudemon服務器PC 內部資料，注意保密 43 黑名單配置舉例（二） ? [Eudemon] firewall blacklist item timeout 100 ? [Eudemon] firewall blacklist packetfilter icmp range global ? [Eudemon] firewall blacklist enable 內部資料，注意保密 44 其它 ? MAC和 IP地址綁定，指防火墻可以根據(jù)用戶的配置，在特定的 IP地址和 MAC地址之間形成關聯(lián)關系。對于聲稱從這個 IP發(fā)送的的報文，如果其 MAC地址不是指定關系對中的地址，防火墻將予以丟棄，發(fā)送給這個 IP地址的報文，在通過防火墻時將被強制發(fā)送給這個 MAC地址。從而形成有效的保護，是避免 IP地址假冒攻擊的一種方式。注意其要點 ? 端口識別簡介應用層協(xié)議一般使用通用的端口號（知名端口號）進行通信。端口識別允許用戶針對不同的應用在系統(tǒng)定義的端口號之外定義一組新的端口號。端口識別提供了一些機制來維護和使用用戶定義的端口配置信息。端口識別能夠對不同的應用協(xié)議創(chuàng)建和維護一張系統(tǒng)定義（ systemdefined）和用戶定義（ userdefined）的端口識別表。 內部資料，注意保密 45 防火墻的安全防范 ? ACL ? 安全策略 ? NAT ? 攻擊防范 ? IDS聯(lián)動 內部資料，注意保密 46 防火墻數(shù)據(jù)報安全匹配的順序 NAT服務器 域間的 ACL規(guī)則 域間的 ASPF 域間的 NAT 域間的缺省規(guī)則 數(shù)據(jù)報 內部資料，注意保密 47 防火墻的安全防范 ? ACL ? 安全策略 ? NAT ? 攻擊防范 ? IDS聯(lián)動 內部資料，注意保密 48 攻擊類型簡介（一） ? 單報文攻擊 ? Fraggle ? Ip spoof ? Land ? Smurf ? Tcp flag ? Winnuke ? ipfragment 內部資料，注意保密 49 攻擊類型簡介（二） ? 分片報文攻擊 ? Tear Drop ? Ping of death ? 拒絕服務類攻擊 ? SYN Flood ? UDP Flood amp。 ICMP Flood ? 掃描 ? IP sweep ? Port scan 內部資料，注意保密 50 單包攻擊原理及防范（一） ? Fraggle ? 特征： UDP報文，目的端口 7（ echo）或 19（ Character Generator） ? 目的： echo服務會將發(fā)送給這個端口的報文再次發(fā)送回去 ? Character Generator服務會回復無效的字符串 ? 攻擊者偽冒受害者地址，向目的地址為廣播地址的上述端口，發(fā)送請求，會導致受害者被回應報文泛濫攻擊 ? 如果將二者互指，源、目的都是廣播地址，會造成網絡帶寬被占滿 ? 配置： firewall defend fraggle enable ? 原理：過濾 UDP類型的目的端口號為 7或 19的報文 內部資料，注意保密 51 單包攻擊原理及防范（二） ? IP Spoof ? 特征：地址偽冒 ? 目的：偽造 IP地址發(fā)送報文 ? 配置： firewall defend ipspoofing enable ? 原理：對源地址進行路由表查找，如果發(fā)現(xiàn)報文進入接口不是本機所認為的這個 IP地址的出接口，丟棄報文 內部資料，注意保密 52 單包攻擊原理及防范（三） ? Land ? 特征：源目的地址都是受害者的 IP地址，或者源地址為 127這個網段的地址 ? 目的：導致被攻擊設備向自己發(fā)送響應報文，通常用在 syn flood攻擊中 ? 配置： firewall defend land enable ? 防范原理：對符合上述特征的報文丟棄 內部資料，注意保密 53 單包攻擊原理及防范（四） ? Smurf ? 特征：偽冒受害者 IP地址向廣播地址發(fā)送 ping echo ? 目的：使受害者被網絡上主機回復的響應淹沒 ? 配置： firewall defend smurf enable ? 原理：丟棄目的地址為廣播地址的報文 內部資料，注意保密 54 單包攻擊原理及防范（五） ? TCP flag ? 特征：報文的所有可設置的標志都被標記，明顯有沖突。比如同時設置 SYN、 FIN、 RST等位 ? 目的：使被攻擊主機因處理錯誤死機 ? 配置： firewall defend tcpflag enable ? 原理：丟棄符合特征的報文 內部資料，注意保密 55 單包攻擊原理及防范（六） ? Winnuke ? 特征：設置了分片標志的 IGMP報文，或針對 139端口的設置了 URG標志的報文 ? 目的：使被攻擊設備因處理不當而死機 ? 配置： firewall defend winnuke enable ? 原理：丟棄符合上述特征報文 內部資料，注意保密 56 單包攻擊原理及防范（七） ? Ipfrag ? 特征：同時設置了 DF和 MF標志，或偏移量加報文長度超過 65535 ? 目的：使被攻擊設備因處理不當而死機 ? 配置： firewall defend ipfragment enable ? 原理：丟棄符合上述特征報文 內部資料，注意保密 57 分片報文攻擊原理及防范（一） ? Tear drop