【正文】 完整的后續(xù)分片的匹配信息。缺省模式為標準匹配方式。l matchfragments參數(shù)僅能應用于高級訪問控制列表。l 要將基于MAC地址的訪問控制列表應用到接口上，防火墻必須工作在通明模式下。 包過濾防火墻的顯示與調(diào)試在所有視圖下執(zhí)行display命令可以顯示包過濾防火墻的運行情況，查看顯示的信息可以驗證配置的效果。 在用戶視圖下執(zhí)行debugging 命令可以對包過濾防火墻進行調(diào)試。操作命令顯示接口的有關防火墻的統(tǒng)計信息 display firewall packetfilter statistics { all | interface type number | fragmentsinspect } 顯示分片表 display firewall fragment 打開防火墻包過濾調(diào)試信息開關 debugging firewall packetfilter { all | denied | permitted | icmp | tcp | udp | fragmentsinspect | others } [ interface type number ] 關閉防火墻包過濾調(diào)試信息開關 undo debugging packetfilter firewall { all | denied | permitted | icmp | tcp | udp | fragmentsinspect | others } [ interface type number ] 清除包過濾防火墻的統(tǒng)計信息 reset firewall packetfilter statistics { all | interface type number } ASPF原理介紹ACL能夠解決所有問題嗎？許多應用層協(xié)議，如Telnet、SMTP等都是使用標準的知名端口地址進行通信，但是大部分多媒體應用協(xié)議（）及FTP等協(xié)議先使用約定的端口來初始化一個控制連接，然后再動態(tài)的選擇端口用于數(shù)據(jù)傳輸。端口的選擇是通信雙方動態(tài)協(xié)商的，其中的某些應用可能會同時用到多個端口。為避免內(nèi)部網(wǎng)絡遭受外部的攻擊，包過濾防火墻只能阻止固定端口的應用，因而存在安全隱患。結(jié)論是：l 對于多通道的應用層協(xié)議（如FTP、），部分安全策略無法預知；l 無法檢測某些來自于應用層的攻擊行為（如TCP SYN Java applet等）；鑒于以上問題，提出了狀態(tài)防火墻的概念，即ASPF的概念。 ASPF介紹ASPF (Application Specific Packet Filter)是針對應用層及傳輸層的包過濾，既基于狀態(tài)的報文過濾。ASPF能夠?qū)崿F(xiàn)的應用層協(xié)議檢測包括：FTP HTTP SMP RTSP ( RTP/RTCP)，ASPF能夠?qū)崿F(xiàn)的傳輸層協(xié)議檢測包括：通用TCPUDP的檢測。ASPF主要提供如下功能：l 能夠檢查應用層協(xié)議信息l 能夠檢測傳輸層協(xié)議信息l Java Blocking（Java阻斷）l DoS（Denial of Service，拒絕服務）的檢測和防范 l ActiveX Blocking（ActiveX阻斷） l 支持端口到應用的映射，為基于應用層協(xié)議的服務指定非通用端口 l 增強的會話日志功能 ASPF能夠支持一個控制連接上存在多個數(shù)據(jù)連接，監(jiān)聽每一個應用的每一個連接所使用的端口，打開合適的通道讓會話中的數(shù)據(jù)出入防火墻，在會話結(jié)束時則關閉該通道，從而對使用動態(tài)端口的應用實現(xiàn)有效的訪問控制。狀態(tài)檢測技術采用的是一種基于會話的狀態(tài)檢測機制，將屬于同一會話的所有包作為一個整體的數(shù)據(jù)流看待，構成一個會話狀態(tài)表。通過會話狀態(tài)表與臨時訪問控制表的共同配合，對流經(jīng)路由器特定接口的報文的各個連接狀態(tài)因素加以識別判定。ASPF主要采用了會話狀態(tài)表和臨時訪問控制表實現(xiàn)對傳輸報文的動態(tài)過濾。 會話狀態(tài)表的概念：一個會話可以被認為是一個TCP連接。會話狀態(tài)表維護了一次會話中某一時刻會話所處的狀態(tài)，用于匹配后續(xù)的發(fā)送報文，并檢測會話狀態(tài)的轉(zhuǎn)換是否正確。會話狀態(tài)表在檢測到第一個外發(fā)報文時創(chuàng)建，即通過第一個SYN包建立。會話狀態(tài)表中的記錄的信息既包括當前會話的通信信息，也包括是本次會話之前的通信信息。因此，與傳統(tǒng)包過濾防火墻的靜態(tài)過濾相比，ASPF考慮到會話的上下文信息，具有更好的靈活性和安全性。臨時訪問控制表的概念：臨時訪問控制表不同于包過濾防火墻的訪問控制列表（ACL）。它獨立于訪問控制列表，在創(chuàng)建會話狀態(tài)表項的時候同時創(chuàng)建，會話結(jié)束后刪除。其功能相當于一個擴展的訪問控制規(guī)則的permit項，用于匹配一個會話中的所有應答報文。 傳輸層協(xié)議檢測基本原理：傳輸層協(xié)議檢測是指通用TCP/UDP檢測。通用TCP和UDP檢測與應用層協(xié)議檢測不同，是對報文的傳輸層信息進行的檢測，如源、目的地址及端口號等。需要注意的是，應用層協(xié)議檢測優(yōu)先于傳輸層協(xié)議檢測。通用TCP/UDP檢測要求流入接口的報文與之前流出接口的報文完全匹配，即源、目的地址及端口號恰好對應，否則返回的報文將被丟棄。因此對于FTP，在不配置應用層檢測而直接配置TCP檢測的情況下會導致數(shù)據(jù)通道無法建立. ASPF 部署功能的基本概念l Java Blocking由于惡意applet會對用戶的計算機系統(tǒng)資源的造成破壞，因而需要限制未經(jīng)用戶允許的Java applet下載至用戶的網(wǎng)絡中。Java 阻塞（Java Blocking）可實現(xiàn)對來自于不信任站點Java applet的過濾，對通過HTTP協(xié)議傳輸?shù)腏ava applet小程序進行阻斷。當配置了Java Blocking時，用戶對視圖在web頁面中獲取包含Java applet的程序而發(fā)送的請求指令將會被ASPF阻斷過濾。需要注意的是，ASPF的Java applet進行阻斷，而對于以其它方式封裝的applet不能實現(xiàn)過濾。[Quidwayaspfpolicy1]detect javablocking ? (在HTTP的檢測視圖下實現(xiàn)） INTEGER20002999 基本訪問控制列表號碼 activexblocking 應用ActiveX阻斷 agingtime 設定非活動狀態(tài)的超時值 crl 端口映射PAM應用層協(xié)議使用通用的端口號進行通信。端口映射允許用戶對不同的應用定義一組新的端口號。端口映射提供了一些機制來維護和使用用戶定義的端口配置信息。PAM支持兩類映射機制：① 通用端口映射是將用戶自定義端口號和應用層協(xié)議建立映射關系。例如將8080端口映射為HTTP協(xié)議，這樣所有目標端口是8080的TCP報文被認為是HTTP報文。② 基于基本訪問控制列表的主機端口映射是對去往或來自某些特定主機的報文建立自定義端口號和應用協(xié)議的的映射。例如。主機的范圍由ACL基本列表指定的。l 單通道協(xié)議/多通道協(xié)議① 單通道協(xié)議：從會話建立到刪除的全過程中，只有一個通道參與數(shù)據(jù)交互：SMTP HTTP。② 多通道協(xié)議：包含一個控制通道和若干其它控制或者數(shù)據(jù)通道，即控制信息的交互和數(shù)據(jù)的傳輸在不同的通道上完成的，如FTP，RTSP。l 內(nèi)部接口和外部接口 如果防火墻連接了內(nèi)部網(wǎng)絡和互聯(lián)網(wǎng)，防火墻通過ASPF部署來保護內(nèi)部網(wǎng)絡的服務器，則安全網(wǎng)關上于內(nèi)部鏈接的接口就是內(nèi)部接口，與互聯(lián)網(wǎng)連接的接口就是外部接口。當ASPF應用于防火墻外部接口的出方向時，可以在防火墻上為內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)的返回報文打開一個臨時通道。 ASPF檢測應用層協(xié)議基本原理Client AServer被保護的網(wǎng)絡用戶A初始化一個會話用戶A的會話返回報文被允許通過其他會話的報文被阻斷圖52為了保護內(nèi)部網(wǎng)絡,一般情況下需要在防火墻上配置靜態(tài)訪問控制列表，以便允許內(nèi)部網(wǎng)絡的主機訪問外部網(wǎng)絡，同時拒絕外部網(wǎng)絡的主機訪問內(nèi)部網(wǎng)絡。但靜態(tài)訪問控制列表會將用戶發(fā)起連接后返回的報文過濾掉，導致連接無法建立。當在安全網(wǎng)關上配置了應用層協(xié)議檢測后，ASPF可以檢測每一個應用層的會話，并創(chuàng)建一個狀態(tài)表和一個臨時的訪問控制表TACL。狀態(tài)表在檢測到第一個外發(fā)報文時候創(chuàng)建，用于維護了一次會話中某一時刻會話所處的狀態(tài)，并檢測會話狀態(tài)的轉(zhuǎn)換是否正確。臨時訪問控制列表TACL的表項在創(chuàng)建狀態(tài)表項的時候一并創(chuàng)建，會話結(jié)束后刪除，它相當于一個擴展的ACL的permit項。TACL主要用于匹配一個中的所有返回的報文，可以為某一個應用返回的報文在防火墻的外部接口上建立了一個臨時返回的通道。 ASPF檢測多通道應用層協(xié)議基本原理FTP屬于多通道協(xié)議，F(xiàn)TP連接的建立過程描述如下，參見圖53：假設FTP clients 以1333端口向FTP Server 的21端口發(fā)起FTP控制通道的連接，通過協(xié)商決定由Server端的20端口向client 端的1600端口發(fā)起數(shù)據(jù)通道的連接，數(shù)據(jù)傳輸超時或結(jié)束后連接刪除。FTP ClientFTP Serverport:1333port:1600port:21port:20控制通道連接數(shù)據(jù)通道連接FTP指令和應答port指令圖53ASPF多通道協(xié)議FTP檢測在FTP連接建立到拆除過程中的處理如下：l 檢查從出接口上向外發(fā)送的IP報文，確認為基本TCP的FTP報文l 檢查端口號確認為控制連接，為返回報文建立相應的的TACL和會話狀態(tài)表l 檢查FTP控制連接報文，解析FTP指令，根據(jù)指令更新狀態(tài)表，如果包含數(shù)據(jù)通道建立指令，則創(chuàng)建數(shù)據(jù)連接的TACL，對于數(shù)據(jù)連接，不進行狀態(tài)檢測。l 對于返回報文，根據(jù)協(xié)議類型做相應匹配檢查，檢查將根據(jù)相應協(xié)議的狀態(tài)表和TACL決定報文是否允許通過。l FTP連接刪除時，狀態(tài)表和TACL也隨之刪除。單通道協(xié)議檢測比較簡單，當發(fā)起連接時建立TACL，刪除時隨之刪除TACL即可。 ASPF 基本配置ASPF配置包括：1) 允許防火墻2) 配置訪問控制列表3) 定義一個ASPF策略4) 在選定的接口上應用ASPF策略過濾范圍 允許防火墻操作命令允許防火墻 firewall packetfilter enable 配置訪問控制列表操作命令配置訪問控制列表（在ACL視圖下）rule deny將ACL應用到出接口上（在接口視圖下） firewall packetfilter aclnum inbound 在出接口上流入信任區(qū)的數(shù)據(jù)為“入”的概念。 定義ASPF策略之創(chuàng)建ASPF策略操作命令創(chuàng)建一個ASPF策略 aspfpolicy aspfpolicynumber 刪除創(chuàng)建一個ASPF策略 undo aspfpolicy aspfpolicynumberaspfpolicynumber 為ASPF策略號，范圍為199 定義ASPF策略之配置空閑超時值操作命令配置空閑超時值 agingtime { syn | fin | tcp | udp } seconds 恢復默認的空閑超時值 undo agingtime { syn | fin | tcp | udp } TCP的SYN狀態(tài)等待超時值、FIN狀態(tài)等待超時值，TCP和UDP會話表項空閑狀態(tài)超時值。默認超時分別為30秒、5秒、3600秒和30秒。 定義ASPF策略之配置應用層檢測操作命令配置應用協(xié)議檢測 detect protocol [ agingtime seconds ] 刪除配置的應用協(xié)議檢測 undo detect protocol 定義ASPF策略之配置通用TCP和UDP檢測在不配置應用層檢測，直接配置TCP或UDP檢測的情況下，可能會產(chǎn)生部分報文無法返回的情況，建議應用層檢測和TCP UDP檢測配合使用。對于Telnet應用，直接配置通用TCP檢測即可實現(xiàn)ASPF功能。操作命令配置通用TCP協(xié)議檢測 detect tcp [ agingtime seconds ] 配置通用UDP協(xié)議檢測 detect udp [ agingtime seconds ] 刪除通用TCP協(xié)議檢測 undo detect tcp 刪除通用UDP協(xié)議檢測 undo detect udp 在接口上應用ASPF策略操作命令在接口上應用ASPF策略 firewall aspf aspfpolicynumber { inbound | outbound } 刪除該接口上應用的ASPF策略 undo firewall aspf aspfpolicynumber { inbound | outbound } 由于ASPF對于應用層協(xié)議狀態(tài)的保存和維護都是基于接口的。因此，在實際應用中，必須保證報文入口的一致性，即必須保證連接發(fā)起報文和返回報文基于同一接口。 黑名單原理 黑名單原理介紹 黑名單指根據(jù)報文的源地址進行過濾的一種方式。 同基于ACL的包過濾功能相比，由于黑名單進行匹配的值非常簡單，可以很高的速度實現(xiàn)報文過濾，從而有效地將特定IP地址發(fā)送來的報文屏蔽。，后面來的數(shù)據(jù)包不能通過！防火墻圖54黑名單最主要的一個特色是可以由防火墻動態(tài)地進行添加和刪除，當防火墻中根據(jù)報文的行為特征察覺到特定的IP地址攻擊企圖后，主動修改黑名單列表，從而將該IP地址發(fā)送的報文過濾掉。因此，黑名單是防火墻一個中藥店安全特征。 黑名單列表表項的來源防火墻圖55① 手動添加：Firewall blacklist i