【正文】 o snmpserver location　　no snmpserver contact　　snmpserver munity public　　no snmpserver enable traps　　floodguard enable　　sysopt connection permitipsec　　no sysopt route dnat　　crypto ipsec transformset strong espdes espshahmac　　crypto map tohyjt 20 ipsecisakmp　　crypto map tohyjt 20 match address 101　　crypto map tohyjt 20 set peer 　　crypto map tohyjt 20 set peer 　　crypto map tohyjt 20 set peer 　　crypto map tohyjt 20 set transformset strong　　crypto map tohyjt interface outside　　isakmp enable outside　　isakmp key cisco address netmask 　　isakmp key cisco address netmask 　　isakmp key cisco address netmask 　　isakmp identity address　　isakmp policy 9 authentication preshare　　isakmp policy 9 encryption des　　isakmp policy 9 hash sha　　isakmp policy 9 group 1　　isakmp policy 9 lifetime 86400　　telnet inside　　telnet inside　　telnet timeout 5　　ssh timeout 5　　terminal width 80　　Cryptochecksum:8982919a8bfa10ba09cddee3f2da0e6a　　: end　　pix2配置：　　: Saved　　: Written by enable_15 at 00:00: UTC Fri Apr 25 2003　　PIX Version (2)　　nameif ethernet0 outside security0　　nameif ethernet1 inside security100　　enable password encrypted　　passwd encrypted　　hostname HYZCrc　　fixup protocol ftp 21　　fixup protocol 80　　fixup protocol h323 h225 1720　　fixup protocol h323 ras 17181719　　fixup protocol ils 389　　fixup protocol rsh 514　　fixup protocol rtsp 554　　fixup protocol smtp 25　　fixup protocol sqlnet 1521　　fixup protocol sip 5060　　fixup protocol skinny 2000　　names　　accesslist 101 permit ip 　　accesslist 101 permit ip 　　accesslist hyzc permit icmp any any　　accesslist hyzc permit tcp any any　　accesslist hyzc permit udp any any　　pager lines 24　　interface ethernet0 auto　　interface ethernet1 auto　　mtu outside 1500　　mtu inside 1500　　ip address outside 　　ip address inside 　　ip audit info action alarm　　ip audit attack action alarm　　pdm history enable　　arp timeout 14400　　nat (outside) 1 0 0　　nat (inside) 0 accesslist 101　　nat (inside) 1 0 0　　route outside 1　　timeout xlate 3:00:00　　timeout conn 1:00:00 halfclosed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00　　timeout uauth 0:05:00 absolute　　aaaserver TACACS+ protocol tacacs+　　aaaserver RADIUS protocol radius　　aaaserver LOCAL protocol local　　no snmpserver location　　no snmpserver contact　　snmpserver munity public　　no snmpserver enable traps　　floodguard enable　　sysopt connection permitipsec　　no sysopt route dnat　　crypto ipsec transformset strong espdes espshahmac　　crypto map tohyzc 20 ipsecisakmp　　crypto map tohyzc 20 match address 101　　crypto map tohyzc 20 set peer 　　crypto map tohyzc 20 set transformset strong　　crypto map tohyzc interface outside　　isakmp enable outside　　isakmp key cisco address netmask 　　isakmp identity address　　isakmp policy 9 authentication preshare　　isakmp policy 9 encryption des　　isakmp policy 9 hash sha　　isakmp policy 9 group 1　　isakmp policy 9 lifetime 86400　　telnet inside　　telnet timeout 5　　ssh timeout 5　　terminal width 80　　Cryptochecksum:f63109daf8abcaf74a4f3b30ab01b48a　　: end　　　　　　pix3配置：　　: Saved　　:　　PIX Version (1)　　nameif ethernet0 outside security0　　nameif ethernet1 inside security100　　enable password X8QPBTnOSyX6X9Y9 encrypted　　passwd X8QPBTnOSyX6X9Y9 encrypted　　hostname pixfirewall　　fixup protocol ftp 21　　fixup protocol 80　　fixup protocol h323 1720　　fixup protocol rsh 514　　fixup protocol smtp 25　　fixup protocol sqlnet 1521　　fixup protocol sip 5060 企業(yè)級防火墻選購熱點防火墻是主要的網(wǎng)絡安全設備，一個配置良好的防火墻，能夠有效地防止外來的入侵，控制進出網(wǎng)絡的信息流向和信息包，提供使用和流量的日志和審計，隱藏內(nèi)部IP地址及網(wǎng)絡結構的細節(jié)，以及提供VPN功能等等?！　τ谄髽I(yè)網(wǎng)絡而言，一個沒有配備防火墻的網(wǎng)絡無異于“開門揖盜”，安全性無從談起。那么，如何選擇合適的防火墻呢？本文從技術角度出發(fā)，談談企業(yè)級防火墻的選購要點。防火墻種類　　在選購之前，企業(yè)用戶首先需要弄清防火墻的種類。目前，市場有六種基本類型的防火墻，分別是嵌入式防火墻、 基于企業(yè)軟件的防火墻、基于企業(yè)硬件的防火墻、SOHO軟件防火墻、SOHO硬件防火墻和特殊防火墻?！　∏度胧椒阑饓?: 就是內(nèi)嵌于路由器或交換機的防火墻。嵌入式防火墻是某些路由器的標準配置。用戶也可以購買防火墻模塊，安裝到已有的路由器或交換機中?！　∏度胧椒阑饓σ脖环Q為阻塞點防火墻。由于互聯(lián)網(wǎng)使用的協(xié)議多種多樣， 所以不是所有的網(wǎng)絡服務都能得到嵌入式防火墻的有效處理。嵌入式防火墻工作于IP層，所以無法保護網(wǎng)絡免受病毒、 蠕蟲和特洛伊木馬程序等來自應用層的威脅。就本質(zhì)而言，嵌入式防火墻常常是無監(jiān)控狀態(tài)的，它在傳遞信息包時并不考慮以前的連接狀態(tài)?！　』谲浖姆阑饓?: 指能夠安裝在操作系統(tǒng)和硬件平臺上的防火墻軟件包。如果用戶的服務器裝有企業(yè)級操作系統(tǒng)，購買基于軟件的防火墻則是合理的選擇。如果用戶是一家小企業(yè)，并且想把防火墻與應用服務器（如網(wǎng)站服務器）結合起來， 添加一個基于軟件的防火墻就是合理之舉。　　基于硬件的防火墻 : 多捆綁于“交鑰匙”系統(tǒng)(Turnkey system)中，是一個已經(jīng)裝有軟件的硬件設備?；谟布姆阑饓σ卜譃榧彝マk公型和企業(yè)型兩種款式。　　特殊防火墻 : 側重于某一應用的防火墻產(chǎn)品。目前，市場上有一類防火墻是專門為過濾內(nèi)容而設計的，MailMarshal和WebMarshal就是側重于消息發(fā)送與內(nèi)容過濾的特殊防火墻。OKENA的StormWatch雖然沒有標明是防火墻， 但也具有防火墻類規(guī)則和應用防范禁閉功能。防火墻“軟”與“硬”的折衷　　一般說來，軟件防火墻具有比硬件防火墻更靈活的性能，但是安裝軟件防火墻需要用戶選擇硬件平臺和操作系統(tǒng)。而硬件防火墻經(jīng)過廠商的預先包裝，啟動及運作要比軟件防火墻快得多。　　購買硬件設備防火墻，往往意味著獲得了一個捆綁在硬盒子里的“交鑰匙”系統(tǒng)。如果用戶對防火墻運行的硬件平臺沒有特殊要求，硬件防火墻則是這類用戶理想的選擇。另一個適用硬件防火墻的場合是，用戶希望隔離防火墻服務，不把防火墻安裝在其他應用中。防火墻的功能與性能考慮　　用戶節(jié)點數(shù)　　在選購防火墻時，用戶需要考慮保護的節(jié)點數(shù)。從最簡單的分類上來說，要加以保護的結點數(shù)決定了采用企業(yè)級防火墻還是采用SOHO防火墻。大多數(shù)情況下，SOHO防火墻能夠應付50個以內(nèi)的用戶連接請求，如果需要保護50個以上用戶，就必須采用企業(yè)防火墻?！　∑髽I(yè)防火墻往往具有管理多個防火墻的功能，即企業(yè)防火墻能夠與中央管理控制臺進行通信。生產(chǎn)企業(yè)防火墻的供應商大都提供作為選件的中央管理控制臺。此外，安全信息管理（SIM）設備也可以作為第三方管理控制臺使用。 大多數(shù)防火墻都標明了用戶連接數(shù)。　　NAT　　如今，幾乎所有防火墻都捆綁了網(wǎng)絡地址轉(zhuǎn)換（NAT）功能。NAT使用戶能夠把專用或非法IP地址轉(zhuǎn)換成合法的公共地址。 NAT結構可分為四類：一對一尋址、多對一尋址、一對多尋址和多對多尋址?！　∫粚σ粚ぶ肥荖AT最基本的形式，可以把內(nèi)部IP地址映射到不同的外部公共IP地址。 多對一尋址意味著多個內(nèi)部IP地址可以映射到一個外部IP地址，如果用戶有一個內(nèi)部DHCP作用域，并想把它映射到一個外部IP地址，建議這類用戶采用多對一尋址。多對多尋址將其他網(wǎng)絡上幾組不同的IP地址映射成內(nèi)部或外部的IP地址。如果用戶準備把一組DHCP作用域映射到另一組DHCP作用域，這就需要采用多對多NAT尋址。一對多尋址則使用于需要把一個IP地址分成兩個地址的負載均衡場合。如果用戶需要部署一個龐大、復雜的電信級網(wǎng)絡，這就需要使用NAT的高級特性?！　唵尉W(wǎng)絡而言，一對一NAT功能就已足夠?！　PN　　大部分企業(yè)級防火墻具有VPN功能。這類防火墻通常被用作VPN的端點。VPN能夠確保隱私和數(shù)據(jù)的完整性。用戶要牢記VPN必須有兩個端點。如果用戶沒有第二個端點連接至VPN，就沒有購買具有VPN功能的防火墻的必要。VPN通過加密隧道發(fā)送數(shù)據(jù)，從而把數(shù)據(jù)與外界隔離開來。加密過程需要額外的處理能力，如果用戶準備為電信級網(wǎng)絡建立VPN，這就需要捆綁具有密碼加速器或允許添加密碼加速器的VPN防火墻。捆綁密碼加速器是為了提高VPN的速度?！　∪罩竟δ堋　∪罩竟δ苁欠阑饓Φ闹匾匦灾?。為更好地管理網(wǎng)絡，用戶最好選購能夠記錄多種事件的日志、過濾多種事件的防火墻。　　在防火墻的日志功能方面，要注意的包括，所選購的防火墻日志事件的多少和過濾器的多少。過濾器能夠使用戶以合理、易懂的方式察看不同的事件。用戶應該能夠根據(jù)IP地址、網(wǎng)絡號、連接類型、域名和日期時間等基本過濾器過濾事件?！　yslog格式是最常用的日志格式，用戶所選購的防火墻最好支持Syslog格式。　　防火墻規(guī)則　　防火墻規(guī)則是防火墻得以工作的核心，其則對防火墻允許哪些類型的流量進出網(wǎng)絡作出規(guī)定。　　對企業(yè)級用戶而言，要注意的是，防火墻是否支持自動次序獨立規(guī)則。一般說來，防火墻上的規(guī)則需要排成非常特定的次序，