第五章包過濾技術(shù)

第1頁，共38頁，2023年，2月20日，星期三掌握包過濾技術(shù)的原理與配置掌握ASPF的原理與配置掌握黑名單原理與配置課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：第2頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄第3頁，共38頁，2023年，2月20日，星期三包過濾技術(shù)介紹公司總部內(nèi)部網(wǎng)絡(luò)未授權(quán)用戶辦事處防火墻第4頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄第5頁，共38頁，2023年，2月20日，星期三包過濾防火墻基本配置包過濾防火墻配置包括允許或禁止防火墻設(shè)置防火墻缺省過濾方式設(shè)置包過濾防火墻分片報文檢測開關(guān)配置分片報文檢測的上、下門限值在接口上應(yīng)用訪問控制列表

第6頁，共38頁，2023年，2月20日，星期三包過濾基本配置允許或者禁止防火墻操作命令允許防火墻firewall

packet-filterenable

禁止防火墻undofirewall

packet-filterenable

第7頁，共38頁，2023年，2月20日，星期三包過濾基本配置設(shè)置包過濾防火墻缺省過濾方式操作命令設(shè)置缺省過濾方式為允許通過firewall

packet-filterdefault

permit

設(shè)置缺省過濾方式為禁止通過firewall

packet-filterdefault

deny

第8頁，共38頁，2023年，2月20日，星期三包過濾基本配置設(shè)置包過濾防火墻分片檢測操作命令打開分片報文檢測firewall

packet-filterfragments-inspect

關(guān)閉分片報文檢測undo

firewall

packet-filterfragments-inspect

第9頁，共38頁，2023年，2月20日，星期三包過濾基本配置配置分片報文檢測的上下限域值操作命令指定上、下限分片狀態(tài)記錄數(shù)目firewall

packet-filterfragments-inspect{high|low}{default|number}恢復(fù)上限分片狀態(tài)記錄數(shù)目為缺省值undo

firewall

packet-filterfragments-inspect{high|low}第10頁，共38頁，2023年，2月20日，星期三包過濾基本配置在接口上應(yīng)用訪問控制列表操作命令指定接口上過濾接收報文的規(guī)則firewall

packet-filter

acl-number{inbound|outbound}[match-fragments{normally|exactly}]取消接口上過濾接收報文的規(guī)則undo

firewall

packet-filteracl-number{inbound|outbound}第11頁，共38頁，2023年，2月20日，星期三包過濾基本配置包過濾防火墻顯示與調(diào)試操作命令顯示接口的有關(guān)防火墻的統(tǒng)計信息display

firewallpacket-filterstatistics{all|interface

typenumber|fragments-inspect}顯示分片表displayfirewallfragment

打開防火墻包過濾調(diào)試信息開關(guān)debugging

firewall

packet-filter{all|denied|permitted|icmp|tcp|udp|fragments-inspect|others}[interface

typenumber]第12頁，共38頁，2023年，2月20日，星期三包過濾基本配置包過濾防火墻顯示與調(diào)試(續(xù))操作命令關(guān)閉防火墻包過濾調(diào)試信息開關(guān)undo

debugging

packet-filterfirewall{all|denied|permitted|icmp|tcp|udp|fragments-inspect|others}[interface

typenumber]清除包過濾防火墻的統(tǒng)計信息reset

firewallpacket-filterstatistics{all|interface

typenumber}第13頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置

ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄第14頁，共38頁，2023年，2月20日，星期三包過濾技術(shù)存在的問題ACL能夠解決所有問題嗎？第15頁，共38頁，2023年，2月20日，星期三ASPF介紹能夠檢查應(yīng)用層協(xié)議信息能夠檢測傳輸層協(xié)議信息JavaBlocking（Java阻斷）DoS（DenialofService，拒絕服務(wù)）的檢測和防范ActiveXBlocking（ActiveX阻斷）支持端口到應(yīng)用的映射，為基于應(yīng)用層協(xié)議的服務(wù)指定非通用端口增強的會話日志功能第16頁，共38頁，2023年，2月20日，星期三ASPF基本概念JavaBlocking端口映射單通道協(xié)議/多通道協(xié)議內(nèi)部接口和外部接口第17頁，共38頁，2023年，2月20日，星期三ASPF檢測應(yīng)用層協(xié)議基本原理ClientAServer被保護的網(wǎng)絡(luò)用戶A初始化一個會話用戶A的會話返回報文被允許通過其他會話的報文被阻斷第18頁，共38頁，2023年，2月20日，星期三ASPF檢測多通道應(yīng)用層協(xié)議基本原理FTPClientFTPServerport:1333port:1600port:21port:20控制通道連接數(shù)據(jù)通道連接FTP指令和應(yīng)答port指令第19頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置ASPF原理介紹

ASPF基本配置黑名單原理介紹黑名單基本配置目錄第20頁，共38頁，2023年，2月20日，星期三ASPF基本配置ASPF配置包括允許防火墻配置訪問控制列表定義一個ASPF策略在選定的接口上應(yīng)用ASPF策略過濾范圍第21頁，共38頁，2023年，2月20日，星期三ASPF基本配置允許防火墻操作命令允許防火墻firewall

packet-filterenable

第22頁，共38頁，2023年，2月20日，星期三ASPF基本配置配置訪問控制列表操作命令配置訪問控制列表（在ACL視圖下）ruledeny將ACL應(yīng)用到出接口上（在接口視圖下）firewallpacket-filteracl-numinbound

第23頁，共38頁，2023年，2月20日，星期三ASPF基本配置定義ASPF策略之創(chuàng)建ASPF策略操作命令創(chuàng)建一個ASPF策略aspf-policyaspf-policy-number

刪除創(chuàng)建一個ASPF策略undo

aspf-policy

aspf-policy-number第24頁，共38頁，2023年，2月20日，星期三ASPF基本配置定義ASPF策略之配置空閑超時值操作命令配置空閑超時值aging-time{syn|fin|tcp|udp}seconds

恢復(fù)默認的空閑超時值undo

aging-time{syn|fin|tcp|udp}第25頁，共38頁，2023年，2月20日，星期三ASPF基本配置定義ASPF策略之配置應(yīng)用層檢測操作命令配置空閑超時值detect

protocol[aging-time

seconds]刪除配置的應(yīng)用協(xié)議檢測undo

detect

protocol

第26頁，共38頁，2023年，2月20日，星期三ASPF基本配置定義ASPF策略之配置通用TCP和UDP檢測操作命令配置通用TCP協(xié)議檢測detect

tcp[aging-time

seconds]配置通用UDP協(xié)議檢測detect

udp[aging-time

seconds]刪除通用TCP協(xié)議檢測undo

detect

tcp

刪除通用UDP協(xié)議檢測undo

detect

udp

第27頁，共38頁，2023年，2月20日，星期三ASPF基本配置在接口上應(yīng)用ASPF策略操作命令在接口上應(yīng)用ASPF策略firewall

aspfaspf-policy-number{inbound|outbound}刪除該接口上應(yīng)用的ASPF策略undo

firewall

aspf

aspf-policy-number{inbound|outbound}第28頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄第29頁，共38頁，2023年，2月20日，星期三黑名單原理介紹從來的大量SYN報文主機在實行SynFlood攻擊，后面來的數(shù)據(jù)包不能通過！防火墻第30頁，共38頁，2023年，2月20日，星期三黑名單列表表項的來源1.手動添加2.動態(tài)創(chuàng)建防火墻第31頁，共38頁，2023年，2月20日，星期三包過濾介紹包過濾基本配置ASPF原理介紹ASPF基本配置黑名單原理介紹黑名單基本配置目錄第32頁，共38頁，2023年，2月20日，星期三黑名單基本配置黑名單基本配置包括啟動或禁止黑名單配置黑名單表項黑名單的顯示與調(diào)試第33頁，共38頁，2023年，2月20日，星期三黑名單基本配置啟動或禁止黑名單

操作命令啟動黑名單功能firewallblacklistenable

禁止黑名單功能undofirewallblacklistenable

第34頁，共38頁，2023年，2月20日，星期三黑名單基本配置配置黑名單表項操作命令配置黑名單表項firewallblacklistsour-addr[timeout

minutes]刪除黑名單表項undofirewallblacklistitem[

sour-addr]第35頁，共38頁，2023年，2月20日，星期三黑名單基本配置黑名單的顯示與調(diào)試操作命令顯示當(dāng)前黑名單表項信息或運行