网络防火墙的配置与管理(2)

  作者:Amteam.org
2009/2/27 13:27:00
本文关键字: 网络 安全 防火墙
二、清华得实NetST网络防火墙的配置

清华得实NetST网络防火墙可以通过两种方式进行配置,一是终端控制台,二是JAVA控制台。前者是类似于DOS的字符界面,虽然使用时比较困难,但是,一些重要系统配置操作,如NetST系统的启停、管理员口令的设置等,必须在终端控制台上进行;后者为标准的Windows图形界面,可以完成大多数一般的配置和操作。

1. 终端控制台的连接与登录
NetST防火墙随机附送了一条DB-9-to-DB-9串行线。

利用该串行线连接防火墙的控制口和计算机的COM口。

启动NetST防火墙,然后,打开计算机,并运行超级终端,选择适当的COM端口。将"每秒位数"调整为"38400",其他参数保持默认值。

敲一下回车键,显示系统登录提示符。

键入用户名和密码,并单击回车键,即可登录至NetST防火墙。可使用的用户名为"admin"、"sysadm"、"cfgadm"和"user",默认的口令与用户名相同。其中,admin拥有最高权限,有至高无上的权利,可以执行任何操作,所有的命令、对象都可操作。sysadm只能设置所有与系统配置有关的命令操作,不能操作与规则有关的配置。cfgadm只能进行与各项规则制定有关的配置,可以执行sysadm特有命令之外的所有命令对象。user是普通的管理帐号,只能查看当前各种配置的信息,没有权利设置、添加、删除、执行等。也就是说,一般情况下,它只能执行show命令。

以不同的用户身份登录,系统显示的提示符是不同的。当以admin登录时,提示符为"admin@NetST";当以sysadm登录时,提示符则为"sysadm@NetST"。依次类推,其他用户分别为"cfgadm@NetST"和"user@NetST"。

3. 终端控制台的基本操作

(1)缩写命令

为了便于操作,NetST允许使用命令缩写。例如,about缩写为ab,clear缩写为cl,delete缩写为del,disable缩写为dsb,enable缩写为enb,help缩写为h,rename缩写为ren,show缩写为sh,ping缩写为p,quit缩写为q,等等。

不仅命令可以缩写,对象也可以被缩写。例如,firewall缩写为fw,interface缩写为if,limit缩写为lim,mode缩写为m,password缩写为pw,time缩写为t,等等。

(2)中英文模式切换

NetST防火墙提供中英文两种模式,用户可以根据使用习惯选择合适的方式,只需键入如下简单的命令,即可实现中英文的切换。
键入"gb"或"set mode gb"命令,即可切换至中文模式;键入"eg"或"set mode eg"命令,即可切换至英文模式。

例如:

admin@NetST> gb

中文模式!

admin@NetST> set mode eg
English!

(3)帮助

NetST防火墙提供完善的在线帮助系统。在任意提供键入参数的地方键入"h"或"?",都可看到需要键入的参数个数、要求和其他说明帮助信息。帮助信息包括中、英文两种形式,在命令提示符下,任何时候键入gb、eg即可在中英文模式下进行切换。提示信息、命令执行结果和返回信息,即以相应的语言显示。

例如:

admin@NetST> h add

********************************************************

ADD_LIST

alias(al) : add a network card alias

content(cnt) : add content filter items

dns : add a or many domain name server's IP-address

iplist(ipl) : add ip in proxy access control list

mac : add a MAC/IP item.

nat : add a NAT (Network Address Transfer) rule.

online(ol) : add a online user.

route(ro) : add a tracerouter.

rule(ru) : add a filter rule.

user(u) : add a user.

vpnconn(vc) : add vpn connection.

********************************************************

(4)口令设置

由于网络防火墙的配置事关网络安全,因此,建议配置防火墙时首先要做的工作就是修改各用户口令。口令是区分大小写的,口令中必须包括字母和数据,字母必须包括大小写字母,长度至少为7个字符,不超过16个字符,否则视为无效。

admin@NetST> set password

Enter user name: admin

Enter new password: ABCDabcd1234

Enter New password again: ABCDabcd1234

Set password success!

JAVA控制台的默认口令为"admin123",该口令的修改操作如下:

admin@NetST> set admin

Enter new password: ABCDabcd1234

Enter New password again: ABCDabcd1234

Set password success!

5)系统操作

● 重新启动防火墙

重新启动防火墙计算机系统,执行此命令后,在终端控制台约一分钟会重新显示用户登录界面。

admin@NetST> reboot

● 停止防火墙

关闭防火墙计算机系统。执行该命令约30秒后,才可以关闭防火墙电源。建议不要直接关闭电源,否则,可能造成防火墙内部系统软件的损坏,导致系统瘫痪。

admin@NetST> shutdown

● 显示系统状态

显示防火墙引擎、UFP服务器、agent服务器、用户登录服务器、VPN服务器、HA功能和PROXY状态,以及CPU、内存使用率。

admin@NetST> show state

firewall = OFF

log server = OFF

UFP server = OFF

agent server = ON

content server = ON

login server = ON

log file size = 180296 Bytes

cpu usage = 0.3%

memory usage = 80%

VPN = ON

HA = OFF

PROXY = ON

4. 网络设置

若欲实现防火墙的正常运行,必须分别为各端口设置正确的IP地址信息。命令格式为:

Set interface interface_pwsition IP_addr/state
其中,interface_pwsition表示欲配置的端口。使用"admin(a)"、"internal(i)"、"external(e)"和"DMZ(d)"分别标识管理端口、内网端口、外网端口和DMZ端口。IP_addr表示指定的IP地址信息。IP地址采用带掩码的点为十进制格式"xxx.xxx.xxx.xxx/xx",地址后的"xx"表示掩码位数。表示指定端口状态,可选参数为"up"、"down"、"stat"和"dhcp",分别表示启动、停止、设置为固定IP地址类型(缺省)、设置网卡通过HDCP获取IP地址。

例如:为内网端口设置IP地址10.0.0.1,子网掩码为255.255.255.0。
admin@NetST> set interface
Enter Interface position(i, e, dmz): internal
Enter IP address(xxx.xxx.xxx.xxx/xx): 10.0.0.1/24
Set interface success!

可使用命令"show interface interface_position",显示网络接口的IP地址信息。该命令可带参数,也可不带参数。如果指定端口,则只显示指定端口的信息;如果未指定端口,则显示所有端口的信息。

5. 过滤规则配置

NetST防火墙全面支持包过滤功能,包过滤规则的配置是防火墙最重要的设置。

(1)过滤规则表的执行次序

NetST防火墙将按规则表中有效规则的序号,由小到大依次对数据包进行匹配,直到有一条规则与数据包匹配,防火墙执行该规则指定的动作。如数据库不能与任何规则匹配,防火墙将根据系统缺省动作处理数据包。由此可见,过滤规则的次序非常重要。NetST防火墙的缺省的默认规则为拒绝,即没有明确允许的一律禁止。也就是说,当数据包与规则表中的任何规则均不能匹配时,系统拒绝该数据包。

在规则列表中,最一般的规则往往被列在最后,而最具体的规则通常被列在最前面。在列表中,每一个列在前面的规则都比列在后面的规则更加具体,而列表中列在后面的规则比列在前面的规则更加一般。

按以上规则要求,规则放置的次序是非常关键的。同样的规则以不同的次序放置,可能会完全改变防火墙产品的运行状况。由于防火墙以顺序方式检查信息包,当防火墙接收到一个信息包时,它先与第一条规则相比较,然后才是第二条、第三条......当它发现一条匹配规则时,就停止检查,并应用那条规则。如果信息包经过每一条规则而没有发现匹配的,那么,默认的规则就将起作用,这个信息包便会被拒绝。

(2)增加过滤规则

若欲增加过滤规则,使用下述命令:

Add rule protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于将过滤规则添加到过滤规则表的最后,命令参数包括协议、源IP地址、目的IP地址、服务类型、适用端口、规则的动作和规则处理时间段。所谓规则,是指对符合协议(protocol)、源IP地址(src_ip)、目的IP地址(dst_ip)、服务类型(service/icmp_type)、端口(interface_position)的所有数据执行某种操作(action),即接受、拒绝或进行内容过滤,该规则在特定的时间段(time)内生效。
protocol用于定义协议,可以为"any"(任何协议)、"tcp"(TCP协议)、"udp"(UDP协议)和"icmp"(ICMP)协议等。

src_ip和dst_ip用于指定源和目的IP地址。IP地址格式为点为十进制格式,如"xxx.xxx.xxx.xxx/xx"。如果目的IP是一个网络,必须带"/xx"掩码,否则,将视为一台主机。也可用"any"表示任何IP地址。

service/icmp_type用于指定服务类型,即协议为TCP或UDP时的端口,如http(80)、FTP(21)、telnet(23)、smtp(25)、pop3(110)等。既可使用名称方式,也可使用数字方式,也可用"xx:xx"方式指定端口范围,或使用"any"表示任意端口。

需要注意的是,在IP地址和服务类型前加"~"表示取反,即除此地址或服务之外的其他所有地址或服务。不过,"~"对"any"取反没有意义。

interface_position用于指定端口,即通信发起方的数据包是从哪个端口进入防火墙的,表明了通信的方向性,只有此方向才能发起通信请求,而反过来则不行,这也是状态检测型防火墙的一个特征:只需定义通信发起方即可,对于返回的数据,防火墙会自动允许通过,具备很好的安全性。可分别用"internal"、"external"、"DMZ"和"admin"指定内部、外部、DMZ和管理端口。也可以使用"any"表示任意端口。

Action用于指定动作,即防火墙对符合过滤规则的数据库采取的操作,可以是"drop"(丢弃)、"accept"(接受)和"content"(进行内容过滤)。
Time用于指定时间段,即规则在特定的时间段内生效,可以是"any"(任何时候)、"onduty"(工作时间)、"offduty"(非工作时间)。
log-prefix参数为可选,用于指定日志前缀,最多14个字符。如果设置,防火墙将把符合过滤规则的数据包的情况记录到日志中,并加入此前缀。如不设置,将不作记录。

例如,若欲禁止192.168.0.0网段的员工在工作时间使用QQ聊天,可以在防火墙中添加如下规则:

admin@NetST> add rule
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 8000
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any -a, onduty -on, offduty -off): on
Enter log prefix: drop-http
Insert rule success!
若欲禁止"冲击波"和"震荡波"蠕虫病毒入侵网络,可以禁用相关端口:
admin@NetST> add rule any any 134:139 any drop any
admin@NetST> add rule any any 445 any drop any
admin@NetST> add rule any any 9995:9996 any drop any
admin@NetST> add rule any any 4444 any drop any
admin@NetST> add rule any any 5554 any drop any
可以使用下述命令:
admin@NetST> add rule icmp any any any drop any

(3)插入过滤规则

若欲有现有规则中插入新的过滤规则,使用下述命令:
insert rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
在过滤规则表中指定位置插入过滤规则,与增加过滤规则命令不同之外在于增加了序号参数"number",在此序号处插入规则,插入的过滤规则即成为第number条过滤规则,其他参数与增加过滤规则命令完全相同。

例如,若欲禁止192.168.0.0网段的员工在工作时间在线看大片,并将该规则设置为第3条,可以执行下述操作:

admin@NetST> insert rule
Enter position: 3
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 554
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any -a, onduty -on, offduty -off): on
Enter log prefix:
Insert rule success!

(4)移动过滤规则顺序

若欲移动现有过滤规则的前后顺序,可以使用下述命令:
move rule number step
该命令用于指定的过滤规则在过滤规则表中进行移动,命令参数包括过滤规则的序号(number)和移动的步数(step),命令将过滤规则表的第number条过滤规则移动step位,step为正是后移,为负是前移,如果移动步数超过第一条规则或最后一条规则,就将规则设置为第一条或最后一条规则。
例如:若欲将规则3后移2位,那么,应当执行下述操作:
admin@NetST> move rule
Enter rule number: 3
Enter step: 2
Move rule success!

(5)修改过滤规则

若欲修改现有的过滤规则,可以使用下述命令:
modify rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于修改在过滤规则表的指定位置处的过滤规则,与增加过滤规则命令不同之外在于,增加了序号参数number,修改此序号处的过滤规则,其他参数与增加过小规则命令完全相同,当有参数不变时,用"*"号代替,或在分段输入时直接回车即可。对于日志前缀,如果直接回车表示无前缀,用"*"表示
不变。

例如,若欲将第2条规则所限制的IP地址范围由192.168.0.0网段,修改为192.168.10.0网段,并不再记录日志,那么,操作如下:

admin@NetST> modify rule
Enter rule number: 2
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.10.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]):
Enter service/icmp type :
Enter interface position:
Enter action type (drop -d, accept -a, content -c):
Enter time (any -a, onduty -on, offduty -off):
Enter log prefix:
Insert rule success!

(6)显示过滤规则

无论插入过滤规则也好,还是移动或修改过滤规则也罢,都需要事先确定过滤规则的位置。因此,显示过滤规则就成为必需的操作步骤。若欲显示过滤规则,执行下述命令:

show rule number

该命令用于显示过滤规则表,可选的命令参数是过滤规则号或规则范围(用"-"分隔)。若指定过滤规则号,只显示指定的过滤规则信息;若不指定,则显示所有过滤规则的信息。

例如,若欲显示所有的过滤规则,则执行:

admin@NetST> show rule
若欲显示1-6号规则,则执行:
admin@NetST> show rule 1-6

(7)启用或禁用过滤规则

若欲启用过滤规则,执行下述命令:

enable rule number

该命令用于使指定的过滤规则起作用,命令参数是过滤规则号,即使该过滤规则号指定的规则起作用。可在命令行一次指定多个相邻(使用"-"分隔)或不相邻(使用空格分隔)的规则。若分段输入,则只能指定一个。
例如,若欲启用过滤规则2-4和6,执行:
admin@NetST> enable rule 2-4 6
若欲禁用过滤规则,执行下述命令:
disable rule number
该命令用于使指定的过滤规则不起作用,number参数的指定与上述相同。在使用"show rule"命令查看时,不起作用的规则前标记有"*"号。

(8)删除过滤规则
若欲删除某条过滤规则,执行下述命令:

delete rule number

该命令用于使指定的过滤规则不起作用,number参数的指定与上述相同。
例如,若欲删除第3条过滤规则时,执行下述操作:

admin@NetST> delete rule
Enter number: 3
It will delete rule 3. Are you sure (y/n)? y
Delete rule success!

若欲删除所有的过滤规则,执行下述命令:

delall rule

例如,若欲删除所有的过滤规则,执行下述操作:
admin@NetST> delall rule
Enter number: 3
It will delete all rules. Are you sure (y/n)? y
Delete all rules success!
admin@NetST> show rule
Error: No any rules!


责编:
vsharing微信扫一扫实时了解行业动态
portalart微信扫一扫分享本文给好友

著作权声明:kaiyun体育官方人口 文章著作权分属kaiyun体育官方人口 、网友和合作伙伴,部分非原创文章作者信息可能有所缺失,如需补充或修改请与我们联系,工作人员会在1个工作日内配合处理。
最新专题
网络安全热点透析

随着移动互联、大数据、云计算、物联网等技术的日益发展,在这些热点技术为个人生活带来便利的同时,也为企业发展..

数据安全医药行业解决方案

采用身份鉴别、访问控制、数据加密以及权限控制等多种安全防护技术手段,保障数据库中医药数据只能被合法用户合规..

    畅享
    首页
    返回
    顶部
    ×
      信息化规划
      IT总包
      供应商选型
      IT监理
      开发维护外包
      评估维权
    客服电话
    400-698-9918
    Baidu
    map