网络防火墙的配置与管理（2）

二、清华得实NetST网络 防火墙的配置

清华得实NetST网络防火墙可以通过两种方式进行配置，一是终端控制台，二是JAVA控制台。前者是类似于DOS的字符界面，虽然使用时比较困难，但是，一些重要系统配置操作，如NetST系统的启停、管理员口令的设置等，必须在终端控制台上进行；后者为标准的Windows图形界面，可以完成大多数一般的配置和操作。

1. 终端控制台的连接与登录
NetST防火墙随机附送了一条DB-9-to-DB-9串行线。

利用该串行线连接防火墙的控制口和计算机的COM口。

启动NetST防火墙，然后，打开计算机，并运行超级终端，选择适当的COM端口。将"每秒位数"调整为"38400"，其他参数保持默认值。

敲一下回车键，显示系统登录提示符。

键入用户名和密码，并单击回车键，即可登录至NetST防火墙。可使用的用户名为"admin"、"sysadm"、"cfgadm"和"user"，默认的口令与用户名相同。其中，admin拥有最高权限，有至高无上的权利，可以执行任何操作，所有的命令、对象都可操作。sysadm只能设置所有与系统配置有关的命令操作，不能操作与规则有关的配置。cfgadm只能进行与各项规则制定有关的配置，可以执行sysadm特有命令之外的所有命令对象。user是普通的管理帐号，只能查看当前各种配置的信息，没有权利设置、添加、删除、执行等。也就是说，一般情况下，它只能执行show命令。

以不同的用户身份登录，系统显示的提示符是不同的。当以admin登录时，提示符为"admin@NetST"；当以sysadm登录时，提示符则为"sysadm@NetST"。依次类推，其他用户分别为"cfgadm@NetST"和"user@NetST"。

3. 终端控制台的基本操作

（1）缩写命令

为了便于操作，NetST允许使用命令缩写。例如，about缩写为ab，clear缩写为cl，delete缩写为del，disable缩写为dsb，enable缩写为enb，help缩写为h，rename缩写为ren，show缩写为sh，ping缩写为p，quit缩写为q，等等。

不仅命令可以缩写，对象也可以被缩写。例如，firewall缩写为fw，interface缩写为if，limit缩写为lim，mode缩写为m，password缩写为pw，time缩写为t，等等。

（2）中英文模式切换

NetST防火墙提供中英文两种模式，用户可以根据使用习惯选择合适的方式，只需键入如下简单的命令，即可实现中英文的切换。
键入"gb"或"set mode gb"命令，即可切换至中文模式；键入"eg"或"set mode eg"命令，即可切换至英文模式。

例如：

admin@NetST> gb

中文模式!

admin@NetST> set mode eg
English!

（3）帮助

NetST防火墙提供完善的在线帮助系统。在任意提供键入参数的地方键入"h"或"?"，都可看到需要键入的参数个数、要求和其他说明帮助信息。帮助信息包括中、英文两种形式，在命令提示符下，任何时候键入gb、eg即可在中英文模式下进行切换。提示信息、命令执行结果和返回信息，即以相应的语言显示。

例如：

admin@NetST> h add

********************************************************

ADD_LIST

alias(al) : add a network card alias

content(cnt) : add content filter items

dns : add a or many domain name server's IP-address

iplist(ipl) : add ip in proxy access control list

mac : add a MAC/IP item.

nat : add a NAT (Network Address Transfer) rule.

online(ol) : add a online user.

route(ro) : add a tracerouter.

rule(ru) : add a filter rule.

user(u) : add a user.

vpnconn(vc) : add vpn connection.

********************************************************

（4）口令设置

由于网络防火墙的配置事关网络安全，因此，建议配置防火墙时首先要做的工作就是修改各用户口令。口令是区分大小写的，口令中必须包括字母和数据，字母必须包括大小写字母，长度至少为7个字符，不超过16个字符，否则视为无效。

admin@NetST> set password

Enter user name: admin

Enter new password: ABCDabcd1234

Enter New password again: ABCDabcd1234

Set password success!

JAVA控制台的默认口令为"admin123"，该口令的修改操作如下：

admin@NetST> set admin

Enter new password: ABCDabcd1234

Enter New password again: ABCDabcd1234

Set password success!

5）系统操作

● 重新启动防火墙

重新启动防火墙计算机系统，执行此命令后，在终端控制台约一分钟会重新显示用户登录界面。

admin@NetST> reboot

● 停止防火墙

关闭防火墙计算机系统。执行该命令约30秒后，才可以关闭防火墙电源。建议不要直接关闭电源，否则，可能造成防火墙内部系统软件的损坏，导致系统瘫痪。

admin@NetST> shutdown

● 显示系统状态

显示防火墙引擎、UFP服务器、agent服务器、用户登录服务器、VPN服务器、HA功能和PROXY状态，以及CPU、内存使用率。

admin@NetST> show state

firewall = OFF

log server = OFF

UFP server = OFF

agent server = ON

content server = ON

login server = ON

log file size = 180296 Bytes

cpu usage = 0.3%

memory usage = 80%

VPN = ON

HA = OFF

PROXY = ON

4. 网络设置

若欲实现防火墙的正常运行，必须分别为各端口设置正确的IP地址信息。命令格式为：

Set interface interface_pwsition IP_addr/state
其中，interface_pwsition表示欲配置的端口。使用"admin(a)"、"internal(i)"、"external(e)"和"DMZ(d)"分别标识管理端口、内网端口、外网端口和DMZ端口。IP_addr表示指定的IP地址信息。IP地址采用带掩码的点为十进制格式"xxx.xxx.xxx.xxx/xx"，地址后的"xx"表示掩码位数。表示指定端口状态，可选参数为"up"、"down"、"stat"和"dhcp"，分别表示启动、停止、设置为固定IP地址类型（缺省）、设置网卡通过HDCP获取IP地址。

例如：为内网端口设置IP地址10.0.0.1，子网掩码为255.255.255.0。
admin@NetST> set interface
Enter Interface position(i, e, dmz): internal
Enter IP address(xxx.xxx.xxx.xxx/xx): 10.0.0.1/24
Set interface success!

可使用命令"show interface interface_position"，显示网络接口的IP地址信息。该命令可带参数，也可不带参数。如果指定端口，则只显示指定端口的信息；如果未指定端口，则显示所有端口的信息。

5. 过滤规则配置

NetST防火墙全面支持包过滤功能，包过滤规则的配置是防火墙最重要的设置。

（1）过滤规则表的执行次序

NetST防火墙将按规则表中有效规则的序号，由小到大依次对数据包进行匹配，直到有一条规则与数据包匹配，防火墙执行该规则指定的动作。如数据库不能与任何规则匹配，防火墙将根据系统缺省动作处理数据包。由此可见，过滤规则的次序非常重要。NetST防火墙的缺省的默认规则为拒绝，即没有明确允许的一律禁止。也就是说，当数据包与规则表中的任何规则均不能匹配时，系统拒绝该数据包。

在规则列表中，最一般的规则往往被列在最后，而最具体的规则通常被列在最前面。在列表中，每一个列在前面的规则都比列在后面的规则更加具体，而列表中列在后面的规则比列在前面的规则更加一般。

按以上规则要求，规则放置的次序是非常关键的。同样的规则以不同的次序放置，可能会完全改变防火墙产品的运行状况。由于防火墙以顺序方式检查信息包，当防火墙接收到一个信息包时，它先与第一条规则相比较，然后才是第二条、第三条......当它发现一条匹配规则时，就停止检查，并应用那条规则。如果信息包经过每一条规则而没有发现匹配的，那么，默认的规则就将起作用，这个信息包便会被拒绝。

（2）增加过滤规则

若欲增加过滤规则，使用下述命令：

Add rule protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于将过滤规则添加到过滤规则表的最后，命令参数包括协议、源IP地址、目的IP地址、服务类型、适用端口、规则的动作和规则处理时间段。所谓规则，是指对符合协议（protocol）、源IP地址（src_ip）、目的IP地址（dst_ip）、服务类型（service/icmp_type）、端口（interface_position）的所有数据执行某种操作（action），即接受、拒绝或进行内容过滤，该规则在特定的时间段（time）内生效。
protocol用于定义协议，可以为"any"（任何协议）、"tcp"（TCP协议）、"udp"（UDP协议）和"icmp"（ICMP）协议等。

src_ip和dst_ip用于指定源和目的IP地址。IP地址格式为点为十进制格式，如"xxx.xxx.xxx.xxx/xx"。如果目的IP是一个网络，必须带"/xx"掩码，否则，将视为一台主机。也可用"any"表示任何IP地址。

service/icmp_type用于指定服务类型，即协议为TCP或UDP时的端口，如http(80)、FTP(21)、telnet(23)、smtp(25)、pop3(110)等。既可使用名称方式，也可使用数字方式，也可用"xx:xx"方式指定端口范围，或使用"any"表示任意端口。

需要注意的是，在IP地址和服务类型前加"~"表示取反，即除此地址或服务之外的其他所有地址或服务。不过，"~"对"any"取反没有意义。

interface_position用于指定端口，即通信发起方的数据包是从哪个端口进入防火墙的，表明了通信的方向性，只有此方向才能发起通信请求，而反过来则不行，这也是状态检测型防火墙的一个特征：只需定义通信发起方即可，对于返回的数据，防火墙会自动允许通过，具备很好的安全性。可分别用"internal"、"external"、"DMZ"和"admin"指定内部、外部、DMZ和管理端口。也可以使用"any"表示任意端口。

Action用于指定动作，即防火墙对符合过滤规则的数据库采取的操作，可以是"drop"（丢弃）、"accept"（接受）和"content"（进行内容过滤）。
Time用于指定时间段，即规则在特定的时间段内生效，可以是"any"（任何时候）、"onduty"（工作时间）、"offduty"（非工作时间）。
log-prefix参数为可选，用于指定日志前缀，最多14个字符。如果设置，防火墙将把符合过滤规则的数据包的情况记录到日志中，并加入此前缀。如不设置，将不作记录。

例如，若欲禁止192.168.0.0网段的员工在工作时间使用QQ聊天，可以在防火墙中添加如下规则：

admin@NetST> add rule
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 8000
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any -a, onduty -on, offduty -off): on
Enter log prefix: drop-http
Insert rule success!
若欲禁止"冲击波"和"震荡波"蠕虫病毒入侵网络，可以禁用相关端口：
admin@NetST> add rule any any 134:139 any drop any
admin@NetST> add rule any any 445 any drop any
admin@NetST> add rule any any 9995:9996 any drop any
admin@NetST> add rule any any 4444 any drop any
admin@NetST> add rule any any 5554 any drop any
可以使用下述命令：
admin@NetST> add rule icmp any any any drop any

（3）插入过滤规则

若欲有现有规则中插入新的过滤规则，使用下述命令：
insert rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
在过滤规则表中指定位置插入过滤规则，与增加过滤规则命令不同之外在于增加了序号参数"number"，在此序号处插入规则，插入的过滤规则即成为第number条过滤规则，其他参数与增加过滤规则命令完全相同。

例如，若欲禁止192.168.0.0网段的员工在工作时间在线看大片，并将该规则设置为第3条，可以执行下述操作：

admin@NetST> insert rule
Enter position: 3
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 554
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any -a, onduty -on, offduty -off): on
Enter log prefix:
Insert rule success!

（4）移动过滤规则顺序

若欲移动现有过滤规则的前后顺序，可以使用下述命令：
move rule number step
该命令用于指定的过滤规则在过滤规则表中进行移动，命令参数包括过滤规则的序号（number）和移动的步数（step），命令将过滤规则表的第number条过滤规则移动step位，step为正是后移，为负是前移，如果移动步数超过第一条规则或最后一条规则，就将规则设置为第一条或最后一条规则。
例如：若欲将规则3后移2位，那么，应当执行下述操作：
admin@NetST> move rule
Enter rule number: 3
Enter step: 2
Move rule success!

（5）修改过滤规则

若欲修改现有的过滤规则，可以使用下述命令：
modify rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于修改在过滤规则表的指定位置处的过滤规则，与增加过滤规则命令不同之外在于，增加了序号参数number，修改此序号处的过滤规则，其他参数与增加过小规则命令完全相同，当有参数不变时，用"*"号代替，或在分段输入时直接回车即可。对于日志前缀，如果直接回车表示无前缀，用"*"表示
不变。

例如，若欲将第2条规则所限制的IP地址范围由192.168.0.0网段，修改为192.168.10.0网段，并不再记录日志，那么，操作如下：

admin@NetST> modify rule
Enter rule number: 2
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.10.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]):
Enter service/icmp type :
Enter interface position:
Enter action type (drop -d, accept -a, content -c):
Enter time (any -a, onduty -on, offduty -off):
Enter log prefix:
Insert rule success!

（6）显示过滤规则

无论插入过滤规则也好，还是移动或修改过滤规则也罢，都需要事先确定过滤规则的位置。因此，显示过滤规则就成为必需的操作步骤。若欲显示过滤规则，执行下述命令：

show rule number

该命令用于显示过滤规则表，可选的命令参数是过滤规则号或规则范围（用"-"分隔）。若指定过滤规则号，只显示指定的过滤规则信息；若不指定，则显示所有过滤规则的信息。

例如，若欲显示所有的过滤规则，则执行：

admin@NetST> show rule
若欲显示1-6号规则，则执行：
admin@NetST> show rule 1-6

（7）启用或禁用过滤规则

若欲启用过滤规则，执行下述命令：

enable rule number

该命令用于使指定的过滤规则起作用，命令参数是过滤规则号，即使该过滤规则号指定的规则起作用。可在命令行一次指定多个相邻（使用"-"分隔）或不相邻（使用空格分隔）的规则。若分段输入，则只能指定一个。
例如，若欲启用过滤规则2-4和6，执行：
admin@NetST> enable rule 2-4 6
若欲禁用过滤规则，执行下述命令：
disable rule number
该命令用于使指定的过滤规则不起作用，number参数的指定与上述相同。在使用"show rule"命令查看时，不起作用的规则前标记有"*"号。

（8）删除过滤规则
若欲删除某条过滤规则，执行下述命令：

delete rule number

该命令用于使指定的过滤规则不起作用，number参数的指定与上述相同。
例如，若欲删除第3条过滤规则时，执行下述操作：

admin@NetST> delete rule
Enter number: 3
It will delete rule 3. Are you sure (y/n)? y
Delete rule success!

若欲删除所有的过滤规则，执行下述命令：

delall rule

例如，若欲删除所有的过滤规则，执行下述操作：
admin@NetST> delall rule
Enter number: 3
It will delete all rules. Are you sure (y/n)? y
Delete all rules success!
admin@NetST> show rule
Error: No any rules!