搜档网
当前位置:搜档网 › Cisco ASA 5505 防火墙常用配置案例

Cisco ASA 5505 防火墙常用配置案例

Cisco ASA 5505 防火墙常用配置案例
Cisco ASA 5505 防火墙常用配置案例

interface Vlan2

nameif outside --------------------对端口命名外端口

security-level 0 --------------------设置端口等级

ip address X.X.X.X 255.255.255.224 --------------------调试外网地址

!

interface Vlan3

nameif inside --------------------对端口命名内端口

security-level 100 --------------------调试外网地址

ip address 192.168.1.1 255.255.255.0 --------------------设置端口等级

!

interface Ethernet0/0

switchport access vlan 2 --------------------设置端口VLAN与VLAN2绑定

!

interface Ethernet0/1

switchport access vlan 3 --------------------设置端口VLAN与VLAN3绑定

!

interface Ethernet0/2

shutdown

!

interface Ethernet0/3

shutdown

!

interface Ethernet0/4

shutdown

!

interface Ethernet0/5

shutdown

!

interface Ethernet0/6

shutdown

!

interface Ethernet0/7

shutdown

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

dns domain-lookup inside

dns server-group DefaultDNS

name-server 211.99.129.210

name-server 202.106.196.115

access-list 102 extended permit icmp any any ------------------设置ACL列表(允许ICMP全部通过)

access-list 102 extended permit ip any any ------------------设置ACL列表(允许所有IP全部通过)

pager lines 24

mtu outside 1500

mtu inside 1500

icmp unreachable rate-limit 1 burst-size 1

no asdm history enable

arp timeout 14400

global (outside) 1 interface ------------------设置NAT地址映射到外网口

nat (inside) 1 0.0.0.0 0.0.0.0 ------------------NAT地址池(所有地址)access-group 102 in interface outside ------------------设置ACL列表绑定到外端口route outside 0.0.0.0 0.0.0.0 x.x.x.x 1 ------------------设置到外网的默认路由

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

telnet 0.0.0.0 0.0.0.0 inside ------------------设置TELNET所有地址进入

telnet timeout 5

ssh 0.0.0.0 0.0.0.0 outside ------------------设置SSH所有地址进入ssh timeout 30

ssh version 2

console timeout 0

!

dhcpd address 192.168.1.100-192.168.1.199 inside ------------------设置DHCP 服务器地址池

dhcpd dns 211.99.129.210 202.106.196.115 interface inside ------------------设置DNS服务器到内网端口

dhcpd enable inside ------------------设置DHCP应用到内网端口

!

前几天去客户那调试CISCO-ASA-5505设备,第一次摸,跟PIX一样,呵呵.没有技术含量,都是最基本的.其他业务配置暂时没配,会及时更新的.Cisco ASA5505配置

cisco, config, telnet, 防火墙, Cisco

1.配置防火墙名

ciscoasa> enable

ciscoasa# configure terminal

ciscoasa(config)# hostname asa5505

2.配置telnet

asa5505(config)#telnet 192.168.1.0 255.255.255.0 inside ↑//允许内部接口192.168.1.0网段telnet防火墙

3.配置密码

asa5505(config)# password cisco ------------------远程密码

asa5505(config)# enable password cisco ------------------特权模式密码

4.配置IP

asa5505(config)# interface vlan 2 ------------------进入vlan2

asa5505(config-if)# ip address 218.16.37.222 255.255.255.192 ------------------vlan2配置IP

asa5505(config)#show ip address vlan2 ------------------验证配置

5.端口加入vlan

asa5505(config)# interface e0/3 ------------------进入接口e0/3

asa5505(config-if)# switchport access vlan 3 ------------------接口e0/3加入vlan3

asa5505(config)# interface vlan 3 ------------------进入vlan3

asa5505(config-if)# ip address 10.10.10.36 255.255.255.224 ------------------vlan3配置IP

asa5505(config-if)# nameif dmz ------------------vlan3名

asa5505(config-if)# no shutdown ------------------开启

asa5505(config-if)# show switch vlan ------------------验证配置

6.最大传输单元MTU

asa5505(config)#mtu inside 1500 ------------------inside最大传输单元1500字节

asa5505(config)#mtu outside 1500 ------------------outside最大传输单元1500字节

asa5505(config)#mtu dmz 1500 ------------------dmz最大传输单元1500字节

7.配置arp表的超时时间

asa5505(config)#arp timeout 14400 ------------------arp表的超时时间14400秒

8.FTP模式

asa5505(config)#ftp mode passive ------------------FTP被动模式

9.配置域名

asa5505(config)#domain-name https://www.sodocs.net/doc/5312881099.html,

10.启动日志

asa5505(config)#logging enable ------------------启动日志

asa5505(config)#logging asdm informational ------------------启动asdm报告日志

asa5505(config)#Show logging ------------------验证配置

11.启用http服务

asa5505(config)#http server enable ------------------启动HTTP server,便于ASDM连接。

asa5505(config)#http 0.0.0.0 0.0.0.0 outside ------------------对外启用ASDM连接

asa5505(config)#http 0.0.0.0 0.0.0.0 inside ------------------对内启用ASDM连接

12.控制列表

access-list acl_out extended permit tcp any any eq www ------------------允许tcp协议80端口入站access-list acl_out extended permit tcp any any eq https ------------------允许tcp协议443端口入站

access-list acl_out extended permit tcp any host 218.16.37.223 eq ftp

↑//允许tcp协议21端口到218.16.37.223主机

access-list acl_out extended permit tcp any host 218.16.37.224 eq 3389

↑//允许tcp协议3389端口到218.16.37.224主机

access-list acl_out extended permit tcp any host 218.16.37.225 eq 1433

↑//允许tcp协议1433端口到218.16.37.225主机

access-list acl_out extended permit tcp any host 218.16.37.226 eq 8080

↑//允许tcp协议8080端口到218.16.37.226主机

asa5505(config)#show access-list ------------------验证配置

13.设置路由

asa5505(config)#route dmz 10.0.0.0 255.0.0.0 10.10.10.33 1

↑//静态路由到10.0.0.0网段经过10.10.10.33网关跳数为1

asa5505(config)#route outside 0.0.0.0 0.0.0.0 218.16.37.193 1

↑//默认路由到所有网段经过218.16.37.193网关跳数为1

asa5505# show route ------------------显示路由信息

14.静态NAT

asa5505(config)# static (inside,outside) 218.16.37.223 192.168.1.6 netmask 255.255.255.255

↑//外网218.16.37.223映射到内网192.168.1.6

asa5505(config)#access-list acl_out extended permit icmp any any

↑//控制列表名acl_out允许ICMP协议

asa5505(config)#access-group acl_out in interface outside

↑//控制列表acl_out应用到outside接口

asa5505(config)#static (inside,dmz) 10.10.10.37 192.168.1.16 netmask 255.255.255.255 ↑//dmz10.10.10.37映射到内网192.168.1.16

asa5505(config)#access-list acl_dmz extended permit icmp any any

↑//控制列表名acl_dmz允许ICMP协议

asa5505(config)#access-group acl_dmz in interface dmz -----------------控制列表acl_out应用到dmz接口asa5505(config)#Show nat ------------------验证配置

15.动态NAT

asa5505(config)#global(outside) 1 218.201.35.224-218.201.35.226 ------------------定义全局地址池

asa5505(config)#nat(inside) 1 192.168.1.20-192.168.1.22 ------------------内部转换地址池asa5505(config)# show xlate ------------------验证配置

16.基于端口NAT(PAT)

asa5505(config)#global (outside) 2 interface ----------------定义全局地址即outside地址:218.16.37.222

asa5505(config)#nat (inside) 2 192.168.1.0 255.255.255.0 ------------------内部转换地址池asa5505(config)# show xlate ------------------验证配置

17.基于LAN故障倒换(failover)

1).主防火墙配置

asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12----故障倒换虚拟MAC地址

asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22-----故障倒换虚拟MAC地址

asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32-----故障倒换虚拟MAC地址

asa5505(config)#failover ------------------启动故障倒换

asa5505(config)#failover lan unit primary ------------------设置主要防火墙

asa5505(config)#failover lan interface standby Vlan4 ------------------故障倒换接口名standby asa5505(config)#failover interface ip standby 172.168.32.1 255.255.255.252 standby 172.168.32.2

↑//配置主防火墙IP:172.168.32.1,备用防火墙IP:172.168.32.2

asa5505# show failover ------------------验证配置

2).备防火墙配置

asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12----故障倒换虚拟MAC地址

asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22------故障倒换虚拟MAC地址asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32------故障倒换虚拟MAC地址asa5505(config)#failover ------------------启动故障倒换

asa5505(config)#failover lan unit secondary ------------------设置备用防火墙

asa5505(config)#failover lan interface standby Vlan4 ------------------故障倒换接口名standby asa5505(config)#failover interface ip standby 172.168.32.1 255.255.255.252 standby 172.168.32.2

↑//配置主防火墙IP:172.168.32.1,备用防火墙IP:172.168.32.2

asa5505# show failover ------------------验证配置

18.显示mac地址

asa5505# show switch mac-address-table

19.保存配置

asa5505# write memoryCisco ASA 5505防火墙地址映射问题解决前些天帮朋友配置一台Cisco ASA5505防火墙, 映射总是不成功. 在网上也看到很多朋友遇到了这种问题,都在寻问这个解决方法.有人已经将问题解决了,但没给出解决方案. 也许这并不是一个很复杂的难题,但我希望通过博客能帮助朋友们及时得到这个小问题的处理.

基本情况:

WAN: 221.221.147.195 Gateway: 221.221.147.200 LAN: 192.168.0.1

内网中有一台服务器,地址: 192.168.0.10 端口: 8089

故障描述: 内网可正常连接至服务器,外网无法连接. 端口映射出现问题.

解决方法: 命令行错误, 已更正并解决.

问题重点: 采用"static (inside,outside) 221.221.147.195 192.168.0.10 tcp 8089" 映射.

目前配置如下:

ASA Version 7.2(2)

!

hostname ciscoasa

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Vlan1

nameif inside

security-level 100

ip address 192.168.0.1 255.255.255.0

!

interface Vlan2

nameif outside

security-level 0

ip address 221.221.147.195 255.255.255.252

!

interface Ethernet0/0

switchport access vlan 2

!

interface Ethernet0/1

!

interface Ethernet0/2

!

!

interface Ethernet0/4

!

interface Ethernet0/5

!

interface Ethernet0/6

!

interface Ethernet0/7

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

access-list 101 extended permit tcp any host 221.221.147.195 eq 8089

access-list 101 extended permit icmp any any

access-list 101 extended permit tcp any any

access-list 101 extended permit udp any any

pager lines 24

logging asdm informational

mtu inside 1500

mtu outside 1500

icmp unreachable rate-limit 1 burst-size 1

no asdm history enable

arp timeout 14400

global (outside) 1 interface

static (inside,outside) 221.221.147.195 192.168.0.10 netmask 255.255.255.255 tcp 8089 0 access-group 101 in interface outside

route outside 0.0.0.0 0.0.0.0 221.221.147.200 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

http server enable

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd auto_config outside

!

!

class-map inspection_default

match default-inspection-traffic

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

!

service-policy global_policy global

prompt hostname context

Cryptochecksum:30e219cbc04a4c919e7411de55e14a64

: end

ciscoasa(config)#

------------------------------------------------------------

在找寻解决方案过程中,有朋友做了重要提示, 采用: static (inside,outside) int 192.168.0.10 tcp 8089 做映射,但出现警告提示:

WARNING: static redireting all traffics at outside interface;

WARNING: all services terminating at outside interface are disabled.

后来将命令改成: static (inside,outside) 221.221.147.195 192.168.0.10 tcp 8089 问题解决.ASA5505配置笔记

ASA5505配置笔记

1.IP地址配置

#int vlan1

#>nameif outside

#security-level 0

#ip address 172.16.1.1 255.255.0.0.

#end

#int vlan 2

#nameif insiede

#security-levlel 100

#ip address 192.168.1.1 255.255.255.0

#end

2.把端口指定到相应VLAN中

#int Eth0/0

#switchport access vlan 1

end

#int Eth0/1

switchport access vlan 2

end

#exit

3.配置Http.telnet和ssh管理

#username xxx password xxxxxx encrypted privilege 15

#aaa authentication enable console LOCAL

#aaa authentication telnet console LOCAL

#aaa authentication http console LOCAL

#aaa authentication ssh console LOCAL

#aaa autoentication command LOCAL

#http server enable

#http 192.168.1.0 255.255.255.0 inside

#telnet 192.168.1.0 255.255.255.0 inside

#ssh 192.168.1.0 255.255.255.0 inside

#crypto key generate rsa(打开SSH服务)

4.VPN配置

VPN配置可在ASDM模式下配置,具体配置略CISCO ASA 5510实际配置案例及详解去年卖个某大型企业的ASA5510防火墙,附实际的配置,并且都解释了得很清楚,非常值得参考的资料!

2008-12-15 11:07

ASA5510# SHOW RUN

: Saved

:

ASA Version 7.0(6)

!

hostname ASA5510

enable password 2KFQnbNIdI.2KYOU encrypted

names

dns-guard

!

interface Ethernet0/0 此接口为外部网络接口

nameif outside 设置为OUTSIDE 外部接口模式

security-level 0 外部接口模式安全级别为最高0

ip address 192.168.3.234 255.255.255.0 添加外部IP地址(一般为电信÷网通提供)!

interface Ethernet0/1此接口为内部网络接口

nameif inside设置为INSIDE

内部接口模式

security-level 100内部接口模式安全级别为100

ip address 10.1.1.1

255.255.0.0添加内部IP地址(一般为公司自行分配)

!

interface Ethernet0/2 没用到SHUTDOWN

关闭

shutdown

no nameif

no security-level

no ip

address

!

interface Management0/0没用到SHUTDOWN 关闭

nameif

management

security-level 100

ip address 192.168.1.1 255.255.255.0

没用,用网线连接管理的端口。

management-only

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

pager lines 24

logging asdm

informational

mtu outside 1500

mtu inside 1500

mtu management

1500

no asdm history enable

arp timeout 14400

global (outside) 1 interface 一定要打表示PAT端口扩展:“1”为其NAT ID

nat (inside) 1 10.1.0.0 255.255.0.0 转换所有10.1.0.0 的内部地址

route outside 0.0.0.0 0.0.0.0 192.168.3.254 1

内部所有地址访问外部地址出口为电信-网通提供的网关地址

timeout xlate 3:00:00

timeout conn 1:00:00

half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323

0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00

sip_media 0:02:00

timeout uauth 0:05:00 absolute

http server enable

http 192.168.1.0 255.255.255.0 management

no snmp-server

location

no snmp-server contact

snmp-server enable traps snmp

authentication linkup linkdown coldstart

telnet timeout 5

ssh timeout

5

console timeout 0

dhcpd address 10.1.1.30-10.1.1.200 inside DHCP 自动提供分配范围

为10.1.1.30-200

dhcpd address 192.168.1.2-192.168.1.254 management 无效

dhcpd dns 192.168.0.1 DNS 添加:可以是电信网通提供直接添加,或者自己的DNS服务器地址。

dhcpd lease 3600

dhcpd ping_timeout 50

dhcpd domain suzhou.jy 域名

dhcpd enable inside 打开内部网段自动分配

dhcpd enable management

无效

Cryptochecksum:6148633dac00f8f7a3418833f98d5ad4

access-group icmp_in in

interface outside 这两句表示,

access-list icmp_in extended permit icmp any any 允许PING包发送或接收

: end

华三华为交换机路由器配置常用命令汇总定稿版

华三华为交换机路由器 配置常用命令汇总 HUA system office room 【HUA16H-TTMS2A-HUAS8Q8-HUAH1688】

H3C交换机配置命令大全1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、 port link-type Access|Trunk|Hybrid 设置端口访问模式 7、 undo shutdown 打开以太网端口 8、 shutdown 关闭以太网端口

9、 quit 退出当前视图模式 10、 vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、 port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全华为交换机常用配置实例 H3C交换机路由器telnet和console口登录配置 2009年11月09日星期一 10:00

级别说明 Level 名称 命令 参观 ping、tracert、telnet 1 监控 display、debugging 2 配置 所有配置命令(管理级的命令除外)

防火墙基础

一、防火墙概述 1. 防火墙概述 防火墙的主要作用是划分网络安全边界,实现关键系统与外部环境的安全隔离,保护内部网络免受外部攻击。 与路由器相比防火墙提供了更丰富的安全防御策略,提高了安全策略下数据报转发速率。 由于防火墙用于安全边界,因此往往兼备NAT、VPN等功能,并且在这方面的相比路由器更加强劲。 我司防火墙:Eudemon系列 2. 防火墙分类 包过滤防火墙(Packet Filtering)包过滤利用定义的特定规则过滤数据包,防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。包过滤防火墙简单,但是缺乏灵活性,对一些动态协商端口没有办法设置规则。另外包过滤防火墙每个包

都需要进行策略检查,策略过多会导致性能急剧下降。 代理型防火墙(application gateway) 代理型防火墙使得防火墙做为一个访问的中间节点,对客户端来说防火墙是一个服务器,对服务器来说防火墙是一个客户端。代理型防火墙安全性较高,但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的,因此代理型防火墙不能支持很丰富的业务,只能针对某些应用提供代理支持。 状态检测防火墙 状态检测是一种高级通信过滤,它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接,每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。现在防火墙的主流产品都为状态检测防火墙 二、防火墙的基础知识点 1. 安全区域(Zone)的概念 安全区域(Security Zone),或者简称为区域(Zone),是一个安全概念,大部分的安全策略都基于安全区域实施。我们在防火墙上创建安全区域,并且定义该安全去区域的安全级别,然后将防火墙的接口关联到一个安全区域,那么该接口所连接的这个网络,就属于这个安全区域。属于同一个安全区域的用户具有相同的安全属性。 Eudemon认为在同一安全区域内部发生的数据流动是不存在安全风险的,不需要实施任何安全策略。只有当不同安全区域之间发生数据流动时,才会触发设备的安全检查,并实施相应的安全策略。

防火墙基础知识

防火墙基础知识 3.3 包过滤包过滤技术(Ip Filtering or packet filtering) 的原理在于监视并过滤网络上流入流出的Ip包,拒绝发送可疑的包。由于Internet 与Intranet 的连接多数都要使用路由器,所以Router成为内外通信的必经端口,Router的厂商在Router上加入IP Filtering 功能,这样的Router也就成为Screening Router 或称为Circuit-level gateway. 网络专家Steven.M.Bellovin认为这种Firewall 应该是足够安全的,但前提是配置合理。然而一个包过滤规则是否完全严密及必要是很难判定的,因而在安全要求较高的场合,通常还配合使用其它的技术来加强安全性。Router 逐一审查每份数据包以判定它是否与其它包过滤规则相匹配。(注:只检查包头的内容,不理会包内的正文信息内容) 过滤规则以用于IP顺行处理的包头信息为基础。包头信息包括: IP 源地址、IP目的地址、封装协议(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包类型、包输入接口和包输出接口。如果找到一个匹配,且规则允许这包,这一包则根据路由表中的信息前行。如果找到一个匹配,且规则允许拒绝此包,这一包则被舍弃。如果无匹配规则,一个用户配置的缺省参数将决定此包是前行还是被舍弃。*从属服务的过滤包过滤规则允许Router取舍以一个特殊服务为基

础的信息流,因为大多数服务检测器驻留于众所周知的TCP/UDP端口。例如,Telnet Service 为TCP port 23端口等待远程连接,而SMTP Service为TCP Port 25端口等待输入连接。如要封锁输入Telnet 、SMTP的连接,则Router 舍弃端口值为23,25的所有的数据包。典型的过滤规则有以下几种: .允许特定名单内的内部主机进行Telnet输入对话 .只允许特定名单内的内部主机进行FTP输入对话 .只允许所有Telnet 输出对话 .只允许所有FTP 输出对话 .拒绝来自一些特定外部网络的所有输入信息* 独立于服务的过滤 有些类型的攻击很难用基本包头信息加以鉴别,因为这些独立于服务。一些Router可以用来防止这类攻击,但过滤规则需要增加一些信息,而这些信息只有通过以下方式才能获

CIW网络安全基础与防火墙试卷(第三套)

一、单项选择题(本大题共15小题,每小题2分,共30分) 一.单选题a b d c a a b a a d b a c d c 二.多选题abcd P1-15 abc P3-10 abc P4-12 abcd P4-28 abcd P6-15 abcd P6-16 abcd P7-3 abcd P7-4 abc P7-18 abcd P9-3 abcd P9-6 abc P3-10 abd P cd abcd P8-4 三.判断题1 0 1 1 1 0 0 1 1 0 1 1 1 1 0 1.( A )使网络服务器中充斥着大量要求回复的信息,消耗带宽,导致网络或系统停止正常服务, 这属于什么漏洞?。 A拒绝服务 B. 文件共享 C. BIND漏洞 D.远程过程调用 2.( B )使用Windows 2000的组策略,可以限制用户对系统的操作权限,该实例是何种功能的应用? A访问控制列表 B.执行控制列表 C.身份验证D:数据加密 3.(D )针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术,这是哪种防火墙的特点? A. 包过滤型; B. 应用级网关型; C. 复合型防火墙; D. 代理服务型 4.( C )计算机犯罪的统计数字都表明计算机安全问题主要来源于 A.黑客攻击; B. 计算机病毒侵袭; C. 系统内部; D. 信息辐射 5.( A )下列协议中哪个是VPN常用的安全协议? A. PPTP B. SSL C.帧中继 D.TLS 6.( A )电路级网关是以下哪一种软/硬件的类型? A.防火墙; B.入侵检测软件; C.端口; D.商业支付程序 7.( B )随着网络中用户数量的增长,Internet连接需求也不断增加,在考虑改善网络性能时,以下 哪个是应该考虑的部分? A WINS服务器; B. 代理服务器; C. DHCP服务器; D.目录服务器 8.( A )哪种加密方式是使用一个共享的密钥? A.对称加密技术 B.非对称加密技术; C. HASH算法; D.公共密钥加密术; 页脚内容

路由器配置常用命令汇总

Access-enable允许路由器在动态访问列表中创建临时访问列表入口 Access-group把访问控制列表(ACL)应用到接口上 Access-list定义一个标准的IP ACL Access-template在连接的路由器上手动替换临时访问列表入口 Appn向APPN子系统发送命令 Atmsig执行ATM信令命令 B 手动引导操作系统 Bandwidth 设置接口的带宽 Banner motd 指定日期信息标语 Bfe 设置突发事件手册模式 Boot system 指定路由器启动时加载的系统映像 Calendar 设置硬件日历 Cd 更改路径 Cdp enable 允许接口运行CDP协议 Clear 复位功能 Clear counters 清除接口计数器 Clear interface 重新启动接口上的件逻辑 Clockrate 设置串口硬件连接的时钟速率,如网络接口模块和接口处理器能接受的速率Cmt 开启/关闭FDDI连接管理功能 Config-register 修改配置寄存器设置 Configure 允许进入存在的配置模式,在中心站点上维护并保存配置信息 Configure memory 从NVRAM加载配置信息 Configure terminal 从终端进行手动配置 Connect 打开一个终端连接

Copy 复制配置或映像数据 Copy flash tftp 备份系统映像文件到TFTP服务器 Copy running-config startup-config 将RAM中的当前配置存储到NVRAM Copy running-config tftp 将RAM中的当前配置存储到网络TFTP服务器上 Copy tftp flash 从TFTP服务器上下载新映像到Flash Copy tftp running-config 从TFTP服务器上下载配置文件 Debug 使用调试功能 Debug dialer 显示接口在拨什么号及诸如此类的信息 Debug ip rip 显示RIP路由选择更新数据 Debug ipx routing activity 显示关于路由选择协议(RIP)更新数据包的信息 Debug ipx sap 显示关于SAP(业务通告协议)更新数据包信息 Debug isdn q921 显示在路由器D通道ISDN接口上发生的数据链路层(第2层)的访问过程 Debug ppp 显示在实施PPP中发生的业务和交换信息 Delete 删除文件 Deny 为一个已命名的IP ACL设置条件 Dialer idle-timeout 规定线路断开前的空闲时间的长度 Dialer map 设置一个串行接口来呼叫一个或多个地点 Dialer wait-for-carrier-time 规定花多长时间等待一个载体 Dialer-group 通过对属于一个特定拨号组的接口进行配置来访问控制 Dialer-list protocol 定义一个数字数据接受器(DDR)拨号表以通过协议或ACL与协议的组合来控制控制拨号 Dir 显示给定设备上的文件 Disable 关闭特许模式 Disconnect 断开已建立的连接

win7防火墙设置指南、多重作用防火墙策略以及设置方法

win7防火墙设置指南、多重作用防火墙策略以及设置方法 214小游戏https://www.sodocs.net/doc/5312881099.html,/ windows XP集成防火强常被视为鸡肋,不过随着vista和WIN7的发布,微软对于防火墙的两次升级让windows的firewall不再是系统的累赘,特别是win7的firewall,强悍的功能让微软的防火墙也有了“专业”的味道。 本文就教大家来了解一下windows7下的 firewall设置以及向你展示怎样对多重作用防火墙策略下对Firewall进行配置。Windows Firewall的演变过程。 一、windows防火墙的演变 Windows XP中的防火墙是一款简单、初级仅保护流入信息,拦截任何不是由你主动发启入站连接的软件--它是默认关闭的。SP2后它才被默认启动并可以通过组策略的方式由管理员进行配置。而 Vista Firewall 是建立在一个新的Windows Filtering Platform (WFP、Windows过滤平台)上、并通过Advanced Security MMC嵌入式管理单元添加了新的过滤外发信息的能力。在Windows 7中MS对firewall做了进一步的微调,使其更具可用性,尤其针对移动计算机,更是舔加了对多重作用防火墙策略的支持。 二、windows 7 firewall(防火墙)设置方法 与Vista相同的是,可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是,你还可以通过访问控制面板的方式对其进行高级配置(包括对出站连接过滤器的配置),而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。 更多的网络配置 Vista firewall允许你去选择是在公共网格上还是在专用网络中,而在Windows 7中你有三个选择--公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。 如果你选择了“家庭网络”选项,你将可以建立一个“家庭组”。在这种环境中,“网路发现”会自动启动,你将可以看到网络中其它的计算机和设备,同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中,你还可以排除它们。 如果你选择的是“工作网络”,“网路发现”同样会自动启动,但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域(通过控制面板--系统和安全--系统--高级系统配置--计算机名选项卡)并通过DC验证,那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi 网络时的适当选择,“网路发现”将默认关闭,这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。 在全部的网络模式中,Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略 在Vista中,尽管你有公用网络和私用网络两个配置文件,但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况,那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上,这意味着你可能无法在本地(私用)网络中做你想做的事,因为你是在公用网络在规则下操作。而在Windows 7 (和 Server 2008 R2)中,不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配,而与公用网络之间的流量则应用公用网络规则。 起作用的是那些不显眼的小事 在很多事例中,更好的可用性往往取决于小的改变,MS听取了用户的意见并将一些“不

防火墙基础知识

(一) 防火墙概念 防火墙不只是一种路由器、主系统或一批向网络提供安全性的系统。相反,防火墙是 一种获取安全性的方法;它有助于实施一个比较广泛的安全性政策,用以确定允许提供的服务和访问。就网络配置、一个或多个主系统和路由器以及其他安全性措施(如代替 静态口令的先进验证)来说,防火墙是该政策的具体实施。防火墙系统的主要用途就是 控制对受保护的网络(即网点)的往返访问。它实施网络访问政策的方法就是逼使各连接 点通过能得到检查和评估的防火墙。 ____________ ___________ | | | | | Computer | | Computer | |__________| |___________| ____________ ________ | | |应| |Packet | ______|________________|__________| 用|_____|Filter |___Internet | 网| |Router | 网点系统| 关| |________| |__________| 路由器和应用网关防火墙范例 防火墙系统可以是路由器,也可以是个人主机、主系统和一批主系统,专门把网 络或子网同那些可能被子网外的主系统滥用的协议和服务隔绝。防火墙系统通常位于等级较高的网关如网点与Internet的连接处,但是防火墙系统可以位于等级较低的网关, 以便为某些数量较少的主系统或子网提供保护。 防火墙基本上是一个独立的进程或一组紧密结合的进程,运行于Router or Server 来控制经过防火墙的网络应用程序的通信流量。一般来说,防火墙置于公共网络(如Inter- -net)人口处。它可以看作是交通警察。它的作用是确保一个单位内的网络与Internet之间所有的通信均符合该单位的安全方针。这些系统基本上是基于TCP/IP,并与实现方法有关,它能实施安全路障并为管理人员提供对下列问题的答案: * 谁在使用网络? * 他们在网上做什么? * 他们什么时间使用过网络?

Cisco ASA5505防火墙详细配置教程及实际配置案例

Cisco ASA5505防火墙详细配置教程及实际配置案例 interface Vlan2 nameif outside ----------------------------------------对端口命名外端口security-level 0 ----------------------------------------设置端口等级 ip address X.X.X.X 255.255.255.224 --------------------调试外网地址! interface Vlan3 nameif inside ----------------------------------------对端口命名内端口 security-level 100 ----------------------------------------调试外网地址ip address 192.168.1.1 255.255.255.0 --------------------设置端口等级! interface Ethernet0/0 switchport access vlan 2 ----------------------------------------设置端口VLAN与VLAN2绑定 ! interface Ethernet0/1 switchport access vlan 3 ----------------------------------------设置端口VLAN与VLAN3绑定 ! interface Ethernet0/2 shutdown ! interface Ethernet0/3 shutdown ! interface Ethernet0/4 shutdown ! interface Ethernet0/5 shutdown ! interface Ethernet0/6 shutdown ! interface Ethernet0/7 shutdown ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive dns domain-lookup inside dns server-group DefaultDNS

网络安全基础与防火墙

1.防火墙对数据包进行状态检测过滤时,不可以进行检测过滤的是:D 源和目的IP地址;源和目的端口;IP协议号;数据包中的内容 2. 防火墙对要保护的服务器作端口映射的好处是:D 便于管理;提高防火墙的性能;提高服务器的利用率;隐藏服务器的网络结构,使服务器更加安全 3. 内网用户通过防火墙访问公众网中的地址需要对源地址进行转换,规则中的动作应选择:B Allow;NAT;SAT;FwdFast 4. 输入法漏洞通过什么端口实现的?D 21;23;445;3389 5. 不属于常见把被入侵主机的信息发送给攻击者的方法是:D E-MAIL;UDP;ICMP;连接入侵主机 6. 公司的WEB服务器受到来自某个IP地址的黑客反复攻击,你的主管要求你通过防火墙来阻止来自那个地址的所有连接,以保护WEB服务器,那么你应该选择哪一种防火墙?A 包过滤型;应用级网关型;复合型防火墙;代理服务型 7. 关于防火墙发展历程下面描述正确的是:A 第一阶段:基于路由器的防火墙; 第二阶段:用户化的防火墙工具集;第三阶段:具有安全操作系统的防火墙;第四阶段:基于通用操作系统防火墙 8. 防火墙能够:B 防范恶意的知情者;防范通过它的恶意连接;防备新的网络安全问题;完全防止传送己被病毒感染的软件和文件 9. 关于入侵检测技术,下列哪一项描述是错误的?A 入侵检测系统不对系统或网络造成任何影响;审计数据或系统日志信息是入侵检测系统的一项主要信息来源;入侵检测信息的统计分析有利于检测到未知的入侵和更为复杂的入侵;基于网络的入侵检测系统无法检查加密的数据流 10. 安全扫描可以实现:C 弥补由于认证机制薄弱带来的问题;弥补由于协议本身而产生的问题;弥补防火墙对内网安全威胁检测不足的问题;扫描检测所有的数据包攻击,分析所有的数据流 11. 关于安全审计目的描述错误的是:D 识别和分析未经授权的动作或攻击;记录用户活动和系统管理;将动作归结到为其负责的实体;实现对安全事件的应急响应 12. 安全审计跟踪是: 安全审计系统检测并追踪安全事件的过程;安全审计系统收集并易于安全审计的数据;人利用日志信息进行安全事件分析和追溯的过程;对计算机系统中的某种行为的详尽跟踪和观察13. 以下哪一个最好的描述了数字证书?A 等同于在网络上证明个人和公司身份的身份证;浏览器的一标准特性,它使得黑客不能得知用户的身份;网站要求用户使用用户名和密码登陆的安全机制;伴随在线交易证明购买的收据14. 保证信息不能被未经授权者阅读,这需要用到:A 加密;数字签名;消息摘要;身份验证 15. DNS服务使用的端口是:C 21;80;53;20 16. 以下关于Cookies的说话正确的是:D Cookies是一个图形文件;Cookies会包含可被用户激活的病毒;Cookies会在用户计算机上占用大量空间;Cookies被放在HTTP请求头部发送

路由器常用命令

cisco路由器常用命令 1:三大模式 router> 用户模式 router > enable 进入特权模式 router # router > enable 进入全局配置模式 router #configure terminal router (conf)# 2:其它模式 Router(config)#interface f1/0 进入接口配置模式Router(config-if)# Router(config)#interface f1/0.1 进入子接口配置模式Router(config-subif)# Router(config)#line console 0 进入line模式Router(config-line)# Router(config)#router rip 进入路由模式Router(config-router)# 3:路由器命名 hostname routera,以routerA为例 router > enable router #configure terminal router(conf)#hostname routerA routera (conf)# 4:配置各类密码 配置特权模式密码(使能口令) enable password cisco,以cisco为例 router > enable router #configure terminal router(conf)#hostname routerA routerA (conf)# enable password cisco 设置VTY(虚拟终端接口)密码 Router(config)#line vty 0 1

实验:防火墙基本配置

实验七交换机基本配置 一、实验目的 (1)使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理,行能根据需要进行简单网络的规划和设计。 实验设备与器材 熟悉交换机开机界面; (2)掌握Quidway S系列中低端交换机几种常用配置方法; (3)掌握Quidway S系列中低端交换机基本配置命令。 二、实验环境 Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。 交换机,标准Console配置线。 三、实验内容 学习使用Quidway R2611模块化路由器的访问控制列表(ACL)进行防火墙实验。 预备知识 1、防火墙 防火墙作为Internet访问控制的基本技术,其主要作用是监视和过滤通过它的数据包,根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃,以拒绝非法用户访问网络并保障合法用户正常工作。 2、包过滤技术 一般情况下,包过滤是指对转发IP数据包的过滤。对路由器需要转发的数据包,先获取包头信息,包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等,然后与设定的规则进行比较,根据比较的结果对数据包进行转发或者丢弃。 3、访问控制列表 路由器为了过滤数据包,需要配置一系列的规则,以决定什么样的数据包能够通过,这些规则就是通过访问控制列表ACL(Access Control List)定义的。

访问控制列表是由permit | deny语句组成的一系列有顺序的规则,这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类,这些规则应用到路由器接口上,路由器根据这些规则判断哪些数据包可以接收,哪些数据包需要拒绝。 访问控制列表(Access Control List )的作用 访问控制列表可以用于防火墙; 访问控制列表可用于Qos(Quality of Service),对数据流量进行控制; 访问控制列表还可以用于地址转换; 在配置路由策略时,可以利用访问控制列表来作路由信息的过滤。 一个IP数据包如下图所示(图中IP所承载的上层协议为TCP) ACL示意图 ACL的分类 按照访问控制列表的用途,可以分为四类: ●基本的访问控制列表(basic acl) ●高级的访问控制列表(advanced acl) ●基于接口的访问控制列表(interface-based acl) ●基于MAC的访问控制列表(mac-based acl) 访问控制列表的使用用途是依靠数字的范围来指定的,1000~1999是基于接口的访问控制列表,2000~2999范围的数字型访问控制列表是基本的访问控制列表,3000~3999范围的数字型访问控制列表是高级的访问控制列表,4000~4999范围的数字型访问控制列表是基于MAC地址访问控制列表。 4、防火墙的配置项目 防火墙的配置包括:

思科ASA防火墙ASDM安装和配置

CISCO ASA防火墙ASDM安装和配置 准备工作: 准备一条串口线一边接台式机或笔记本一边接防火墙的CONSOLE 接口,通过开始——>程序——> 附件——>通讯——>超级终端 输入一个连接名,比如“ASA”,单击确定。 选择连接时使用的COM口,单击确定。 点击还原为默认值。 点击确定以后就可能用串口来配置防火墙了。 在用ASDM图形管理界面之前须在串口下输入一些命令开启ASDM。 在串口下输入以下命令: ciscoasa> ciscoasa> en Password: ciscoasa# conf t 进入全局模式 ciscoasa(config)# webvpn 进入WEBVPN模式 ciscoasa(config-webvpn)# username cisco password cisco 新建一个用户和密码ciscoasa(config)# int m 0/0 进入管理口 ciscoasa(config-if)# ip address 192.168.4.1 255.255.255.0 添加IP地址ciscoasa(config-if)# nameif guanli 给管理口设个名字 ciscoasa(config-if)# no shutdown 激活接口 ciscoasa(config)#q 退出管理接口 ciscoasa(config)# http server enable 开启HTTP服务 ciscoasa(config)# http 192.168.4.0 255.255.255.0 guanli 在管理口设置可管理的IP 地址 ciscoasa(config)# show run 查看一下配置 ciscoasa(config)# wr m 保存 经过以上配置就可以用ASDM配置防火墙了。 首先用交叉线把电脑和防火墙的管理口相连,把电脑设成和管理口段的IP地址,本例中设为192.168.4.0 段的IP打开浏览器在地址栏中输入管理口的IP地址: https://192.168.4.1 弹出一下安全证书对话框,单击“是” 输入用户名和密码(就是在串口的WEBVPN模式下新建的用户和密码),然后点击“确定”。出现也下对话框,点击“Download ASDM Launcher and Start ASDM”开始安装ASDM管理器,安装完以后从网上下载一个JAVA虚拟机软件(使用1.4以上Java 版本),进入https://www.sodocs.net/doc/5312881099.html,下载安装,安装完后点击下面的“R un ASDM as a Java Applet ”。 出现以下对话框,点击“是”。 出现以下对话框,输入用户名和密码(就是在串口的WEBVPN模式下新建的用户和密码),然后点击“是”。 出现以下对话框,点击“是”。 进入ASDM管理器。 这样就可以通过ASDM来配置防火墙了。 以后就可以直接使用ASDM来管理防火墙了。

CIW网络安全基础与防火墙试卷(第三套)

《CIW网络安全基础与防火墙》模拟试卷 一、单项选择题(本大题共15小题,每小题2分,共30分) 一.单选题 a b d c a a b a a d b a c d c 二.多选题abcd P1-15 abc P3-10 abc P4-12 abcd P4-28 abcd P6-15 abcd P6-16 abcd P7-3 abcd P7-4 abc P7-18 abcd P9-3 abcd P9-6 abc P3-10 abd P cd abcd P8-4 三.判断题 1 0 1 1 1 0 0 1 1 0 1 1 1 1 0 1.( A )使网络服务器中充斥着大量要求回复的信息,消耗带宽,导致网络或系统停止正常服务, 这属于什么漏洞?。 A拒绝服务 B. 文件共享 C. BIND漏洞 D.远程过程调用 2.( B )使用Windows 2000的组策略,可以限制用户对系统的操作权限,该实例是何种功能的应用? A访问控制列表 B.执行控制列表 C.身份验证D:数据加密 3.(D )针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术,这是哪种防火墙的特点? A. 包过滤型; B. 应用级网关型; C. 复合型防火墙; D. 代理服务型 4.( C )计算机犯罪的统计数字都表明计算机安全问题主要来源于 A.黑客攻击; B. 计算机病毒侵袭; C. 系统内部; D. 信息辐射 5.( A )下列协议中哪个是VPN常用的安全协议? A. PPTP B. SSL C.帧中继 D.TLS 6.( A )电路级网关是以下哪一种软/硬件的类型? A.防火墙; B.入侵检测软件; C.端口; D.商业支付程序 7.( B )随着网络中用户数量的增长,Internet连接需求也不断增加,在考虑改善网络性能时,以下哪 个是应该考虑的部分? A WINS服务器; B. 代理服务器; C. DHCP服务器; D.目录服务器 8.( A )哪种加密方式是使用一个共享的密钥? A.对称加密技术 B.非对称加密技术; C. HASH算法; D.公共密钥加密术; 9.(A )公司财务人员需要定期通过Email发送文件给他的主管,他希望只有主管能查阅该邮件,可以 采取什么方法? A.加密; B.数字签名; C.消息摘要; D.身份验证 10.(D )下列不属于WEB管理员的管理工作的是: A.监视WEB服务器性能; B.确保站点安全; C.维护站点更新链接等; D.根据站点的发展升级软件 11.( B )下列证书不使用X.509v3标准的是: A.服务器证书; B.数字证书; C.个人证书; D.发行者证书 12.( A )以下代理服务器哪个可被Linux客户端使用? A. Microsoft proxy; B. FTP proxy; C. Winsock proxy; D. SOCKS proxy. 13.( C )用户希望在Windows 2000上配置文件的审核功能,首先应该做什么? A.扩大磁盘容量 B.使用FAT32格式化磁盘 C.使用NTFS格式化磁盘 D.使用RAID5 14.( D )以下哪个命令或工具可以使用户从远程终端登录系统? A. HOST; B. Finger; C. SetRequest; D.Telnet 15.( C )防止盗用IP行为是利用防火墙的什么功能? A.防御攻击的功能; B.访问控制功能; C. IP地址和MAC地址绑定功能; D. URL过滤功能 二、多选题(本大题共15小题,每空3分,共45分) 16.(ABCD )网络安全工作的目标包括: 第1页,共8页

路由器常用配置命令

Cisco常用配置命令Cisco常用配置命令 一.交换机的基本配置 C2950# config terminal 进入全局配置模式 show interface fastethernet0/1 查看端口0/1的配置结果 show interface fastethernet0/1 status 查看端口0/1的状态 show mac-address-table 查看整个MAC地址表 clear mac-address-table restricted static 清除限定性地址 C2950(config)# hostname 2950A / 设置主机名为2950A interface f0/23 / 进入端口23的配置模式 enable password cisco / 设置enable password为cisco enable secret cisco1 / 设置enable secret为cisco1 ip address 192.168.1.1 255.255.255.0 / 设置交换机IP 地址 ip default-gateway 192.168.1.254 / 设置默认网关 ip domain-name https://www.sodocs.net/doc/5312881099.html, / 设置域名 ip name-server 200.0.0.1 / 设置域名服务器 配置查看MAC地址表 mac-address-table ? mac-address-table aging-time 100 / 设置超时是时间为100s mac-address-table permanent https://www.sodocs.net/doc/5312881099.html, /f0/3 加入永久地址mac-address-table restricted static 0000.0c02.bbcc / f0/6 f0/7 加入静态地址 end show mac-address-table /查看整个Mac地址表 clear mac-address-table restricted static C2950(config-if)# interface fastethernet0/1 /进入接口F0/1子配置模式 interface Ethernet0 /进入以太网口0子配置模式 no shutdown /激活接口 speed ? /查看speed命令的子命令 speed 100 /设置该端口速率为100Mb/s dulplex full/half/auto /设置该端口为全双工 description TO_PC1 /设置该端口描述为TO_PC1 show interface fastethernet 0/1 /查看端口0/1的配置结果 show interface fastethernet 0/1 status /查看端口0/1的状态 配置VTP和STP 一. 配置VTP 2950A #vlan database /进入VLAN配置子模式 show vtp status /查看VTP设置信息 show vlan /查看VLAN配置信息 copy running-config startup-config /保存配置文件 2950A(vlan)#vtp server/client /设置本交换机为server/client模式

【最新推荐】关于电脑防火墙设置方法-推荐word版 (1页)

【最新推荐】关于电脑防火墙设置方法-推荐word版 本文部分内容来自网络整理,本司不为其真实性负责,如有异议或侵权请及时联系,本司将立即删除! == 本文为word格式,下载后可方便编辑和修改! == 关于电脑防火墙设置方法 导语:为防止电脑被其他的一些病毒入侵,一般要开启防火墙设置。以下 是小编收集的有关电脑技巧的知识,希望对您有所帮助。 步骤1、首先需要了解电脑防火墙的位置,最简单的办法就是进入控制面板,找到windows 防火墙,打开就可以进入到具体设置页面。 2、打开电脑windows防火墙后,如果仅仅是想禁用或者启用防火墙,那么直接选定“启用”或者“关闭”,然后确定就可以了。 3、启用防火墙之后,如果想让一些软件可以进行网络连接,对另外一些程 序和服务禁用网络连接,那么可以在电脑windows防火墙中选择例外菜单,如 果要禁用已经联网的程序或服务,只需将勾选去除,按确定就可以了。 4、如果有一些需要的程序或服务没有在例外列表中,而防火墙又是开启的,那么这部分程序和服务就不能连接外网。添加方法如下,点击例外菜单下的添 加程序按钮,然后在新窗口列表中选择要添加的程序,选择确定保存就可以了。 5、如果你设置了很多例外,到最后都想取消,取消一些不当的操作,只需 要将防火墙还原为默认值就可以了,选择防火墙高级菜单,点击“还原为默认值”按钮即可。 6、还原后,也就是说以后有程序和服务要访问网络时,都会被阻止,这时 需要在例外菜单中设置“防火墙阻止程序时通知我”,这样就可以通过辨别来 对某些有用的程序放行了。 7、最后建议将防火墙一直开着,这是保护电脑不被利用的有利防线。

防火墙基础知识

防火墙基础知识 一、防火墙与路由器的异同: 1、防火墙的登陆管理方式及基本配置是一样,有的防火墙多一个 DMZ端口。 2、路由器只能简单的路由策略,防火墙具备强大的访问控制:分 组对象。 3、路由器是默认的端口是开放的,防火墙的端口默认的常见端口 外都是关闭的。 二、防火墙的登陆方式: 1、console口,路由器的登陆方式一样 2、telnet登陆,需要设置 3、SSH登陆,同telnet登陆一样 三、防火墙的用户模式: 1、用户模式:PIX525> 2、特权模式PIX525# 3、全局配置模式PIX525(config)# 4、局部配置模式PIX525(config-if)# 四、防火墙基本配置 1、接口配置 防火墙PIX525默认的的有3个端口,外网口、内网口、DMZ 端口,主要配置ip地址、工作模式、速度、接口名字、安全级别interface Ethernet0

nameif outside security-level 0 ip address 218.28.202.97 255.255.255.0 duplex full 2、访问控制列表 access-list acl_out extended permit icmp any any access-list acl_out extended permit tcp any host 218.28.202.99 object-group DMZ access-list allownet extended permit ip host 192.168.0.123 object-group msn 3、设置网关地址 route outside 0.0.0.0 0.0.0.0 218.28.202.110 外网口网关 route inside 0.0.0.0 0.0.0.0 192.168.1.1 内网口网关 路由的网关设置 Ip route 0.0.0.0 0.0.0.0 218.28.202.110 4、端口重定向 PIX525(config)# object-group service word TCP PIX525(config-if)port-object eq 8866 先在服务的对象分组中开放一个端口,在全局模式下 static (inside,outside) tcp 218.28.202.100 8866 192.168.2.77 8866 netmask 255.255.255.255

CiscoASAFailover防火墙冗余

Failover Failover是思科防火墙一种高可用技术,能在防火墙发生故障时数秒内转移配置到另一台设备,使网络保持畅通,达到设备级冗余的目的。 原理 前提需要两台设备型号一样(型号、内存、接口等),通过一条链路连接到对端(这个连接也叫)。该技术用到的两台设备分为Active设备(Primary)和Stanby设备(Secondary),这种冗余也可以叫AS模式。活跃机器处于在线工作状态,备用处于实时监控活跃设备是否正常。当主用设备发生故障后(接口down,设备断电),备用设备可及时替换,替换为Avtive的角色。Failover启用后,Primary 设备会同步配置文件文件到Secondary设备,这个时候也不能在Scondary添加配置,配置必须在Active进行。远程管理Failover设备时,登录的始终是active设备这一点一定要注意,可以通过命令(show failover)查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步,比如NAT转换需要再次建立。 配置Active设备: interface Ethernet0 nameif outside security-level 0 ip address standby //standby为备份设备地址

interface Ethernet1 nameif inside security-level 100 ip address standby ASA1(config)# failover lan unit primary //指定设备的角色主 ASA1(config)# failover lan interface failover Ethernet2 //Failover接口名,可自定义 ASA1(config)# failover link Fover Ethernet2//状态信息同步接口ASA1(config)# failover interface ip failover stan //配置Failover IP地址,该网段可使用私网地址 ASA1(config)# failover lan key xxxx //配置Failover 认证对端 ASA1(config)# failover //启用Failover;注意,此命令一定要先在Active上输入,否则会引起配置拷错; 将一个接口指定为failover 接口后,再show inter 的时候,该接口就显示为:interface Ethernet3 description LAN Failover Interface //确保接口up 配置standby设备: ASA2(config)# inte Ethernet3 ASA2(configif)# no shutdown ASA2(configif)# exit

相关主题