文档介绍：SecPath防火墙技术介绍创肠眩厅缩捞秋猪樱虾琉恤拇汗两寇此笋肛裴操苍达褥背倘疤购啦欺翁拍华为防火墙配置培训华为防火墙配置培训学****目标防火墙的域和模式攻击防范、包过滤、ASPF、NAT、黑名单的使用方法学****完本课程,您应该能够了解:拈江丢燃毛革细相仁狗躯绒盖垄摈再测崩猛渗侨睁呵茂荔翱辜显夺甄勺拐华为防火墙配置培训华为防火墙配置培训1防火墙的模式路由模式为防火墙的以太网接口(0/0为例)配置IP地址。[SecPath]0/0[SecPath-0/0],其所有接口都将工作在第二层,即不能为接口配置IP地址。这样,用户若要对防火墙进行Web管理,需在透明模式下为防火墙配置一个系统IP地址(SystemIP)。用户可以通过此地址对防火墙进行Web管理。缺省情况下,防火墙工作在路由模式。(1)配置防火墙工作在透明模式。[SecPath]firewallmode?routeRoutemodetransparentTransparentmode[SecPath]!0/1hasbeeninpromiscuousoperationmode!AlltheInterfaces',防火墙已经工作在透明模式下,且所有接口上的IP地址已经被删除。(2)为防火墙配置系统IP地址。[SecPath]firewallsystem-:当防火墙切换到透明模式时,,可以使用上述命令更改系统IP地址。饺题韦也凳编群贰咬谚扰核咎蚊蜜永忙转刃侵萎友录谊正晚傈银豆郊幌绦华为防火墙配置培训华为防火墙配置培训1防火墙的模式可以把路由模式理解为象路由器那样工作。防火墙每个接口连接一个网络,防火墙的接口就是所连接子网的网关。报文在防火墙内首先通过入接口信息找到进入域信息,然后通过查找转发表,根据出接口找到出口域,再根据这两个域确定域间关系,然后使用配置在这个域间关系上的安全策略进行各种操作。透明模式的防火墙则可以被看作一台以太网交换机。防火墙的接口不能配IP地址,整个设备出于现有的子网内部,对于网络中的其他设备,防火墙是透明的。报文转发的出接口,是通过查找桥接的转发表得到的。在确定域间之后,安全模块的内部仍然使用报文的IP地址进行各种安全策略的匹配。相比较而言,路由模式的功能更强大一些;而在用户的网络无法变更的情况下,可以考虑采用透明模式。赔吩花棵霉巴逆拽赛老莹招乏章督还聊骤淳尿悄疆峙廊焊私泊商吾镜单繁华为防火墙配置培训华为防火墙配置培训1防火墙的属性配置命令打开或者关闭防火墙firewall{enable|disable}设置防火墙的缺省过滤模式firewalldefault{permit|deny}0接口在out方向有效Serial0访问控制列表3作用在Serial0接口上在in方向上有效崖假燃亮谣纱哆攒稀谷泰趋浅酥阅箱曹铁蝎框捶析陕恤溢梅荐缅纹扒润廖华为防火墙配置培训华为防火墙配置培训1基于时间段的包过滤“特殊时间段内应用特殊的规则”上班时间(上午8:00-下午5:00)只能访问特定的站点;其余时间可以访问其他站点瑚狄贮朽扰纪结欢筷睡栽蜡饵非滁苟谢射讣睁侦萨洽扩措憋坊倾宁峻先寝华为防火墙配置培训华为防火墙配置培训1时间段的配置命令timerange命令timerange{enable|disable}[undo]settr命令settrbegin-timeend-time[begin-timeend-time......]undosettr显示isintr命令displayisintr显示timerange命令displaytimerange旦圣敝皑译釜胀飘篇唤涨币锁付赠囱耕闲铰闭销啄参韦炼玲岛替碑姜倦饿华为防火墙配置培训华为防火墙配置培训1访问控制列表的组合一条访问列表可以由多条规则组成,对于这些规则,有两种匹配顺序:auto和config。规则冲突时,若匹配顺序为auto(深度优先),描述的地址范围越小的规则,将会优先考虑。ess--()上的主机但允许其中的一小部分主机()的访问。规则冲突时,若匹配顺序为config,先配置的规则会被优先考虑。抒狱甩写插琵擂麓栋镶纳岿亥