防火墙策略的组成

3．1 防火墙策略的组成

在ISA服务器安装成功后，其防火墙策略默认为禁止所有内外通讯，所以我们需要在服务器上建立相应的防火墙策略，以使内外通讯成功。在本章，我们将介绍ISA的基本配置，使内部的所有用户无限制的访问外部网络。

在ISA Server 2004中，防火墙策略是由网络规则、访问规则和服务器发布规则三者的共同组成。

网络规则：定义了不同网络间能否进行通讯、以及知用何各方式进行通讯。

访问规则：则定义了内、外网的进行通讯的具体细节。

服务器发布规则：定义了如何让用户访问服务器。

3.1.1 网络规则

ISA2004通过网络规则来定义并描述网络拓扑，其描述了两个网络实体之间是否存在连接，以及定义如何进行连接。相对于ISA2000，可以说网络规则是ISA Server 20 04中的一个很大的进步，它没有了ISA Server 2000只有一个LAT表的限制，可以很好的支持多网络的复杂环境。

在ISA2004的网络规则中定义的网络连接的方式有：路由和网络地址转换。

3.1.1.1 路由

路由是指相互连接起来的网络之间进行路径寻找和转发数据包的过程，由于ISA与Windows 2000 Server和Windows Server 2003路由和远程访问功能的紧密集成，使其具有很强的路由功能。

在ISA2004中，当指定这种类型的连接时，来自源网络的客户端请求将被直接转发到目标网络，而无须进行地址的转换。当需要发布位于DMZ网络中的服务器时，我们可以配置相应的路由网络规则。

需要注意的是，路由网络关系是双向的。如果定义了从网络 A 到网络 B 的路由关系，那么从网络B到网络 A 也同样存在着路由关系，这同我们在进行硬件或软件路由器配置的原理相同。

3.1.1.2 网络地址转换（NAT）

NAT即网络地址转换（Network Address Translator），在Windows 2000 S erver和Windows server 2003中，NAT是其IP路由的一项重要功能。NAT方式也称之为Internet的路由连接，通过它在局域网和Internet主机间转发数据包从而实现I nternet的共享。ISA2004由于同Windows 2000 Server和Windows server 200 3的路由和远程访问功能集成，所以支持NAT的的连接类型。

当运行NAT的计算机从一台内部客户机接收到外出请求数据包时，它会把信息包的包头换掉，把客户机的内部IP地址和端口号翻译成NAT服务器自己的外部IP地址和端口号，然后再将请求包发送给Internet上的目标主机。当NAT服务器从Internet主机接收到回答信息后，它也会将其包头进行替换，将自己的外部IP地址和端口号转换为请求客户机的内部IP地址的端口号，然后再把信息包发内网的客户机。

当在ISA2004中指定了这促类型的连接后，ISA 服务器将用它自己的IP 地址替换源网络中的客户端的IP 地址。从而对外隐藏了内部管理的IP，同时也隐藏了内部网络结构，从而降低了内部网络受到攻击的风险，并可减少了IP 地址注册的费用。

需要注意的是：NAT 关系是唯一的和单向的。如果定义了从网络A到网络 B 的NAT 关系，则不会自动定义从B 到A 的网络关系。您可以创建定义双向关系的网络规则，但是ISA 服务器将忽略有序规则列表中的第二条网络规则。

3.1.1.3 默认网络规则

在进行ISA2004的安装时，系统会创建以下默认规则（如图3-1所示）：

本地主机访问：此规则定义了在本地主机网络与其他所有网络之间存在的路由关系。

VPN 客户端到内部网络：此规则指定在两个VPN 客户端网络（.VPN 客户端.和.被隔离的VPN 客户端.）与内部网络之间存在着路由关系。

Internet 访问：此规则定义了在内部受保护的网络（如内部、VPN客户端等）与外部网络之间存在的NAT关系。

3.1.2 访问规则

访问规则决定源网络上的客户端如何访问目标网络上的资源。我们可以将访问规则配置为适用于所有IP 通讯、适用于特定的协议定义集或适用于除所选协议之外的所有I P 通讯。也可以在访问规则中对用户访问进行精确的限定。

当客户端使用特定协议请求对象时，ISA 服务器会在访问规则列表中从上而下地进行检查。只有当某个访问规则明确允许客户端使用特定的协议进行通讯，并且允许访问请求的对象时才处理请求。

在ISA2004的安装过程中会自动创建默认的系统策略，其中包含了预配置的、已知协议定义的访问规则列表，其中包括最广泛使用的Internet 协议，以允许ISA Server 2004服务器能访问它连接到的网络的特定服务。下图显示的是默认系统策略中的内容。

3．2 建立允许客户访问Internet的防火墙策略

在安装好ISA2004后，我们需要建立相应的防火墙访问策略以允许企业内部员工通过ISA服务器进行安全的Internet访问。在本节中，我们将以一个具体的实例让大家体会一下如何利用防火墙策略来建立访问规则，以使企业内部的所有客户能访问Internet 的所有服务。

要完成这个策略的建立，我们需要完成以下工作：

配置内部的DNS服务器。

建立访问策略。

3.2.1 建立内部的DNS服务器

当用户用域名在访问Internet上的网站时，需要外部DNS为之进行域名解析；而当企业用户用域名访问公司内部的网络资源时，需要内部DNS进行域名解析。但如果企业用户既要访问企业内部网站，又要访问Internet上的资源时，DNS应怎样进行设置的。

在这种情况下，我们可以建立企业内部的DNS服务器，使之可以解析内部域名，然后将

之设置外部DNS的转发器，当内部用户访问资源时，由内部DNS服务器将其请求发给外部DNS，从而获得外部资源的域名解析。

3.2.1.1 安装内部的DNS服务器

以管理员身份登录到需要安装DNS的Windows服务器上（可以同ISA服务器安装在同一台计算机上，也可以分别在不同的计算机上进行安装），进行如下过程的安装和配置：

1、打开控制面板下的“添加/删除程序”，单击“添加/删除Windows组件”。

2、在Windows组件向导中双击“网络服务”，在出现的对话框中选择“域名系统（D NS）”，点击【确定】，再点击【下一步】按钮.，并按向导要求完成DNS服务的安装。

3、在Windows server 2003的“管理工具”中选择“DNS”，进入DNS管理控制台，右键单击服务器，在出的菜单中选择“属性”。

4、在属性对话框中选择“接口”选项卡，然后添加内部接口地址。如图所示。

图3-7 配置DNS内部接口

5、选择“转发器”选项卡，先选中上面的“所有其它DNS域”，然后在“所选域的转发器的IP地址列表”中添加ISP为你提供的外部DNS服务器的IP地址。如图所示。

6、单击【确定】按钮，完成服务器端DNS的安装和配置。

3.2.1.2 客户端的DNS配置

客户端DNS的配置步骤如下：

1、登录到客户机上，在桌面上用右键单击“网上邻居”图标，在出现的菜单中选择“属性”。

2、在网络连接的属性窗口中，用右键单击“本地连接”，在出现的菜单中选择“属性”，进入到“本地连接属性”对话框中。

3、在“本地连接属性”页中选中“Internet协议（TCP/IP）”，再点击【属性】按钮，在出现的TCP/IP属性页的“首选DNS服务器”中，输入内部DNS服务器的IP地址，点击【确定】按钮，完成客户端配置。如图所示。

3.2.2 建立访问策略

要使内部用户通过ISA服务器访问Internet，必须要建立访问策略。在本例中我们需要建立两条访问策略：一条访问策略以允许企业用户通过ISA服务器访问Internet；另一条策略以允许企业用户访问ISAServer2004 服务器的DNS服务。

3.2.2.1 建立允许所有外出通讯的访问策略

建立访问策略的步骤如下：

1、打开ISA管理控制台，右键单击“防火墙策略”，在出现的菜单中选择“新建”→“访问规则”。如图所示。

2、在新建访问规则向导中，输入访问规则名称。如图所示。

图3-12 输入规则名称

3、在“规则操作”对话框中选择“允许”，以便允许通讯的进行。如图所示。

图3-13 配置规则操作

4、在“协议”对话框中选择“所有出站通讯”，表示可以访问Internet上的所有服务。如图所示。

5、在“访问规则源”对话框中单击【添加】按钮。在出现的“添加网络实体”对话框中展开“网络”，选择“内部”（如要允许ISA服务器访问Internet，在则可选“本地主机”），然后单击【添加】按钮，表示所有的通讯源来自于企业内部。如图所示。

6、在“访问规则目标”对话框中单击【添加】按钮。在出现的“添加网络实体”对话框中展开“网络”，选择“外部”，然后点击【添加】按钮，表示要访问网络外部的资源。

7、在“用户集”对话框中，采用默认的“所有用户”，表示内网的所有用户都可以通过ISA服务器访问外部的资源。点击【下一步】按钮完成策略的建立。

3.2.2.2 建立允许客户访问内部DNS的访问策略

建立过程如下：

1、打开ISA管理控制台，右键单击“防火墙策略”，在出现的菜单中选择“新建”→“访问规则”，在访问规则向导中输入规则名，这里我们取名为“访问ISA主机上的DNS”。

2、在规则操作中选择“允许”，在此规则应用到选项中选择“所选择的协议”，然后单击【添加】按钮，在“添加协议”对话框中展开“通用协议”，选择“DNS”，单击【添加】按钮，单击【关闭】按钮完成协议的设置。如图所示。

3、在“访问规则目标”对话框中单击【添加】按钮，在出现的“添加网络实体”对话框中展开“网络”，然后选择“本地主机”，单击【添加】按钮，表示要访问ISA服务器上的D NS服务

4、根据向导按默认选项完成本访问策略的建立。

3.2.2.3 应用访问策略

为了使所建立的访问策略生效，须在右边窗格中单击【应用】按钮，以保存修改和更新防火墙策略。

防火策略生效后，你可以在客户机通过ISA服务器访问Internet上的所有服务，如QQ、MSN等。

3．3 配置拨号连接

现在企业访问互连网很多都是采用ADSL宽带拨号方式，所以在ISA Server 200 4的服务器中，需为通过拨号上网配置相应的拨号连接。配置好请求拨号后，无论何时本地网络上的Web代理客户端或者是防火墙客户端请求一个远程主机时，您的ISA Serve r计算机能自动启动拨号连接。

要完成ISA2004拨号上网配置，需要先在拨号服务器上进行ADSL拨号设置，然后在ISA服务器上进行拨号设置。

3.3.1 建立拨号服务器的拨号连接

ADSL 拨号的方式有很多种，如ethernet、raspppoe等，这些拨号方式需要安装相应的拨号软件，而Windows Server 2003 内置了宽带拨号的支持，按向导一步一步完成配置，简单明了。在这里，我们就以Windows server 2003的拨号连接建立方式为例，配置步骤如下：

1、在网络连接属性窗口中，双击“新建连接向导”，在出现的对话框中选择“Interne t连接“，单击【下一步】按钮，在出现的对话框中选择“用要求用户名和密码的宽带连接来连接”。

2、在“ISP名称”对话框中输入向企业提供ADSL接入服务的ISP的名称。如图3-23所示。

3、在可用连接中选择“任何人使用”，表示允许内部所有用户均可用这个拨号连接。

4、在Internet帐号对话框中，输入由ISP分配给你的用户名和口令，点单击【下一步】按钮完成ADSL连接的建立。

3.3.2 配置ISA服务器的拨号连接

在ISA服务器上配置拨号连接的步骤如下：

1、在ISA管理控制台中，选择“常规”，然后在右边的详细窗格中选择“指定拨号首选项”。如图所示。

2、在“拨号配置”对话框中选择“自动拨此网络”，并将值设为“外部”。勾选“将此拨号连接配置为默认网关”，在拨号连接中选择在Windows Server 2003中建立的169宽带拨号连接，然后单击【设置帐户】按钮。如图所示。

4、在“设置帐户”对话框中，输入由ISP提供的用户名和口令，单击【确定】按钮完成配置。

Fortigate防火墙安全配置规范

1.概述 1.1. 目的本规范明确了Fortigate防火墙安全配置方面的基本要求。为了提高Fortigate防火墙的安全性而提出的。 1.2. 范围本标准适用于 XXXX使用的Fortigate 60防火墙的整体安全配置，针对不同型号详细的配置操作可以和产品用户手册中的相关内容相对应。

2.设备基本设置 2.1. 配置设备名称制定一个全网统一的名称规范，以便管理。 2.2. 配置设备时钟建议采用NTP server同步全网设备时钟。如果没有时钟服务器，则手工设置，注意做HA的两台设备的时钟要一致。 2.3. 设置Admin口令缺省情况下，admin的口令为空，需要设置一个口令。密码长度不少于8个字符，且密码复杂。 2.4. 设置LCD口令从设备前面板的LCD可以设置各接口IP地址、设备模式等。需要设置口令，只允许管理员修改。密码长度不少于8个字符，且密码复杂。 2.5. 用户管理用户管理部分实现的是对使用防火墙某些功能的需认证用户（如需用户认证激活的防火墙策略、IPSEC扩展认证等）的管理，注意和防火墙管理员用于区分。用户可以直接在fortigate上添加，或者使用RADIUS、LDAP服务器上的用户数据库实现用户身份认证。单个用户需要归并为用户组，防火墙策略、IPSEC扩展认证都是和用户组关联的。 2.6. 设备管理权限设置为每个设备接口设置访问权限，如下表所示：

接口名称允许的访问方式 Port1 Ping/HTTPS/SSH Port2 Ping/HTTPS/SSH Port3 Ping/HTTPS/SSH Port4 HA心跳线，不提供管理方式 Port5 （保留） Port6 （保留）且只允许内网的可信主机管理Fortinet设备。 2.7. 管理会话超时管理会话空闲超时不要太长，缺省5分钟是合适的。 2.8. SNMP设置设置SNMP Community值和TrapHost的IP。监控接口状态及接口流量、监控CPU/Memory等系统资源使用情况。 2.9. 系统日志设置系统日志是了解设备运行情况、网络流量的最原始的数据，系统日志功能是设备有效管理维护的基础。在启用日志功能前首先要做日志配置，包括日志保存的位置（fortigate内存、syslog服务器等）、需要激活日志功能的安全模块等。如下图所示：

Juniper 防火墙策略路由配置

Juniper 防火墙策略路由配置一、网络拓扑图要求： 1、默认路由走电信； 2、源地址为192.168.1.10 的pc 访问电信1.0.0.0/8 的地址，走电信，访问互联网走网通；二、建立extended acl 1、选择network---routing---pbr---extended acl list,点击new 添加：

Extended acl id:acl 编号Sequence No.：条目编号源地址：192.168.1.10/32 目的地址：1.0.0.0/8 Protocol：选择为any 端口号选择为：1-65535 点击ok：

2、点击add seg No.再建立一条同样的acl，但protocol 为icmp，否则在trace route 的时候仍然后走默认路由:

3、建立目的地址为0.0.0.0 的acl：切记添加一条协议为icmp 的acl；命令行： set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 src-port 1-65535 dst-port 1-65535 protocol any entry 10 set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 protocol icmp entry 20 set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 src-port 1-65535 dst-port 1-65535 protocol any entry 10 set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 protocol

实验：防火墙基本配置

实验七交换机基本配置一、实验目的（1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。实验设备与器材熟悉交换机开机界面；（2）掌握Quidway S系列中低端交换机几种常用配置方法；（3）掌握Quidway S系列中低端交换机基本配置命令。二、实验环境 Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。交换机，标准Console配置线。三、实验内容学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。预备知识 1、防火墙防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。 2、包过滤技术一般情况下，包过滤是指对转发IP数据包的过滤。对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。 3、访问控制列表路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。

访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。访问控制列表(Access Control List )的作用访问控制列表可以用于防火墙；访问控制列表可用于Qos（Quality of Service），对数据流量进行控制；访问控制列表还可以用于地址转换；在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。一个IP数据包如下图所示（图中IP所承载的上层协议为TCP） ACL示意图 ACL的分类按照访问控制列表的用途，可以分为四类： ●基本的访问控制列表（basic acl） ●高级的访问控制列表（advanced acl） ●基于接口的访问控制列表（interface-based acl） ●基于MAC的访问控制列表（mac-based acl）访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。 4、防火墙的配置项目防火墙的配置包括：

系统安全配置技术规范-Cisco防火墙

系统安全配置技术规范—Cisco防火墙

文档说明（一）变更信息（二）文档审核人

目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)

防火墙安全规则和配置

网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信息安全的首要目标。网络安全技术主要有，认证授权、数据加密、访问控制、安全审计等。而提供安全网关服务的类型有：地址转换、包过滤、应用代理、访问控制和DoS防御。本文主要介绍地址转换和访问控制两种安全网关服务，利用cisco路由器对ISDN拨号上网做安全规则设置。试验环境是一台有fir ewall 版本IOS的cisco2621 路由器、一台交换机组成的局域网利用ISDN拨号上网。一、地址转换我们知道，Internet 技术是基丁IP协议的技术，所有的信息通信都是通过IP包来实现的，每一个设备需要进行通信都必须有一个唯一的 IP地址。因此，当一个网络需要接入Inte rnet的时候，需要在Internet 上进行通信的设备就必须有一个在全球Internet 网络上唯一的地址。当一个网络需要接入Internet 上使用时，网络中的每一台设备都有一个I nternet 地址，这在实行各种Internet 应用上当然是最理想不过的。但是，这样也导致每一个设备都暴露在网络上，任何人都可以对这些设备攻击，同时由丁I nternet目前采用的IPV4协议在网络发展到现在，所剩下的可用的IP地址已经不多了，网络中的每一台设备都需要一个IP 地址，这几乎是不可能的事情。采用端口地址转换，管理员只需要设定一个可以用作端口地址转换的公有Internet 地址，用户的访问将会映射到IP池中IP的一个端口上去，这使每个合法Internet IP 可以映射六万多台部网主机。从而隐藏部网

路地址信息，使外界无法直接访问部网络设备。 Cisco路由器提供了几种NAT转换的功能： 1、部地址与出口地址的——对应缺点：在出口地址资源稀少的情况下只能使较少主机连到internet 。2、部地址分享出口地址路由器利用出口地址和端口号以及外部主机地址和端口号作为接口。其中部地址的端口号为随机产生的大丁1024的，而外部主机端口号为公认的标准端口号。这样可以用同一个出口地址来分配不同的端口号连接任意数量的部主机到外网。具体配置：由丁实验用的是ISDN拨号上网，在internet 上只能随机获得出口地址，所以NAT转换的地址池设置为BRI 口上拨号所获得的地址。interface FastEthernet0/0 ip address 172.16.18.200 255.255.255.0 ip nat inside the interface connected to inside world ! interface BRI0/0 ip address negotiated ip nat outside the interface connected to outside network encapsulation ppp no ip split-horizon dialer string 163 dialer load-threshold 150 inbound

防火墙方案

区域逻辑隔离建设（防火墙）国家等级保护政策要求不同安全级别的系统要进行逻辑隔离，各区域之间能够按照用户和系统之间的允许访问规则控制单个用户，决定允许或者禁止用户对受控系统的资源访问。国家等级化保护政策要求不同安全级别间的系统要进行区域的逻辑隔离，各区域之间能按照用户和系统之间的允许访问规则，控制担搁用户，决定允许或者拒绝用户对受控系统的资源访问。在网络边界部署防火墙系统，并与原有防火墙形成双机热备，部署防火墙能够实现： 1.网络安全的基础屏障：防火墙能极大地提高一个内部网络的安全性，并经过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能经过防火墙，因此网络环境变得更安全。如防火墙能够禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时能够保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙能够拒绝所有以上类型攻击的报文并通知防火墙管理员。 2.强化网络安全策略

经过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全能够不必分散在各个主机上，而集中在防火墙一身上。 3.对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是能够清楚防火墙是否能够抵挡攻击者的探测和攻击，而且清楚防火墙的控制是否充分。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 4.防止内部信息的外泄经过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而曝露了内部网络的某些安全漏洞。使用防火墙就能够隐蔽那些透漏内部细节如Finger，DNS等服务。

防火墙设备安全配置作业指导书(安全加固)

v1.0 可编辑可修改安全配置作业指导书防火墙设备 XXXX集团公司 2012年7月

前言为规范XXXX集团公司网络设备的安全管理，建立统一的防火墙设备安全配置标准，特制定本安全配置作业指导书。本技术基线由XXXX集团公司提出并归口本技术基线起草单位：XXXX集团公司本技术基线主要起草人：本技术基线主要审核人：

目录 1.适用范围 (1) 2.规范性引用文件 (1) 3.术语和定义 (1) 4.防火墙安全配置规范 (2) 4.1.防火墙自身安全性检查 (2) 4.1.1.检查系统时间是否准确 (2) 4.1.2.检查是否存在分级用户管理 (3) 4.1.3.密码认证登录 (3) 4.1.4.登陆认证机制 (4) 4.1.5.登陆失败处理机制 (5) 4.1.6.检查是否做配置的定期备份 (6) 4.1.7.检查双防火墙冗余情况下，主备切换情况 (7) 4.1.8.防止信息在网络传输过程中被窃听 (8) 4.1.9.设备登录地址进行限制 (9) 4.1.10.SNMP访问控制 (10) 4.1.11.防火墙自带的病毒库、入侵防御库、应用识别、web过滤为模块及时升级11 4.2.防火墙业务防御检查 (12) 4.2.1.启用安全域控制功能 (12) 4.2.2.检查防火墙访问控制策略 (13) 4.2.3.防火墙访问控制粒度检查 (14) 4.2.4.检查防火墙的地址转换情况 (15) 4.3.日志与审计检查 (16) 4.3.1.设备日志的参数配置 (16) 4.3.2.防火墙流量日志检查 (17) 4.3.3.防火墙设备的审计记录 (17)

(2020年最新版本)防火墙安全管理规定

1目的 Objective 规范防火墙系统的安全管理，保障公司防火墙系统的安全。 2适用范围 Scope 本规定适用于公司范围内所有防火墙系统、防火墙策略的维护与管理。 3定义 DMZ（demilitarized zone）：中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。通常,它放在外网和内网中间，是内网中不被信任的系统。在进行防火墙设置时可阻断内网对DMZ的公开访问，尤其禁止DMZ到内网的主动连接。 GRE（Generic Routing Encapsulation）：即通用路由封装协议，它提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在异种网络中传输。 VPN（Virtual Private Networking）：即虚拟专用网，VPN是用以实现通过公用网络（Internet）上构建私人专用网络的一种技术。 4管理细则 4.1基本管理原则 1.公司IT系统不允许直接和外部网络连接（包括Internet、合资公司等等），必须经过防火墙的限制保护。防火墙的建设、安装须遵守《防火墙建设规范》。 2.防火墙指令的配置须严格遵守附件一《防火墙指令描述格式》。 3.防火墙口令设置参照《帐号和口令标准》，并由安全控制办统一管理。 4.防火墙日志管理参照《系统日志管理规定》。 5.防火墙变更管理参照《IT生产环境变更管理流程》。 6.防火墙不允许直接通过Internet管理；内部管理IP地址只允许相关人员知晓。 7.防火墙紧急开通策略有效期为2周。如2周内没有申请防火墙策略，则将自动失效。 8.在非工作时间处理防火墙紧急申请须遵循《紧急故障处理Token卡管理规定》。 4.2防火墙系统配置细则 1.当防火墙启动VPN功能时，需使用IPSEC进行隧道加密：认证算法采用SHA-1，加密算法采用3DES算法。

防火墙安全策略配置

防火墙安全策略配置 -标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII

一、防火墙设置外网不能访问内网的方法： 1、登录到天融信防火墙集中管理器； 2、打开“高级管理”→“网络对象”→“内网”，在右边窗口空白处点击右键，在弹出的快捷菜单中选择“定义新对象”→“子网”，填入子网名称（自己命名），如“120段”，地址范围中，输入能够上网机器的所有IP范围（能够上网的电脑IP 范围）。点击确定。 3、在“网络对象”中选择“外网”，在右边窗口空白处点击右键，在弹出的快捷菜单中选择“定义新对象”“子网”，填入子网名称（自己命名），如“外网IP”，地址范围中，输入所有IP范围。点击确定。

4、访问策略设置 A、在“高级管理”中选择“访问策略”“内网”，在右边的窗口中，点击右键，选择“增加”，点击“下一步”。 B、在“策略源”中选择“外网IP”（刚才设置的外网IP），点击“下一步”。

C、在“策略目的”中选择“内网”和“120段”（刚才设置的上网IP），点击“下一步”。

D、在“策略服务”中，我们不做任何选择，直接点击“下一步”。（因为我们要限制所有外网对我们内网的访问，在此我们要禁用所有服务，因此不做选择） E、在“访问控制”中，“访问权限”选择“禁止”（因为我们上一步没有选择服务，在此我们选择禁止，表示我们将禁止外网对我们的所有服务），“访问时间”选择“任何”，“日志选项”选择“日志会话”，其他的不做修改，点击“下一步”。

F、最后，点击“完成”。 5、至此，我们就完成了对外网访问内网的设置。

防火墙安全配置规范试题

防火墙安全配置规范试题总分：100分时间：70分钟姓名：_____________ 工号：__________ 一、判断题（每题2分，共20分） 1、工程师开局需要使用推荐版本和补丁。（对） 2、防火墙Console口缺省没有密码，任何人都可以使用Console口登录设备。（错） 3、一般情况下把防火墙连接的不安全网络加入低优先级域，安全网络加入高优先级域（对） 4、防火墙缺省包过滤默认是打开的。（错） 5、防火墙local域和其它域inbound方向可以不做安全策略控制。（错） 6、防火墙双机热备场景下，HRP心跳线可以只用一条物理链路。（错） 7、原则上SNMP需要采用安全的版本，不得采用默认的community，禁用SNMP写功能，配置SNMP访问列表限制访问。（对） 8、防火墙可以一直开启ftp server功能。（错） 9、远程登录防火墙建议使用SSH方式。（对） 10、正确设置设备的系统时间，确保时间的正确性。（对）二、单选题（每题3分，共36分） 1. 防火墙一般部署在内网和外网之间，为了保护内网的安全，防火墙提出了一种区别路由器的新概念（A），用来保障网络安全。 A. 安全区域 B. 接口检测 C. 虚拟通道 D. 认证与授权 2. 防火墙默认有4 个安全区域，安全域优先级从高到低的排序是（C） A. Trust、Untrust 、DMZ、Local B. Local、DMZ 、Trust 、Untrust

C. Local、Trust、DMZ 、Untrust D. Trust 、Local、DMZ 、Untrust 3. 针对防火墙安全功能描述错误的是（D） A. 防火墙可以划分为不同级别的安全区域，优先级从1-100 B. 一般将内网放入Trust 域，服务器放入 DMZ 域，外网属于Untrust 域 C. 要求在域间配置严格的包过滤策略 D. 防火墙默认域间缺省包过滤是permit 的 4.防火墙Console口缺省用户名和密码是（ D） A. huawei；huawei B. huawei；huawei@123 C. root；huawei D. admin；Admin@123 5.防火墙登录密码必须使用强密码，什么是强密码？（D ） A.长度大于8，同时包含数字、字母 B.包含数字，字母、特殊字符 C.包含数字，字母 D.长度大于8，同时包含数字、字母、特殊字符 6.对于防火墙域间安全策略，下面描述正确的是（） A.防火墙域间可以配置缺省包过滤，即允许所有的流量通过 B.域间inbound方向安全策略可以全部放开 C.域间outbound方向安全策略可以全部放开 D.禁止使用缺省包过滤，域间要配置严格的包过滤策略；若要使用缺省包过滤，需得到客户书面授权。

(战略管理)防火墙策略的组成

3．1 防火墙策略的组成在ISA服务器安装成功后，其防火墙策略默认为禁止所有内外通讯，所以我们需要在服务器上建立相应的防火墙策略，以使内外通讯成功。在本章，我们将介绍ISA的基本配置，使内部的所有用户无限制的访问外部网络。在ISA Server 2004中，防火墙策略是由网络规则、访问规则和服务器发布规则三者的共同组成。网络规则：定义了不同网络间能否进行通讯、以及知用何各方式进行通讯。 ●?? 访问规则：则定义了内、外网的进行通讯的具体细节。 ●?? 服务器发布规则：定义了如何让用户访问服务器。 ●?? 3.1.1 网络规则 ISA2004通过网络规则来定义并描述网络拓扑，其描述了两个网络实体之间是否存在连接，以及定义如何进行连接。相对于ISA2000，可以说网络规则是ISA Server 2004中的一个很大的进步，它没有了ISA Server 2000只有一个LAT表的限制，可以很好的支持多网络的复杂环境。在ISA2004的网络规则中定义的网络连接的方式有：路由和网络地址转换。 3.1.1.1 路由路由是指相互连接起来的网络之间进行路径寻找和转发数据包的过程，由于ISA与Windows 2000 Server和Windows Server 2003路由和远程访问功能的紧密集成，使其具有很强的路由功能。在ISA2004中，当指定这种类型的连接时，来自源网络的客户端请求将被直接转发到目标网络，而无须进行地址的转换。当需要发布位于DMZ网络中的服务器时，我们可以配置相应的路由网络规则。需要注意的是，路由网络关系是双向的。如果定义了从网络 A 到网络 B 的路由关系，那么从网络B到网络 A 也同样存在着路由关系，这同我们在进行硬件或软件路由器配置的原理相同。 3.1.1.2 网络地址转换（NAT） NAT即网络地址转换（Network Address Translator），在Windows 2000 Server和Windows server 2003中，NAT是其IP路由的一项重要功能。NAT方式也称之为Internet的路由连接，通过它在局域网和Internet 主机间转发数据包从而实现Internet的共享。ISA2004由于同Windows 20 00 Server和Windows server 2003的路由和远程访问功能集成，所以支持 NAT的的连接类型。当运行NAT的计算机从一台内部客户机接收到外出请求数据包时，它会把信息包的包头换掉，把客户机的内部IP地址和端口号翻译成NAT服务器自己的外部IP地址和端口号，然后再将请求包发送给Internet上的目标主机。当N

防火墙策略配置向导

目录 1 防火墙策略配置向导..........................................................................................................................1-1 1.1 概述...................................................................................................................................................1-1 1.2 防火墙策略配置.................................................................................................................................1-1 1.2.1 配置概述.................................................................................................................................1-1 1.2.2 配置防火墙策略......................................................................................................................1-1

中国移动安氏防火墙安全配置规范V1.

中国移动安氏防火墙安全配置规范 S p e c i f i c a t i o n f o r C o n f i g u r a t i o n o f F i r e w a l l U s e d i n C h i n a M o b i l e

版本号：1.0.0 ╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信有限公司网络部

目录 1.范围 (1) 2.规范性引用文件 (1) 3.术语、定义和缩略语 (1) 4.防火墙功能和配置要求 (1) 4.1.引用说明 (1) 4.2.日志配置要求 (3) 4.3.告警配置要求 (3) 4.4.安全策略配置要求 (3) 4.5.攻击防护配置要求 (4) 4.6.虚拟防火墙配置要求 (4) 4.7.设备其他安全要求 (5) 5.编制历史 (5)

前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准明确了安氏防火墙的配置要求。本标准主要包括日志配置、告警配置、安全策略配置、攻击防护配置，虚拟防火墙配置、设备其他安全要求等方面的配置要求。本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团天津、江苏有限公司本标准主要起草人：张瑾、赵强、来晓阳、周智、曹一生、陈敏时。

系统安全配置技术规范_Juniper防火墙

系统安全配置技术规—Juniper防火墙

文档说明（一）变更信息（二）文档审核人

目录 1. 适用围 (4) 2. 帐号管理与授权 (4) 2.1 【基本】删除与工作无关的帐号 (4) 2.2 【基本】建立用户帐号分类 (4) 2.3 【基本】配置登录超时时间 (5) 2.4 【基本】允许登录的帐号 (6) 2.5 【基本】失败登陆次数限制 (6) 2.6 【基本】口令设置符合复杂度要求 (6) 2.7 【基本】禁止ROOT远程登录 (7) 3. 日志配置要求 (8) 3.1 【基本】设置日志服务器 (8) 4. IP协议安全要求 (8) 4.1 【基本】禁用T ELNET方式访问系统 (8) 4.2 【基本】启用SSH方式访问系统 (9) 4.3 配置SSH安全机制 (9) 4.4 【基本】修改SNMP服务的共同体字符串 (10) 5. 服务配置要求 (10) 5.1 【基本】配置NTP服务 (10) 5.2 【基本】关闭DHCP服务 (11) 5.3 【基本】关闭FINGER服务 (11) 6. 其它安全要求 (12) 6.1 【基本】禁用A UXILIARY端口 (12) 6.2 【基本】配置设备名称 (12)

1.适用围如无特殊说明，本规所有配置项适用于Juniper防火墙 JUNOS 8.x / 9.x / 10.x 版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。 2.帐号管理与授权 2.1【基本】删除与工作无关的帐号 2.2【基本】建立用户帐号分类

信息安全管理制度网络安全设备配置规范标准

网络安全设备配置规范

XXX 2011年1月

1.2变化控制 1.防火墙配置文件是否备份？如何进行配置同步？ 2.改变防火墙缺省配置。 3.是否有适当的防火墙维护控制程序？ 4.加固防火墙操作系统，并使用防火墙软件的最新稳定版本或补丁，确保补丁的来源可靠。 5.是否对防火墙进行脆弱性评估/测试？（随机和定期测试） 1.3规则检查 1.防火墙访问控制规则集是否和防火墙策略一致？应该确保访问控制规则集依从防火墙策略，如严格禁止某些服务、严格开放某些服务、缺省时禁止所有服务等，以满足用户安全需求，实现安全目标。 2.防火墙访问控制规则是否有次序性？是否将常用的访问控制规则放在前面以增加防火墙的性能？评估防火墙规则次序的有效性。防火墙访问控制规则集的一般次序为： ?反电子欺骗的过滤（如，阻断私有地址、从外口出现的内部地址） ?用户允许规则（如，允许HTTP到公网Web服务器） ?管理允许规则 ?拒绝并报警（如，向管理员报警可疑通信） ?拒绝并记录（如，记录用于分析的其它通信）

防火墙是在第一次匹配的基础上运行，因此，按照上述的次序配置防火墙，对于确保排除可疑通信是很重要的。 3.防火墙访问控制规则中是否有保护防火墙自身安全的规则 4.防火墙是否配置成能抵抗DoS/DDoS攻击？ 5.防火墙是否阻断下述欺骗、私有（RFC1918）和非法的地址 ?标准的不可路由地址（255.255.255.255、127.0.0.0） ?私有（RFC1918）地址（10.0.0.0 –10.255.255.255、 172.16.0.0 –172.31..255.255、192.168.0.0 – 192.168.255.255） ?保留地址（224.0.0.0） ?非法地址（0.0.0.0） 6.是否确保外出的过滤？确保有仅允许源IP是内部网的通信通过而源IP不是内部网的通信被丢弃的规则，并确保任何源IP不是内部网的通信被记录。 7.是否执行NAT，配置是否适当？任何和外网有信息交流的机器都必须经过地址转换（NAT）才允许访问外网，同样外网的机器要访问内部机器，也只能是其经过NAT后的IP，以保证系统的内部地址、配置和有关的设计信息如拓扑结构等不能泄露到不可信的外网中去。 8.在适当的地方，防火墙是否有下面的控制？如，URL过滤、端口阻断、防IP欺骗、过滤进入的Java或ActiveX、防病毒等。

实验四防火墙的使用与安全配置

实验四防火墙的使用与安全配置【实验目的】 1．掌握防火墙IP规则设置原理和方法； 2．掌握防火墙应用程序规则设置原理和方法。【实验内容】 1．了解个人防火墙的基本工作原理 2．安装和运行天网防火墙 3．设置和使用天网防火墙【预备知识】（一）防火墙简介防火墙是一类防范措施的总称，它使得内部网络与Internet 之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。防火墙简单的可以只用路由器实现，复杂的可以用主机甚至一个子网来实现。设置防火墙目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的安全管理。防火墙的功能有：（1）过滤掉不安全服务和非法用户（2）控制对特殊站点的访问（3）提供监视Internet 安全和预警的方便端点（二）个人防火墙简介目前，互联网上的受攻击案件数量直线上升，用户随时都可能遭到各种恶意攻击，造成用户的上网账号被窃取、冒用、银行账号被盗用、电子邮件密码被修改、财务数据被利用、机密档案丢失、隐私曝光等等，甚至黑客（Hacker）通过远程控制删除了用户硬盘上所有的资料数据，整个计算机系统架构全面崩溃。为了抵御黑客的攻击，建议互联网用户计算机上安装一套个人防火墙软件，以拦截一些来历不明、有害敌意访问或攻击行为。个人防火墙把用户的计算机和公共网络（如互联网）分隔开，它检查到达防火墙两端的所有数据包，无论是进入还是发出，从而决定该拦截这个包还是将其放行，是保护个人计算机接入互联网的安全有效措施。常见的个人防火墙有：天网防火墙个人版、瑞星个人防火墙、费尔个人防火墙、江民黑客防火墙和金山网镖等。（三）天网防火墙个人版天网防火墙个人版SkyNet FireWall（简称天网防火墙）是由天网安全实验室研发制作给个人计算机使用的网络安全程序工具。天网防火墙根据系统管理者设定的安全规则（Security Rules）守护网络，提供强大的访问控制、身份认证、信息过滤功能，可以抵挡网络攻击和入侵，防止信息泄露。天网防火墙把网络分为本地网和互联网，可以针对来自不同网络的信息，来设置不同的安全方案。【实验步骤】（一）打开天网防火墙：

juniper防火墙详细配置手册

j u n i p e r防火墙详细配置手册 The latest revision on November 22, 2020

J u n i p e r防火墙简明实用手册（版本号：V1.0）

1juniper中文参考手册重点章节导读版本：Juniper防火墙5.0中文参考手册，内容非常庞大和繁杂，其中很多介绍和功能实际应用的可能性不大，为了让大家尽快用最短的时间内掌握Juniper防火墙的实际操作，下面简单对参考手册中的重点章节进行一个总结和概括，掌握了这些内容大家就可以基本能够完成安全部署和维护的工作。 1.1第二卷：基本原理 1.1.1第一章：ScreenOS体系结构安全区安全区接口策略 1.1.2第二章：路由表和静态路由配置静态路由 1.1.3第三章：区段安全区配置安全区功能区段：HA区段 1.1.4第四章：接口接口类型：安全区接口：物理接口类型：安全区接口：功能区段接口察看接口配置安全区接口：将接口绑定到安全区、从安全区解除接口绑定、修改接口、跟踪IP地址二级IP地址 1.1.5第五章：接口模式透明模式 NAT模式

路由模式 1.1.6第六章：为策略构建块地址：地址条目、地址组服务：预定义的服务、定制服务 DIP池：端口地址转换、范例：创建带有PAT的DIP池、范例：修改 DIP池、扩展接口和DIP 时间表 1.1.7第七章：策略三种类型的策略策略定义策略应用 1.1.8第八章：地址转换地址转换简介源网络地址转换目的网络地址转换映射IP地址虚拟IP地址 1.1.9第十一章：系统参数下载/上传设置和固件系统时钟 1.2第三卷：管理 1.2.1第一章：管理通过WEB用户界面进行管理通过命令行界面进行管理管理的级别：根管理员、可读/写管理员、只读管理员、定义Admin 用户保证管理信息流的安全：更改端口号、更改Admin登录名和密码、重置设备到出厂缺省设置、限制管理访问

信息安全管理制度-网络安全设备配置规范(20200420164410)

网络安全设备配置规范 XXX 2011年1月

文档信息标题文档全名版本号 1.0 版本日期2011年1月文件名网络安全设备配置规范所有者XXX 作者XXX 修订记录日期描述作者版本号2011-1 创建XXX 1.0 文档审核/审批（此文档需如下审核）姓名公司/部门职务/职称文档分发（此文档将分发至如下各人）姓名公司/部门职务/职称

网络安全设备配置规范 1防火墙 1.1防火墙配置规范 1.要求管理员分级，包括超级管理员、安全管理员、日志管理员等，并定义相应的职责，维护相应的文档和记录。 2.防火墙管理人员应定期接受培训。 3.对防火墙管理的限制，包括，关闭telnet、http、ping、snmp等，以及使用SSH而不是telnet远程管理防火墙。 4.账号管理是否安全，设置了哪些口令和帐户策略，员工辞职，如何进行口令变更？ 1.2变化控制 1.防火墙配置文件是否备份？如何进行配置同步？ 2.改变防火墙缺省配置。 3.是否有适当的防火墙维护控制程序？ 4.加固防火墙操作系统，并使用防火墙软件的最新稳定版本或补丁，确保补丁的来源可靠。 5.是否对防火墙进行脆弱性评估/测试？（随机和定期测试）

1.3规则检查 1.防火墙访问控制规则集是否和防火墙策略一致？应该确保访问控制规则集依从防火墙策略，如严格禁止某些服务、严格开放某些服务、缺省时禁止所有服务等，以满足用户安全需求，实现安全目标。 2.防火墙访问控制规则是否有次序性？是否将常用的访问控制规则放在前面以增加防火墙的性能？评估防火墙规则次序的有效性。防火墙访问控制规则集的一般次序为：反电子欺骗的过滤（如，阻断私有地址、从外口出现的内部地址）用户允许规则（如，允许HTTP到公网Web服务器）管理允许规则拒绝并报警（如，向管理员报警可疑通信）拒绝并记录（如，记录用于分析的其它通信）防火墙是在第一次匹配的基础上运行，因此，按照上述的次序配置防火墙，对于确保排除可疑通信是很重要的。 3.防火墙访问控制规则中是否有保护防火墙自身安全的规则 4.防火墙是否配置成能抵抗DoS/DDoS攻击？ 5.防火墙是否阻断下述欺骗、私有（RFC1918）和非法的地址标准的不可路由地址（255.255.255.255、127.0.0.0）私有（RFC1918）地址（10.0.0.0 –10.255.255.255、 172.16.0.0 –172.31..255.255、192.168.0.0 –

防火墙策略如何设置

防火墙策略如何设置防火墙策略设置介绍一：这个策略的意思是"在filter表中(这个在策略中省略了)的input链的首行，插入一条允许访问本机22号端口的策略” 这条策略中没有指定源地址，也就是说允许任何主机访问本机的22号端口(ssh服务) 有四个表，一般只用到两个：filter, nat ;有五条链:input output forward prerouting postroung filter表包括三条连：input,output,forward，主要是做过滤用的，比如对数据流入做过滤(input链上做规则，比如你的例子);对数据流出做过滤(output上链做规则)，对需要转发的数据做过滤(forward上链做规则—) nat表包括三条连：prerouting，postrouting，output，是做地址转换。让内网用户访问互联网(postrouging链上作策略)，让外网用户(互联网用户)访问内网服务器(prerouitng链上作策略) 防火墙策略设置介绍二： linux 为增加系统安全性提供了防火墙保护。防火墙存在于你的计算机和网络之间，用来判定网络中的远程用户有权访问你的计算机上的哪些资源。一个正确配置的防火墙可以极大地增加你的系统安全性。防火墙作为网络安全措施中的一个重要组成部

分，一直受到人们的普遍关注。linux是这几年一款异军突起的操作系统，以其公开的源代码、强大稳定的网络功能和大量的免费资源受到业界的普遍赞扬。linux防火墙其实是操作系统本身所自带的一个功能模块。通过安装特定的防火墙内核，linux操作系统会对接收到的数据包按一定的策略进行处理。而用户所要做的，就是使用特定的配置软件(如iptables)去定制适合自己的“数据包处理策略”。包过滤：对数据包进行过滤可以说是任何防火墙所具备的最基本的功能，而linux防火墙本身从某个角度也可以说是一种“包过滤防火墙”。在linux防火墙中，操作系统内核对到来的每一个数据包进行检查，从它们的包头中提取出所需要的信息，如源ip地址、目的ip地址、源端口号、目的端口号等，再与已建立的防火规则逐条进行比较，并执行所匹配规则的策略，或执行默认策略。值得注意的是，在制定防火墙过滤规则时通常有两个基本的策略方法可供选择：一个是默认允许一切，即在接受所有数据包的基础上明确地禁止那些特殊的、不希望收到的数据包;还有一个策略就是默认禁止一切，即首先禁止所有的数据包通过，然后再根据所希望提供的服务去一项项允许需要的数据包通过。一般说来，前者使启动和运行防火墙变得更加容易，但却更容易为自己留下安全隐患。通过在防火墙外部接口处对进来的数据包进行过滤，可以有效地阻止绝大多数有意或无意地网络攻击，同时，对发出的数据包进行限制，可以明确地指定内部网中哪些主机可以访问互联网，