《飞塔防火墙策略.ppt》由会员分享，可在线阅读，更多相关《飞塔防火墙策略.ppt（21页珍藏版）》请在三一文库上搜索。
1、防火墙策略 Course 201 v4.0,创建防火墙策略的原则,策略是按照进出流量的接口部署的 流量如果没有匹配的防火墙策略的话，是不能穿过设备的 正确理解状态监测，防火墙的策略应以数据流的发起方来判断建立的方向 也就是说，当需要内部网访问外部网时，只需要建立一个从Internal到wan1的允许策略即可,防火墙策略,接口,服务,NAT / Route,保护内容表,如何创建防火墙策略 接口与IP地址,两种类型的地址: IP / IP Range FQDN域名的方式 定义IP范围的多种方式: 192.168.1.99 192.168.1.0/255.255.255.0 192.168.1.0/
2、24 192.168.1.99-192.168.1.105 192.168.1.99-105,FQDN域名方式 防火墙本身的DNS用来解析FQDN地址对象的 FQDN解析的缓存时间是由DNS服务器决定的,如何创建防火墙策略 选择与定制服务,FortiGate本身内置了六十多个预定义的服务 用户也可以自行定义服务，以下协议可以定制: TCP/UDP ICMP IP 也可以通过组的方式将多个服务组合在一起,如何创建防火墙策略 定制时间表,防火墙的基于时间的控制,如何创建防火墙策略 选择动作,数据包是根据接口、地址、协议、时间四项进行匹配的，一旦匹配成功后，就根据“Action”来决定操作，不再向下
3、匹配。 在建立防火墙策略是，应尽可能范围小的放在前面，范围大的放在后面。 在 NAT/Route模式下，防火墙策略还需要判断是否对数据流进行NAT。 有以下类型的动作： Accept Deny SSLssl vpn的策略 IPSecIpsec vpn的策略,防火墙策略使用“Any”接口,源或目的接口都可以设置为“any” 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策略全局视图 “any”接口不能用于VIP或IP-pool,实验一,10.0.x.1只能够访问，而不能访问其他的网站 提示： 注意以下DNS的问题 没有匹配策略成功的话，那么是拒绝的。,地址转换,如何设置源地址转换,
4、缺省情况下，端口地址翻译为外部接口IP地址,如何设置源地址转换不使用接口地址,地址翻译成指定范围的IP地址 防火墙虚拟IP IP池 如何来验证 Diagnose sniffer packet any icmp 4 Ping ,映射服务器设置虚拟IP,一对一映射 端口映射,绑定的外部接口,外部的IP地址,内部的IP地址,外部IP端口,内部服务器端口,映射服务器设置服务器的负载均衡,选择使用服务器负载均衡 外部的IP 分配流量的方式 外部的IP端口 内部的服务器列表,映射服务器添加允许访问服务器的策略,策略是从外向内建立的 目标地址是服务器映射的虚拟IP 不需要启用NAT,实验,将内部服务器10.
5、0.X.1映射到192.168.11.10X，让旁人ping 192.168.11.10X，然后抓包分析 Diagnose sniffer packet any icmp 4 Diagnose sys session clear,基于策略的流量控制,在防火墙策略中启动流量控制设置。如果您不对防火墙策略设置任何的流量控制，那么默认情况下，流量的优先级别设置为高级。 防火墙策略中的流量控制选项设置为三个优先级别（低、中、高）。 确定防火墙策略中所有基本带宽之和需要低于接口所承载的最大容量。,流量控制设置只有对设置动作为Accept，IPSEC以及SSL-VPN的策略可用。,将应用层的安全附加在防火
6、墙策略上保护内容表,保护内容表 说明,可以进行更细粒度的应用层的内容检测技术 防火墙 保护内容表 保护内容表涵盖病毒、IPS、Web过滤、内容归档、IM/P2P、VoIP、与以上相关的日志,保护内容表 应用到防火墙策略,保护内容表可以被应用到允许的防火墙策略 如果使用防火墙认证的话，则将保护内容表应用到用户组 可以创建多个保护内容表: 单一的保护内容表可以被应用到多个策略上,实验,我们将DMZ 192.168.3.254 80 映射到192.168.11.1X1的80端口上 192.168.3.254 443 映射到192.168.11.1X2 443 内部用户10.0.X.1 通过公网地址192.168.11.1X3访问internet 内部用户10.0.X.2 通过公网地址192.168.11.1X4访问Internet,