硬件防火墙

　1、PIX515E-UR两台，软件版本：6.3

现在随着人们的安全意识加强，防火墙一般都被公司企业采用来保障网络的安全，一般的攻击者在有防火墙的情况下，一般是很难入侵的。下面谈谈有防火墙环境下的攻击和检测。

黑客:主机扫描→端口扫描→漏洞扫描，这是一个极为常见且有效的窥探目标主机的方法。它虽算不上是攻击，但针对某台设备的攻击往往在这些步骤结束后接踵而至。有些国家视未经允许扫描他人主机为非法。

下面以一款采用Globespan芯片的ADSL Modem为例，来详细说明怎样配置和管理ADSL Modem内置防火墙。

防火墙系统设计要求你能够了解并鉴别你的网络的安全域。网络的安全域是指一个网络中的在统一的安全策略下运行的邻近域。无论这些域的交叉点在那里，在这些域的边界肯定有一种潜在的对策略冲突决策机制的需求。这也是防火墙技术有用的地方。

面对不断“更新”的病毒和攻击技术，你难道不想了解新的安全技术，装备新的安全产品，以保护自己的爱机、绝密的资料吗?不要担心，“安全新秀”将会为你介绍最新的安全技术、资讯，最新的安全产品，让你永远走在安全的前沿。

CiscoPIXSyslog配置说明

偶在翻阅了大量网上文档后，实验整理了一下OPENBSD环境中ADSL、PF的配置过程。希望对OPENBSD的初学者有些帮助。下面我用的是OPENBSD 3.6

所有远程vpdn用户通过acs server 做用户验证和记帐,便于管理和实现其他pix 验证无法实现的功能,例如实现用户帐号尝试错误后锁定,访问时间等功能;

我们知道防火墙有四种类型：集成防火墙功能的路由器，集成防火墙功能的代理服务器，专用的软件防火墙和专用的软硬件结合的防火墙。Cisco的防火墙解决方案中包含了四种类型中的第一种和第四种，即：集成防火墙功能的路由器和专用的软硬件结合的防火墙。

一般的访问控制主要在防火墙中进行设置，制定一些安全策略：如内部局域网的资源不允许外部网上的用户使用；不设防区(又称非军事区)可以为内部或外部局域网，其中的资源允许外部网的用户有限度地使用；可以使外部用户访问非军事区（DMZ区）的WEB服务器等等。

目前，安全产品品牌很多，一个厂家也有多款不同的防火墙。产品的售价也极为悬殊，从几千元到数十万元，甚至上百万元不等。同时，关于防火墙的新技术新概念层出不穷，让人眼花缭乱，一般用户很难作出正确的选择。本文对防火墙进行了深入分析，希望能够帮助用户看清真正需要的是什么。

ASIC防火墙是通过专门设计的ASIC芯片逻辑进行硬件加速处理，通过把指令或计算逻辑固化到芯片中，获得很高的处理能力，由此，明显地提升了防火墙的性能。新一代高可编程ASIC采用了更灵活的设计，能够通过软件改变应用逻辑，具有更广泛的适应能力。另外，基于ASIC芯片架构的防火墙将包括状态表项、路由表项以及VLAN表项等存储在芯片中，以提高防火墙的处理速度。

static:Configure a persistent one-to-one address translation rule by mapping a local IP address to a global IP address. This is also known as Static Port Address Translation (Static PAT). (Configuration mode.)

防火墙英文名称为FireWall，是指位于计算机和它所连接的网络之间的硬件或软件，也可以位于两个或多个网络之间，比如局域网和互联网之间，网络之间的所有数据流都经过防火墙(见图)。通过防火墙可以对网络之间的通讯进行扫描，关闭不安全的端口，阻止外来的DoS攻击，封锁特洛伊木马等，以保证网络和计算机的安全。

Agnitum Outpost Firewall Pro是一个受到越来越多用户喜爱和关注的优秀防火墙，占用资源相对较小，设置灵活方便，稳定强悍，可以算得上个人防火墙中的佼佼者了。东西虽好，可是很多人在使用中只是让软件的默认设置在发挥作用，而防火墙的默认设定往往更侧重于兼容性方面的考虑，想让防火墙更好的发挥作用，就需要你根据自己的网络情况作出调整和配置。正好官方论坛中有一篇相关文章，编译出来和大家一起学习交流。特此感谢原作者和Outpost论坛。文中涉及到的Outpost选项的中文名称出自Silence的2.7.485.540 1 (412)版汉化。

DNS（Domain Name System）是通过域名来确定IP地址的一种方法（如 otupostfirewall.com的IP地址是216.12.219.12。详情请查阅RFC 1034 - Domain names - concepts and facilities）。因为连接网站时DNS信息必须通过防火墙以实现IP地址查询，一些木马以及泄漏测试就试图把它们的通讯伪装成DNS请求。然而通过把DNS通讯地址限定为你的ISP所提供的DNS服务器，这种伪DNS请求就可以被有效的拦截。有两 种方法可以完成这项任务：

即使程序需要正常的访问互联网，对其通讯不加过问的一律放行也不是明智的做法。某些程序可能会要求比所需更多的连接（浪费带宽），有的程序会跟“老家”悄悄联系泄漏你的隐私信息。出于这种考虑，应该把“信任的应用程序”组中的项目移入“部分允许的应用程序 ”组，并且设置如下所建议的合适的规则。

SuperStealth对于互联网的安全性没有实际意义，它提供了对于位于局域网中的以太网通讯的控制。这是一个特别设计的工具，只适用于对ARP和以太网比较熟悉的用户。

你已经接受了这种想法，就是使用隔离区(DMZ)为你的机器提供更多的安全和强大的保护功能，而不是简单地在你的整个网络前面使用一个传统的防火墙。这对你会有好处，但是，仍存在一个问题:你会采用简单的路由并在你的单一的防火墙外面设置一个隔离区吗?或者采用两个防火墙并且在两个防火墙之间设置一个隔离区，这样增加额外的开支提供最大的保护值得吗?