磊科路由器防火墻設(shè)置方法介紹
防火墻主要由服務(wù)訪問(wèn)規(guī)則、驗(yàn)證工具、包過(guò)濾和應(yīng)用網(wǎng)關(guān)4個(gè)部分組成，防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟件或硬件。相信每一個(gè)使用路由器的人都知道防火墻，現(xiàn)在幾乎每一個(gè)路由器中都內(nèi)置了防火墻，用來(lái)保護(hù)內(nèi)網(wǎng)電腦的安全，本篇以磊科路由器為大家介紹關(guān)于路由器防火墻這部分的知識(shí)，相信你看完后一定有所收獲
方法步驟
一、保護(hù)本地電腦，防火墻必須監(jiān)控那些到本地網(wǎng)絡(luò)地址的連接，只有有權(quán)到某些主機(jī)和服務(wù)的連接才能被允許，這項(xiàng)工作可以在forward中設(shè)置，以便比較匹配決定通過(guò)路由所有連接界面到本地網(wǎng)路目的地址的數(shù)據(jù)包。
二、保護(hù)路由避免沒(méi)有認(rèn)證的訪問(wèn)，防火墻必須監(jiān)控那些到路由的連接，只能允許某些特定的主機(jī)到路由某些特定的tcp端口的訪問(wèn)，這項(xiàng)工作可以在input中設(shè)置，以便比較匹配通過(guò)路由所有連接界面到路由目的地址的數(shù)據(jù)包。
三、利用nat將本地的網(wǎng)絡(luò)隱藏在一個(gè)公網(wǎng)的ip后面，所有本地網(wǎng)絡(luò)的連接被偽裝成來(lái)自路由本身的公網(wǎng)地址。這項(xiàng)工作可以通過(guò)啟用偽裝行為來(lái)實(shí)現(xiàn)源地址轉(zhuǎn)換規(guī)則。
四、強(qiáng)制本地網(wǎng)絡(luò)連接到公網(wǎng)的訪問(wèn)原則，防火墻必須監(jiān)控那些來(lái)自本地網(wǎng)絡(luò)地址的連接。這項(xiàng)工作可以通過(guò)forward中設(shè)置，或者通過(guò)偽裝哪些被允許的連接來(lái)實(shí)現(xiàn)。數(shù)據(jù)的過(guò)濾會(huì)對(duì)router的性能造成一定的影響，為了把這個(gè)影響降到最低，這些過(guò)濾的規(guī)則必須放在各個(gè)chain的頂部，這個(gè)在傳輸控制協(xié)議選項(xiàng)non-syn-only中。
五、網(wǎng)絡(luò)攻擊產(chǎn)生的攻擊數(shù)據(jù)流量在到達(dá)最終攻擊目標(biāo)時(shí)，數(shù)據(jù)流量可能是非常巨大的，為了保護(hù)被攻擊的系統(tǒng)免于崩潰，我們可以采取以下兩種策略：
1、在最終攻擊目標(biāo)的網(wǎng)絡(luò)邊界路由器上使用訪問(wèn)控制列表，拒絕將ping攻擊數(shù)據(jù)包發(fā)往被攻擊的主機(jī)。但這是一個(gè)粗努的方法，因?yàn)楫?dāng)你在路由器上完全限制了發(fā)往被攻擊主機(jī)的ping數(shù)據(jù)包之后，其它希望正常通過(guò)的ping數(shù)據(jù)包也將無(wú)法通過(guò)。
2、在邊界路由器上使用訪問(wèn)控制列表過(guò)濾ping數(shù)據(jù)之后，雖然可以保護(hù)路由器連接的內(nèi)部網(wǎng)絡(luò)免受攻擊，但攻擊的數(shù)據(jù)還是會(huì)大量涌入路由器，導(dǎo)致路由器接口的阻塞。
3、在最終攻擊目標(biāo)的網(wǎng)絡(luò)邊界路由器上使用CAR限制是一種更為可取的方法。通過(guò)CAR可以將流入網(wǎng)絡(luò)的某一類數(shù)據(jù)包的總流量限制在一定的范圍，從而可以保證其它數(shù)據(jù)的正常通過(guò)。
今天的內(nèi)容就給大家介紹到這里了，想要更好設(shè)置路由器，那么了解以上的知識(shí)是必須的，如果你還有興趣了解更多，可以查看關(guān)于H3C路由器設(shè)置。
補(bǔ)充閱讀：防火墻主要使用技巧
一、所有的防火墻文件規(guī)則必須更改。
盡管這種方法聽起來(lái)很容易，但是由于防火墻沒(méi)有內(nèi)置的變動(dòng)管理流程，因此文件更改對(duì)于許多企業(yè)來(lái)說(shuō)都不是最佳的實(shí)踐方法。如果防火墻管理員因?yàn)橥话l(fā)情況或者一些其他形式的業(yè)務(wù)中斷做出更改，那么他撞到槍口上的可能性就會(huì)比較大。但是如果這種更改抵消了之前的協(xié)議更改，會(huì)導(dǎo)致宕機(jī)嗎?這是一個(gè)相當(dāng)高發(fā)的狀況。
防火墻管理產(chǎn)品的中央控制臺(tái)能全面可視所有的防火墻規(guī)則基礎(chǔ)，因此團(tuán)隊(duì)的所有成員都必須達(dá)成共識(shí)，觀察誰(shuí)進(jìn)行了何種更改。這樣就能及時(shí)發(fā)現(xiàn)并修理故障，讓整個(gè)協(xié)議管理更加簡(jiǎn)單和高效。
二、以最小的權(quán)限安裝所有的訪問(wèn)規(guī)則。
另一個(gè)常見的安全問(wèn)題是權(quán)限過(guò)度的規(guī)則設(shè)置。防火墻規(guī)則是由三個(gè)域構(gòu)成的：即源(IP地址)，目的地(網(wǎng)絡(luò)/子網(wǎng)絡(luò))和服務(wù)(應(yīng)用軟件或者其他目的地)。為了確保每個(gè)用戶都有足夠的端口來(lái)訪問(wèn)他們所需的系統(tǒng)，常用方法是在一個(gè)或者更多域內(nèi)指定打來(lái)那個(gè)的目標(biāo)對(duì)象。當(dāng)你出于業(yè)務(wù)持續(xù)性的需要允許大范圍的IP地址來(lái)訪問(wèn)大型企業(yè)的網(wǎng)絡(luò)，這些規(guī)則就會(huì)變得權(quán)限過(guò)度釋放，因此就會(huì)增加不安全因素。服務(wù)域的規(guī)則是開放65535個(gè)TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個(gè)攻擊矢量?
三、根據(jù)法規(guī)協(xié)議和更改需求來(lái)校驗(yàn)每項(xiàng)防火墻的更改。
在防火墻操作中，日常工作都是以尋找問(wèn)題，修正問(wèn)題和安裝新系統(tǒng)為中心的。在安裝最新防火墻規(guī)則來(lái)解決問(wèn)題，應(yīng)用新產(chǎn)品和業(yè)務(wù)部門的過(guò)程中，我們經(jīng)常會(huì)遺忘防火墻也是企業(yè)安全協(xié)議的物理執(zhí)行者。每項(xiàng)規(guī)則都應(yīng)該重新審核來(lái)確保它能符合安全協(xié)議和任何法規(guī)協(xié)議的內(nèi)容和精神，而不僅是一篇法律條文。
四、當(dāng)服務(wù)過(guò)期后從防火墻規(guī)則中刪除無(wú)用的規(guī)則。
規(guī)則膨脹是防火墻經(jīng)常會(huì)出現(xiàn)的安全問(wèn)題，因?yàn)槎鄶?shù)運(yùn)作團(tuán)隊(duì)都沒(méi)有刪除規(guī)則的流程。業(yè)務(wù)部門擅長(zhǎng)讓你知道他們了解這些新規(guī)則，卻從來(lái)不會(huì)讓防火墻團(tuán)隊(duì)知道他們不再使用某些服務(wù)了。了解退役的服務(wù)器和網(wǎng)絡(luò)以及應(yīng)用軟件更新周期對(duì)于達(dá)成規(guī)則共識(shí)是個(gè)好的開始。運(yùn)行無(wú)用規(guī)則的報(bào)表是另外一步。黑客喜歡從來(lái)不刪除規(guī)則的防火墻團(tuán)隊(duì)。
磊科路由器防火墻設(shè)置方法介紹相關(guān)文章：