quidway secpath 下的安全配置

一、黑名單

在配置黑名單之前首先要啓用防火牆的黑名單功能，這樣纔會對符合黑名單表項的報文進行過濾。在防火牆目錄中點擊黑名單進入黑名單配置信息概覽頁面，單擊使能按鈕以啓用黑名單功能。啓用黑名單功能後可單擊禁止按鈕以關閉黑名單功能

 

 

配置黑名單

 

在黑名單配置信息概覽頁面中單擊創建按鈕以進入黑名單表項配置頁面

 

 

在IP地址欄中輸入被屏蔽的報文的源地址信息；在老化時間時間中指定經過此時間後黑名單表項將被自動刪除，範圍爲1～1000，單位爲分鐘，若不指定老化時間，則此表項將不會老化。

 

二、安全區域

在防火牆目錄中點擊安全區域進入安全區域配置信息概覽頁面，可看到系統已經缺省創建的安全區域及其優先級和所連接的接口。

 

單擊創建按鈕進入創建安全區域頁面，爲安全區域設置名稱和優先級，以及選擇防火牆連接此區域所使用的接口。

 

在安全區域配置信息概覽頁面中選擇一個安全區域並單擊配置按鈕可對其屬性進行修改。

 

三、IP-MAC地址綁定

MAC和IP地址綁定，指防火牆可以根據用戶的配置，在特定的IP地址和MAC地址之間形成關聯關係。對於源IP地址爲這個IP的報文，如果其MAC地址不是指定關係對中的地址，防火牆將予以丟棄。在防火牆目錄中點擊IP-MAC地址綁定進入IP-MAC地址綁定配置信息概覽頁面，單擊創建按鈕進入綁定條目配置頁面，指定綁定的IP地址和MAC地址。

創建完綁定條目後，在IP-MAC地址綁定配置信息概覽頁面單擊使能按鈕啓用IP-MAC地址綁定功能。

 

 

四、防火牆會話

防火牆會話表能對TCP、UDP、FTP、HTTP、SMTP、NetBIOS、RSTP、H.323等協議的流量進行監測。在防火牆目錄中點擊防火牆會話進入防火牆會話信息配置概覽頁面，在頁面的上半部分可以查看到當前防火牆會話表的各個協議的超時時間。

 

 

單擊配置按鈕可以對各個協議的超時時間進行配置。配置完成後單擊此頁面的配置按鈕應用當前設置，單擊重置按鈕將恢復到系統的缺省值。

 

 

在防火牆會話信息配置概覽頁面的下半部分中可以查看當前防火牆的會話信息。

 

 

例如，通過此會話信息可以看到當前地址爲192.168.0.2的主機與防火牆的HTTP 80端口建立了連接。

 

TCP代理對目的主機或目的區域的所有主機提供保護，用來防範SYN Flood***。當外部主機與啓用了TCP代理保護的某個主機或某個安全域中的主機建立TCP連接時，必須先與防火牆完成TCP三次握手後，才能與目的主機建立TCP連接。如果不能與防火牆完成三次握手，則不允許與目的主機建立TCP連接，有效的防止了內部主機收到惡意***。
在“防火牆”目錄中點擊TCP代理配置進入配置頁面，可以通過選擇頁面中的“受保護的主機IP”和“受保護的安全區域”複選框爲擁有特定IP地址的主機和安全區域中的所有主機提供保護，單擊添加按鈕啓動TCP代理。