包過濾預設允許

A. 典型的包過濾防火牆使用了什麼信息

靜態包來過濾防火牆是根據定義好的自過濾規則審查每個數據包，以便確定其是否與某一條包過濾規則匹配。過濾規則基於數據包的報頭信息進行制訂。報頭信息中包括IP源地址、IP目標地址、傳輸協議(TCP、UDP、ICMP等等)、TCP/UDP目標埠、ICMP消息類型等。包過濾類型的防火牆要遵循的一條基本原則是「最小特權原則」，即明確允許那些管理員希望通過的數據包，禁止其他的數據包。
動態包過濾防火牆是就是後來的包狀態監測（Stateful Inspection）技術，監控每一個連接，自動臨時增加適當的規則。

B. 華為設備的命令`

一、access-list 用於創建訪問規則。

（1）創建標准訪問列表
access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ]

（2）創建擴展訪問列表
access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ]

（3）刪除訪問列表
no access-list { normal | special } { all | listnumber [ subitem ] }

【參數說明】
normal 指定規則加入普通時間段。
special 指定規則加入特殊時間段。
listnumber1 是1到99之間的一個數值，表示規則是標准訪問列表規則。
listnumber2 是100到199之間的一個數值，表示規則是擴展訪問列表規則。
permit 表明允許滿足條件的報文通過。
deny 表明禁止滿足條件的報文通過。
protocol 為協議類型，支持ICMP、TCP、UDP等，其它的協議也支持，此時沒有埠比較的概念；為IP時有特殊含義，代表所有的IP協議。
source-addr 為源地址。
source-mask 為源地址通配位，在標准訪問列表中是可選項，不輸入則代表通配位為0.0.0.0。
dest-addr 為目的地址。
dest-mask 為目的地址通配位。
operator[可選] 埠操作符，在協議類型為TCP或UDP時支持埠比較，支持的比較操作有：等於（eq）、大於（gt）、小於（lt）、不等於（neq）或介於（range）；如果操作符為range，則後面需要跟兩個埠。
port1 在協議類型為TCP或UDP時出現，可以為關鍵字所設定的預設值（如telnet）或0~65535之間的一個數值。
port2 在協議類型為TCP或UDP且操作類型為range時出現；可以為關鍵字所設定的預設值（如telnet）或0~65535之間的一個數值。
icmp-type[可選] 在協議為ICMP時出現，代表ICMP報文類型；可以是關鍵字所設定的預設值（如echo-reply）或者是0~255之間的一個數值。

icmp-code在協議為ICMP且沒有選擇所設定的預設值時出現；代表ICMP碼，是0~255之間的一個數值。
log [可選] 表示如果報文符合條件，需要做日誌。
listnumber 為刪除的規則序號，是1~199之間的一個數值。
subitem[可選] 指定刪除序號為listnumber的訪問列表中規則的序號。

【預設情況】
系統預設不配置任何訪問規則。
【命令模式】
全局配置模式

【使用指南】
同一個序號的規則可以看作一類規則；所定義的規則不僅可以用來在介面上過濾報文，也可以被如DDR等用來判斷一個報文是否是感興趣的報文，此時，permit與deny表示是感興趣的還是不感興趣的。

使用協議域為IP的擴展訪問列表來表示所有的IP協議。

同一個序號之間的規則按照一定的原則進行排列和選擇，這個順序可以通過 show access-list 命令看到。

【舉例】
允許源地址為10.1.1.0 網路、目的地址為10.1.2.0網路的WWW訪問，但不允許使用FTP。
Quidway(config)#access-list 100 permit tcp 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 eq www
Quidway(config)#access-list 100 deny tcp 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 eq ftp

【相關命令】
ip access-group
二、clear access-list counters 清除訪問列表規則的統計信息。
clear access-list counters [ listnumber ]

【參數說明】
listnumber [可選] 要清除統計信息的規則的序號，如不指定，則清除所有的規則的統計信息。

【預設情況】
任何時候都不清除統計信息。

【命令模式】
特權用戶模式

【使用指南】
使用此命令來清除當前所用規則的統計信息，不指定規則編號則清除所有規則的統計信息。

【舉例】

例1：清除當前所使用的序號為100的規則的統計信息。
Quidway#clear access-list counters 100
例2：清除當前所使用的所有規則的統計信息。
Quidway#clear access-list counters

【相關命令】
access-list

三、firewall 啟用或禁止防火牆。

firewall { enable | disable }
【參數說明】
enable 表示啟用防火牆。
disable 表示禁止防火牆。

【預設情況】
系統預設為禁止防火牆。

【命令模式】
全局配置模式

【使用指南】
使用此命令來啟用或禁止防火牆，可以通過show firewall命令看到相應結果。如果採用了時間段包過濾，則在防火牆被關閉時也將被關閉；該命令控制防火牆的總開關。在使用 firewall disable 命令關閉防火牆時，防火牆本身的統計信息也將被清除。

【舉例】
啟用防火牆。
Quidway(config)#firewall enable

【相關命令】
access-list，ip access-group

四、firewall default 配置防火牆在沒有相應的訪問規則匹配時，預設的過濾方式。

firewall default { permit | deny }

【參數說明】

permit 表示預設過濾屬性設置為「允許」。

deny 表示預設過濾屬性設置為「禁止」。

【預設情況】

在防火牆開啟的情況下，報文被預設允許通過。

【命令模式】

全局配置模式

【使用指南】

當在介面應用的規則沒有一個能夠判斷一個報文是否應該被允許還是禁止時，預設的過濾屬性將起作用；如果預設過濾屬性是「允許」，則報文可以通過，否則報文被丟棄。

【舉例】

設置預設過濾屬性為「允許」。

Quidway(config)#firewall default permit
五、ip access-group 使用此命令將規則應用到介面上。使用此命令的no形式來刪除相應的設置。

ip access-group listnumber { in | out }

[ no ] ip access-group listnumber { in | out }

【參數說明】

listnumber 為規則序號，是1~199之間的一個數值。

in 表示規則用於過濾從介面收上來的報文。

out 表示規則用於過濾從介面轉發的報文。

【預設情況】

沒有規則應用於介面。

【命令模式】

介面配置模式。

【使用指南】

使用此命令來將規則應用到介面上；如果要過濾從介面收上來的報文，則使用 in 關鍵字；如果要過濾從介面轉發的報文，使用out 關鍵字。一個介面的一個方向上最多可以應用20類不同的規則；這些規則之間按照規則序號的大小進行排列，序號大的排在前面，也就是優先順序高。對報文進行過濾時，將採用發現符合的規則即得出過濾結果的方法來加快過濾速度。所以，建議在配置規則時，盡量將對同一個網路配置的規則放在同一個序號的訪問列表中；在同一個序號的訪問列表中，規則之間的排列和選擇順序可以用show access-list命令來查看。

【舉例】

將規則101應用於過濾從乙太網口收上來的報文。

Quidway(config-if-Ethernet0)#ip access-group 101 in

【相關命令】

access-list

六、settr 設定或取消特殊時間段。

settr begin-time end-time

no settr

【參數說明】

begin-time 為一個時間段的開始時間。

end-time 為一個時間段的結束時間，應該大於開始時間。

【預設情況】

系統預設沒有設置時間段，即認為全部為普通時間段。

【命令模式】

全局配置模式

【使用指南】

使用此命令來設置時間段；可以最多同時設置6個時間段，通過show timerange 命令可以看到所設置的時間。如果在已經使用了一個時間段的情況下改變時間段，則此修改將在一分鍾左右生效（系統查詢時間段的時間間隔）。設置的時間應該是24小時制。如果要設置類似晚上9點到早上8點的時間段，可以設置成「settr 21:00 23:59 0:00 8:00」，因為所設置的時間段的兩個端點屬於時間段之內，故不會產生時間段內外的切換。另外這個設置也經過了2000問題的測試。

【舉例】

例1：設置時間段為8:30 ~ 12:00，14:00 ~ 17:00。

Quidway(config)#settr 8:30 12:00 14:00 17:00

例2： 設置時間段為晚上9點到早上8點。

Quidway(config)#settr 21:00 23:59 0:00 8:0

【相關命令】

timerange，show timerange
七、show access-list 顯示包過濾規則及在介面上的應用。

show access-list [ all | listnumber | interface interface-name]

【參數說明】

all 表示所有的規則，包括普通時間段內及特殊時間段內的規則。

listnumber 為顯示當前所使用的規則中序號為listnumber的規則。

interface 表示要顯示在指定介面上應用的規則序號。

interface-name 為介面的名稱。

【命令模式】

特權用戶模式

【使用指南】

使用此命令來顯示所指定的規則，同時查看規則過濾報文的情況。每個規則都有一個相應的計數器，如果用此規則過濾了一個報文，則計數器加1；通過對計數器的觀察可以看出所配置的規則中，哪些規則是比較有效，而哪些基本無效。可以通過帶interface關鍵字的show access-list命令來查看某個介面應用規則的情況。

【舉例】

例1：顯示當前所使用的序號為100的規則。

Quidway#show access-list 100Using normal packet-filtering access rules now.100 deny icmp 10.1.0.0 0.0.255.255 any host-redirect (3 matches,252 bytes -- rule 1)100 permit icmp 10.1.0.0 0.0.255.255 any echo (no matches -- rule 2)100 deny udp any any eq rip (no matches -- rule 3)

例2： 顯示介面Serial0上應用規則的情況。

Quidway#show access-list interface serial 0Serial0:access-list filtering In-bound packets : 120access-list filtering Out-bound packets: None

【相關命令】

access-list

八、show firewall 顯示防火牆狀態。

show firewall

【命令模式】

特權用戶模式

【使用指南】

使用此命令來顯示防火牆的狀態，包括防火牆是否被啟用，啟用防火牆時是否採用了時間段包過濾及防火牆的一些統計信息。

【舉例】

顯示防火牆狀態。

Quidway#show firewallFirewall is enable, default filtering method is 'permit'.TimeRange packet-filtering enable.InBound packets: None;OutBound packets: 0 packets, 0 bytes, 0% permitted,0 packets, 0 bytes, 0% denied,2 packets, 104 bytes, 100% permitted defaultly,0 packets, 0 bytes, 100% denied defaultly.From 00:13:02 to 06:13:21: 0 packets, 0 bytes, permitted.
九、show isintr 顯示當前時間是否在時間段之內。
show isintr

【命令模式】
特權用戶模式

【使用指南】
使用此命令來顯示當前時間是否在時間段之內。

【舉例】
顯示當前時間是否在時間段之內。
Quidway#show isintr
It is NOT in time ranges now.

【相關命令】
timerange，settr

十、show timerange 顯示時間段包過濾的信息。
show timerange

【命令模式】
特權用戶模式

【使用指南】
使用此命令來顯示當前是否允許時間段包過濾及所設置的時間段。

【舉例】
顯示時間段包過濾的信息。
Quidway#show timerangeTimeRange packet-filtering enable.beginning of time range:01:00 - 02:0003:00 - 04:00end of time range.

【相關命令】
timerange，settr

十一、timerange 啟用或禁止時間段包過濾功能。
timerange { enable | disable }

【參數說明】
enable 表示啟用時間段包過濾。
disable 表示禁止採用時間段包過濾。

【預設情況】
系統預設為禁止時間段包過濾功能。

【命令模式】
全局配置模式

【使用指南】
使用此命令來啟用或禁止時間段包過濾功能，可以通過show firewall命令看到，也可以通過show timerange命令看到配置結果。在時間段包過濾功能被啟用後，系統將根據當前的時間和設置的時間段來確定使用時間段內（特殊）的規則還是時間段外（普通）的規則。系統查詢時間段的精確度為1分鍾。所設置的時間段的兩個端點屬於時間段之內。

【舉例】
啟用時間段包過濾功能。
Quidway(config)#timerange enable

【相關命令】
settr，show timerange

C. 包過濾的基本特點和工作原理是什麼

包過濾
防火牆的一類。傳統的包過濾功能在路由器上常可看到，而專門回的防火牆系統答一般在此之上加了功能的擴展，如狀態檢測等。它通過檢查單個包的地址，協議，埠等信息來決定是否允許此數據包通過。
包過濾防火牆是最簡單的一種防火牆，它在網路層截獲網路數據包，根據防火牆的規則表，來檢測攻擊行為。包過濾防火牆一般作用在網路層（IP層），故也稱網路層防火牆（Network Lev Firewall）或IP過濾器（IP filters）。數據包過濾（Packet Filtering）是指在網路層對數據包進行分析、選擇。通過檢查數據流中每一個數據包的源IP地址、目的IP地址、源埠號、目的埠號、協議類型等因素或它們的組合來確定是否允許該數據包通過。在網路層提供較低級別的安全防護和控制。

D. 防火牆的一體化安全策略中都有哪些維度的匹配條件

E. 包過濾防火牆的過濾策略

* 拒絕來自某主機或某網段的所有連接。
* 允許來自某主機或某網段的所有連接。回
* 拒絕來答自某主機或某網段的指定埠的連接。
* 允許來自某主機或某網段的指定埠的連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的所有連接。
* 允許本地主機或本地網路與其它主機或其它網路的所有連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的指定埠的連接。
* 允許本地主機或本地網路與其它主機或其它網路的指定埠的連接。

F. 狀態防火牆和包過濾防火牆的區別是什麼啊

1、含義上的區別

狀態防火牆是一種能夠提供狀態封包檢查或狀態檢視功能的防火牆。

包過濾防火牆是用一個軟體查看所流經的數據包的包頭，由此決定整個包的命運。

2、作用上的區別

狀態防火牆能夠持續追蹤穿過這個防火牆的各種網路連接（例如TCP與UDP連接）的狀態。這種防火牆被設計來區分不同連接種類下的合法數據包。只有匹配主動連接的數據包才能夠被允許穿過防火牆，其他的數據包都會被拒絕。

包過濾防火牆除了決定是否有到達目標地址的路徑外，還要決定是否應該發送數據包；能為用戶提供了一種透明的服務，用戶不需要改變客戶端的任何應用程序，也不需要用戶學習任何新的東西。因為過濾路由器工作在IP層和TCP層，而IP層和TCP層與應用層的問題毫不相關。

3、工作原理上的區別

狀態防火牆會跟蹤網路連接的狀態（例如TCP流或UDP通信），狀態檢查隨著時間的推移監視傳入和傳出的數據包以及連接的狀態，並將數據存儲在動態狀態表中。在建立連接時執行大部分CPU密集型檢查，條目僅為滿足定義的安全策略的TCP連接或UDP流創建。

數據包過濾用在內部主機和外部主機之間， 過濾系統是一台路由器或是一台主機。過濾系統根據過濾規則來決定是否讓數據包通過。用於過濾數據包的路由器被稱為過濾路由器。數據包過濾是通過對數據包的IP頭和TCP頭或UDP頭的檢查來實現。

G. 什麼是包過濾技術其特點是什麼

一、定義：
包過濾（Packet Filtering）技術：是基於協議特定的標准，路由器在其埠能夠區分包和限制包的技術。
基於協議特定的標准，路由器在其埠能夠區分包和限制包的能力叫包過濾（Packet Filtering）。其技術原理在於加入IP過濾功能的路由器逐一審查包頭信息，並根據匹配和規則決定包的前行或被舍棄，以達到拒絕發送可疑的包的目的。過濾路由器具備保護整個網路、高效快速並且透明等優點，同時也有定義復雜、消耗CPU資源、不能徹底防止地址欺騙、涵蓋應用協議不全、無法執行特殊的安全策略並且不提供日誌等局限性。包過濾技術的二、特點
1、優點 ：對小型的、不太復雜的站點包過濾較容易實現。
（1）一個過濾路由器能協助保護整個網路。絕大多數Internet防火牆系統只用一個包過濾路由器；
（2）過濾路由器速度快、效率高。執行包過濾所用的時間很少或幾乎不需要什麼時間，由於過濾路由器只檢查報頭相應的欄位，一般不查看數據報的內容，而且某些核心部分是由專用硬體實現的，如果通信負載適中且定義的過濾很少的話，則對路由器性能沒有多大影響；
（3）包過濾路由器對終端用戶和應用程序是透明的。當數據包過濾路由器決定讓數據包通過時，它與普通路由器沒什麼區別，甚至用戶沒有認識到它的存在，因此不需要專門的用戶培訓或在每主機上設置特別的軟體。
2、缺點及局限性：
他們很少有或沒有日誌記錄能力，所以網路管理員很難確認系統是否正在被入侵或已經被入侵了。這種防火牆的最大缺陷是依賴一個單一的部件來保護系統。

（1）定義包過濾器可能是一項復雜的工作。因為網管員需要詳細地了解Internet各種服務、包頭格式和他們在希望每個域查找的特定的值。如果必須支持復雜的過濾要求的，則過濾規則集可能會變得很長很復雜，並且沒有什麼工具可以用來驗證過濾規則的正確性。
（2）路由器信息包的吞吐量隨過濾器數量的增加而減少。路由器被優化用來從每個包中提取目的IP地址、查找一個相對簡單的路由表，而後將信息包順向運行到適當轉發介面。如果過濾可執行，路由器還必須對每個包執行所有過濾規則。這可能消耗CPU的資源，並影響一個完全飽和的系統性能。
（3）不能徹底防止地址欺騙。大多數包過濾路由器都是基於源IP地址、目的IP地址而進行過濾的，而IP地址的偽造是很容易、很普遍的。
（4）一些應用協議不適合於數據包過濾。即使是完美的數據包過濾，也會發現一些協議不很適合於經由數據包過濾安全保護。如RPC、X- Window和FTP。而且服務代理和HTTP的鏈接，大大削弱了基於源地址和源埠的過濾功能。
（5）正常的數據包過濾路由器無法執行某些安全策略。例如，數據包說它們來自什麼主機，而不是什麼用戶，因此，我們不能強行限制特殊的用戶。同樣地，數據包說它到什麼埠，而不是到什麼應用程序，當我們通過埠號對高級協議強行限制時，不希望在埠上有別的指定協議之外的協議，而不懷好意的知情者能夠很容易地破壞這種控制。
（6）一些包過濾路由器不提供任何日誌能力，直到闖入發生後，危險的封包才可能檢測出來。它可以阻止非法用戶進入內部網路，但也不會告訴我們究竟都有誰來過，或者誰從內部進入了外部網路。

H. 區域網安全問題

加我，我來幫你解決

I. 什麼叫包過濾防火牆

包過濾防火牆是最來簡單的一種自防火牆，它在網路層截獲網路數據包，根據防火牆的規則表，來檢測攻擊行為。包過濾防火牆一般作用在網路層（IP層），故也稱網路層防火牆（Network Lev Firewall）或IP過濾器（IP filters）。數據包過濾（Packet Filtering）是指在網路層對數據包進行分析、選擇。通過檢查數據流中每一個數據包的源IP地址、目的IP地址、源埠號、目的埠號、協議類型等因素或它們的組合來確定是否允許該數據包通過。在網路層提供較低級別的安全防護和控制。

J. 防火牆策略配置下的包過濾策略默認狀態是什麼

好像有防火牆上有默認設置，自己點開看啊