防火墙配置策略是什么

1. 防火墙配置策略

pix515防火墙配置策略实例
#转换特权用户
pixfirewall>ena
pixfirewall#
#进入全局配置模式
pixfirewall# conf t
#激活内外端口
interface ethernet0 auto
interface ethernet1 auto
#下面两句配置内外端口的安全级别
nameif ethernet0 outside security0
nameif ethernet1 inside security100
#配置防火墙的用户信息
enable password pix515
hostname pix515
domain-name domain
#下面几句配置内外网卡的IP地址
ip address inside 192.168.4.1 255.255.255.0
ip address outside 公网IP 公网IP子网掩码
global (outside) 1 interface
nat (inside) 1 192.168.4.0 255.255.255.0 0 0
#下面两句将定义转发公网IP的ssh和www服务到192.168.4.2
static (inside,outside) tcp 公网IP www 192.168.4.2 www netmask 255.255.255.255 0 0
static (inside,outside) tcp 公网IP ssh 192.168.4.2 ssh netmask 255.255.255.255 0 0
#下面两句将定义外部允许访问内部主机的服务
conit permit tcp host 公网IP eq www any
conit permit tcp host 公网IP eq ssh 信任IP 255.255.255.255
#允许内部服务器telnet pix
telnet 192.168.4.2 255.255.255.0 inside
#下面这句允许ping
conit permit icmp any any
#下面这句路由网关
route outside 0.0.0.0 0.0.0.0 公网IP网关 1
#保存配置
write memory

2. 关于防火墙的配置策略问题

不知道你要配置的是什么防火墙 看样子好像CISCO的~
第一 fastethernet 只不过是接口了性 哪个都可以划分到防火墙的管理和应用的口上。
第二 至于策略，是根据你需求的来划分的~

3. 防火墙设计策略有哪些

在了解TCP和UDP之前，我们需要来了解俩个概念，面向连接的服务和无连接的服务，应用面向连接的服务时，客户和服务器在发送在进行数据发送前，彼此向对方发送控制分组，这就是所谓的握手过程，使得客户和服务器都做好分组交换准备。

4月到6月，国外传统上称为“防火墙月”，据说这与“防火墙”的诞生有关。此后，每一种革命意义的防火墙技术都在此期间发布。遵照传统，编辑也收集了国内外论坛中的防火墙专帖，一起分享其中的安全理念与部署技巧。

定义所需要的防御能力

防火墙的监视、冗余度以及控制水平是需要进行定义的。

百事通通过企业系统策略的设计，IT人员要确定企业可接受的风险水平（偏执到何种程度）。接下来IT人员需要列出一个必须监测什么传输、必须允许什么传输通行，以及应当拒绝什么传输的清单。换句话说，IT人员开始时先列出总体目标，然后把需求分析与风险评估结合在一起，挑出与风险始终对立的需求，加入到计划完成的工作清单中。

关注财务问题

很多专家建议，企业的IT人员只能以模糊的表达方式论述这个问题。但是，试图以购买或实施解决方案的费用多少来量化提出的解决方案十分重要。例如，一个完整的防火墙的高端产品可能价值10万美元，而低端产品可能是免费的；从头建立一个高端防火墙可能需要几个月。另外，系统管理开销也是需要考虑的问题。建立自行开发的防火墙固然很好，但重要的是，使建立的防火墙不需要高额的维护和更新费用。

体现企业的系统策略

IT人员需要明白，安装后的防火墙是为了明确地拒绝——除对于连接到网络至关重要的服务之外的所有服务。或者，安装就绪的防火墙是为以非威胁方式对“鱼贯而入”的访问提供一种计量和审计的方法。在这些选择中存在着某种程度的偏执狂，防火墙的最终功能可能将是行政上的结果，而非工程上的决策。

网络设计

出于实用目的，企业目前关心的是路由器与自身内部网络之间存在的静态传输流路由服务。因此，基于这一事实，在技术上还需要做出几项决策：传输流路由服务可以通过诸如路由器中的过滤规则在IP层实现，或通过代理网关和服务在应用层实现。

IT人员需要做出的决定是，是否将暴露的简易机放置在外部网络上为Telnet、ftp、News等运行代理服务，或是否设置像过滤器这样的屏蔽路由器，允许与一台或多台内部计算机通信。这两种方式都存在着优缺点，代理机可以提供更高水平的审计和潜在的安全性，但代价是配置费用的增加，以及提供的服务水平的降低。

4. 防火墙默认应添加哪些服务及策略。

从防火墙产品和技术发展来看，分为三种类型：基于路由器的包过滤防火墙、基于通用操作系统的防火墙、基于专用安全操作系统的防火墙。

LAN接口

列出支持的 LAN接口类型：防火墙所能保护的网络类型，如以太网、快速以太网、千兆以太网、ATM、令牌环及FDDI等。

支持的最大 LAN接口数：指防火墙所支持的局域网络接口数目，也是其能够保护的不同内网数目。

服务器平台：防火墙所运行的操作系统平台（如 Linux、UNIX、Win NT、专用安全操作系统等）。

协议支持

支持的非 IP协议：除支持IP协议之外，又支持AppleTalk、DECnet、IPX及NETBEUI等协议。

建立 VPN通道的协议： 构建VPN通道所使用的协议，如密钥分配等，主要分为IPSec，PPTP、专用协议等。

可以在 VPN中使用的协议：在VPN中使用的协议，一般是指TCP/IP协议。

加密支持

支持的 VPN加密标准：VPN中支持的加密算法, 例如数据加密标准DES、3DES、RC4以及国内专用的加密算法。

除了 VPN之外，加密的其他用途： 加密除用于保护传输数据以外，还应用于其他领域，如身份认证、报文完整性认证，密钥分配等。

提供基于硬件的加密： 是否提供硬件加密方法，硬件加密可以提供更快的加密速度和更高的加密强度。

认证支持

支持的认证类型： 是指防火墙支持的身份认证协议，一般情况下具有一个或多个认证方案，如 RADIUS、Kerberos、TACACS/TACACS＋、口令方式、数字证书等。防火墙能够为本地或远程用户提供经过认证与授权的对网络资源的访问，防火墙管理员必须决定客户以何种方式通过认证。

列出支持的认证标准和 CA互操作性：厂商可以选择自己的认证方案，但应符合相应的国际标准，该项指所支持的标准认证协议，以及实现的认证协议是否与其他CA产品兼容互通。

支持数字证书：是否支持数字证书。

访问控制

通过防火墙的包内容设置：包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。 IP包过滤的依据主要是根据IP包头部信息如源地址和目的地址进行过滤，如果IP头中的协议字段表明封装协议为ICMP、TCP或UDP，那么再根据 ICMP头信息（类型和代码值）、TCP头信息（源端口和目的端口）或UDP头信息（源端口和目的端口）执行过滤，其他的还有MAC地址过滤。应用层协议过滤要求主要包括FTP过滤、基于RPC的应用服务过滤、基于UDP的应用服务过滤要求以及动态包过滤技术等。

在应用层提供代理支持：指防火墙是否支持应用层代理，如 HTTP、FTP、TELNET、SNMP等。代理服务在确认客户端连接请求有效后接管连接，代为向服务器发出连接请求，代理服务器应根据服务器的应答，决定如何响应客户端请求，代理服务进程应当连接两个连接（客户端与代理服务进程间的连接、代理服务进程与服务器端的连接）。为确认连接的唯一性与时效性，代理进程应当维护代理连接表或相关数据库（最小字段集合），为提供认证和授权，代理进程应当维护一个扩展字段集合。

在传输层提供代理支持：指防火墙是否支持传输层代理服务。

允许 FTP命令防止某些类型文件通过防火墙：指是否支持FTP文件类型过滤。

用户操作的代理类型：应用层高级代理功能，如 HTTP、POP3 。

支持网络地址转换 (NAT)：NAT指将一个IP地址域映射到另一个IP地址域，从而为终端主机提供透明路由的方法。NAT常用于私有地址域与公有地址域的转换以解决IP 地址匮乏问题。在防火墙上实现NAT后，可以隐藏受保护网络的内部结构，在一定程度上提高了网络的安全性。

支持硬件口令、智能卡： 是否支持硬件口令、智能卡等，这是一种比较安全的身份认证技术。

防御功能

支持病毒扫描： 是否支持防病毒功能，如扫描电子邮件附件中的 DOC和ZIP文件，FTP中的下载或上载文件内容，以发现其中包含的危险信息。

提供内容过滤： 是否支持内容过滤，信息内容过滤指防火墙在 HTTP、FTP、SMTP等协议层，根据过滤条件，对信息流进行控制，防火墙控制的结果是：允许通过、修改后允许通过、禁止通过、记录日志、报警等。过滤内容主要指URL、HTTP携带的信息：Java Applet、 JavaScript、ActiveX和电子邮件中的Subject、To、From域等。

能防御的 DoS攻击类型：拒绝服务攻击(DoS)就是攻击者过多地占用共享资源，导致服务器超载或系统资源耗尽，而使其他用户无法享有服务或没有资源可用。防火墙通过控制、检测与报警等机制，可在一定程度上防止或减轻DoS黑客攻击。

阻止 ActiveX、Java、Cookies、Javascript侵入：属于HTTP内容过滤，防火墙应该能够从HTTP页面剥离Java Applet、ActiveX等小程序及从Script、PHP和ASP等代码检测出危险代码或病毒，并向浏览器用户报警。同时，能够过滤用户上载的 CGI、ASP等程序，当发现危险代码时，向服务器报警。

安全特性

支持转发和跟踪 ICMP协议（ICMP 代理）：是否支持ICMP代理，ICMP为网间控制报文协议。

提供入侵实时警告：提供实时入侵告警功能，当发生危险事件时，是否能够及时报警，报警的方式可能通过邮件、呼机、手机等。

提供实时入侵防范：提供实时入侵响应功能，当发生入侵事件时，防火墙能够动态响应，调整安全策略，阻挡恶意报文。

识别 /记录/防止企图进行IP地址欺骗：IP地址欺骗指使用伪装的IP地址作为IP包的源地址对受保护网络进行攻击，防火墙应该能够禁止来自外部网络而源地址是内部IP地址的数据包通过。

管理功能

通过集成策略集中管理多个防火墙：是否支持集中管理，防火墙管理是指对防火墙具有管理权限的管理员行为和防火墙运行状态的管理，管理员的行为主要包括：通过防火墙的身份鉴别，编写防火墙的安全规则，配置防火墙的安全参数，查看防火墙的日志等。防火墙的管理一般分为本地管理、远程管理和集中管理等。

提供基于时间的访问控制：是否提供基于时间的访问控制。

支持 SNMP监视和配置：SNMP是简单网络管理协议的缩写。

本地管理：是指管理员通过防火墙的 Console口或防火墙提供的键盘和显示器对防火墙进行配置管理。

远程管理：是指管理员通过以太网或防火墙提供的广域网接口对防火墙进行管理，管理的通信协议可以基于 FTP、TELNET、HTTP等。

支持带宽管理：防火墙能够根据当前的流量动态调整某些客户端占用的带宽。

负载均衡特性：负载均衡可以看成动态的端口映射，它将一个外部地址的某一 TCP或UDP端口映射到一组内部地址的某一端口，负载均衡主要用于将某项服务（如HTTP）分摊到一组内部服务器上以平衡负载。

失败恢复特性（ failover)：指支持容错技术，如双机热备份、故障恢复，双电源备份等。

记录和报表功能

防火墙处理完整日志的方法：防火墙规定了对于符合条件的报文做日志，应该提供日志信息管理和存储方法。

提供自动日志扫描：指防火墙是否具有日志的自动分析和扫描功能，这可以获得更详细的统计结果，达到事后分析、亡羊补牢的目的。

提供自动报表、日志报告书写器：防火墙实现的一种输出方式，提供自动报表和日志报告功能。

警告通知机制：防火墙应提供告警机制，在检测到入侵网络以及设备运转异常情况时，通过告警来通知管理员采取必要的措施，包括 E－mail、呼机、手机等。

提供简要报表（按照用户 ID或IP 地址）：防火墙实现的一种输出方式，按要求提供报表分类打印。

提供实时统计：防火墙实现的一种输出方式，日志分析后所获得的智能统计结果，一般是图表显示。

列出获得的国内有关部门许可证类别及号码：这是防火墙合格与销售的关键要素之一，其中包括：公安部的销售许可证、国家信息安全测评中心的认证证书、总参的国防通信入网证和国家保密局的推荐证明等。

5. 防火墙怎么配置

在使用防火墙之前，需要对防火墙进行一些必要的初始化配置。出厂配置的防火墙需要根据实际使用场景和组网来配置管理IP、登陆方式、用户名/密码等。下面以我配置的华为USG防火墙为例，说明一下拿到出厂的防火墙之后应该怎么配置。
1. 设备配置连接
一般首次登陆，我们使用的是Console口登陆。只需要使用串口网线连接防火墙和PC，使用串口连接工具即可。从串口登陆到防火墙之后，可以配置用户，密码，登陆方式等。这些配置在后面有记录。
直接使用一根网线连接PC和设备的管理口。管理口是在设备面板上一个写着MGMT的一个网口，一般默认配置了IP，如192.168.0.1/24。我们在对端PC上配置同网段的IP，如192.168.0.10/24，我们就可以通过PC上的telnet客户端登陆到防火墙设备上。
登陆到设备之后，默认是在防火墙的用户视图下。可以使用system-view进入系统视图，interface GigabitEthernet 0/0/0进入接口视图，diagnose进入诊断视图，security-policy进入安全策略视图，firewall zone trust进入trust安全区域视图，aaa进入aaa视图等。
2. Telnet配置
配置VTY界面：
user-interface vty 0 4
authentication-mode aaa
user privilege level 3
protocol inbound all
配置aaa用户：
manager-user admin
password cipher admin@123
service-type telnet
level 15
使能telnet服务：
telnet server enable
3. FTP配置
在aaa里配置：
manager-user admin
password cipher admin@123
service-type ftp
level 15
ftp-directory cfcard:/
使能ftp服务：
ftp server enable
4. SFTP配置
配置VTY界面：
user-interface vty 0 4
authentication-mode aaa
user privilege level 3
protocol inbound ssh
配置aaa用户：
manager-user admin
password cipher admin@123
service-type ftp ssh
level 15
ftp-directory cfcard:/
使能sftp服务：
sftp server enable
配置Password认证方式 ：
ssh user admin authentication-type password
ssh user admin service-type sftp
ssh user admin sftp-directory cfcard:/
5. SNMP配置
SNMPv1、SNMPv2c：
snmp-agent community write Admin@123
snmp-agent sys-info version v1 v2c
SNMPv3：
snmp-agent sys-info version v3
snmp-agent group v3 admingroup authentication read-view iso write-view iso notify-view iso
snmp-agent mib-view included iso iso
snmp-agent usm-user v3 admin
snmp-agent usm-user v3 admin group admingroup
snmp-agent usm-user v3 admin authentication-mode sha cipher Admin@123
6. Web配置
配置aaa用户：
manager-user admin
password cipher admin@123
service-type web
level 15
使能web服务：
web-manager enable
配置完Web之后，其他配置就可以登陆到Web页面进行可视化配置了。

6. 硬件防火墙如何配置

一般来说，硬件防火墙的例行检查主要针对以下内容：
1.硬件防火墙的配置文件
不管你在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施。所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。
在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。
2.硬件防火墙的磁盘使用情况
如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。
因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。
3.硬件防火墙的CPU负载
和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。
4.硬件防火墙系统的精灵程序
每台防火墙在正常运行的情况下，都有一组精灵程序（Daemon），比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行，如果发现某些精灵程序没有运行，则需要进一步检查是什么原因导致这些精灵程序不运行，还有哪些精灵程序还在运行中。
5.系统文件
关键的系统文件的改变不外乎三种情况：管理人员有目的、有计划地进行的修改，比如计划中的系统升级所造成的修改；管理人员偶尔对系统文件进行的修改；攻击者对文件的修改。
经常性地检查系统文件，并查对系统文件修改记录，可及时发现防火墙所遭到的攻击。此外，还应该强调一下，最好在硬件防火墙配置策略的修改中，包含对系统文件修改的记录。
6.异常日志
硬件防火墙日志记录了所有允许或拒绝的通信的信息，是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大，所以，检查异常日志通常应该是一个自动进行的过程。当然，什么样的事件是异常事件，得由管理员来确定，只有管理员定义了异常事件并进行记录，硬件防火墙才会保留相应的日志备查。
上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患，但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。

7. 防火墙基本设计策略 哪一种方式安全性高哪一种方式更方便管理 Windows 防火墙用的是哪一种策略

设计策略是根据你所防护的环境来决定的，你的问题很模糊！
你应该说的是硬件防火墙策略吧！
硬件防火墙的策略都是带图形化功能的，你可以看着配置。
防火墙的策略不是说如何配就是对的或者是安全性高的。
这种说法不正确，也许错误的策略也会对网络造成不同程度的影响，所以在配置策略之前首先要搞清楚自己需要防护的是什么，或者都需要防火墙开什么端口或者什么地址。对每个开放的端口和地址对应的应用什么的最好是拿个文档记录下来，对没有必要开放的都选择关闭。
你的问题很模糊最好补充下，不然答非所问也不太好！

8. 怎样配置防火墙的策略能够尽可能地保护网络的安全

各扫自家门前雪，不管他人瓦上霜”，就是目前网络安全的现状。互联网上病毒、木马、恶意试探等等造成的攻击行为络绎不绝。设置得当的防火墙能够阻挡他们，但是无法清除攻击源。即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。例如接主干网10M网络带宽的某站点，其日常流量中平均有512K左右是攻击行为。那么，即使成功设置了防火墙后，这512K的攻击流量依然不会有丝毫减少。

9. 防火墙 配置原则

一、局域网内共享的天网防火墙设置

1、首先保证在没有装防火墙的情况下局域网内是可以相互通讯的（如果你连这个都不能保障那么就不是防火墙的问题了）
2、在防火墙的系统设置里面按刷新，设置好本地局域网的IP地址
3、在自定义IP规则的TCP协议里把其中‘允许局域网内的机器进行连接和传输’打上勾，并且保存规则
4、访问网络
如果共享打印机不能使用的，那就要开放对应的连接端口就可以了

二、设置规则开放WEB服务的步骤
1、进入防火墙自定义IP规则，增加规则
2、输入名称、说明 （可任意输入，以便查阅）
3、设置数据包方向——接收和发送，对方IP地址——任何地址
4、设置TCP本地端口80到80，对方端口0到0，TCP标志位为SYN，当满足上面条件时“通行”，确定
5、在IP规则列表中把该规则上移到TCP协议的第一条，并选上勾再保存

三、设置规则开放FTP服务的步骤
1、进入防火墙自定义IP规则，增加规则
2、输入名称、说明 （可任意输入，以便查阅）
3、设置数据包方向——接收和发送，对方IP地址——任何地址
4、设置TCP本地端口20到21，对方端口0到0，TCP标志位为SYN，当满足上面条件时“通行”，确定
5、在IP规则列表中把该规则上移到TCP协议的第一条，并选上勾再保存
其它端口的开放设置方法类似

四、关闭或开放特定端口
例，关闭TCP 139端口
1、进入防火墙自定义IP规则，增加规则
2、输入名称、说明 （可任意输入，以便查阅）
3、设置数据包方向——接收或发送，对方IP地址——任何地址
4、设置TCP本地端口139到139，对方端口0到0，TCP标志位为SYN，当满足上面条件时‘拦截’，确定；同时还：记录、警告、发声（视个人设置喜好，可选择若干方式）
5、在IP规则列表中把该新规则上移到TCP协议的第一条，并选上勾再保存
其它端口的关闭设置方法类似；如要开放端口的，设置后把‘拦截’改为‘通行’就可以了。

五、设置规则屏蔽或开放IP的步骤
1、进入防火墙自定义IP规则，增加规则
2、输入名称、说明 （可任意输入，以便查阅）
3、设置数据包方向——接收和发送，对方IP地址——指定地址
4、选择IP协议，当满足上面条件时“拦截”，确定
5、在IP规则列表中把该规则上移到IP协议的第一条，并把新规则和IP规则选上勾再保存
屏蔽IP的方法如上；但如果要开放指定IP的，设置后把‘拦截’改为‘通行’就可以了。