第一条:
  从2006年6月9号至7月9号,请认真阅读报纸的体育版。掌握世界杯动态,以便我们之间的对话。否则你将被视为外星人,或被完全忽略。

  第二条:
  世界杯期间,电视完全属于我,任何时间,毫无例外。

  第三条:
  球赛直播期间,我不介意你经过屏幕前,但请采用爬行的姿势;如果你选择脱光站在电视机前,请注意不要耽搁太久以免着凉,不要想我会有时间带你看医生或照顾你;

  第四条:
  球赛期间我是盲人,聋子和哑巴。除非我要求再来听啤酒或要求弄点东西来吃。不要期望我会听你说话,去开门,去接电话,或者扶起从二楼摔下的小孩。

  第五条:
  在冰箱里塞满吃的东西是个好主意。当我的朋友来家看球时不要对他们拿脸色。作为回报,每天晚上12点至早上6点你可以看电视,但有赛事重播时除外(参见第二条)。

  第六条:
  切记!切记!切记!!!
  如果我中意的球队输了,不要对我说什么“算了,只是一场比赛。”和“他们下次会赢。”之类的话。这种话只会更加激怒我,记住,关于足球你永远不可能比我更懂,所谓的“鼓励的话”只能直接导致分手或离婚(不一定是按照这个顺序哈!)

  第七条:
  欢迎在一场比赛时和我坐在一起,并且在中场休息时和我聊天(仅限于广告时间并且场上比分让我很爽时)。另外,请注意是一场比赛。因此不要拿世界杯作为"spendtimetogether"的接口。

  第八条:
  进球重放很重要。我不关心我看过没有,我要再看,再看,再看……

  第九条:
  告诉你的朋友,不要搞什么要我参加的聚会,如生孩子,小孩生日等等,因为1)我不会去,2)我不会去and3)我不会去。

  第十条:
  (接上条)但是,如果我的朋友邀请我们去他家看球,我们将以闪电速度到达。

  第十一条:
  每日精华和球赛一样重要。不要说什么“你不是已经看过了吗……为什么不换个我们都能看的台?”回答将是:“参见第二条!”

一、 集成在路由器中的防火墙技术

  1、 路由器IOS标准设备中的ACL技术

  ACL即Access Control Lis t(访问控制列表),简称Access List(访问列表),它是后续所述的IOS Firewall Feature Set的基础,也是Cisco全线路由器统一界面的操作系统IOS(Internet Operation System,网间操作系统)标准配置的一部分。这就是说在购买了路由器后,ACL功能已经具备,不需要额外花钱去买。

  2、 IOS Firewall Feature Set(IOS防火墙软件包)

  IOS Firewall Feature Set是在ACL的基础上对安全控制的进一步提升,由名称可知,它是一套专门针对防火墙功能的附加软件包,可通过IOS升级获得,并且可以加载到多个Cisco路由器平台上。

  目前防火墙软件包适用的路由器平台包括Cisco 1600、1700、2500、2600和3600,均属中、低端系列。对很多倾向与使用"all-in-one solution"(一体化解决方案),力求简单化管理的中小企业用户来说,它能很大程度上满足需求。之所以不在高端设备上实施集成防火墙功能,这是为了避免影响大型网络的主干路由器的核心工作–数据转发。在这样的网络中,应当使用专用的防火墙设备。

  Cisco IOS防火墙特征:

  基于上下文的访问控制(CBAC)为先进应用程序提供基于应用程序的安全筛选并支持最新协议

  Java能防止下载动机不纯的小应用程序

  在现有功能基础上又添加了拒绝服务探测和预防功能,从而增加了保护

  在探测到可疑行为后可向中央管理控制台实时发送警报和系统记录错误信息

  TCP/UDP事务处理记录按源/目的地址和端口对跟踪用户访问

  配置和管理特性与现有管理应用程序密切配合

二、 专用防火墙–PIX

  PIX(Private Internet eXchange)属于四类防火墙中的第四种–软硬件结合的防火墙,它的设计是为了满足高级别的安全需求,以较好的性能价格比提供严密的、强有力的安全防范。除了具备第四类防火墙的共同特性,并囊括了IOS Firewall Feature Set的应有功能。

  PIX成为Cisco在网络安全领域的旗舰产品已有一段历史了,它的软硬件结构也经历了较大的发展。现在的PIX有515和520两种型号(520系列容量大于515系列),从原来的仅支持两个10M以太网接口,到10/100M以太网、令牌环网和FDDI的多介质、多端口(最多4个)应用;其专用操作系统从v5.0开始提供对 IPSec这一标准隧道技术的支持,使PIX能与更多的其它设备一起共同构筑起基于标准VPN连接。

  Cisco的PIX Firewall能同时支持16,000多路TCP对话,并支持数万用户而不影响用户性能,在额定载荷下,PIX Firewall的运行速度为45Mbps,支持T3速度,这种速度比基于UNIX的防火墙快十倍。

  主要特性:

  保护方案基于适应性安全算法(ASA),能提供任何其它防火墙都不能提供的最高安全保护

  将获专利的"切入代理"特性能提供传统代理服务器无法匹敌的高性能

  安装简单,维护方便,因而降低了购置成本

  支持64路同时连接,企业发展后可扩充到16000路

  透明支持所有通用TCP/IP Internet服务,如万维网(WWW)文件传输协议(FTP)、Telnet、Archie、Gopher和rlogin

  支持多媒体数据类型,包括Progressive网络公司的Real Audio,Xing技术公司的Steamworks,White Pines公司腃USeeMe,Vocal Te公司的Internet Phone,VDOnet公司的VDOLive,Microsoft公司的NetShow和Uxtreme公司的Web Theater 2

  支持H323兼容的视频会议应用,包括Intel的Internet Video Phone和Microsoft的NetMeeting

  无需因安装而停止运行

  无需升级主机或路由器

  完全可以从未注册的内部主机访问外部Internet

  能与基于Cisco IOS的路由器互操作

三、 两种防火墙技术的比较

  IOS FIREWALL FEATURE SET PIX FIREWALL

  网络规模 中小型网络,小于250节点的应用。 大型网络,可支持多于500用户的应用

  工作平台 路由器IOS操作系统 专用PIX工作平台

  性能 最高支持T1/E1(2M)线路 可支持多条T3/E3(45M)线路

  工作原理 基于数据包过滤,核心控制为CBAC 基于数据包过滤,核心控制为ASA

  配置方式 命令行或图形方式(通过ConfigMaker) 命令行方式或图形方式(通过Firewall Manager)

  应用的过滤 支持Java小程序过滤 支持Java小程序过滤

  身份认证 通过IOS命令,支持TACACS+、RADIUS服务器认证。 支持TACACS+、RADIUS集中认证

  虚拟专网(VPN) 通过IOS软件升级可支持IPSec、L2F和GRE隧道技术,支持40或56位DES加密。 支持Private Link或IPSec隧道和加密技术。

  网络地址翻译(NAT) 集成IOS Plus实现 支持

  冗余特性 通过路由器的冗余协议HSRP实现 支持热冗余

  自身安全 支持Denial-of-Service 支持Denial-of-Service

  代理服务 无,通过路由器的路由功能实现应用 切入的代理服务功能

  管理 通过路由器的管理工具,如Cisco Works 通过Firewall Manager实现管理

  审计功能 一定的跟踪和报警功能 状态化数据过滤,可通过Firewall Manager实现较好的额监控、报告功能

四、 Centri防火墙

  主要特性:

  核心代理体系结构

  针对Windows NT定制TCP/IP栈

  图形用户结构可制订安全政策

  可将安全政策拖放到网络、网络组、用户和用户组

  ActiveX、Java小应用程序、Java和Vb模块

  通用资源定位器(URL)模块

  端口地址转换

  网络地址转换

  透明支持所有通用TCP/IP应用程序,包括WWW、文件传输协议(FTP)Telnet和邮件

  为Web、Telnet和FTP提供代理安全服务

  根据IP地址、IP子网和IP子网组进行认证

  使用sl口令和可重复使用口令Telnet、Web和ftp提供联机用户认证

  使用Windows NT对所有网络服务进行带外认证

  防止拒绝服务型攻击,包括SYN Flood、IP地址哄骗和Ping-of-Death

五、Cisco PIX防火墙的安装流程

  1. 将PIX安放至机架,经检测电源系统后接上电源,并加电主机。

  2. 将CONSOLE口连接到PC的串口上,运行HyperTerminal程序从CONSOLE口进入PIX系统;此时系统提示pixfirewall>。

  3. 输入命令:enable,进入特权模式,此时系统提示为pixfirewall#。

  4. 输入命令: configure terminal,对系统进行初始化设置。

  5. 配置以太口参数:

  interface ethernet0 auto (auto选项表明系统自适应网卡类型 )interface ethernet1 auto

  6. 配置内外网卡的IP地址:

  ip address inside ip_address netmask

  ip address outside ip_address netmask

  7. 指定外部地址范围:

  global 1 ip_address-ip_address

  8. 指定要进行要转换的内部地址:

  nat 1 ip_address netmask

  9. 设置指向内部网和外部网的缺省路由

  route inside 0 0 inside_default_router_ip_address

  route outside 0 0 outside_defau
lt_router_ip_address

  10. 配置静态IP地址对映:

  static outside ip_address inside ip_address

  11. 设置某些控制选项:

  conduit global_ip port protocol foreign_ip global_ip 指的是要控制的地址

  port 指的是所作用的端口,其中0代表所有端口

  protocol 指的是连接协议,比如:TCP、UDP等

  foreign_ip 表示可访问global_ip的外部ip,其中表示所有的ip。

  12. 设置telnet选项:

  telnet local_ip

  local_ip 表示被允许通过telnet访问到pix的ip地址(如果不设此项, PIX的配置只能由consle方式进行)。

  13. 将配置保存:

  wr mem

  14. 几个常用的网络测试命令:

  #ping

  #show interface 查看端口状态

  #show static 查看静态地址映射

六、PIX与路由器的结合配置

  (一)、PIX防火墙

  1、设置PIX防火墙的外部地址:

  ip address outside 131.1.23.2

  2、设置PIX防火墙的内部地址:

  ip address inside 10.10.254.1

  3、设置一个内部计算机与Internet上计算机进行通信时所需的全局地址池:

  global1 131.1.23.10-131.1.23.254

  4、允许网络地址为10.0.0.0的网段地址被PIX翻译成外部地址:

  nat 110.0.0.0

  5、网管工作站固定使用的外部地址为131.1.23.11:

  static 131.1.23.11 10.14.8.50

  6、允许从RTRA发送到到网管工作站的系统日志包通过PIX防火墙:

  conduit 131.1.23.11514 udp 131.1.23.1 255.255.255.255

  7、允许从外部发起的对邮件服务器的连接(131.1.23.10):

  mailhost 131.1.23.10 10.10.254.3

  8、允许网络管理员通过远程登录管理IPX防火墙:

  telnet 10.14.8.50

  9、在位于网管工作站上的日志服务器上记录所有事件日志:

  syslog facility 20.7

  syslog host 10.14.8.50

  (二)、路由器RTRA

  RTRA是外部防护路由器,它必须保护PIX防火墙免受直接攻击,保护FTP/HTTP服务器,同时作为一个警报系统,如果有人攻入此路由器,管理可以立即被通知。

  1、阻止一些对路由器本身的攻击

  no service tcps mall-servers

  2、强制路由器向系统日志服务器发送在此路由器发生的每一个事件

BR>logging trapde bugging

  3、此地址是网管工作站的外部地址,路由器将记录所有事件到此主机上:

  logging 131.1.23.11

  4、保护PIX防火墙和HTTP/FTP服务器以及防卫欺骗攻击(见存取列表):

  enable secret xxxxxxxxxxx

  interface Ethernet 0

  ipaddress 131.1.23.1 255.255.255.0

  interfaceSerial 0

  ip unnumbered ethernet 0

  ip access-group 110 in

  5、禁止任何显示为来源于路由器RTRA和PIX防火墙之间的信息包,这可以防止欺骗攻击:

  access-list 110 deny ip 131.1.23.0 0.0.0.255 anylog

  6、防止对PIX防火墙外部接口的直接攻击并记录到系统日志服务器任何企图连接PIX防火墙外部接口的事件:

  access-list 110 deny ip any host 131.1.23.2 log

  
  7、允许已经建立的TCP会话的信息包通过:

  access-list 110 permit tcp any 131.1.23.0 0.0.0.255 established

  8、允许和FTP/HTTP服务器的FTP连接:

  access-list 110 permit tcp any host 131.1.23.3 eq ftp

  9、允许和FTP/HTTP服务器的FTP数据连接:

  access-list 110 permit tcp any host 131.1.23.2 eq ftp-data

  10、允许和FTP/HTTP服务器的HTTP连接:

  access-list 110 permit tcp any host 131.1.23.2 eq www

  11、禁止和FTP/HTTP服务器的别的连接并记录到系统日志服务器任何企图连接FTP/HTTP的事件:

  access-list 110 deny ip any host 131.1.23.2 log

  12、允许其他预定在PIX防火墙和路由器RTRA之间的流量:

  access-list 110 permit ip any 131.1.23.0 0.0.0.255

  13、限制可以远程登录到此路由器的IP地址:

  line vty 0 4

  login

  password xxxxxxxxxx

  access-class 10 in

  14、只允许网管工作站远程登录到此路由器,当你想从Internet管理此路由器时,应对此存取控制列表进行修改:

  access-list 10 permit ip 131.1.23.11

(三)、路由器RTRB

  RTRB是内部网防护路由器,它是你的防火墙的最后一道防线,是进入内部网的入口。

  1、记录此路由器上的所有活动到网管工作站上的日志服务器,包括配置的修改

  logging trap debugging

  logging 10.14.8.50

  2、允许通向网管工作站的系统日志信息:

  interface Ethernet 0

  ip address 10.10.254.2 255.255.255.0

  no ip proxy-arp

  ip access-group 110 in

  access-list 110 permit udp host 10.10.254.0 0.0.0.255

  3、禁止所有别的从PIX防火墙发来的信息包:

  access-list 110 deny ip any host 10.10.254.2 log

  4、允许邮件主机和内部邮件服务器的SMTP邮件连接:

  access-list permit tcp host 10.10.254.31 0.0.0.0 0.255.255.255 eq smtp

  5、禁止别的来源与邮件服务器的流量:

  access-list deny ip host 10.10.254.31 0.0.0.0 0.255.255.255

  6、防止内部网络的信任地址欺骗:

  access-list deny ip any 10.10.254.0 0.0.0.255

  7、允许所有别的来源于PIX防火墙和路由器RTRB之间的流量:

  access-list permit ip 10.10.254.0 0.0.0.255 10.0.0.0 0.255.255.255

  8、限制可以远程登录到此路由器上的IP地址:

  line vty 0 4

  login

  password xxxxxxxxxx

  access-class 10 in

  9、只允许网管工作站远程登录到此路由器,当你想从Internet管理此路由器时,应对此存取控制列表进行修改:

  access-list 10 permit ip 10.14.8.50

  按以上设置配置好PIX防火墙和路由器后,PIX防火墙外部的攻击者将无法在外部连接上找到可以连接的开放端口,也不可能判断出内部任何一台主机的IP地址,即使告诉了内部主机的IP地址,要想直接对它们进行Ping和连接也是不可能的。这样就可以对整个内部网进行有效的保护。