Windows系统防火墙命令行配置指南
Windows系统防火墙
一. windows系统防火墙命令行管理规范
1. 【开启/关闭防火墙（规则）】
● 在公用配置文件中设置防火墙属性(开启/关闭防火墙)
netsh advfirewall set publicprofile state on
netsh advfirewall set publicprofile state off
● 在域配置文件中设置防火墙属性(开启/关闭防火墙)
netsh advfirewall set domainprofile state on
netsh advfirewall set domainprofile state off
● 在专用配置文件中设置防火墙属性(开启/关闭防火墙)
netsh advfirewall set privateprofile state on
netsh advfirewall set privateprofile state off
● 在当前活动的配置文件中设置防火墙属性(开启/关闭防火墙) netsh advfirewall set currentprofile state on
netsh advfirewall set currentprofile state off
● 在所有配置文件中设置防火墙属性(开启/关闭防火墙)
netsh advfirewall set allprofile state on
netsh advfirewall set allprofile state off
2.【开启/关闭防火墙服务】
● 开启/关闭防火墙服务（关闭防火墙服务会导致入站访问被拒绝) net start MpsSvc
net stop MpsSvc
3. 【查看防火墙规则】
netsh advfirewall firewall show rule name=all dir=in type=dynamic C:\Windows\system32>netsh advfirewall firewall show /?
下列指令有效:
此上下文中的命令:
show rule - 显示指定的防火墙规则。
C:\Windows\system32>netsh advfirewall firewall show rule /?
用法: show rule name=
[profile=public|private|domain|any[,...]]
[type=static|dynamic]
[verbose]
备注:
- 显示所有按名称指定的匹配规则，
也可按配置文件和类型指定规则。如果指定 verbose，则显示所有
匹配规则。
示例:
显示所有动态入站规则:
netsh advfirewall firewall show rule name=all dir=in type=dynamic 显示名为 "allow browser" 的所有入站规则的
所有设置:
netsh advfirewall firewall show rule name="allow browser" verbose 4. 【添加防火墙规则】
netsh advfirewall firewall add rule name=tcp1433 dir=in action=allow description="this is readme text" enable=yes profile=public remoteip=61.151.239.15 localport=1433 protocol=tcp
C:\Windows\System32>netsh advfirewall firewall add rule /?
用法: add rule name=
dir=in|out
action=allow|block|bypass
[program=
[service=
[description=
[enable=yes|no (default=yes)]
[profile=public|private|domain|any[,...]]
[localip=any|]
[remoteip=any|localsubnet|dns|dhcp|wins|defaultgateway|
]
[localport=0-65535|
[remoteport=0-65535|
[protocol=0-255|icmpv4|icmpv6|icmpv4:type,code|icmpv6:type,code|
tcp|udp|any (default=any)]
[interfacetype=wireless|lan|ras|any]
[rmtcomputergrp=
[rmtusrgrp=
[edge=yes|deferapp|deferuser|no (default=no)]
[security=authenticate|authenc|authdynenc|authnoencap|notrequired
(default=notrequired)]
备注:
- 将新的入站或出站规则添加到防火墙策略。
- 规则名称应该是唯一的，且不能为 "all"。
- 如果已指定远程计算机或用户组，则 security 必须为
authenticate、authenc、authdynenc 或 authnoencap。
- 为 authdynenc 设置安全性可允许系统动态协商为匹配
给定 Windows 防火墙规则的通信使用加密。
根据现有连接安全规则属性协商加密。
选择此选项后，只要入站 IPSec 连接已设置安全保护，
但未使用 IPSec 进行加密，计算机就能够接收该入站连接的第一个 TCP 或UDP 包。
一旦处理了第一个数据包，服务器将重新协商连接并对其进行升级，以便所
有后续通信都完全加密。
- 如果 action=bypass，则 dir=in 时必须指定远程计算机组。
- 如果 service=any，则规则仅应用到服务。
- ICMP 类型或代码可以为 "any"。
- Edge 只能为入站规则指定。
- AuthEnc 和 authnoencap 不能同时使用。
- Authdynenc 仅当 dir=in 时有效。
- 设置 authnoencap 后，security=authenticate 选项就变成可选参数。
示例:
为不具有封装的 messenger.exe 添加入站规则:
netsh advfirewall firewall add rule name="allow messenger"
dir=in program="c:\programfiles\messenger\msmsgs.exe"
security=authnoencap action=allow
为端口 80 添加出站规则:
netsh advfirewall firewall add rule name="allow80"
protocol=TCP dir=out localport=80 action=block
为 TCP 端口 80 通信添加需要安全和加密的入站规则:
netsh advfirewall firewall add rule
name="Require Encryption for Inbound TCP/80"
protocol=TCP dir=in localport=80 security=authdynenc
action=allow
为 messenger.exe 添加需要安全的入站规则:
5.【修改防火墙规则】
● 修改防火墙入站规则（修改入站规则tcp1433名称)
netsh advfirewall firewall set rule name="tcp1433" dir=in new name="tcp_port1433" C:\Windows\system32>netsh advfirewall firewall set rule /?
用法: set rule
group=
[dir=in|out]
[profile=public|private|domain|any[,...]]
[program=
[service=service short name|any]
[localip=any|] [remoteip=any|localsubnet|dns|dhcp|wins|defaultgateway|
]
[localport=0-65535|
[protocol=0-255|icmpv4|icmpv6|icmpv4:type,code|icmpv6:type,code|
tcp|udp|any]
new
[name=
[dir=in|out]
[program=
[service=
[action=allow|block|bypass]
[description=
[enable=yes|no]
[profile=public|private|domain|any[,...]]
[localip=any|] [remoteip=any|localsubnet|dns|dhcp|wins|defaultgateway|
]
[localport=0-65535|RPC|RPC-EPMap|any[,...]]
[remoteport=0-65535|any[,...]]
[protocol=0-255|icmpv4|icmpv6|icmpv4:type,code|icmpv6:type,code|
tcp|udp|any]
[interfacetype=wireless|lan|ras|any]
[rmtcomputergrp=
[rmtusrgrp=
[edge=yes|deferapp|deferuser|no (default=no)]
[security=authenticate|authenc|authdynenc|notrequired]
备注:
- 为已识别的规则设置新的参数值。如果规则不存在，
则该命令失败。若要创建规则，请使用添加命令。
- 会更新规则中 new 关键字后的值。如果
没有值，或缺少关键字 new，则没有任何更改。
- 一组规则只能被启用或禁用。
- 如果多个规则与条件匹配，则会
更新所有匹配规则。
- 规则名称应该是唯一的，并且不能是 "all"。
- 如果指定远程计算机或用户组，security 必须
为 authenticate、authenc 或 authdynenc。
- 为 authdynenc 设置安全性可允许系统动态协商为匹配
给定 Windows 防火墙规则的通信使用加密。
根据现有连接安全规则属性协商加密。
选择此选项后，只要入站 IPSec 连接已设置安全保护，
但未使用 IPSec 进行加密，计算机就能够接收该入站连接的第一个 TCP
或 UDP 包。
一旦处理了第一个数据包，服务器将重新协商连接并对其进行升级，以便
所有后续通信都完全加密。
- Authdynenc 仅当 dir=in 时有效。
- 如果 action=bypass，则当 dir=in 时必须指定远程计算机组。
6.【删除防火墙规则】
● 删除防火墙规则则(匹配名称为"tcp1433" 协议为TCP 远程端口为1433的规则)
netsh advfirewall firewall delete rule dir=in name="tcp1433" remoteport=1433 protocol=tcp C:\Windows\System32>netsh advfirewall firewall delete rule /?
用法: delete rule name=
[dir=in|out]
[profile=public|private|domain|any[,...]]
[program=
[service=
[localip=any|]
[remoteip=any|localsubnet|dns|dhcp|wins|defaultgateway|
]
[localport=0-65535|
[remoteport=0-65535|
[protocol=0-255|icmpv4|icmpv6|icmpv4:type,code|icmpv6:type,code|
tcp|udp|any]
注释:
- 删除按名称识别的规则，也可按终结点、端口、
协议和类型识别规则
- 如果找到多个匹配项，则删除所有匹配规则。
- 如果指定 name=all，则从指定的
类型和配置文件中删除所有规则。
示例:
删除本地端口 80 的所有入则:
netsh advfirewall firewall delete rule name=all protocol=tcp localport=80
删除名为 "allow80" 的规则:
netsh advfirewall firewall delete rule name="allow80"
二. windows防火墙打开配置界面的入口:
1.通过右键状态栏网卡图标》打开网络和共享中心》Windows防火墙》高级设置打开
2.通过服务器管理器》工具》高级安全windows防火墙打开
3. 通过设置》控制面板》系统和安全》Windows防火墙》高级设置打开
win7防火墙设置指南、多重作用防火墙策略以及设置方法
win7防火墙设置指南、多重作用防火墙策略以及设置方法 214小游戏https://www.wendangku.net/doc/cd16885158.html,/ windows XP集成防火强常被视为鸡肋，不过随着vista和WIN7的发布，微软对于防火墙的两次升级让windows的firewall不再是系统的累赘，特别是win7的firewall，强悍的功能让微软的防火墙也有了“专业”的味道。 本文就教大家来了解一下windows7下的 firewall设置以及向你展示怎样对多重作用防火墙策略下对Firewall进行配置。Windows Firewall的演变过程。 一、windows防火墙的演变 Windows XP中的防火墙是一款简单、初级仅保护流入信息，拦截任何不是由你主动发启入站连接的软件－－它是默认关闭的。SP2后它才被默认启动并可以通过组策略的方式由管理员进行配置。而 Vista Firewall 是建立在一个新的Windows Filtering Platform （WFP、Windows过滤平台）上、并通过Advanced Security MMC嵌入式管理单元添加了新的过滤外发信息的能力。在Windows 7中MS对firewall做了进一步的微调，使其更具可用性，尤其针对移动计算机，更是舔加了对多重作用防火墙策略的支持。 二、windows 7 firewall（防火墙）设置方法 与Vista相同的是，可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是，你还可以通过访问控制面板的方式对其进行高级配置（包括对出站连接过滤器的配置），而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。 更多的网络配置 Vista firewall允许你去选择是在公共网格上还是在专用网络中，而在Windows 7中你有三个选择－－公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。 如果你选择了“家庭网络”选项，你将可以建立一个“家庭组”。在这种环境中，“网路发现”会自动启动，你将可以看到网络中其它的计算机和设备，同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中，你还可以排除它们。 如果你选择的是“工作网络”，“网路发现”同样会自动启动，但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域（通过控制面板－－系统和安全－－系统－－高级系统配置－－计算机名选项卡）并通过DC验证，那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi 网络时的适当选择，“网路发现”将默认关闭，这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。 在全部的网络模式中，Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略 在Vista中，尽管你有公用网络和私用网络两个配置文件，但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况，那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上，这意味着你可能无法在本地（私用）网络中做你想做的事，因为你是在公用网络在规则下操作。而在Windows 7 （和 Server 2008 R2）中，不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配，而与公用网络之间的流量则应用公用网络规则。 起作用的是那些不显眼的小事 在很多事例中，更好的可用性往往取决于小的改变，MS听取了用户的意见并将一些“不
华为常用命令
华为交换机常用命令： 1、display current-configuration //显示当前配置 2、display interface GigabitEthernet 1/1/4 //显示接口信息 3、display packet-filter interface GigabitEthernet 1/1/4 //显示接口acl应用信息 4、display acl all //显示所有acl设置3900系列交换机 5、display acl config all //显示所有acl设置6500系列交换机 6、display arp 10.78.4.1 //显示该ip地址的mac地址，所接交换机的端口位置 7、display cpu //显示cpu信息 8、system-view //进入系统图（配置交换机），等于config t 命令 9、acl number 5000 //在system-view命令后使用，进入acl配置状态 10、rule 0 deny 0806 ffff 24 0a4e0401 ffffffff 40 //在上面的命令后使用，，acl 配置例子 11、rule 1 permit 0806 ffff 24 000fe218ded7 fffffffff 34 //在上面的命令后使用，acl配置例子 12、interface GigabitEthernet 1/0/9 //在system-view命令后使用，进入接口配置状态 13、[86ZX-S6503-GigabitEthernet1/0/9]qos //在上面的命令后使用，进入接口qos配置 14、[86ZX-S6503-qosb-GigabitEthernet1/0/9]packet-filter inbound user-group 5000 //在上面的命令后使用，在接口上应用进站的acl 15、[Build4-2_S3928TP-GigabitEthernet1/1/4]packet-filter outbound user-group 5001 //在接口上应用出站的acl 16、undo acl number 5000 //取消acl number 5000 的设置 17、ip route-static 0.0.0.0 0.0.0.0 10.78.1.1 preference 60 //设置路由 18、reset counters interface Ethernet 1/0/14 //重置接口信息 华为路由器常用命令 [Quidway]dis cur ；显示当前配置[Quidway]display current-configuration ；显示当前配置[Quidway]display interfaces ；显示接口信息[Quidway]display vlan all ；显示路由信息[Quidway]display version ；显示版本信息 [Quidway]super password ；修改特权用户密码[Quidway]sysname ；交换机命名[Quidway]interface ethernet 0/1 ；进入接口视图[Quidway]interface vlan x ；进入接口视图 [Quidway-Vlan-interfacex]ip address 10.65.1.1 255.255.0.0 ；配置VLAN的IP地址 [Quidway]ip route-static 0.0.0.0 0.0.0.0 10.65.1.2 ；静态路由＝网关[Quidway]rip ；三层交换支持[Quidway]local-user ftp [Quidway]user-interface vty 0 4 ；进入虚拟终端 [S3026-ui-vty0-4]authentication-mode password ；设置口令模式 [S3026-ui-vty0-4]set authentication-mode password simple 222 ；设置口令 [S3026-ui-vty0-4]user privilege level 3 ；用户级别
juniper防火墙配置手册
JUNIPER 防火墙快速安装手册 目录 1、前言 (4) 1.1、J UNIPER 防火墙配置概述 (4) 1.2、J UNIPER 防火墙管理配置的基本信息 (4) 1.3、J UNIPER 防火墙的常用功能 (6) 2、JUNIPER 防火墙三种部署模式及基本配置 (6) 2.1、NAT 模式 (6) 2.2、R OUTE 模式 (7) 2.3、透明模式 (8) 2.4、基于向导方式的NAT/R OUTE 模式下的基本配置 (9) 2.5、基于非向导方式的NAT/R OUTE 模式下的基本配置 (18) 2.5.1、NS-5GT NAT/Route 模式下的基本配置 (19) 2.5.2、非NS-5GT NAT/Route 模式下的基本配置 (20) 2.6、基于非向导方式的透明模式下的基本配置 (21) 3、JUNIPER 防火墙几种常用功能的配置 (22) 3.1、MIP 的配置 (22) 3.1.1、使用Web 浏览器方式配置MIP (23) 3.1.2、使用命令行方式配置MIP (25) 3.2、VIP 的配置 (25) 3.2.1、使用Web 浏览器方式配置VIP (26) 3.2.2、使用命令行方式配置VIP (27) 3.3、DIP 的配置 (28) 3.3.1、使用Web 浏览器方式配置DIP (28) 3.3.2、使用命令行方式配置DIP (30) 4、JUNIPER 防火墙IPSEC VPN 的配置 (30) 4.1、站点间IPS EC VPN 配置：STAIC IP-TO-STAIC IP (30) 4.1.1、使用Web 浏览器方式配置 (31) 4.1.2、使用命令行方式配置.......................................................................... .. (35) 4.2、站点间IPS EC VPN 配置：STAIC IP-TO-DYNAMIC IP (37) 4.2.1、使用Web 浏览器方式配置 (38) 4.2.1、使用命令行方式配置................................................................................ .. (41) 5、JUNIPER 中低端防火墙的UTM 功能配置 (43) 5.1、防病毒功能的设置..................................................................................... . (44) 5.1.1、Scan Manager 的设置 (44) 5.1.2、Profile 的设置...................................................................................... . (45) 5.1.3、防病毒profile 在安全策略中的引用 (47) 5.2、防垃圾邮件功能的设置................................................................................ .. (49) 5.2.1、Action 设置 (50) 5.2.2、White List 与Black List 的设置 (50)
华为防火墙NAT配置命令
私网用户通过NAPT方式访问Internet （备注：在这种环境中，外网只能ping通外网口，公网没有写入到内网的路由，所以前提是内网只能ping通外网口，但走不到外网口以外的网络，做了NAT之后，内网可以通外网任何网络，但是外网只能ping到本地内网的外网口。） 本例通过配置NAPT功能，实现对少量公网IP地址的复用，保证公司员工可以正常访问Internet。组网需求 如图1所示，某公司内部网络通过USG9000与Internet相连，USG9000作为公司内网的出口网关。由于该公司拥有的公网IP地址较少（202.169.1.21～202.169.1.25），所以需要利用USG9000的NAPT功能复用公网IP地址，保证员工可以正常访问Internet。 图1 配置私网用户通过NAPT方式访问Internet组网图 配置思路 1.完成设备的基础配置，包括配置接口的IP地址，并将接口加入安全区域。 2.配置安全策略，允许私网指定网段访问Internet。 3.配置NAT地址池和NAT策略，对指定流量进行NAT转换，使私网用户可以使用公网IP 地址访问Internet。 4.配置黑洞路由，防止产生路由环路。
操作步骤 1.配置USG9000的接口IP地址，并将接口加入安全区域。 # 配置接口GigabitEthernet 1/0/1的IP地址。
win2008 防火墙服务无法启动该怎么
win2008 防火墙服务无法启动该怎么 win2008 防火墙服务无法启动解决方法二： 一、防火墙配置出错 开始-->运行-->gpedit.msc 这时打开了组策略 在左面分级展开 计算机配置-->管理模板-->网络-->网络连接-->windows 防火墙 然后在这下面就是组策略强制限制的一些选项 找到你所需要的配置定义成启用再设置回"未配置" 就可以了 (有些软件更改的注册表，有时在组策略里显示不出来,可能更改以后组策略里仍然是未配置的,所以要配置一下,再配置回来) 二、安全中心被关闭 防火墙启用的选项变成灰色，无法启用，并用提示“由于安全考虑，某些设置由组策略控制” 运行services.msc打开“服务” 将security center设为自动，并且启用。 将windows firewall/internet connection sharing(ics)设为自动并且启用。
将application layer gateway service 设为自动并且启用。 如果仍然不能启用防火墙，执行以下步骤： 运行regedit.exe打开注册表，删除下面两项： hkey_local_machine \ software \ policies \ microsoft \ windowsfirewall hkey_current_user \ software \ policies \ microsoft \ windowsfirewall (至少能找到一项) 在服务中重启windows firewall/internet connection sharing(ics) 如果继续提示“由于安全考虑，某些设置由组策略控制”，不会影响使用。 三、系统文件丢失 由于sharedaccess.reg文件丢失或损坏，sharedaccess.reg 文件代表了windows防火墙服务。 注意：windows防火墙服务在windows xp sp2替换在早期版本的windowsxp中internet连接防火墙(icf)服务。 win2008 防火墙服务无法启动解决方法二： 就需要通过“高级安全windows 防火墙”功能。打开方法如下：管理工具中点击高级安全windows防火墙，或者是在刚才的防火墙状态中点击高级设置。如下图所示，然后，可以看到右侧所示的界面。 什么是高级安全windows防火墙： 使用高级安全 windows 防火墙可以帮助用户保护网络上的
华为交换机基本配置命令29908
华为交换机基本配置命令 一、单交换机VLAN划分 命令命令解释 system 进入系统视图 system-view 进入系统视图 quit 退到系统视图 undo vlan 20 删除vlan 20 sysname 交换机命名 disp vlan 显示vlan vlan 20 创建vlan(也可进入vlan 20) port e1/0/1toe1/0/5 把端口1-5放入VLAN 20 中 5700系列 单个端口放入VLAN [Huawei]intg0/0/1 [Huawei]port link-typeaccess（注：接口类型access，hybrid、trunk） [Huawei]port default vlan 10 批量端口放入VLAN [Huawei]port-group 1 [Huawei-port-group-1]group-member ethernet G0/0/1 to ethernet G0/0/20 [Huawei-port-group-1]port hybrid untagged vlan 3 删除group（组）vlan 200内的15端口 [Huawei]intg0/0/15 [Huawei-GigabitEthernet0/0/15]undo port hybrid untagged vlan 200 通过group端口限速设置 [Huawei]Port-group 2 [Huawei]group-member g0/0/2 to g0/0/23 [Huawei]qos lr outbound cir 2000 cbs 20000 disp vlan 20 显示vlan里的端口20 int e1/0/24 进入端口24 undo port e1/0/10 表示删除当前VLAN端口10 disp curr 显示当前配置 return 返回 Save 保存 info-center source DS channel 0 log state off trap state off通过关闭日志信息命令改变DS模块来实现（关闭配置后的确认信息显示） info-center source DS channel 0 log state on trap state on 通过打开日志信息命令改变DS模块来实现（打开配置后的确认信息显示）
防火墙配置中必备的六个主要命令解析
防火墙配置中必备的六个主要命令解析 防火墙的基本功能，是通过六个命令来完成的。一般情况下，除非有特殊的安全需求，这个六个命令基本上可以搞定防火墙的配置。下面笔者就结合CISCO的防火墙，来谈谈防火墙的基本配置，希望能够给大家一点参考。 第一个命令：interface Interface是防火墙配置中最基本的命令之一，他主要的功能就是开启关闭接口、配置接口的速度、对接口进行命名等等。在买来防火墙的时候，防火墙的各个端都都是关闭的，所以，防火墙买来后，若不进行任何的配置，防止在企业的网络上，则防火墙根本无法工作，而且，还会导致企业网络不同。 1、配置接口速度 在防火墙中，配置接口速度的方法有两种，一种是手工配置，另外一种是自动配置。手工配置就是需要用户手工的指定防火墙接口的通信速度;而自动配置的话，则是指防火墙接口会自动根据所连接的设备，来决定所需要的通信速度。 如：interface ethernet0 auto --为接口配置“自动设置连接速度” Interface ethernet2 100ful --为接口2手工指定连接速度，100MBIT/S。 这里，参数ethernet0或者etnernet2则表示防火墙的接口，而后面的参数表示具体的速度。 笔者建议 在配置接口速度的时候，要注意两个问题。 一是若采用手工指定接口速度的话，则指定的速度必须跟他所连接的设备的速度相同，否则的话，会出现一些意外的错误。如在防火墙上，若连接了一个交换机的话，则交换机的端口速度必须跟防火墙这里设置的速度相匹配。 二是虽然防火墙提供了自动设置接口速度的功能，不过，在实际工作中，作者还是不建议大家采用这个功能。因为这个自动配置接口速度，会影响防火墙的性能。而且，其有时候也会判断失误，给网络造成通信故障。所以，在一般情况下，无论是笔者，还是思科的官方资料，都建议大家采用手工配置接口速度。 2、关闭与开启接口 防火墙上有多个接口，为了安全起见，打开的接口不用的话，则需要及时的进行关闭。一般可用shutdown命令来关闭防火墙的接口。但是这里跟思科的IOS 软件有一个不同，就是如果要打开这个接口的话，则不用采用no shutdown命令。在防火墙的配置命令中，没有这一条。而应该采用不带参数的shutdown命令，来把一个接口设置为管理模式。
实验：防火墙基本配置
实验七交换机基本配置 一、实验目的 （1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。 实验设备与器材 熟悉交换机开机界面； （2）掌握Quidway S系列中低端交换机几种常用配置方法； （3）掌握Quidway S系列中低端交换机基本配置命令。 二、实验环境 Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。 交换机，标准Console配置线。 三、实验内容 学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。 预备知识 1、防火墙 防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。 2、包过滤技术 一般情况下，包过滤是指对转发IP数据包的过滤。对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。 3、访问控制列表 路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。 访问控制列表(Access Control List )的作用 访问控制列表可以用于防火墙； 访问控制列表可用于Qos（Quality of Service），对数据流量进行控制； 访问控制列表还可以用于地址转换； 在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。 一个IP数据包如下图所示（图中IP所承载的上层协议为TCP） ACL示意图 ACL的分类 按照访问控制列表的用途，可以分为四类： ●基本的访问控制列表（basic acl） ●高级的访问控制列表（advanced acl） ●基于接口的访问控制列表（interface-based acl） ●基于MAC的访问控制列表（mac-based acl） 访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。 4、防火墙的配置项目 防火墙的配置包括：
华为USG防火墙运维命令大全
华为USG防火墙运维命令大全 1查会话 使用场合 针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。 命令介绍（命令类） display firewall session table [ verbose ] { source { inside X.X.X.X | global X.X.X.X } | destination { inside X.X.X.X | global X.X.X.X } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instance { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ] 使用方法（工具类） 首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。 Global：表示在做NAT时转换后的IP。 Inside：表示在做NAT时转换前的IP。 使用示例
Windows_7防火墙设置详解
Windows 7防火墙设置详解(一) 文介绍Windows 7防火墙的设置方法，自从Vista开始，Windows的防火墙功能已经是越加臻于完善、今非昔比了，系统防火墙已经成为系统的一个不可或缺的部分，不再像XP那样防护功能简单、配置单一，所以无论是安装哪个第三方防火墙，Windows 7自带的系统防火墙都不应该被关闭掉，反而应该学着使用和熟悉它，对我们的系统信息保护将会大有裨益。 防火墙有软件的也有硬件德，当然了，其实硬件仍然是按照软件的逻辑进行工作的，所以也并非所有的硬防就一定比软防好，防火墙的作用是用来检查网络或Internet的交互信息，并根据一定的规则设置阻止或许可这些信息包通过，从而实现保护计算机的目的，下面这张图是Windows 7帮助里截出来的工作原理图： Windows 7防火墙的常规设置方法还算比较简单，依次打开“计算机”——“控制面板”——“Windows防火墙”，如下图所示：
上图中，天缘启用的是工作网络，家庭网络和工作网络同属于私有网络，或者叫专用网络，图下面还有个公用网络，实际上Windows 7已经支持对不同网络类型进行独立配置，而不会互相影响，这是windows 7的一个改进点。图2中除了右侧是两个帮助连接，全部设置都在左侧，如果需要设置网络连接，可以点击左侧下面的网络和共享中心，具体设置方法，可以参考《Windows 7的ADSL网络连接和拨号连接设置方法》和《Windows 7的网络连接和共享设置教程》两篇文章，另外如果对家庭网络、工作网络和公用网络有疑问也可参考一下。 下面来看一下Windows 7防火墙的几个常规设置方法： 一、打开和关闭Windows防火墙
juniper防火墙详细配置手册
Juniper防火墙简明实用手册 （版本号：V1.0）
目录 1 juniper中文参考手册重点章节导读 (4) 1.1第二卷：基本原理 (4) 1.1.1第一章：ScreenOS 体系结构 (4) 1.1.2第二章：路由表和静态路由 (4) 1.1.3第三章：区段 (4) 1.1.4第四章：接口 (5) 1.1.5第五章：接口模式 (5) 1.1.6第六章：为策略构建块 (5) 1.1.7第七章：策略 (6) 1.1.8第八章：地址转换 (6) 1.1.9第十一章：系统参数 (6) 1.2第三卷：管理 (6) 1.2.1第一章：管理 (6) 1.2.2监控NetScreen 设备 (7) 1.3第八卷：高可用性 (7) 1.3.1NSRP (7)
1.3.2故障切换 (8) 2Juniper防火墙初始化配置和操纵 (9) 3查看系统概要信息 (10) 4主菜单常用配置选项导航 (10) 5Configration配置菜单 (12) 5.1Date/Time:日期和时间 (12) 5.2Update更新系统镜像和配置文件 (13) 5.2.1更新ScreenOS系统镜像 (13) 5.2.2更新config file配置文件 (14) 5.3Admin管理 (15) 5.3.1Administrators管理员账户管理 (15) 5.3.2Permitted IPs：允许哪些主机可以对防火墙进行管理 (16) 6Networks配置菜单 (17) 6.1Zone安全区 (17) 6.2Interfaces接口配置 (18) 6.2.1查看接口状态的概要信息 (18)
华为usg2210防火墙配置实例
天融信防火墙NGFW4000快速配置手册
天融信防火墙NGFW4000快速配置手册 一、防火墙的几种管理方式 1．串口管理 第一次使用网络卫士防火墙，管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。 通过 CONSOLE 口登录到网络卫士防火墙，可以对防火墙进行一些基本的设置。用户在初次使用防火墙时，通常都会登录到防火墙更改出厂配置（接口、IP 地址等），使在不改变现有网络结构的情况下将防火墙接入网络中。这里将详细介绍如何通过 CONSOLE口连接到网络卫士防火墙： 1）使用一条串口线（包含在出厂配件中），分别连接计算机的串口（这里假设使用 com1）和防火墙的CONSOLE 口。 2）选择开始 > 程序 > 附件 > 通讯 > 超级终端，系统提示输入新建连接的名称。 3）输入名称，这里假设名称为“TOPSEC”，点击“确定”后，提示选择使用的接口（假设使用 com1）。 4）设置 com1 口的属性，按照以下参数进行设置。
5）成功连接到防火墙后，超级终端界面会出现输入用户名/密码的提示，如下图。 6）输入系统默认的用户名：superman 和密码：talent，即可登录到网络卫士防火 墙。登录后，用户就可使用命令行方式对网络卫士防火墙进行配置管理。 2．TELNET管理 TELNET管理也是命令行管理方式，要进行TELNET管理，必须进行以下设置： 1)在串口下用“pf service add name telnet area area_eth0 addressname any”命令添加管理权限 2)在串口下用“system telnetd start”命令启动TELNET管理服务 3)知道管理IP地址，或者用“network interface eth0 ip add 192.168.1.250 mask 255.255.255.0”命令 添加管理IP地址 4)然后用各种命令行客户端(如WINDOWS CMD命令行)管理：TELNET 192.168.1.250 5)最后输入用户名和密码进行管理命令行如图： 3．SSH管理
Windows 7防火墙规则设置
Windows XP集成的防火墙常被视为鸡肋，但现在的WIN7防火墙强悍的功能也有了点“专业”的味道。今天教和大家一起来看看该如何使用WIN7防火墙。 与Vista相同的是，可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista 不同的是，你还可以通过访问控制面板的方式对其进行高级配置（包括对出站连接过滤器的配置），而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。 Vista 防火墙允许你去选择是在公共网格上还是在专用网络中，而在Windows 7中你有三个选择－－公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。 如果你选择了“家庭网络”选项，你将可以建立一个“家庭组”。在这种环境中，“网路发现”会自动启动，你将可以看到网络中其它的计算机和设备，同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中，你还可以排除它们。 如果你选择的是“工作网络”，“网路发现”同样会自动启动，但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域（通过控制面板－－系统和安全－－系统－－高级系统配置－－计算机名选项卡）并通过DC验证，那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi网络时的适当选择，“网路发现”将默认关闭，这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。 在全部的网络模式中，Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略
防火墙配置中必备的六个主要命令解析
防火墙配置中必备地六个主要命令解析 防火墙地基本功能，是通过六个命令来完成地.一般情况下，除非有特殊地安全需求，这个六个命令基本上可以搞定防火墙地配置.下面笔者就结合地防火墙，来谈谈防火墙地基本配置，希望能够给大家一点参考. 第一个命令： 是防火墙配置中最基本地命令之一，他主要地功能就是开启关闭接口、配置接口地速度、对接口进行命名等等.在买来防火墙地时候，防火墙地各个端都都是关闭地，所以，防火墙买来后，若不进行任何地配置，防止在企业地网络上，则防火墙根本无法工作，而且，还会导致企业网络不同.文档来自于网络搜索 、配置接口速度 在防火墙中，配置接口速度地方法有两种，一种是手工配置，另外一种是自动配置.手工配置就是需要用户手工地指定防火墙接口地通信速度;而自动配置地话，则是指防火墙接口会自动根据所连接地设备，来决定所需要地通信速度.文档来自于网络搜索如：为接口配置“自动设置连接速度” 为接口手工指定连接速度，.文档来自于网络搜索 这里，参数或者则表示防火墙地接口，而后面地参数表示具体地速度. 笔者建议 在配置接口速度地时候，要注意两个问题. 一是若采用手工指定接口速度地话，则指定地速度必须跟他所连接地设备地速度相同，否则地话，会出现一些意外地错误.如在防火墙上，若连接了一个交换机地话，则交换机地端口速度必须跟防火墙这里设置地速度相匹配.文档来自于网络搜索 二是虽然防火墙提供了自动设置接口速度地功能，不过，在实际工作中，作者还是不建议大家采用这个功能.因为这个自动配置接口速度，会影响防火墙地性能.而且，其有时候也会判断失误，给网络造成通信故障.所以，在一般情况下，无论是笔者，还是思科地官方资料，都建议大家采用手工配置接口速度.文档来自于网络搜索 、关闭与开启接口 防火墙上有多个接口，为了安全起见，打开地接口不用地话，则需要及时地进行关闭.一般可用命令来关闭防火墙地接口.但是这里跟思科地软件有一个不同，就是如果要打开这个接口地话，则不用采用命令.在防火墙地配置命令中，没有这一条.而应该采用不带参数地命令，来把一个接口设置为管理模式.文档来自于网络搜索 笔者建议 在防火墙配置地时候，不要把所有地接口都打开，需要用到几个接口，就打开几个接口.若把所有地接口都打开地话，会影响防火墙地运行效率，而且，对企业网络地安全也会有影响.或者说，他会降低防火墙对于企业网络地控制强度.文档来自于网络搜索第二个命令： 一般防火墙出厂地时候，思科也会为防火墙配置名字，如等等，也就是说，防火墙地物理位置跟接口地名字是相同地.但是，很明显，这对于我们地管理是不利地，我们不能够从名字直观地看到，这个接口到底是用来做什么地，是连接企业地内部网络接口，还是连接企业地外部网络接口.所以，网络管理员，希望能够重命令这个接口地名字，利用比较直观地名字来描述接口地用途，如利用命令来表示这个接口是用来连接外部网络;而利用命令来描述这个接口是用来连接内部网络.同时，在给端口进行命名地时候，还可以指定这个接口地安全等级.文档来自于网络搜索 命令基本格式如下
华为防火墙命令
华为路由器和防火墙配置命令总结 一、access-list 用于创建访问规则。 （1）创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] （2）创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] （3）删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有：等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）；如果操作符为range，则后面需要跟两个端口。 port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。 port2 在协议类型为TCP或UDP且操作类型为range时出现；可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。 icmp-type[可选] 在协议为ICMP时出现，代表ICMP报文类型；可以是关键字所设定的预设值（如echo-reply）或者是0~255之间的一个数值。 icmp-code在协议为ICMP且没有选择所设定的预设值时出现；代表ICMP码，是0~255之间的一个数值。 log [可选] 表示如果报文符合条件，需要做日志。
- 华为路由器防火墙配置命令详细解释
- H3C防火墙配置命令
- H3C防火墙 命令行配置
- 防火墙配置中必备的六个主要命令解析
- 防火墙配置手册
- JuniperSSG防火墙中文版配置手册
- 华为路由器防火墙配置命令详细解释
- HC防火墙配置命令
- 最新整理华为usg防火墙基本配置命令有哪些
- 天融信防火墙NGFW4000快速配置手册
- 华为某个型号防火墙的基本配置命令
- Juniper防火墙基本命令
- 防火墙配置常用命令
- juniper防火墙配置手册
- 华为防火墙命令行及数据配置
- 防火墙配置中必备的几个主要命令
- Cisco 路由器防火墙配置命令及实例
- H3C防火墙配置命令
- HC防火墙命令行配置
- juniper防火墙详细配置手册