为您找到与h3c防火墙命令配置实例相关的共200个结果:
在今天的文章中我们将使用一种完全不同的方式,来实现对新的Windows Server 2008高级防火墙的类似配置,就是使用netsh这个工具以Windows命令行界面(CLI)的方式对防火墙进行配置。选择这种配置方式的理由有很多,让我们一起寻找答案吧。
了解Netsh advfirewall工具
在新的Windows 2008 Server中,你会看到一个更加高级的基于主机的防火墙。在上篇文章中我们已经提到它的一些新功能:
·新的图形化界面—现在通过一个管理控制台单元来配置这个高级防火墙。
·双向保护—对出站、入站通信进行过滤。
·与IPSEC更好的配合—现在防火墙规则和IPSec加密配置被集成到一个界面中。
·高级规则配置—你可以针对Windows Server上的各种对象创建防火墙规则,配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。
Netsh是可以用于配置网络组件设置的命令行工具。具有高级安全性的Windows防火墙提供netsh advfirewall工具,可以使用它配置具有高级安全性的Windows防火墙设置。使用netsh advfirewall可以创建脚本,以便自动同时为IPv4和IPv6流量配置一组具有高级安全性的Windows 防火墙设置。还可以使用netsh advfirewall命令显示具有高级安全性的Windows防火墙的配置和状态。
为什么要使用命令行界面来配置一个Windows防火墙?
俗话说,萝卜青菜各有所爱。有的人喜欢使用图形化的管理单元来配置这个新的防火墙,有的人则更愿意通过命令行方式来完成他们的配置工作,理由如下:
·配置更快速—一旦你熟练掌握了如何使用netsh advfirewall命令,在配置防火墙的时候要比使用图形化界面速度快的多。
·可以编写脚本—使用这个工具你可以对一些常用的功能编写脚本。
·在图形化界面不可用时依然可以配置防火墙—和其他命令行工具一样,当图形化界面不可用的时候,例如在Windows Server 2008 Core模式下,你依然能够使用netsh advfirewall工具来对防火墙进行配置。
有哪些命令可用?
Netsh advfirewall的命令非常多,今天我们选择你必须掌握的几个最常见的命令介绍给大家。
1、help命令(或“?”)
虽然简单,但这却可能是最有用的命令。任何时候当你键入“?”命令的时候,你会看到和上下文相关的所有选项,如图1。
图1、netsh advfirewall的和help选项
2、consec(连接安全规则)命令
这个连接规则可以让你创建两个系统之间的IPSEC 。换句话说,consec规则能够让你加强通过防火墙的通信的安全性,而不仅仅是限制或过滤它。
这个命令会将你带入到连接安全配置模式,如下所示:
Netsh advfirewall>consec
Netsh advfirewall consec>
现在如果你键入“?”命令的话,你将会在netsh advfirewall consec中看到六个不同的命令(见图2)。
从这儿你可以看到你可以通过以下命令来修改安全规则:
此上下文中的命令:
·add命令可以让你添加新连接安全规则;
·delete命令让你删除所有匹配的连接安全规则;
·dump命令显示一个配置脚本;
·help可以显示命令列表。
·set命令让你为现有规则的属性设置新值。
图2、netsh advfirewall consec命令选项
show命令
要想查看防火墙现在的状况,你将必须使用这个show命令,再其下提供三个不同的命令可用。
·Show alias为你列出所有定义的别名;
·show helper列出所有顶层帮助者;
·Show mode命令可以钢珠你显示防火墙是在线还是离线。
3、Export命令
这个命令可以让你导出防火墙当前的所有配置到一个文件中。这个命令非常有用,因为你可以备份所有的配置到文件中,如果你对已经作出的配置不满意的话,可以随时使用这个文件来恢复到修改前的状态。
以下是一个应用示例:
netsh advfirewall export “c:advfirewall.wfw”
4、Firewall命令
使用这个命令你可以增加新的入站和出站规则到你的防火墙中。它还可以让你修改防火墙中的规则。
图3、netsh advfirewall firewall
在firewall上下文命令中,你会看到四个重要的命令,分别是:
·Add命令让你增加入站和出站规则;
·Delete命令让你删除一条规则;
·Set命令为现有规则的属性设置新值;
·Show命令将显示一个指定的防火墙规则。
以下是增加和删除一个防火墙规则的示例:
增加一个针对messenger.exe的入站规则
netsh advfirewall firewall add rule name="allow messenger" dir=in program="c:programfilesmessengermsmsgs.exe” action=allow
删除针对本地21端口的所有入站规则:
netsh advfirewall firewall delete name rule name=all protocol=tcp localport=21
5、Import命令
Import命令让你可以从一个文件中导入防火墙的配置。这个命令可以让你把之前你使用export命令导出的防火墙配置再恢复回去。示例如下:
Netsh advfirewall import “c:advfirewall.wfw”
6、Reset
这个命令让你重新设置防火墙策略到默认策略状态。使用这个命令的时候务必谨慎,因为一旦你键入这个命令并按下回车后,它将不再让你确认是否真要重设,直接恢复防火墙的策略。
示例命令如下:
Netsh advfirewall reset
7、Set命令
set命令将允许你修改防火墙的不同设置状态。相关的上下文命令有六个。
图4、netsh advfirewall set
·set allprofiles让你修改所有配置文件中的属性。
·set currentprofile 让你只修改活动配置文件中的属性。
·set domainprofile让你修改域配置文件中的属性。
·set global让你修改防火墙的全局属性。
·set privateprofile让你修改专用配置文件中的属性。
·set publicprofile让你修改公用配置文件中的属性。
·set store让你为当前交互式会话设置策略存储。
以下是使用set命令的一些例子:
·让防火墙关闭所有配置文件:
netsh advfirewall set allprofiles state off
·在所有配置文件中设置默认阻挡入站并允许出站通信:
netsh advfirewall set allprofiles firewallpolicy blockinbound,allowoutbound
·在所有配置文件中打开远程管理:
netsh advfirewall set allprofiles settings remotemanagement enable
·在所有配置文件中记录被断开的连接:
netsh advfirewall set allprofiles logging droppedconnections enable
8、Show命令
这个show命令将让你可以查看所有不同的配置文件中的设置和全局属性。
总结
在这篇文章中,我们了解了如何使用netsh advfirewall命令配置Windows 2008防火墙的一些基本命令。你可以自己来选择是使用图形界面还是使用命令行方式来配置你的防火墙。如果你掌握了命令行方式下的这些命令,命令行界面是一种快速的配置Windows 2008防火墙的方式
浏览量:2
下载量:0
时间:
cisco思科公司是全球领先的网络解决方案供应商,其出产的设备配置起来也跟别的不太一样,下面是Cisco路由器交换机防火墙配置命令详解,希望对你有所帮助。
路由器显示命令
router#show run ;显示配置信息
router#show inte***ce ;显示接口信息
router#show ip route ;显示路由信息
router#show cdp nei ;显示邻居信息
router#reload;重新起动#p#副标题#e#
路由器口令设置
router>enable ;进入特权模式
router#config terminal ;进入全局配置模式
router(config)#hostname ;设置交换机的主机名
router(config)#enable secret xxx ;设置特权加密口令
router(config)#enable password xxb ;设置特权非密口令
router(config)#line console 0 ;进入控制台口
router(config-line)#line vty 0 4 ;进入虚拟终端
router(config-line)#login ;要求口令验证
router(config-line)#password xx ;设置登录口令xx
router(config)#(Ctrl+z) ; 返回特权模式
router#exit ;返回命令
路由器配置
router(config)#int s0/0 ;进入Serail接口
router(config-if)#no shutdown ;激活当前接口
router(config-if)#clock rate 64000 ;设置同步时钟
router(config-if)#ip address ;设置IP地址
router(config-if)#ip address second ;设置第二个IP
router(config-if)#int f0/0.1 ;进入子接口
router(config-subif.1)#ip address ;设置子接口IP
router(config-subif.1)#encapsulation dot1q ;绑定vlan中继协议
router(config)#config-register 0x2142 ;跳过配置文件
router(config)#config-register 0x2102 ;正常使用配置文件
router#reload ;重新引导
路由器文件操作
router#copy running-config startup-config ;保存配置
router#copy running-config tftp ;保存配置到tftp
router#copy startup-config tftp ;开机配置存到tftp
router#copy tftp flash: ;下传文件到flash
router#copy tftp startup-config;下载配置文件
ROM状态
Ctrl+Break ;进入ROM监控状态
rommon>confreg 0x2142 ;跳过配置文件
rommon>confreg 0x2102 ;恢复配置文件
rommon>reset;重新引导
rommon>copy xmodem: flash: ;从console传输文件
rommon>IP_ADDRESS=10.65.1.2 ;设置路由器IP
rommon>IP_SUBNET_MASK=255.255.0.0 ;设置路由器掩码
rommon>TFTP_SERVER=10.65.1.1 ;指定TFTP服务器IP
rommon>TFTP_FILE=c2600.bin ;指定下载的文件
rommon>tftpdnld ;从tftp下载
rommon>dir flash: ;查看闪存内容
rommon>boot ;引导IOS
Cisco路由器交换机防火墙配置命令详解的相关
浏览量:3
下载量:0
时间:
通常系统都有自带防火墙,防火墙的存在让系统的安全有了保障,下面读文网小编要给大家介绍的是如何使用iptables命令为Linux系统配置防火墙,一起来学习下吧。
通过本教程操作,请确认您能使用linux本机。如果您使用的是ssh远程,而又不能直接操作本机,那么建议您慎重,慎重,再慎重!
我们来配置一个filter表的防火墙。
代码如下:
[root@tp ~]# iptables -P INPUT DROP
[root@tp ~]# iptables -P OUTPUT ACCEPT
[root@tp ~]# iptables -P FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃)。应该说这样配置是很安全的。我们要控制流入数据包
而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过。
可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过。
这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加。但如果你只想要有限的几个规则是,如只做WEB服务器。还是推荐三个链都是DROP.
注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了。因为你没有设置任何规则。
怎么办,去本机操作呗!
浏览量:2
下载量:0
时间:
防火墙也是要配置的,那么防火墙的配置命令是怎么样的呢?下面由读文网小编给你做出详细的防火墙配置命令介绍介绍!希望对你有帮助!
1.将防火墙的Console端口用一条防火墙自带的串行电缆连接到笔记本电脑的一个空余串口上,参见图1。
2.打开PIX防火电源,让系统加电初始化,然后开启与防火墙连接的主机。
3.运行笔记本电脑Windows系统中的超级终端(HyperTerminal)程序(通常在"附件"程序组中)。对超级终端的配置与交换机或路由器的配置一样,参见本教程前面有关介绍。
4.当PIX防火墙进入系统后即显示"pixfirewall>"的提示符,这就证明防火墙已启动成功,所进入的是防火墙用户模式。可以进行进一步的配置了。
5.输入命令:enable,进入特权用户模式,此时系统提示为:pixfirewall#。
6.输入命令: configure terminal,进入全局配置模式,对系统进行初始化设置。
(1).首先配置防火墙的网卡参数(以只有1个LAN和1个WAN接口的防火墙配置为例)
Interface ethernet0 auto # 0号网卡系统自动分配为WAN网卡,"auto"选项为系统自适应网卡类型
Interface ethernet1 auto
(2).配置防火墙内、外部网卡的IP地址
IP address inside ip_address netmask# Inside代表内部网卡
IP address outside ip_address netmask# outside代表外部网卡
(3).指定外部网卡的IP地址范围:
global 1 ip_address-ip_address
(4).指定要进行转换的内部地址
nat 1 ip_address netmask
(5).配置某些控制选项:
conduit global_ip port[-port] protocol foreign_ip [netmask]
其中,global_ip:指的是要控制的地址;port:指的是所作用的端口,0代表所有端口;protocol:指的是连接协议,比如:TCP、UDP等;foreign_ip:表示可访问的global_ip外部IP地址;netmask:为可选项,代表要控制的子网掩码。
7.配置保存:wr mem
8.退出当前模式
此命令为exit,可以任何用户模式下执行,执行的方法也相当简单,只输入命令本身即可。它与Quit命令一样。下面三条语句表示了用户从配置模式退到特权模式,再退到普通模式下的操作步骤。
pixfirewall(config)# exit
pixfirewall# exit
pixfirewall>
9.查看当前用户模式下的所有可用命令:show,在相应用户模式下键入这个命令后,即显示出当前所有可用的命令及简单功能描述。
10.查看端口状态:show interface,这个命令需在特权用户模式下执行,执行后即显示出防火墙所有接口配置情况。
11.查看静态地址映射:show static,这个命令也须在特权用户模式下执行,执行后显示防火墙的当前静态地址映射情况。
三、Cisco PIX防火墙的基本配置
1.同样是用一条串行电缆从电脑的COM口连到Cisco PIX 525防火墙的console口;
2.开启所连电脑和防火墙的电源,进入Windows系统自带的"超级终端",通讯参数可按系统默然。进入防火墙初始化配置,在其中主要设置有:Date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡IP地址)、domain(主域)等,完成后也就建立了一个初始化设置了。此时的提示符为:pix255>。
3.输入enable命令,进入Pix 525特权用户模式,默然密码为空。
如果要修改此特权用户模式密码,则可用enable password命令,命令格式为:enable password password [encrypted],这个密码必须大于16位。Encrypted选项是确定所加密码是否需要加密。
4、 定义以太端口:先必须用enable命令进入特权用户模式,然后输入configure terminal(可简称为config t),进入全局配置模式模式。具体配置
pix525>enable
Password:
pix525#config t
pix525 (config)#interface ethernet0 auto
pix525 (config)#interface ethernet1 auto
在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了,但是outside必须命令配置激活。
5.clock
配置时钟,这也非常重要,这主要是为防火墙的日志记录而资金积累的,如果日志记录时间和日期都不准确,也就无法正确分析记录中的信息。这须在全局配置模式下进行。
时钟设置命令格式有两种,主要是日期格式不同,分别为:
clock set hh:mm:ss month day month year和clock set hh:mm:ss day month year
前一种格式为:小时:分钟:秒 月 日 年;而后一种格式为:小时:分钟:秒 日 月 年,主要在日、月份的前后顺序不同。在时间上如果为0,可以为一位,如:21:0:0。
6.指定接口的安全级别
指定接口安全级别的命令为nameif,分别为内、外部网络接口指定一个适当的安全级别。在此要注意,防火墙是用来保护内部网络的,外部网络是通过外部接口对内部网络构成威胁的,所以要从根本上保障内部网络的安全,需要对外部网络接口指定较高的安全级别,而内部网络接口的安全级别稍低,这主要是因为内部网络通信频繁、可信度高。在Cisco PIX系列防火墙中,安全级别的定义是由security()这个参数决定的,数字越小安全级别越高,所以security0是最高的,随后通常是以10的倍数递增,安全级别也相应降低
7.配置以太网接口IP地址
所用命令为:ip address,如要配置防火墙上的内部网接口IP地址为:192.168.1.0 255.255.255.0;外部网接口IP地址为:220.154.20.0 255.255.255.0。
配置方法如下:
pix525(config)#ip address inside 192.168.1.0 255.255.255.0
pix525(config)#ip address outside 220.154.20.0 255.255.255.0
8.access-group
这个命令是把访问控制列表绑定在特定的接口上。须在配置模式下进行配置。命令格式为:access-group acl_ID in interface interface_name,其中的"acl_ID"是指访问控制列表名称,interface_name为网络接口名称。
9.配置访问列表
所用配置命令为:access-list,合格格式比较复杂,如下:
标准规则的创建命令:access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ]
扩展规则的创建命令:access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ]
它是防火墙的主要配置部分,上述格式中带"[]"部分是可选项,listnumber参数是规则号,标准规则号(listnumber1)是1~99之间的整数,而扩展规则号(listnumber2)是100~199之间的整数。它主要是通过访问权限"permit"和"deny"来指定的,网络协议一般有IP|TCP|UDP|ICMP等等。如只允许访问通过防火墙对主机:220.154.20.254进行www访问,则可按以下配置:
pix525(config)#access-list 100 permit 220.154.20.254 eq www
其中的100表示访问规则号,根据当前已配置的规则条数来确定,不能与原来规则的重复,也必须是正整数。
看了“防火墙配置命令是怎么样的”文章的还看了:
浏览量:3
下载量:0
时间:
cisco防火墙配置命令是有很大作用的,那么会用在哪里呢?下面由读文网小编给你做出详细的cisco防火墙配置命令应用介绍!希望对你有帮助!
硬件产品
以路由器,交换机,IOS软件为主,还有宽带有线产品、板卡和模块、内容网络、网络管理、光纤平台、网络安全产品与设备、网络存储产品、视频系统、IP通信系统、远程会议系统[8] 、无线产品、服务器 等。
1986年3月,思科公司向犹他州州立大学提供了世界上第一台路由产品——AGS(先进网关服务器)。
1994年,思科推出第一种面向客户端/服务器式工作组的智能Cisco Catalyst系列交换机,第一批新产品来自于对Crescendo的收购。
思科Nexus数据中心交换机
Catalyst系列交换机:1200、1600、1700、1900、2000、2100、2800、29xx、3000、35xx、37xx、40xx、45xx、5xxx、6xxx Cisco 2960、2960S、 2960G、 3560、 3560G、 3560E、 3560X、 3750、 3750G、 3750E、 3750X、 4900、 4500 and 6500 Series Cisco switches。
Nexus系列数据中心交换机:Nexus 1000V、Nexus 2000、Nexus 3000、Nexus 4000、Nexus 5000、Nexus 6000、Nexus 7000。
路由器:700、800、100x、1600、1700、1800、2500、2600、2800 、3600、3700 、3800、4500、4700、7000、7200、7500、7600、12000、ASR1000、ASR9000、CRS-1、CRS-3。
Cisco 800, Cisco 1800, Cisco 1900, Cisco 2800, Cisco 2900, Cisco 3800, Cisco 3900, Cisco 7200 and Cisco 7600 Series Cisco routers等等。
思科UCS服务器
DWDM:ONS15系列( 如15454)
接入点:340、350、1100、1200、1300
防火墙:
PIX:PIX-501、PIX-506、PIX-515、PIX-525、PIX-535。
ASA:ASA5505、ASA5510、ASA5512、ASA5520、ASA5540、ASA5550、ASA5580-20、ASA5580-40、ASA5585-X-SSP10、ASA5585-X-SSP20、ASA5585-X-SSP40、ASA5585-X-SSP60。
思科模块和网卡:Cisco AIM Module、 WIC WAN Card、VIC Voice Card、 VWIC Voice Card、 HWIC WAN Card、 ISR G2 SM Module、 NM Network Module,、PVDM Voice Module、4500 Switch Module、 6500 Switch Module、 7200 Router Module、 7600 Router Module。
思科光学模块:Cisco X2 module、XFP module、GBIC module、XENPAK module、SFP GLC Module、OADM EWDM module。
思科腾讯通界面
WAN交换机:IGX 8400系列、PBX8600系列、MGX 8850边缘交换机、MGX 8220边缘线器。
AS5xxx 远程访问服务器(RAS)
AS5xxx 系列VoIP网关
无线IP电话:7920。
IP电话:3951、7905、7906、7911、7940、7941、7942G、7960、7961、7970、7971、7985和9971。
UCS服务器: 思科统一计算系统 (Unified Computing Systems) 包括B系列刀片服务器、C系列机架式服务器以及M系列模块化服务器, UCS阵列互联以及阵列扩展器,服务器适配器(I/O,GPU,存储加速器),UCS Invicta设备以及相应的UCS数据中心管理软件(UCS Manager, UCS Director)等。
软件产品
思科腾讯通:是RTX腾讯通的一个插件。它是思科和腾讯公司共同推出的集成原RTX腾讯通的即时通信界面和思科企业级统一通信服务的解决方案。原有RTX腾讯通用户的使用习惯不变。用户通过思科腾讯通可以了解联系人状态,拨打高清视频和音频电话,召开在线会议或视频会议,使用可视语音邮件等等。
思科IOS(Internetwork Operating System):思科网络操作系统,用于其大多数路由器和交换机产品[12] 。
WebEx:网络会议软件[13] 。
NX-OS (Nexus Operating System):数据中心Nexus系列交换机操作系统。
看了“cisco防火墙配置命令应用在哪”文章的还看了:
浏览量:3
下载量:0
时间:
h3c防火墙对我们来说是非常重要的,那么h3c防火墙的常用命令有哪些呢?下面由读文网小编给你做出详细的h3c防火墙常用命名介绍!希望对你有帮助!
原命令前加undo 就可以删除了
undo qos car inbound carl 1 cir 150000 cbs 150000 ebs 150000 green pass red discard
如果提示错误 就是这个不需要写全
你使用?来看到哪里截止
一般可能在 undo qos car inbound carl 1 ? 看一下是不是
浏览量:2
下载量:0
时间:
h3c防火墙配置好不好会影响到我们机器的使用,那么h3c防火墙该怎么样配置呢?下面由读文网小编给你做出详细的h3c防火墙配置介绍!希望对你有帮助!
随着移动互联网趋势加快以及智能终端的快速普及,WLAN应用需求在全球保持高速增长态势。华三通信作为业界领先的一体化移动网络解决方案提供商,自产品推出以来,稳步增长。2008年至今,华三通信连续三年保持中国WLAN市场第一份额,截至2012年1月,WLAN产品(AP)出货量200万台(IDC报告)。
从2000年正式组建WLAN研发团队开始,到2008年业界率先发布万兆无线控制器WX6100,推出首款企业级802.11n产品WA2600,H3C公司始终在不断丰富和完善代表业界最新应用的无线产品解决方案。推出:室内放装、室内分布、室外一体化智能宏基站等多款型802.11n产品、国内首款450M高性能AP、最高可支持8192台AP的无线控制器(插卡)WX6100E系列,并为之配套推出数款具备千兆PoE+接入供电能力的接入交换机以及智能天线、美化天线系列。使得无线WiFi网络建设具备了百兆无线、千兆上行、万兆核心的能力,并且通过有线无线一体化融合,在移动互联网风起云涌的今天,创造了更大的网络价值。
此外,华三通信是国内唯一参与IETF WLAN标准制定的厂商。其中定义无线网管MIB标准的RFC5833和RFC5834两篇RFC(Request For Comments)将进一步完善无线网络标准体系,推动WLAN应用的发展。这是华三通信在WLAN标准领域取得又一进展,充分体现了华三通信参与国际与国内标准制定方面的努力与成绩。
一直以来,华三通信始终遵循“专注品质、智能感知”的产品研发理念,始终保持与全球各类用户进行最充分的技术沟通和合作开展。创新性地提出了数十种无线“云-端互连”应用解决方案,已成功应用于国家大剧院、国家图书馆、国家体育馆、首都国际机场、北辰奥运酒店、上海世博会、广州国际金融中心、浙江省人民医院、杭州地铁、香港大学、清华大学、复旦大学、翠微百货、SOGO百货、海底捞餐饮、美的集团、那曲物流中心、四川电力、中石油、中石化等。华三通信正在与政府、运营商合作共建北京、广州、上海、杭州、济南、长沙、拉萨等超过80个无线城市。
看了“ h3c防火墙如何配置”文章的还看了:
浏览量:2
下载量:0
时间:
ubuntu防火墙该怎么样去配置呢?才能发挥最大功效?下面由读文网小编给你做出详细的ubuntu防火墙配置说明介绍!希望对你有帮助!
(1)查看本机关于IPTABLES的设置情况
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain RH-Firewall-1-INPUT (0 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255
ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
可以看出我在安装linux时,选择了有防火墙,并且开放了22,80,25端口.
如果你在安装linux时没有选择启动防火墙,是这样的
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
什么规则都没有.
(2)清除原有规则.
不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.
[root@tp ~]# iptables -F 清除预设表filter中的所有规则链的规则
[root@tp ~]# iptables -X 清除预设表filter中使用者自定链中的规则
我们在来看一下
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存.
[root@tp ~]# /etc/rc.d/init.d/iptables save
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.
[root@tp ~]# service iptables restart
现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧
(3)设定预设规则
[root@tp ~]# iptables -p INPUT DROP
[root@tp ~]# iptables -p OUTPUT ACCEPT
[root@tp ~]# iptables -p FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包
而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.
可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.
这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.
注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.
怎么办,去本机操作呗!
(4)添加规则.
首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链
为了能采用远程SSH登陆,我们要开启22端口.
[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT (注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了.
其他的端口也一样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链:
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ,其他同理.)
如果做了WEB服务器,开启80端口.
[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
如果做了邮件服务器,开启25,110端口.
[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
如果做了FTP服务器,开启21端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT
如果做了DNS服务器,开启53端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT
如果你还做了其他的服务器,需要开启哪个端口,照写就行了.
上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP
允许icmp包通过,也就是允许ping,
[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)
[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)
允许loopback!(不然会导致DNS无法正常关闭等问题)
IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)
下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.
减少不安全的端口连接
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP
[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP
有些些特洛伊木马会扫描端口31337到31340(即黑客语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会
还有其他端口也一样,像:31335、27444、27665、20034 NetBus、9704、137-139(smb),2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.
当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加
允许SSH登陆一样.照着写就行了.
下面写一下更加细致的规则,就是限制到某台机器
如:我们只允许192.168.0.3的机器进行SSH连接
[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
如果要允许,或限制一段IP地址可用 192.168.0.0/24 表示192.168.0.1-255端的所有IP.
24表示子网掩码数.但要记得把 /etc/sysconfig/iptables 里的这一行删了.
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 因为它表示所有地址都可以登陆.
或采用命令方式:
[root@tp ~]# iptables -D INPUT -p tcp --dport 22 -j ACCEPT
然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig/iptables文件里.
[root@tp ~]# /etc/rc.d/init.d/iptables save
这样写 !192.168.0.3 表示除了192.168.0.3的ip地址
其他的规则连接也一样这么设置.
在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控.
开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)
[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
丢弃坏的TCP包
[root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP
处理IP碎片数量,防止攻击,允许每秒100个
[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.
[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
我在前面只所以允许ICMP包通过,就是因为我在这里有限制.
二,配置一个NAT表放火墙
1,查看本机关于NAT的设置情况
[root@tp rc.d]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章
当然你如果还没有配置NAT的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的
如果你想清除,命令是
[root@tp ~]# iptables -F -t nat
[root@tp ~]# iptables -X -t nat
[root@tp ~]# iptables -Z -t nat
2,添加规则
添加基本的NAT地址转换,(关于如何配置NAT可以看我的另一篇文章),
添加规则,我们只添加DROP链.因为默认链全是ACCEPT.
防止外网用内网IP欺骗
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要)
例:
禁止与211.101.46.253的所有连接
[root@tp ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP
禁用FTP(21)端口
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP
这样写范围太大了,我们可以更精确的定义.
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP
这样只禁用211.101.46.253地址的FTP连接,其他连接还可以.如web(80端口)连接.
按照我写的,你只要找到QQ,MSN等其他软件的IP地址,和端口,以及基于什么协议,只要照着写就行了.
最后:
drop非法连接
[root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables-A FORWARD -m state --state INVALID -j DROP
允许所有已经建立的和相关的连接
[root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# /etc/rc.d/init.d/iptables save
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.
[root@tp ~]# service iptables restart
看了“ubuntu防火墙如何配置好 ”文章的还看了:
浏览量:6
下载量:0
时间:
ftp对于我们电脑来说是很重要的!那么win7防火墙如何配置ftp服务器呢?下面由读文网小编给你做出详细的win7防火墙配置ftp方法介绍!希望对你有帮助!
1、打开 "控制面板",选择"程序" -> "打开或关闭Windows资源",在弹出的窗体里找到 “Internet信息服务”,展开后选择“Ftp服务器",然后点击"确定",此时Windows开始更新功能资源列表。
2、更新完成后,进入"控制面板" -> "系统和安全" -> "管理工具" ,双击 "Internet 信息服务(IIS)管理器"。在弹出的窗体中右键点击你的计算机名称,选择添加FTP站点。
在弹出的对话框中输入Ftp站点的名称(例如"myFtp"),物理路径(例如"d:myFtp"),点击 "下一步".在"IP地址"框中输入本机的IP地址(例如本机IP地址为192.168.1.100)
然后点"下一步",(注:此步操作时要根据实际情况,慎重配置),由于本人局域网中的安全问题没有过于敏感的信息,因此在身份验证中选中"匿名",并允许所有用户访问,执行读和写的操作权限。最后点击完成。
3、配置防火墙,以便其它用户通过局域网中其它计算机访问本计算机中的Ftp资源。进入"控制面板" -> "系统和安全" - > "允许程序通过防火墙" -> 钩上FTP及后面两个框选上。
浏览量:2
下载量:0
时间:
许多人在买电脑的时候不知道怎么看配置,也不可能安装软件再看电脑配置。这里说一下用DOS命令来看一下电脑的配置,那么dos命令怎么观察电脑配置信息?下面读文网小编就为大家带来了dos命令观察电脑配置信息的方法。
在我的电脑按鼠标右键点属性可以查简单配置信息不是很详尽
上通过一般简单方面来获得的,现在有还有一种通过命令来得到的,可以看系统,内存 ,显存,主板等详细信息,
点击电脑左下角点击开始按钮找到运行
在运行界面里输入cmd命令就是进入DOS虚拟终端
在dos下的虚拟终端上输入命令dxdiag 然后就按Enter就会显示出所有系统详细配置信息。如主板,内存,处理器,生产厂商,显存,IO等等
到这里就查出所有你需要电脑详细信息了。
看过“dos命令怎么观察电脑配置信息”
浏览量:10
下载量:0
时间:
新入手的Win7电脑不知道配置怎么样?除了通过商家介绍的商品信息外,其实用户也可以利用Win7系统自带的DOS命令来查看电脑配置信息,下面跟着读文网小编来一起了解下怎么运用dos命令观察电脑配置信息吧。
1、按下桌面上“windows”图标,接着选择“运行”选项,如下图所示:
2、打开运行窗口后,输入“cmd”命令,按下“确定”按钮,如下图所示:
3、进入管理员命令提示符窗口,直接输入“systeminfo”命令,按下回车键执行,如下图所示:
4、等待一会即可看到计算机系统配置的详细信息,下拉还能查看更多项目,如下图所示:
通过上述简易操作就能观察电脑配置信息,无需下载第三方软件即可实现,想要查看自己电脑配置信息的朋友,赶紧通过以上几步简便操作进行查看吧!
看过“怎么运用dos命令观察电脑配置信息”
浏览量:3
下载量:0
时间:
win防火墙如果想要配置下!你会不会呢?下面由读文网小编给你做出详细的win防火墙配置方法介绍!希望对你有帮助!
在【控制面板】窗口中双击【windows 防火墙】图标,打开【windows 防火墙】对话框。
选择【例外】选项卡,在其中即可阻止除了选定程序和服务之外的传入网络连接。
在windows防火墙中,可以重新设置指定的服务和程序的属性,以逃避攻击。在【例外】选项卡下【程序和服务】列表中勾选【远程桌面】复选框,单击【编辑】按钮,打开【编辑服务】对话框,在其中即可看到【远程桌面】服务的当前属性。
单击【更改范围】按钮,打开【更改范围】对话框。在其中选择【仅我的网络】单选按钮,这样同一个子网上的计算机可以与此计算机上的程序连接,但拒绝远程网络的通信
利用windows系统自带防火墙的【安全日记记录】功能,可以创建用于观察计算机成功的数据连接和被丢弃的数据包。以便分析计算机安全状况。在【windows 防火墙】对话框中选择【高级】选项卡,在其中即可看到【安全日志记录】功能
在“安全日志记录”栏目中单击【设置】按钮,打开【日志设置】对话框。勾选【记录被丢弃的数据包】复选框,单击【另存为】按钮重新设置日志文件的保存位置和名称,最后设置日志文件的大小。
网络上的计算机通过internet控制信息协议可能共享错误的状态信息,所以为了保证计算机的一些错误信息不会对外泄露,可以在【高级】选项卡下的【icmp设置】对话框,在其中勾选相应的复选框即可。
看了“ win防火墙如何配置”文章的还看了:
浏览量:3
下载量:0
时间:
存储器(Memory)是计算机系统中的记忆设备,用来存放程序和数据。那么,知道电脑的硬件配置怎么用命令查看吗?下面是读文网小编带来怎样用命令查看电脑硬件配置的内容,欢迎阅读!
打开电脑左下角【开始菜单】,在列表中找到【运行】选项。
点击打开【运行】栏目,在文本框里输入【dxdiag】命令,然后点击确定。
此时会弹出一个DirectX诊断工具对话框,提示我们是否希望检查,点击确定即可
进入诊断工具,我们可以清楚的看到自己电脑的各项配置参数,比如内存,显卡,系统等等信息。
点击上方菜单栏中的显示还可以查看各个硬件的详细信息,以及驱动安装情况。
点击上方的【输入】选项,还可以查看当前的USB设备详细信息,以及使用情况。
点击右下方的【保存信息】还可以将我们的配置信息,保存为文本的格式。
浏览量:2
下载量:0
时间:
硬件的功能是输入并存储程序和数据,以及执行程序把数据加工成可以利用的形式。那么,知道怎么查看硬件配置吗?下面是读文网小编带来查看硬件配置的命令方法的内容,欢迎阅读!
点击“开始徽标”--“运行”,在窗口中输入“dxdiag”,回车确定
在打开的“DirectX诊断工具”窗口中,可以看到顶端有“系统”等选项,在这里可以看到系统基本信息
同样的,切换到“显示”选项卡可以看到显卡信息
点击“声音”选项卡,则可以看到声卡的基本信息
点击右下角“保存信息”可以保存为TXT文件
浏览量:2
下载量:0
时间:
防火墙(Firewall),也称防护墙,是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网(US5606668(A)1993-12-15)。下面是读文网小编带来如何配置硬件防火墙的内容,欢迎阅读!
1、 打开ChinaDDOS DIY硬防的内核下载一个适合的版本,这里我下载的是V3.1BETA01的最新版本。
2、 将下载的RAR文件解压缩,得到ISO光盘镜像文件。
3、 将镜像文件刻录至光盘。
安装防火墙内核
将内核安装光盘准备好后,确认硬盘或电子盘连接到了IDE1的MASTER位置后,在防火墙平台上连接好光驱,接通防火墙平台电源,把上一步准备好的内核安装光盘放入光驱。启动防火墙平台。
1、 屏幕显示如下图,等待内核安装光盘引导一会后(屏幕上快速闪过整屏的英文),将停留在下图的位置:
2、 按回车键继续安装, 屏幕显示如左图,出现三个选择项目:
① 安装防火墙内核,
② 开始一个命令行,
③ 重新启动系统。
3、 这里我们选择1并回车。回车后出现如右图。选择一个内核安装源文件的位置。上面列表中红色字部分标记出了我的光驱安装位置hdc,于是我键入hdc后回车。
4、 屏幕出现绿色done字样,表示安装光盘识别成功。又提示安装的目标驱动器。上面列表中紫色字部分标记出了系统自动识别的目标安装位置had,这里如果系统没有自动识别到硬盘或电子盘,请检查电子盘或硬盘是不是正确安装到了IDE1的MASTER位置。我键入had后回车。
5、 键入had后,屏幕提示"正在将防火墙内核从hdc安装到had……",这里需要等待2分钟左右。安装工作正在进行。
6、 直到屏幕上出现"Install completed!"字样,表示安装已结束。这时按回车键返回。
7、 重新回到选择菜单后,选择3重新启动防火墙平台,记得将光盘从光驱中取出。这样,防火墙的安装就完成了。
浏览量:3
下载量:0
时间:
在Windows的控制窗口中(Windows 95/98/ME的command解释器、Windows NT/2000的cmd解释器),运行ping可以看到这个命令的说明, 下面是读文网小编带来怎样用命令查看电脑硬件配置信息的内容,欢迎阅读!
首先通过开始-附件-命令提示符,打开命令提示符窗口或通过【Windows+R】快捷键打开运行窗口,输入“Cmd”命令打开命令提示符窗口。
在命令提示符窗口中输入“systeminfo”命令,按回车键,这时窗口会显示加载一些电脑信息、网络信息、补丁等内容,稍等加载信息。
大概30秒以内,窗口中会加载出一些关于电脑的信息,包括主机名称、OS名称、网卡信息等信息。
浏览量:3
下载量:0
时间: