为您找到与防火墙部署模式优缺点相关的共200个结果:
有时候想要部署一下web的应用防火墙!需要我们怎么样去部署呢?下面由读文网小编给你做出详细的部署web应用防火墙方法介绍!希望对你有帮助!
可管理性 你需要执行的第一个对比测试是可管理性。如果Web应用防火墙难以管理,并不提供你需要的政策灵活性,稍后你将为此付出代价。虽然当你在谈论定制应用时,即插即用设备的要求可能有点太过分,但初始部署不应太具挑战性。
你会想知道能否通过努力让Web应用防火墙来保护那些不需要不断监管和微调的应用程序。 可读警报和报告是Web应用防火墙应该具备的必要功能,这些功能能够为你提供关于Web应用防火墙的精准信息,并在出现问题时,提供概述性的威胁描述。评估的互补方面是Web应用防火墙的可用性,这包括提供清晰威胁信息的GUI,能够向下挖取和审查警报的详细信息。
理想情况下,你还能够生成与配置和定制化报告,并能轻松地调整安全策略。 当你在处理分布在世界各地的Web应用基础设施时,中央管理也很有帮助。你想要管理不同的WAF设备,而不需要分别连接到每个设备,这同样也使企业能够横跨整个企业范围建立、维护和执行统一的安全政策。
性能 当涉及Web应用防火墙时,性能是一个关键因素。Web应用防火墙的部署应该不能影响现有基础设施的性能,包括应用程序和网络设备等。这意味着即使Web应用防火墙作为应用程序的安全代理,该应用程序应该继续能够传输数据,而不会遇到请求积压或者重负载的情况,该应用程序应该像没有Web应用防火墙一样运行。
从最终用户的角度来看,Web应用防火墙应该是完全透明的。用户不应该遇到任何明显的延迟或者服务阻碍。 为了避免性能降级,你要确保Web应用防火墙的性能符合或者超过应用程序基础设施的其他因素。
最小误报 误报是一个很重要的方面。你不会希望看到Web应用防火墙对于每个传入的请求都发出警报。这就像“狼来了”一样的道理,当恶意请求真正来到时,你可能会因为误报大幅增加而忽视这个恶意请求。如果你是在阻止模式,这个问题将更加严重。你想做的最后一件事情将是阻止合法流量,这最终将破坏部署在线应用程序的意义。请确保你正在评估的Web应用防火墙具有最小的误报率,只有为数不多的几个。
看了“怎么样部署web应用防火墙 ”文章的还看了:
浏览量:6
下载量:0
时间:
我的防火墙功能还不是很完善!想要部署一下!步骤怎么样呢?下面由读文网小编给你做出详细的部署防火墙的步骤介绍!希望对你有帮助!
步骤一:安装程序时
许多程序在安装时都要求关闭防火墙(如WPS Office 2003)。有些程序虽然并未直接明示,但若不及时关闭,就有可能造成安装失败,比如弹出“读取错误”、“安装*.exe出错”等信息,或者干脆死机,或者安装上去之后不能正常使用。笔者在安装金山影霸、Office XP等程序时已经屡经验证。
步骤二:整理碎片时
在Windows XP中整理磁盘碎片时,屏幕保护程序已不再像在Windows 98那样干扰碎片整理的正常进行(每次都得重新开始),但病毒防火墙却依旧起着干扰作用,尤其是金山毒霸防火墙,会使碎片整理根本无法进行,在整理列表中会不断出现重复的磁盘图标,并且用不了多久就弹出提示:磁盘碎片无法整理,某某错误。这时候试着关掉防火墙,再看看是不是已经正常了。
步骤三:系统还原时
Windows XP中的系统还原几乎可以说是一剂万能后悔药,但可能会遇到下面的情况:在创建新的系统还原点时系统提示:无法完成新还原点的创建,请重新启动计算机,再次运行系统还原。可是即使重新启动之后仍旧无法完成新还原点的创建。其实罪魁祸首还是病毒防火墙,只要关掉它,就可恢复正常了。病毒防火墙对还原系统到过去某一时间的过程也有影响,表现为点击“确定”按钮后系统没有反应,最可怕的是即使勉强完成了系统还原,有的程序也无法正常使用(如金山影霸)。
看了“ 部署防火墙的步骤是什么”文章的还看了:
浏览量:4
下载量:0
时间:
sonic防火墙透明模式你会不会使用呢?它的作用很大!下面由读文网小编给你做出详细的sonic防火墙透明模式使用方法介绍!希望对你有帮助!
透明模式首要的特点就是对用户是透明的即用户意识不到防火墙的存在。要想实现透明模式,防火墙必须在没有IP地址的情况下工作,不需要对其设置IP地址,用户也不知道防火墙的IP地址。
透明模式的防火墙就好象是一台网桥(非透明的防火墙好象一台路由器),网络设备(包括主机、路由器、工作站等)和所有计算机的设置(包括IP地址和网关)无须改变,同时解析所有通过它的数据包,既增加了网络的安全性,又降低了用户管理的复杂程度。
而与透明模式在称呼上相似的透明代理,和传统代理一样,可以比包过滤更深层次地检查数据信息,比如FTP包的port命令等。同时它也是一个非常快的代理,从物理上分离了连接,这可以提供更复杂的协议需要,例如带动态端口分配的H.323,或者一个带有不同命令端口和数据端口的连接。这样的通信是包过滤所无法完成的
源地址路由支持,透明桥接
地址路由指路由器为数据包选择路由时不根据IP包的目的地址(通常情况根据目的地址),而根据IP包的源地址选路。源地址路由是策略路由的一种。一般路由器应当支持。透明桥接是指路由器端口以透明网桥的方式工作,执行网桥的功能。不对数据包作路由检查转发,只作MAC帧桥接。
浏览量:2
下载量:0
时间:
isa防火墙优缺点怎么样呢?小编带你去看看!下面由读文网小编给你做出详细的isa防火墙优缺点介绍!希望对你有帮助!
可以在ISA上对IP地址和域用户进行限制。要用IP限制,首先这些台式机的IP地址必须是固定的,限制相应的IP地址的所有通讯。而手再建一条允许OA的策略放在最上面就可以了。
浏览量:2
下载量:0
时间:
eset的交互模式你会设置吗?其实也不难,下面由读文网小编给你做出详细的eset防火墙设置交互模式方法介绍!希望对你有帮助!
打开NOD32界面,设置-高级设置-个人防火墙,里面的“过滤模式”就可以改了
浏览量:2
下载量:0
时间:
当我把我的eset防火墙设置成了自动模式,这样还安全吗?下面由读文网小编给你做出详细的eset防火墙设置自动模式是否安全介介绍!希望对你有帮助!
他的反病毒查杀率算中等~误报确实不少,最高启发扫描下经常是一个卸载程序都要报警。他的防火墙是有弹窗的~检查一下你的防火墙的模式设置
是否是在“训练模式”以上且不是“全部阻止”,模式,如果你发现没有弹窗的时候是在训练模式~那你最好去防火墙规则里面把所有应用程序规则删掉,然后选择安全模式或者用户策略模式
重新生成应用程序规则。默认设置应该是反病毒+低启发+防火墙安全模式+d+安全模式如果你说你的电脑是干净的话,那就是反病毒+低启发+防火墙安全模式+d+干净pc模式如果之前安装过一些杀毒软件,电脑没有中病毒的话
反病毒+低启发+防火墙安全模式+d+干净pc模式这种默认设置下,安全性较高,主要是弹窗会大大减少,也就是易用性非常高。如果没有的话~最好还是d+开安全模式或更高,防火墙也开安全模式或更高
看了“eset防火墙设置自动模式安不安全 ”文章的还看了:
浏览量:2
下载量:0
时间:
cisco防火墙透明模式是怎么样的呢?小编来告诉你!下面由读文网小编给你做出详细的cisco防火墙透明模式介绍!希望对你有帮助!
允许80.25.110.8000.21 号端口, 然后再拒绝所有到所有呗
映射服务器 就做静态NAT呗,吧你服务器的80端口,映射到 路由器接口(直接连ISP的接口)的80端口,OK!
浏览量:3
下载量:0
时间:
checkpoint与juniper防火墙优缺点是怎么样的呢?各有所胜,下面由读文网小编给你做出详细的checkpoint与juniper防火墙优缺点介绍!希望对你有帮助!
先说明一点,Netscreen是juniper很久很久以前购买的,当时的Netscreen是以ACSI性能著称的。但那批人都离开了,Fortinet就是那批人后来搞的。现在Netscreen 不过是Juniper防火墙中的一个系列,而且要逐渐淘汰,归并到JunOS中去。
从功能上说,checkpoint绝对强,从检测种类、集中管理等方面都比juniper的强。
从性能上说,juniper绝对强,硬件防火墙+路由交换体系,可谓傲视群雄。
从管理性上说,checkpoint强。
从价格上说,juniper便宜。
所以,如果你需要的防火墙强调功能和管理性,而且不缺钱,买Checkpoint一定不后悔;相反如果你需要的防火墙强调性能和性价比,那就买juniper。
防火墙战团中,一线国际品牌就买Checkpoint和juniper,二线国际品牌就Sonicwall、Fortinet;一线国内品牌就买华为,二线国内品牌就别买了。
看了“checkpoint与juniper防火墙优缺点是什么”文章的还看了:
浏览量:3
下载量:0
时间:
防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。下面由读文网小编给你做出详细的防火墙的优缺点及种类介绍!希望对你有帮助!
代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels), 也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术, 其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的" 链接", 由两个终止代理服务器上的" 链接"来实现,外部计算机的网络链路只能到达代理服务器, 从而起到了隔离防火墙内外计算机系统的作用。此外,代理服务也对过往的数据包进行分析、注册登记, 形成报告,同时当发现被攻击迹象时会向网络管理员发出警报,并保留攻击痕迹。
防火墙能有效地防止外来的入侵,它在网络系统中的作用是:
控制进出网络的信息流向和信息包;
提供使用和流量的日志和审计;
隐藏内部IP地址及网络结构的细节;
另外防火墙引起或IE浏览器出现故障,也可导致可以正常连接,但不能打开网页。
看过“防火墙的优缺点及种类 ”人还看了:
浏览量:2
下载量:0
时间:
配置困难。因为包过滤防火墙很复杂,人们经常会忽略建立一些必要的规则,或者错误配置了已有的规则,在防火墙上留下漏洞。然而,在市场上,许多新版本的防火墙对这个缺点正在作改进,如开发者实现了基于图形化用户界面(GUI)的配置和更直接的规则定义。
为特定服务开放的端口存在着危险,可能会被用于其他传输。例如,Web服务器默认端口为80,而计算机上又安装了RealPlayer,那么它会搜寻可以允许连接到RealAudio服务器的端口,而不管这个端口是否被其他协议所使用,RealPlayer正好是使用80端口而搜寻的。就这样无意中,RealPlayer就利用了Web服务器的端口。
可能还有其他方法绕过防火墙进入网络,例如拨入连接。但这个并不是防火墙自身的缺点,而是不应该在网络安全上单纯依赖防火墙的原因。
浏览量:2
下载量:0
时间:
目前防火墙的过滤模式有很多种,但是很多网友却不清楚详细的具体内容。所以今天读文网小编要跟大家介绍下防火墙的过滤模式有哪些,下面就是读文网小编为大家整理到的资料,请大家认真看看!
HTTP协议是应用最为广泛的协议,相对来说针对HTTP的内容过滤模式也最多。
2.1 URL过滤
URL过滤是HTTP过滤的基本模式,URL过滤可包括URL白名单、黑名单、关键字等,还可以进一步与其他服务器配合进行URL过滤,如CheckPoint的UFP协议,WebSense提供URL的数据库和分类。
2.2 HTTP数据类型过滤
HTTP数据类型可根据URL定义的文件类型;
上传或下载的文件类型;
HTTP头字段Content-Type定义的类型;
HTML语言定义的类型,如IMG、APPLET、SCRIPT等进行过滤。
2.3 HTTP头(header)字段过滤
HTTP定义了很多头字段用于描述HTTP信息,可以针对各种类型的头字段进行过滤。
2.4 HTTP命令类型过滤
HTTP命令包括GET、PUT、POST等,通过命令过滤可限制用户使用HTTP某些功能。
2.5 HTTP内容关键字过滤
对所有HTTP协议任何数据中的关键字进行过滤
浏览量:3
下载量:0
时间:
定义所需要的防御能力
防火墙的监视、冗余度以及控制水平是需要进行定义的。通过企业系统策略的设计,IT人员要确定企业可接受的风险水平(偏执到何种程度)。接下来IT人员需要列出一个必须监测什么传输、必须允许什么传输通行,以及应当拒绝什么传输的清单。换句话说,IT人员开始时先列出总体目标,然后把需求分析与风险评估结合在一起,挑出与风险始终对立的需求,加入到计划完成的工作清单中。
关注财务问题
很多专家建议,企业的IT人员只能以模糊的表达方式论述这个问题。但是,试图以购买或实施解决方案的费用多少来量化提出的解决方案十分重要。例如,一个完整的防火墙的高端产品可能价值10万美元,而低端产品可能是免费的;从头建立一个高端防火墙可能需要几个月。另外,系统管理开销也是需要考虑的问题。建立自行开发的防火墙固然很好,但重要的是,使建立的防火墙不需要高额的维护和更新费用。
体现企业的系统策略
IT人员需要明白,安装后的防火墙是为了明确地拒绝——除对于连接到网络至关重要的服务之外的所有服务。或者,安装就绪的防火墙是为以非威胁方式对“鱼贯而入”的访问提供一种计量和审计的方法。在这些选择中存在着某种程度的偏执狂,防火墙的最终功能可能将是行政上的结果,而非工程上的决策。
网络设计
出于实用目的,企业目前关心的是路由器与自身内部网络之间存在的静态传输流路由服务。因此,基于这一事实,在技术上还需要做出几项决策:传输流路由服务可以通过诸如路由器中的过滤规则在IP层实现,或通过代理网关和服务在应用层实现。
IT人员需要做出的决定是,是否将暴露的简易机放置在外部网络上为Telnet、Ftp、News等运行代理服务,或是否设置像过滤器这样的屏蔽路由器,允许与一台或多台内部计算机通信。这两种方式都存在着优缺点,代理机可以提供更高水平的审计和潜在的安全性,但代价是配置费用的增加,以及提供的服务水平的降低。
浏览量:2
下载量:0
时间:
在管理规模较大的网络环境时,网络安全往往是花费精力最多的一环。就拿配置Windows XP SP2的防火墙来说,如果让网管为网内计算机逐一进行配置的话,工作量会非常大,而且在细节配置上也容易出错。那么,如何才能提高规模化环境内的防火墙配置效率呢?
Windows防火墙是Windows XP SP2中一个极为重要的安全设计,它可以有效地协助我们完成计算机的安全管理。今天,小编将为大家介绍如何使用组策略(Group Policy)在机房中集中部署Windows防火墙,提高为网内计算机配置防火墙的效率。
完成组策略的刷新后,先来看看本机中的Windows防火墙是否响应了策略。由于前面已经定义了“允许本地程序例外”项的状态为“已禁用”,根据这个定义,Windows防火墙的“例外”设置部分应变为灰色。现在,让我们打开本机中的Windows防火墙,可以看到被禁用的部分已经呈灰色,这说明本机已响应组策略设置了。
接着,再来看看DC是否响应了组策略。在DC服务器的“运行”栏中输入“dsa.msc”命令并回车,弹出“Active Directory”窗口后,请进入“shyzhong.com”(请根据实际情况选择)的属性窗口。在“组策略”选项卡部分可以看到保存的firewall已经自动出现在列表中了。如果没有出现可以手工添加
到了这一步,可以看出整个设置是成功的。而此后,域中任何一台使用Windows XP SP2的计算机只要登录到域,那么该计算机就会自动下载Windows防火墙的设置并开始应用。至此,整个机房的Windows 防火墙配置操作就成功完成了。
利用组策略集中部署SP2防火墙的操作并不复杂,但是它的效果却是一劳永逸的。大家会发现组策略对于集中管理网络安全来说实在是一个不可多得的好助手。
浏览量:2
下载量:0
时间:
1、计算机没有大脑。所以,当ISA的行为和你的要求不一致时,请检查你的配置而不要埋怨ISA。
2、只允许你想要允许的客户、源地址、目的地和协议。仔细的检查你的每一条规则,看规则的元素是否和你所需要的一致。
3、拒绝的规则一定要放在允许的规则前面。
4、当需要使用拒绝时,显式拒绝是首要考虑的方式。
5、在不影响防火墙策略执行效果的情况下,请将匹配度更高的规则放在前面。
6、在不影响防火墙策略执行效果的情况下,请将针对所有用户的规则放在前面。
7、尽量简化你的规则,执行一条规则的效率永远比执行两条规则的效率高。
8、永远不要在商业网络中使用Allow 4 ALL规则(Allow all users use all protocols from all networks to all networks),这样只是让你的ISA形同虚设。
9、如果可以通过配置系统策略来实现,就没有必要再建立自定义规则。
10、ISA的每条访问规则都是独立的,执行每条访问规则时不会受到其他访问规则的影响。
11、永远也不要允许任何网络访问ISA本机的所有协议。内部网络也是不可信的。
12、SNat客户不能提交身份验证信息。所以,当你使用了身份验证时,请配置客户为Web代理客户或防火墙客户。
13、无论作为访问规则中的目的还是源,最好使用IP地址。
14、如果你一定要在访问规则中使用域名集或URL集,最好将客户配置为Web代理客户。
15、请不要忘了,防火墙策略的最后还有一条DENY 4 ALL。
16、最后,请记住,防火墙策略的测试是必需的。
浏览量:2
下载量:0
时间:
1、防火墙能强化安全策略
因为Internet上每天都有上百万人在那里收集信息、交换信息,不可避免地会出现个别品德不良的人,或违反规则的人,防火墙是为了防止不良现象发生的"交通警察",它执行站点的安全策略,仅仅容许"认可的"和符合规则的请求通过。
2、防火墙能有效地记录Internet上的活动
因为所有进出信息都必须通过防火墙,所以防火墙非常适用收集关于系统和网络使用和误用的信息。作为访问的唯一点,防火墙能在被保护的网络和外部网络之间进行记录。
3、防火墙限制暴露用户点
防火墙能够用来隔开网络中一个网段与另一个网段。这样,能够防止影响一个网段的问题通过整个网络传播。
4、防火墙是一个安全策略的检查站
所有进出的信息都必须通过防火墙,防火墙便成为安全问题的检查点,使可疑的访问被拒绝于门外。
浏览量:2
下载量:0
时间:
防火墙部署原则有哪些?今天读文网小编要跟大家介绍下防火墙部署原则有哪些,下面就是读文网小编为大家整理到的资料,请大家认真看看!
选择防火墙的标准有很多,但最重要的是以下几条:
2.1.总拥有成本防火墙产品作为网络系统的安全屏障,其总拥有成本(TCO)不应该超过受保护网络系统可能遭受最大损失的成本。以一个非关键部门的网络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则该部门所配备防火墙的总成本也不应该超过10万元。当然,对于关键部门来说,其所造成的负面影响和连带损失也应考虑在内。如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过网络系统的建设总成本,关键部门则应另当别论。
2.2.防火墙本身是安全的
作为信息系统安全产品,防火墙本身也应该保证安全,不给外部侵入者以可乘之机。如果像马其顿防线一样,正面虽然牢不可破,但进攻者能够轻易地绕过防线进入系统内部,网络系统也就没有任何安全性可言了。
通常,防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面测试才能确定。所以对用户来说,保守的方法是选择一个通过多家权威认证机构测试的产品。其二是使用不当。一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。
2.3.管理与培训
管理和培训是评价一个防火墙好坏的重要方面。我们已经谈到,在计算防火墙的成本时,不能只简单地计算购置成本,还必须考虑其总拥有成本。人员的培训和日常维护费用通常会在TCO中占据较大的比例。一家优秀秀的安全产品供应商必须为其用户提供良好的培训和售后服务。
2.4.可扩充性
在网络系统建设的初期,由于内部信息系统的规模较小,遭受攻击造成的损失也较小,因此没有必要购置过于复杂和昂贵的防火墙产品。但随着网络的扩容和网络应用的增加,网络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。如果早期购置的防火墙没有可扩充性,或扩充成本极高,这便是对投资的浪费。好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求的提高,用户仍然有进一步增加选件的余地。这样不仅能够保护用户的投资,对提供防火墙产品的厂商来说,也扩大了产品覆盖面。
2.5.防火墙的安全性
防火墙产品最难评估的方面是防火墙的安全性能,即防火墙是否能够有效地阻挡外部入侵。这一点同防火墙自身的安全性一样,普通用户通常无法判断。即使安装好了防火墙,如果没有实际的外部入侵,也无从得知产品性能的优劣。但在实际应用中检测安全产品的性能是极为危险的,所以用户在选择防火墙产品时,应该尽量选择占市场份额较大同时又通过了权威认证机构认证测试的产品。
浏览量:2
下载量:0
时间:
在管理规模较大的网络环境时,网络安全往往是花费精力最多的一环。就拿配置Windows XP SP2的防火墙来说,如果让网管为网内计算机逐一进行配置的话,工作量会非常大,而且在细节配置上也容易出错。那么,如何才能提高规模化环境内的防火墙配置效率呢?
Windows防火墙是Windows XP SP2中一个极为重要的安全设计,它可以有效地协助我们完成计算机的安全管理。今天,笔者将为大家介绍如何使用组策略(Group Policy)在机房中集中部署Windows防火墙,提高为网内计算机配置防火墙的效率。
为什么要集中部署
首先,我们要了解组策略对Windows防火墙的作用是什么。组策略可以决定本地管理员级别的用户是否可以对Windows防火墙进行各种设置,可以决定Windows防火墙的哪些功能被“禁用”或“允许”……
显然,上述几个功能正好能够配合域功能进行机房的安全管理,这就为组策略能够批量化部署机房的Windows防火墙打下了基础。此时,所有客户机的 Windows防火墙的应用权限将统一归域管理员管理,本地管理员对Windows防火墙的任何设置要在域管理员的“批准”下方可进行。此外,域管理员还可使用组策略来完成所有客户机的Windows防火墙配置,而不必逐台进行了。
用组策略部署防火墙
在明白了集中部署的好处后,现在让我们一步步实现。请大家先了解一下本文的测试环境“Windows Server 2003域服务器+Windows XP SP2客户机”。本文将介绍如何在Windows Server 2003域服务器管理的机房中的客户机(Windows XP SP2)上,对所有安装了Windows XP SP2的客户机进行Windows防火墙的集中部署。
提示:为什么不是在域服务器中进行组策略的新建与配置,而是在客户机上运行?其实这很容易理解,Windows Server 2003操作系统(中文版)中还没有Windows防火墙,所以无法进行配置。但是,这一点将会随着Windows Server 2003 SP1中文正式版的推出而得到彻底解决。
OK!现在让我们开始实际操作。首先,在Windows XP SP2客户机的“运行”栏中输入“MMC”命令并回车,在打开的“控制台”窗口中,依次单击“文件→添加/删除管理单元”,添加“组策略对象编辑器”。
在弹出的“欢迎使用组策略向导”界面中,点击“浏览”按钮并在“浏览组策略对象”窗口中的空白处单击鼠标右键,在弹出的菜单中选择“新建”,并命名为“firewall”即可返回控制台窗口。
提示:客户机的当前登录账户必须具有管理员权限,方可新建GPO(组策略对象)。因此,临时解决这个问题的方法就是在DC中将客户机的账户添加到Administrators组,接着客户机临时使用管理员账户登录系统并进行GPO配置即可
返回控制台窗口后,在“firewall”策略集中可以看到“域配置文件”和“标准配置文件”两个策略子集(图1)。其中,域配置文件主要在包含域DC的网络中应用,也就是主机连接到企业网络时使用;标准配置文件则是用于在非域网络中应用。
图1
显然,我们需要在域配置文件中进行策略的设置。下面简单地说说如何对其中的子策略进行安全配置:
保护所有网络连接:已启用;这样才能强制要求客户机启用Windows防火墙,不受客户机本地策略的影响。
不允许例外:未配置;这个可以让客户机自行安排。
定义程序例外:已启用;即按照程序文件名定义例外通信,这样可以集中配置机房中允许运行的网络程序等。
允许本地程序例外:已禁用;如果禁用则Windows防火墙的“例外”设置部分将呈灰色。
允许远程管理例外:已禁用;如果不允许客户机进行远程管理,那么请禁用。
允许文件和打印机共享例外:已禁用;如果某些客户机有共享资源需要应用,那么应该启用。
允许ICMP例外:已禁用;如果希望使用Ping命令,则必须启用。
允许远程桌面例外:已禁用;即关闭客户机可以接受基于远程桌面的连接请求功能。
允许UPnP框架例外:已禁用;即禁止客户机接收垃圾的UPnP方面的消息。
阻止通知:已禁用。
允许记录日志:未配置;允许记录通信并配置日志文件设置。
阻止对多播或广播请求的单播响应:已启用;即放弃因多播或广播请求消息而收到的单播数据包。
定义端口例外:已启用;按照TCP和UDP端口指定例外通信。
允许本地端口例外:已禁用;即禁止客户机管理员进行端口的“例外”配置。
现在,让我们通过“定义端口例外”项来介绍一下如何进行具体配置。首先,在“域配置文件”设置区域中,双击“Windows防火墙:定义端口例外”项,在弹出的属性窗口中单击“已启用→显示”,并进行“添加”。接着,使用“port:transport:scope:status:name”的格式输入要阻止或启用的端口信息(如“80:TCP:*:enabled:Webtest”)。
提示:port是指端口号码;transport是指TCP或UDP;scope中的“*”表示用于所有系统或允许访问端口的计算机列表;status是已启用或已禁用;name是用作此条目标签的文本字符串。
完成上述设置后,保存策略为“firewall”文件。现在,就得进行非常重要的一步操作,在“命令提示符”窗口中运行“Gpupdate /force”命令强制组策略设置应用到域网络中已经登录的计算机
验证部署效果
完成组策略的刷新后,先来看看本机中的Windows防火墙是否响应了策略。由于前面已经定义了“允许本地程序例外”项的状态为“已禁用”,根据这个定义,Windows防火墙的“例外”设置部分应变为灰色。现在,让我们打开本机中的Windows防火墙,可以看到被禁用的部分已经呈灰色,这说明本机已响应组策略设置了。
接着,再来看看DC是否响应了组策略。在DC服务器的“运行”栏中输入“dsa.msc”命令并回车,弹出“Active Directory”窗口后,请进入“shyzhong.com”(请根据实际情况选择)的属性窗口。在“组策略”选项卡部分可以看到保存的 firewall已经自动出现在列表中了。如果没有出现可以手工添加(图2)。
图2
到了这一步,可以看出整个设置是成功的。而此后,域中任何一台使用Windows XP SP2的计算机只要登录到域,那么该计算机就会自动下载Windows防火墙的设置并开始应用。至此,整个机房的Windows 防火墙配置操作就成功完成了。
利用组策略集中部署SP2防火墙的操作并不复杂,但是它的效果却是一劳永逸的。大家会发现组策略对于集中管理网络安全来说实在是一个不可多得的好助手
浏览量:2
下载量:0
时间: