防火墙故障排除高级指南

《防火墙故障排除高级指南》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、防火墙故障排除高级指南（此PPT仅限公司内部使用）产品部李海全2005.9课程内容产品功能及原理（突出重点，简），对写方案作规划有帮助安装调试培训（随带说明，简），对实施有帮助疑难分析问题方法（重点），对售后，树立专业形象有帮助安全策略设计（说明原则，简）产品选型评测方法和术语（重点），如何应对评测常用网络工具使用（提供工具包，简单演示），如何分析问题案例操作（简）产品功能及原理基本功能防火墙的种类关键问题：在选择之前，必须思考的一些问题传统边界防火墙的主要应用环境疑难问题分析方法安全策略设计产品选型评测常用网络工具使用案例操作

2、基本功能过滤进出网络的数据管理进出网络的访问行为封堵需要禁止的业务记录通过防火墙的信息内容和活动对网络攻击进行检测和报警防火墙的种类路由器：简单的路由器是一种便宜的安全防护模式封包过滤状态检测应用层代理关键问题防火墙必须允许或拒绝的网络协定或应用层网络传输防火墙在控制网络传输的时候是否需要做身份认证如何建立规则是否可以隐藏网络地址是否有一个以上的网址，能够保护网络上数个web和email服务器不受攻击是否可以过滤java和activex如何保证防火墙自身的安全能不能够在不影响安全性的情况下处理所有的网络传输活动应该提供事件记录和

3、告警，并且审计网络活动记录是否简单易用是否提供内容过滤可扩展性是否很好，能不能满足将来的需求关键问题（续）是否能实现远程管理和集中管理能不能和其他产品互通，互动(第三方IDS/第三方网络管理系统)防火墙的应用环境控制来自互联网对内网的访问控制来自第三方局域网对内网的访问控制局域网内部不同部门网络之间的访问控制对服务器中心网络访问安装培训调试弄清楚用户的网络环境弄清楚用户的应用需求弄清楚用户未来的发展需求弄清楚用户对防火墙要求的侧重点告诉用户安全的概念，安全是一个体系。告诉用户防火墙的基本原理告诉用户其自身网络环境的特点以及安全建

4、议告诉用户如何配置防火墙告诉用户出现疑问和问题如何获得帮助疑难问题的分析方法问题的查找问题的定位：如何快速断定是网络问题、配置问题、产品问题问题的分析问题的查找先看FAQ对应功能模块，如果FAQ没有提到该问题，那么需要参考随机手册网络拓扑具体应用问题？是否做了NAT,反向NAT,应用是否为动态协议很多应用需要在安全规则中先配置允许访问防火墙才可，比如VPN、集中管理、用户认证等稳定性问题，表现频度网络环境的问题是否回环？是否旁路？是否路由的问题是否物理介质的问题，包括网线等是否接口协商模式的问题(100Full/100Half/

5、10Full/10Half)是否vlan环境具体应用的问题是否搞清楚应用的通讯机制(协议，端口，地址类型)是否动态协议(FTP/TNS/H323/SIP/RTSP)应用访问客户端和服务端是否都做了nat稳定性问题是否集群是否热备对比开始和出现问题时的内存状况对比开始和出现问题时的CPU状况对比开始和出现问题时的网络流量对比开始和出现问题时的ARP表的状态防火墙故障分析基本流程故障分析基本流程图区分是原有网络故障还是加入防火墙引发故障：防火墙配置全通安全规则,可能的话以路由器代替防火墙来进行判断区分是防火墙自身故障还是因加入防火墙

6、引发网络故障利用TCP/IP模型辅助判断故障原因利用抓包分析工具（如TCPDUMP）对通讯数据包进行分析如果确定是防火墙故障，则应对防火墙配置进行检查防火墙故障分析基本流程常用分析、判断方法TCP/IP参考模型简介故障判断举例利用TCP/IP模型定位故障TCP/IP参考模型简介拓朴图故障判断举例举例：故障现象1——从内网客户端访问DMZ中的WEB服务器不通故障现象2——从内网可telnet到DMZ中的WEB服务器的80端口故障现象3——从DMZ客户端可正常访问DMZ中的WEB服务器分析：1“从DMZ客户端可正常访问DMZ中的WE

7、B服务器”说明WEB服务器功能正常——故障分析基本流程图2经防火墙可telnet通说明到TCP层正常，则说明问题出在TCP层上面，即HTTP应用协议上——TCP/IP分层模型3抓包分析，发现WEB服务器有最多5个客户的license限制基本网络知识简介TCPDUMP常用参数常见应用举例疑难故障分析举例利用TCP/IP模型分析故障分析通讯数据包定位故障基本网络知识简介TCP/IP参考模型分析通讯数据包定位故障源/目MAC地址(ethernet)Ethertype(ethernet)Identificiation(IP)Protoc

8、ol(IP)源/目IP地址(IP)源/目端口(TCP)SequenceNumber(TCP)(NextexpectedSeqnumber-SequenceNumber=TCPData)Acknowledgmentnumber(TCP)TCPFlags(TCP)应