16、防火墙服务模块（FWSM）的配置、管理与安全访问

防火墙服务模块（FWSM）的配置、管理与安全访问

1. ActiveX和Java的配置与过滤

1.1 功能与风险

ActiveX控件和Java小程序在功能上有相似之处，但ActiveX控件具有额外的能力，因为它可以以运行应用程序的用户的相同权限运行。然而，这两种应用都存在被恶意使用的潜在风险。

1.2 过滤方法

FWSM具备去除HTTP流量中包含的ActiveX对象和/或Java小程序的能力。过滤ActiveX时，会将对象和小程序标签替换为注释。 filter activex 命令还会注释掉Java文件、图像以及嵌入在对象标签中的对象。需要注意的是，分片的数据包无法被阻止。

1.3 配置步骤

若要使用ActiveX或Java过滤，必须启用HTTP检查，否则过滤将无法正常工作。如果使用默认的全局策略，需要添加以下命令：

policy-map global_policy
 class inspection_default
 inspect http

ActiveX和Java的配置使用以下命令集：

filter {activex | java} {port[-port] | except} local_ip local_mask foreign_ip foreign_mask

例如，要从192.168.1.23过滤ActiveX到任何目的