11、防火墙透明模式部署与IPS内联模式解析

防火墙透明模式部署与IPS内联模式解析

1. 透明模式下防火墙访问控制规则配置

当选择“访问控制：阻止所有流量”策略作为默认操作时，若流量与任何自定义访问控制规则不匹配，就会被阻止。只有与规则完全匹配的流量才能通过威胁防御系统。

1.1 创建OSPF流量的访问控制规则

步骤如下：
1. 进入“策略”>“访问控制”。点击“新建策略”按钮创建新策略，或点击铅笔图标编辑现有策略，此时会出现策略编辑器页面。
2. 在策略编辑器页面，点击“添加规则”按钮，会弹出“添加规则”窗口。
3. 为该访问控制规则命名，选中“启用”复选框，并将操作设置为“允许”。
4. 转到“端口”选项卡，点击“选定目标端口”字段下的“协议”下拉菜单。
5. 选择“OSPF/OSPFIGP”协议，然后点击协议下拉菜单旁边的“添加”按钮，所选协议将列在“选定目标端口”框下。
6. 点击“添加”按钮返回策略编辑器页面，即可看到刚创建的规则。

注意事项 ：路由器会交换保持活动消息以确定邻居状态。如果部署在两个路由器之间的威胁防御系统检查的流量非常大，即使添加了允许这些消息的访问控制规则，也可能会延迟保持活动数据包通过设备，导致路由器呼叫邻居的时间变长，使可达性问题更严重。

提示 ：思科安全防火墙提供“信任”和“快速路径”两种独特的规则操作，可加速管理流量通过设备。在访问控制规则中，可将操作设置为“信任”，让OSPF流量无需进一步检查即可通过威胁防御系统。不过，绕过检查的更优方法是为OSPF协议添加预过滤器规则，并将其操作设置为“快速路径”。