weixin_45123715的博客

internet桥接到真实网卡图形化对应的命令行里的配置（不用重新在命令行里）下面做的是app应用的过滤没调用反病毒之前这个病毒网站上的东西是可以下载的，调用之后直接反病毒拦截（压缩包也可以拦截，因为设置有最大解压层数）...

防火墙分类：1.按照形态分为：硬件防火墙、软件防火墙2.按照保护对象分为：单机防火墙、网络防火墙3.按照访问控制方式分为：包过滤防火墙、代理防火墙、状态检测防火墙、UTM、下一代防火墙（1）包过滤防火墙：包过滤防火墙的基本原理是提取报文的IP包头或者帧头部中的信息，包括SIP/DIP/SM/DM/PRO/优先级/服务类型等，然后与设定好的规则进行匹配，根据结果决定报文是通过还是拒绝通过。特点：对于经过防火墙的报文是逐包匹配包过滤规则，转发效率低下，且规则过多易出现配置错误（2）代理防火墙：应用

具体的IPSec技术原理请参照专栏中IPSec的文章，这里是关于IPSec在防火墙上的应用实验：拓扑图：FW1配置trust-untrust策略：

L2TP VPN：二层VPN，用于远程访问C/S结构，L2TP VPN是一种用于承载PPP报文的隧道技术，主要用于在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。L2TP不支持加密L2TP使用的端口号1701L2TP协议以UDP头部封装目的：出差员工跨越Internet远程访问企业内网资源时需要使用PPP协议向企业总部申请内网IP地址，并供总部对出差员工进行身份认证。但PPP报文受其协议自身的限制无法在Internet上直接传输。于是，PPP报文的传输问题成为了制约出差员工远程办公的

用户：用户指的是访问网络资源的主体，表示“谁”在进行访问，是网络访问行为的重要标识。FW上的用户包括上网用户和接入用户两种形式:上网用户：内部网络中访问网络资源的主体，如企业总部的内部员工。上网用户可以直接通过FW访问网络资源。接入用户：外部网络中访问网络资源的主体，如企业的分支机构员工和出差员工。接入用户需要先通过SSL VPN、L2TP VPN或IPSec VPN方式接入到FW，然后才能访问企业总部的网络资源。认证：FW通过认证来验证访问者的身份，FW对访问者进行认证的方式包括︰本地认证

UTM：统一威胁管理，融合了IPS入侵防御系统，AV网关防病毒，上网行为管理，防DDOS攻击等特性，为了更好的解决来自企业内部、外部的攻击威胁提供了强有力保障（UTM包含入侵防御和内容过滤）入侵防御（IPS）：入侵防御是一种安全机制，通过分析网络流量，检测入侵（包括缓冲区溢出攻击、木马、蠕虫等），并通过一定的响应方式，实时地中止入侵行为，保护企业信息系统和网络架构免受侵害。入侵防御是种既能发现又能阻止入侵行为的新安全防御技术。通过检测发现网络入侵后，能自动丢弃入侵报文或者阻断攻击源，从而从根本上避免攻

具体原理可以看之前的一篇介绍GRE的一篇文章，这里不做赘述，这里讲述的是GRE over IPSec在防火墙上的应用实验：拓扑：

用于远程访问VPN，工作在应用层与传输层之间SSL VPN是以SSL协议为安全基础的VPN远程接入技术，移动办公人员（在SSL VPN中被称为远程用户）使用SSL VPN可以安全、方便的接入企业内网，访问企业内网资源，提高工作效率。SSL与IPSec、L2TP的区别：1.IPSec、L2TP缺点：远程用户终端上需要安装指定的客户端软件，导致网络部署、维护比较麻烦。2.IPSec、L2TP配置繁琐3.网络管理人员无法对远程用户访问企业内网资源的权限做精细化控制。SSL的特点：1.B/S结构：浏览

以太网链路聚合：以太网链路聚合eth-trunk简称链路聚合，他通过将多条以太网物理链路捆绑在一起成为一条逻辑链路，从而实现增加链路带宽的目的。同时，这些捆绑在一起的链路通过相互间的动态备份，可以有效提高链路的可靠性。以太网链路聚合三大优势：增加带宽，提高可靠性，负载分担链路聚合方式：手工方式，LACP模式链路聚合控制协议LACP：支持M:N备份，也就是活动链路：备份链路。供设备根据自身配置自动形成聚合链路并启动聚合链路收发数据。聚合链路形成以后，负责维护链路状态，在聚合条件发生变化时，自动调整或解

判断一个网络的安全性：1.数据机密性2.数据完整性3.高可用性防火墙主要用于保护一个网络区域免受另一个网络区域的网络攻击和网络入侵行为，同时允许两个网络之间进行合法的通信防火墙与交换机、路由器对比：交换机：汇聚组建局域网，二、三层快速转发报文路由器：寻址和转发，保证网络互联互通防火墙：控制报文转发，防攻击病毒木马路由器与交换机的本质是转发，防火墙是控制防火墙和路由器实现安全控制的区别：防火墙分类：1.按照形态分为：硬件防火墙、软件防火墙2.按照保护对象分为：单机防火墙、网络防火墙

AC6003：AC6005：AC6605：ACU2：用在交换机上的一个板卡，适用于S7700,S9700,S12700等框式交换机的任何LPU槽位，ACU2可安装在等框式交换机的任何LPU槽位，处理从S7700&S970O0&S12700主控板交换过来且需要ACU2单板处理的数据包，用于集中管理无线AP设备，控制无线用户的接入和访问，实现集中转发模式下的无线用户流量的路由和转发。ACU2处理无线数据的过程是，数据包先交给交换机（S7700,S9700,S12700），交

动态智能VPN（Dynamic Smart Virtual Private Network），简称DSVPN，是一种在Hub-Spoke组网方式下为公网地址动态变化的分支之间建立VPN隧道的解决方案。加强企业的通信安全、降低通信成本。当企业总部采用静态的公网地址接入Internet，分支机构采用动态的公网地址接入Internet时，使用传统的IPSec、GRE over IPSec等技术构建VPN网络将存在一个问题，即分支之间无法直接通信（源分支无法获取目的分支公网地址，也就无法在分支之间直接建立隧道），

在网络关键节点上，如果只部署一台设备，无论其可靠性多高，系统都必然要承受因单点故障而导致的网络中断的风险。防火墙一般用作内网到外网的出口，是业务关键路径上的设备。为了防止因一台设备故障而导致的业务中断，要求防火墙必须提供更高的可靠性，此时需要使用防火墙双机热备组网。在双机热备组网中，当一台防火墙出现故障时，业务流量能平滑地切换到备份防火墙上，保证流量不中断使内外网用户交互时完全感知不到曾经出现过网络故障。双机热备需要解决的问题：双机热备特性涉及到的三大协议：VRRP,VGMP,HRPVRRP