防火墙LDAP配置

ldap配置过程详解ldap常⽤名称解释1.环境搭建操作系统：centos6.5 x86_64关闭防⽕墙、selinux开启时间同步# crontab -e加⼊# time sync*/5 * * * * /usr/sbin/ntpdate 192.168.8.102 >/dev/null 2>&1# crontab -l*/5 * * * * /usr/sbin/ntpdate -u 192.168.8.102 >/dev/null 2>&1配置域名解析：# echo "192.168.8.43 " >> /etc/hosts解决依赖关系# yum grouplistBaseDebugging ToolsPerformance ToolsCompatibility librariesDevelopment toolsDial-up Networking SupportHardware monitoring utilities如果缺少组包，需要安装yum groupinstall -y "Compatibility libraries"2.安装openldap master# yum install -y openldap openldap-*# yum install -y nscd nss-pam-ldapd nss-* pcre pcre*# rpm -qa | grep openldap*compat-openldap-2.3.43-2.el6.x86_64openldap-2.4.40-12.el6.x86_64openldap-clients-2.4.40-12.el6.x86_64openldap-servers-sql-2.4.40-12.el6.x86_64openldap-servers-2.4.40-12.el6.x86_64openldap-devel-2.4.40-12.el6.x86_643.配置slapd.conf⽂件# cd /etc/openldap/[root@node5 openldap]# cp /usr/share/openldap-servers/slapd.conf.obsolete slapd.conf [root@node5 openldap]# cp slapd.conf slapd.conf.bak[root@node5 openldap]# slappasswd -s chinasoft|sed -e "s#{SSHA}#rootpw\t{SSHA}#g"rootpw {SSHA}D9+lqUJZVPobp0sZfXl37jE1aVvR2P9K[root@node5 openldap]# slappasswd -s chinasoft|sed -e "s#{SSHA}#rootpw\t{SSHA}#g">>/etc/openldap/slapd.conf[root@node5 openldap]# tail -1 slapd.confrootpw {SSHA}FvBRnIPqtIi0/u11O2gOfOCrRJr+xMAr# vim slapd.conf注释掉⼀下四⾏# database dbb#suffix "dc=my-domain,dc=com"#checkpoint 1024 15#rootdn "cn=Manager,dc=my-domain,dc=com"添加如下内容# add start by jack 2016/07/01database bdbsuffix "dc=chinasoft,dc=com"rootdn "cn=admin,dc=chinasoft,dc=com"对⽐修改是否成功：[plain]1. # diff slapd.conf.bak slapd.conf2. 114,117c114,1223. < database bdb4. < suffix "dc=my-domain,dc=com"5. < checkpoint 1024 156. < rootdn "cn=Manager,dc=my-domain,dc=com"7. ---8. > #database bdb9. > #suffix "dc=my-domain,dc=com"10. > #checkpoint 1024 1511. > #rootdn "cn=Manager,dc=my-domain,dc=com"12. > # add start by jack 2016/07/0113. > database dbd14. > suffix "dc=chinasoft,dc=com"15. > rootdn "cn=admin,dc=chinasoft,dc=com"16. >17. 140a14618. > rootpw {SSHA}FvBRnIPqtIi0/u11O2gOfOCrRJr+xMAr添加如下内容cat >> /etc/openldap/slapd.conf<<EOF# add start by jack 2016/07/01loglevel 296cachesize 1000checkpoint 2018 10EOF参数说明：# add start by jack 2016/07/01loglevel 296 # ⽇志级别，记录⽇志信息⽅便调试，296级别是由256(⽇志连接/操作/结果)、32（搜索过滤器处理）、8（连接管理）累加的结果cachesize 1000 # 设置ldap可以换成的记录数checkpoint 2018 10 # 可以设置把内存中的数据协会数据⽂件的操作上，上⾯设置表⽰每达到2048KB或者10分钟执⾏⼀次，checkpoint即写⼊数据⽂件的操作4.ldap授权及安全参数配置# vim /etc/openldap/slapd.conf删除如下内容：[plain]1. database config2. access to *3. by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage4. by * none5.6.7. # enable server status monitoring (cn=monitor)8. database monitor9. access to *10. by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read11. by dn.exact="cn=Manager,dc=my-domain,dc=com" read12. by * none改为：access to *by self writeby anonymous authby * read5.加⼊⽇志记录# cp /etc/rsyslog.conf /etc/rsyslog.conf.bak.$(date +%F%T)# echo '#record ldap.log by jack 2016-07-01' >> /etc/rsyslog.conf# echo 'local4.* /var/log/ldap.log'>> /etc/rsyslog.conf# tail -1 /etc/rsyslog.conflocal4.* /var/log/ldap.log# service rsyslog restart6.配置ldap数据库路径# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG[root@node5 openldap]# ll /var/lib/ldap/DB_CONFIG-rw-r--r-- 1 root root 845 Jul 1 17:29 /var/lib/ldap/DB_CONFIG[root@node5 openldap]# chown ldap:ldap /var/lib/ldap/DB_CONFIG[root@node5 openldap]# chmod 700 /var/lib/ldap/[root@node5 openldap]# ls -l /var/lib/ldap/total 4-rw-r--r-- 1 ldap ldap 845 Jul 1 17:29 DB_CONFIG验证配置是否Ok# slaptest -uconfig file testing succeeded7.启动服务：# /etc/init.d/slapd restart# lsof -i :389COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAMEslapd 50735 ldap 7u IPv4 75541 0t0 TCP *:ldap (LISTEN)slapd 50735 ldap 8u IPv6 75542 0t0 TCP *:ldap (LISTEN)[root@node5 openldap]# ps -ef |grep ldap|grep -v grepldap 50735 1 0 17:33 ? 00:00:00 /usr/sbin/slapd -h ldap:/// ldapi:/// -u ldap配置随机启动# chkconfig slapd on[root@node5 openldap]# chkconfig --list slapdslapd 0:off1:off2:on3:on4:on5:on6:off8.测试查找内容# ldapsearch -LLL -W -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -b "dc=chinasoft,dc=com" "(uid=*)" Enter LDAP Password:报错：ldap_bind: Invalid credentials (49)解决办法：[plain]1. # rm -rf /etc/openldap/slapd.d/*2. # slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d3. 57763ec6 bdb_monitor_db_open: monitoring disabled; configure monitor database to enable4. config file testing succeeded5. # ldapsearch -LLL -W -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -b "dc=chinasoft,dc=com" "(uid=*)"6. Enter LDAP Password:7. No such object (32)重启服务# service slapd restartStopping slapd: [FAILED]Checking configuration files for slapd: [FAILED]57763eee ldif_read_file: Permission denied for "/etc/openldap/slapd.d/cn=config.ldif"slaptest: bad configuration file![root@node5 openldap]# chown -R ldap.ldap /etc/openldap/slapd.d/[root@node5 openldap]# service slapd restartStopping slapd: [FAILED]Starting slapd: [ OK ]# lsof -i :389COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAMEslapd 51164 ldap 7u IPv4 77503 0t0 TCP *:ldap (LISTEN)slapd 51164 ldap 8u IPv6 77504 0t0 TCP *:ldap (LISTEN)9.为ldap master初始化数据(如果不初始化，后⾯⽆法通过web界⾯管理)增加初始的⼊⼝(entries)1) 创建LDIF⽂件编辑⼀个LDIF格式⽂件：# vim base.ldif[plain]1. dn: dc=chinasoft, dc=com2. objectClass: organization3. objectClass: dcObject4. dc: chinasoft5. o: chinasoft6.7.8. dn: ou=People, dc=chinasoft, dc=com9. objectClass: organizationalUnit10. ou: People11.12.13. dn: ou=group, dc=chinasoft, dc=com14. objectClass: organizationalUnit15. ou: group16.17.18. dn: cn=tech, ou=group, dc=chinasoft, dc=com19. objectClass: posixGroup20. description:: 5oqA5pyv6YOo21. gidNumber: 1000122. cn: tech# vim jack.ldif[plain]1. dn: uid=jack,ou=People,dc=chinasoft,dc=com2. objectClass: posixaccount3. objectClass: inetOrgPerson4. objectClass: organizationalPerson5. objectClass: person6. homeDirectory: /home/jack7. loginShell: /bin/bash8. uid: jack9. cn: jack10. userPassword:: 55G/ReqPKeOZ8SpgszwIQhaBXySNU4mw11. uidNumber: 1000512. gidNumber: 1000113. sn: jack[plain]1. # ldapadd -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -W -f base.ldif2. Enter LDAP Password:3. adding new entry "dc=chinasoft, dc=com"4.5.6. adding new entry "ou=People, dc=chinasoft, dc=com"7.8.9. adding new entry "ou=group, dc=chinasoft, dc=com"10.11.12. adding new entry "cn=tech, ou=group, dc=chinasoft, dc=com"2) 运⾏ldapadd# ldapadd -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -W -f base.ldifEnter LDAP Password:[plain]1. 报错：2. adding new entry "dc=chinasoft,dc=com"3. ldap_add: Invalid syntax (21)4. additional info: objectClass: value #0 invalid per syntax5. 原因：ldif⽂件中存在空格或者个别单词拼写错误6. 正确书写格式：7. （1空⾏）8. dn:（空格） dc=mail,dc=kaspersky,dc=com（结尾⽆空格）9. objectclass: （空格）dcObject（结尾⽆空格）10. objectclass: （空格）organization（结尾⽆空格）11. o: （空格）kaspersky（结尾⽆空格）12. dc:（空格） test（结尾⽆空格）13. （1空⾏）14. dn: （空格）cn=test,dc=mail,dc=kaspersky,dc=com（结尾⽆空格）15. objectclass: （空格）organizationalRole（结尾⽆空格）16. cn: （空格）test（结尾⽆空格）17. （结尾⽆空⾏）# ldapadd -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -W -f jack.ldifEnter LDAP Password:adding new entry "uid=jack,ou=People,dc=chinasoft,dc=com"3) 检查是否已经开始正常⼯作# ldapsearch -LLL -W -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -b "dc=chinasoft,dc=com" "(uid=*)" Enter LDAP Password:dn: uid=jack,ou=People,dc=chinasoft,dc=comobjectClass: posixAccountobjectClass: inetOrgPersonobjectClass: organizationalPersonobjectClass: personhomeDirectory: /home/jackloginShell: /bin/bashuid: jackcn: jackuserPassword:: 55G/ReqPKeOZ8SpgszwIQhaBXySNU4mwuidNumber: 10005gidNumber: 10001sn: jack10.为ldap master配置web管理接⼝安装lamp环境# yum install -y httpd php php-ldap php-gd# rpm -qa httpd php php-ldap php-gdphp-5.3.3-47.el6.x86_64httpd-2.2.15-53.el6.centos.x86_64php-gd-5.3.3-47.el6.x86_64php-ldap-5.3.3-47.el6.x86_64安装ldap-account-manager管理软件https:///lamcms/releases?page=3将ldap-account-manager-3.7.tar.gz安装包上传到/var/www/html⽬录# cd /var/www/html/[root@node5 html]# tar zxf ldap-account-manager-3.7.tar.gz[root@node5 html]# mv ldap-account-manager-3.7 ldap[root@node5 html]# cd ldap/config[root@node5 config]# cp config.cfg_sample config.cfg[root@node5 config]# cp lam.conf_sample lam.conf[root@node5 config]# sed -i 's#cn=Manager#cn=admin#g' lam.conf[root@node5 config]# sed -i 's#dc=my-domain#dc=chinasoft#g' lam.conf[plain]1. [root@node5 config]# diff lam.conf_sample lam.conf2. 13c133. < admins: cn=Manager,dc=my-domain,dc=com4. ---5. > admins: cn=admin,dc=chinasoft,dc=com6. 55c557. < types: suffix_user: ou=People,dc=my-domain,dc=com8. ---9. > types: suffix_user: ou=People,dc=chinasoft,dc=com10. 59c5911. < types: suffix_group: ou=group,dc=my-domain,dc=com12. ---13. > types: suffix_group: ou=group,dc=chinasoft,dc=com14. 63c6315. < types: suffix_host: ou=machines,dc=my-domain,dc=com16. ---17. > types: suffix_host: ou=machines,dc=chinasoft,dc=com18. 67c6719. < types: suffix_smbDomain: dc=my-domain,dc=com20. ---21. > types: suffix_smbDomain: dc=chinasoft,dc=com# chown -R apache.apache /var/www/html/ldap访问http://192.168.8.43/ldap/templates/login.php使⽤刚才配置的 admin 和密码chinasoft登陆即可添加⽤户、配置密码查看通过web界⾯添加的tom⽤户是否⽣效[plain]1. # ldapsearch -LLL -W -x -H ldap:// -D "cn=admin,dc=chinasoft,dc=com" -b "dc=chinasoft,dc=com" "(uid=lily)"2. Enter LDAP Password:3. dn: uid=lily,ou=People,dc=chinasoft,dc=com4. objectClass: posixAccount5. objectClass: inetOrgPerson6. objectClass: organizationalPerson7. objectClass: person8. homeDirectory: /home/lily9. loginShell: /bin/bash10. uid: lily11. cn: lily12. uidNumber: 1000713. gidNumber: 1000214. userPassword:: e1NTSEF9RkY1eHFNUk5JbGJHNFpCQWtBK0pwN1RmcmdIci9Mems=15. sn: lily16. givenName: lily17.。

LDAP Server的配置和使用范例
1．先在客户端安装一个测试工具“ldapbrowser”，这是一个基于Java的软件，需要您预先安装一个java工具j2sdk（可以从
https:///ECom/EComActionServlet;jsessionid=47614B201F94 C4CC5E81A3BF7BBF6B66处下载）。

2．我在win2000 AD上缺省的Users中配置了几个用户账号（属于域用户，而使用该测试软件的客户端就是其中的一个已登录用户）。

3．打开客户端软件，按下图进行配置：
4．点击Connect之后可以见到以下界面：
5．点击CN=Users前面的扩展钮可以见到其中的用户：
的设置。

7．首先依次进入zywall 1000的配置界面，configuration，Users/Group，和setting。

创建一个强制认证的规则：
8．点击Apply应用之后进入object中的auth.method，设置认证的方法，我这里的范例只使用ldap认证：
9．进入AAA Server中LDAP界面，按照以下提示进行设置：
10．点击ok以后就可以退出了。

11．当一个用户打开网页的时候，就会弹出一个强制登录界面：
12．用户输入它的域账号就可以见到以下登录成功的界面了：
14．利用该功能我们就可以实现很多权限分配的工作了。

假如你是某公司网管，在如图所示的网络中，内部网IP段（210.31.120.0）要实现外部和内部网络的通信安全,请配置防火前实现以下功能：1.防止外部的IP地址欺骗2．控制内部网的非法IP地址进入外部网3．对内部网资源主机的访问控制4．防止外部的ICMP重定向欺骗5．防止外部的资源路由选择欺骗6．对拨号上网用户的访问控制7.防止内部用户盗用IP方法8.防止对路由器的攻击9.内部网络流量的控制特别说明：常用端口号如下：FTP文件传送协议(File Transfer Protocol,简称FTP)，端口号：21（控制端口），20（数据端口）DNS（域名解析协议）端口号：53SMTP（Simple Mail Transfer Protocal）称为简单邮件传输协议端口：25POP的全称是 Post Office Protocol （简称POP3），即邮局协议端口：110HTTP（超文本传输协议）端口：80 范围：0——1023HTTPS（Secure Hypertext Transfer Protocol 安全超文本传输协议）端口：443DHCP（动态主机配置协议）所有 DHCP 流量都使用用户数据报协议 (UDP)。

从 DHCP 客户端发送到 DHCP 服务器的消息使用 UDP 源端口 68 和 UDP 目标端口 67。

从 DHCP 服务器发送到 DHCP 客户端的消息使用 UDP 源端口 67 和 UDP 目标端口 68SNMP（简单网络管理协议），号端口：161Telnet（运程控制协议），端口号：23终端服务远程桌面共享，端口：3389根据我长期工作经验，答案及解析如下：1.防止外部的IP地址欺骗IP地址欺骗是一种常见的对企业内部服务器的攻击手段.外部网的攻击者将其数据包的源地址伪装成内部网合法的IP地址或Loopback地址，以绕过防火墙，实现非法访问，为此，我们可按以下方法定义访问列表以防止IP地址欺骗.防止外部网的用户使用内部网的IP地址作为源地址以实现非法访问.在全局配置模式（Global Configure Mode）下添加：access-list 102 deny ip 210.31.120.0 0.0.0.255 any该命令的含义为拒绝源地址为210.31.120.0—210.31.120.255的IP包通过，显然应该将这条规则应用到从外部网到内部网的所有数据包上，而不是应用到从内部网到外部网的数据包上，因此，应将它适用到外部端口serial0上，在接口模式（Interface Mode）下设置：interface serial0ip access-group 102 in防止外部网的用户使用Loopback地址作为源地址以实现非法访问.在全局配置模式（Global Configure Mode）下添加：access-list 102 deny ip 127.0.0.1 0.0.0.0 0.0.0.0 255.255.255.255然后，在接口模式(Interface Mode)设置：interface serial0ip access-group 102 in2．控制内部网的非法IP地址进入外部网通过设置访问列表，可以控制内部网的哪些机器可以进入外部网，哪些机器不可以进入外部网.假设只允许IP地址为210.31.120.60的机器进入外部网，而不通允许其他机器进入外部网，则可按如下设置：在全局模式下设置access-list 103 permit 210.31.120.60在接口模式下设置interface Ethernet0ip access-group 103 out通常，内部网允许某一子网段（如210.31.1200—210.31.120.16）中的所有机器都可进入外部网，这时只需将第一步改为access-list 103 permit 210.31.120.0.0.0.0.16即可.3．对内部网资源主机的访问控制企业内部网的服务器是非法访问者的重点攻击对象，同时它又必须为外部用户提供一定的服务.对于特定的服务器，我们可以只允许访问特定的服务.也就是说，对于Web服务器只允许访问Web服务；而对FTP服务器，只允许访问FTP服务，以此类推.这样可以啬攻击者的难度.(1)允许只对210.31.120.1的WWW访问.在全局配置模式下设置：access-list 104 permit tcp any host 210.31.120.1 eq www(2) 允许只对210.31.120.2的ftp访问.在全局配置模式下设置：access-list 104 permit tcp any host 210.31.120.2 eq ftp(3) 允许只对210.31.120.3的E-mail访问.在局配置模式下设置：access-list 104 permit tcp any host 210.31.120.3 eq smtpaccess-list 104 permit tcp any host 210.31.120.3 eq pop3(4) 允许只对210.31.120.4的DNS访问.在全局配置模式下设置：access-list 104 permit tcp any host 210.31.120.3 eq 53(5) 允许DNS服务器之间的数据流动.在全局配置模式下设置：access-list 104 permit tcp any host 210.31.120.4 eq domain以上各式中any host 代表具有任何源地址的主机，由于Http,FTP ,E-mail采用TCP作为传输协议，而DNS采用UDP作为传输协议，因此以上各式中允许相应的传输协议.（6）对于工作站来说，应该不允许任何外部网络主机首先发起的连接，但是如果是内部工作站发起的连接，刚应该接收.这可以通TCP中的ACK位是否被置位来区分，因为对于TCP 来说，除了第一个包ACK位没有置位外，其他的包都有ACK位.因此可在全局配置模式下设置：access-list 104 permit tcp any 210.31.120.0.0.0.0.255 established（7）由于FTP数据传输是由外部FTP服务器首先发起的，因此必须开放所有工作站1024以上的端口，以用于FTP数据的传输.为些可在全局配置模式下设置；access-list 104 permit tcp any 210.31.120.0 0.0.0.255 gt 1024（8）对于ICMP的连接检测一般应该是允许的.为些在全局配置模式下设置：access-list 104 permit icmp any any（9）对于一些路由协议信息，我们必须接受，否则内部网就连不上Internet了.假设路由器串行口的远端路由器地址为210.112.27.25,那么:access-list 104 permit ospf any host 210.110.27.26access-list 104 permit udp host 210.112.27.25 host 210.112.27.26 eq rip若把以上访问列表应用到所有外部端口,应在接口模式下设置:Interface seria10Ip access-group 104 in4．防止外部的ICMP重定向欺骗外部的攻击者可以使用ICMP生定向技术来对路由器进行重定向，把本应该送到合法目的的的住处重定向到攻击者那里，从而非法获得信息.对付这种攻击的路由器设置方法为：在接口模式下设置：interface acrial0no ip redirects (模拟器上午此命令）5．防止外部的资源路由选择欺骗资源路由选择是使用数据甸路层信息来进行路由选择的.这个技术越过了第三层的路由信息，为入侵者给内部网的住处包指定一个不正确的路由提供了可能，从而把本应送以内部网的佥的目的地的信息送到了外部网入侵者那里，对付这种攻击的配置方法为：no ip source-route(在全局模式下设置) (模拟器上午此命令）6．对拨号上网用户的访问控制对通过异步串口上网的用户，可采用专用模式并使用PAP认证技术.可以接口模式下设置：interface group-async 0 group-range 1 16(模拟器上午此命令）ip unnumbered ethernet0ip top header-compression passiveencapsulation pppasync mode dedicatedppp autentication pap(2)把对内部网的所有远程访问均限制在一个子网（如210.31.121.0）内,这是一个很好的实践方法.比如,对所有远程访问的用户提供TELNET一服务,实现方法是在全局配置模式下设置: access-list 15 permit 210.31.121.0.0.0.0.255然后在接口模式下设置:line vty 0 4access-class 15 in7.防止内部用户盗用IP方法由于IP地址可由软件设计,一些用户往往盗用他人的IP地址进行非法访问.解决办法如下:采用专用网管软件不断地扫描CISCO路由器的ARP表,并与原始建立的表态IP和MAC 地址相比较,一旦发现IP地址被盗,立即更改路由品质快存表,使非法访问不能进行.8.防止对路由器的攻击路由器是网络安全的守护神之一,因此路由器需要精心配置,重点保护.如果路由器被攻破,攻击者就可以随意改变路由器的配置,这样以上所配置的网络安全访问规则就形同虚设,毫无意义了.路由器的一般配置是通过telnet完成的.由于telnet是通过明文传送的，所以配置路由器的工作部和路由器之间不应该跨越多个网段，最好通过交换机直接连至路由器上，这样路由器密码经网络窃听泄露的可能性就减少了.增强路由器的逻辑安全性在物理安全性有所保障之后，可以在路由器上进行如下设置以增强路由器逻辑安全性.①给console ,aux和VTY（虚终端）设置密码，使用访问者必须通过密码才能访问给路由器.在接口模式下作如下设置：line console 0 (console端口)loginpassword ******line aux 0 (aux端口)loginpassword******line vty 0 (vty(虚终端))loginpassword******②在全局配置模式下配置特级权限：service password-encryption这样配置文件中的所有password均加了密.③限制访问路由器的工作站：access-list 33 permit 210.31.120.222.0.0.0.0line vty 0 4这样，只有210.31.120 222.一个IP地址可以访问路由器了.(2)路由器密码的集中管理对一台路由器的密码进行管理是比较容易的,但如果一个网络有多台路由器时,其密码管理就比较复杂.通过使用TACACS(terminal access controller access control system)终端访问控制器访问控制系统技术,有可能把大量的路由器密码集中在一起,实现统一管理.在配置TACACS时,需要一个TACACS Server管理全部路由器的密码.具体设置如下：配置TACACS Server 的IP地址：tacacs-server host 210.31.120.100凡是访问TACACS Server管辖的路由器都使用加强路由密码管理，配置如下：tacacs-server last-resort password凡是来自VTY端口的请求都交给TACACS SERVER 去验证，配置如下：line vty 0 4login tacacs9.内部网络流量的控制很多情况下，也需要对内部网络采取一定的访问限制.如限制指定IP地址访问指定站点等，例如可采取如下方法以限IP地址为210.31.120.220的主机只能访问国内主机.获得国内IP地址列表:显式地列出这个IP地址允许的国内IP地址:access-list130 permit ip host 210.31.120.220 国内IP地址列表将其适用到内部端口:interface ethernet0ip access-group 130 in(2)内部网络管理的另一个问题是IP地址盗用问题.如果其流量通过路由器的话,采用将IP地址和网络卡地绑定的方法对其加以控制.只需在路由器中的配置模式下输入以下语句即可: arp 绑定的IP 地址,相对应的网卡地址.协议名称TCP端口号协议名称解释ACAP 674AIM 5190BEEP 10288CAST 4224CMP 829COPS 3288PKTCABLE_COPS 2126 PKTCABLE_MM_COPS 3918 DAAP 3689DHCPFO 519 DIAMETER 3868DISTCC 3632DLSW 2065NP 20000NS 53DNS 5353DSI 548FTPDATA 20FTP 21GIFT 1213CS 1720HTTP 80PROXY_HTTP 3128 PROXY_ADMIN_HTTP 3132 HKP 11371DAAP 3689SSDP 1900IB 3050ICAP 1344IMAP 143IRC 6667ISAKMP 500JABBER 5222 KERBEROS 88LAPLINK 1547LDAP 389GLOBALCAT_LDAP 3268 LDP 646PRINTER 515MBTCP 502MSNMS 1863MSRP 0MySQL 3306NBSS 139CIFS 445NCP 524NDMP 10000PA 0x0d44BROKER 0x0bc6ENS 0x0bc8RMS 0x0bcbNOTIFY_LISTENER 0x0bc9 NETSYNC 5253NNTP 119NTP 123POP 110PPTP 1723PVFS2 3334RMI 1099RSH 514RSYNC 873RTSP 554SIP 5060SKINNY 2000SLSK_1 2234SLSK_2 5534SLSK_3 2240SMRSE 4321SMTP 25SNMP 161SNMP_TRAP 162SMUX 199SOCKS 1080SRVLOC 427SSH 22SSL 443SSL_LDAP 636SSL_IMAP 993SSL_POP 995STUN 3478TACACS 49TELNET 23TNS 1521TPKT 102X11 6000X11_2 6001X11_3 6002XOT 1998YHOO 5050YMSG 23YMSG_2 25YMSG_3 5050NINEPORT 564ajp13 8009ax4000 3357BGP 179COPS 3288DCM 104DHCPFO 519 desegmentation of DHCP failover over TCPdistcc 3632ECHO 7edonkey 4661/4662/4663ENIP_ENCAP_PORT 44818 EtherNet/IP located on port 44818etheric 1806/10002giop 0GNUTELLA 6346http_alternate_tcp_port 未知Ipdc 6668ISNS 3205MSMMS 1755msdp 639MSNMS 1863msrp 0Pgsql 5432Rlogin 513Rpc 111rtsp 未知Sigcomp 5555/6666synergy 24800tds 1433/2433uma 0vnc 5901一共129=94+35种UDP协议支持协议名称UDP端口号协议名称解释3GA11 699 3com Network Jack5264:Packets to Managementstation5265:Packets to SwitchACTRACE 2428 Port used for Mobile IP based Tunneling Protocol (A11) T_AODV 654ARMAGETRONAD 4534MASTER 4533ADP 8200PIM_RP_DISC 496BFD_CONTROL 3784 BOOTPS 67BOOTPC 68PHA 8116CUPS 631DDTP 1052DHCPV6_DOWNSTREAM 546 DHCPV6_UPSTREAM 547 DLSW 2067DNP 20000DNS 53MDNS 5353RAS1 1718RAS2 1719HSRP 1985SSDP 1900IAPP 2313ICP 3130ICQ 4000IPX 213ISAKMP 500KERBEROS 88KRB4 750KPASSWD 464L2TP 1701LAPLINK 1547CLDAP 389LDP 646LLC1 12000LLC2 12001LLC3 12002LLC4 12003LLC5 12004LMP_DEFAULT 701MIP 434MPLS_ECHO 3503 MSPROXY 1745NBNS 137NBDGM 138NCP 524NETFLOW 2055TPCP 3121NTP 123OLSR 698RADIUS 1645RADIUS_NEW 1812 RADACCT 1646 RADACCT_NEW 1813 RIP 520RIPNG 521RMCP 623RMCP_SECURE 664RX_LOW 7000RX_HIGH 7009RX_AFS_BACKUPS 7021 SAP 9875SEBEK 1101SFLOW 6343SIP 5060SLIMP3_V1 1069 SLIMP3_V2 3483 SNMP 161SNMP_TRAP 162 SRVLOC 427STUN 3478SYSLOG 514 TACACS 49TEREDO 3544TFTP 69TIME 37TIMED 525TZSP 0x9090VINES 573WSP 9200WTP_WSP 9201WTLS_WSP 9202WTLS_WTP_WSP 9203 WSP_PUSH 2948WTLS_WSP_PUSH 2949 WCCP 2048WHO 513XDMCP 177XYPLEX 173NJACK1 5264NJACK2 5265ASAP 3863AX4000 3357bvlc 0xBAC0CPFI 5000cpfi_ttot 5001dis 3000ECHO 7edonkey 4665edonkey 4672ENIP_ENCAP 44818ENIP_IO 2222IAX2 4569udpencap 4500IPVS_SYNCD 8848ISNS 3205KINK 57203lwapp 12220/12222/12223manolito 41170MSMMS 1755udp_encap_ucast_port 3055 Udp port for UDP encapsulation udp_encap_mcast_port 3056PKTC_PORT 1293PKTC_MTAFQDN_PORT 2246EVENT_PORT_PTP 319GENERAL_PORT_PTP 320radius 0 这个好像不对Rpc 111SigCompUDPPort1 5555SigCompUDPPort2 6666Rdt 6970rmt-alc 未知从配置文件中读取SSCOP 未知从配置文件中读取T38 6004quakeworldServerPort 27500quakeServerPort 26000quake2ServerPort 27910quake3_server_port 27960－27963quake3_master_port 27965－27968一共137=90+47种IP协议支持协议名称IP端口号协议名称解释AX4000 173 AX/4000 Testblock - non IANATP 29 ISO Transport Protocol Class 4DCCP 33 Sequential Exchange Protocol(和标准的不一样) EIGRP 88EtherIP 97 Ethernet-within-IP EncapsulationGRE 47 General Routing EncapsulationICMPV6 58 ICMP for IPv6IGMP 2IGRP 9 any private interior gateway(used by Cisco for their IGRP) IPIP 4 IP in IP (encapsulation)ICMP 1AH 51 Authentication HeaderESP 50 Encap Security PayloadIPCOMP 108 IP Payload Compression ProtocolIPV6 41L2TP 115 Layer Two Tunneling ProtocolMIPV6_OLD 62 CFTP 这个和标准不一致――Mobile IPv6 MIPV6 135 Mobility Header ―― Mobile IPv6NCS_HEARTBEAT 224 Novell NCS Heartbeat -/cgi-bin/search/searchtid.cgi?/10071158.htm NARP 54 NBMA Address resolution protocol - RFC1735OSPF 89PGM 113 PGM Reliable Transport ProtocolPIM 103 Protocol Independent MulticastRSVP 46SCTP 132 Stream Control Transmission ProtocolTCP 6UDP 17UDPLITE 136 UDPLiteVINES 83 Vines over raw IPVRRP 112 Virtual Router Redundancy Protocol。

32
所投产品具备公安部颁发的《计算机信息系统安全专用产品销售许可证》（需提供相关证明文件或功能截图）
33
技术支持服务
提供三年免费质量保障售后服务承诺
25
支持对第三方API接口的功能（提供具备CNAS资质的第三方机构颁发的第三方测试报告，第三方报告需体现第三方接口支持的测试方案内容）
26
所投产品必须支持针对“应急响应消息”的手动或自动处置，处置方法至少包括基于漏洞的处置和基于威胁情报的处置（需提供相关证明文件或功能截图）
27
运维管理
产品内置安全报表模板，可定义报表内容，包括网络整体安全状况、服务器安全风险分析、终端主机安全分析等。
18
所投产品必须支持L2TP、支持L2TP over IPSec、支持PPTP ，并支持本地认证以及LDAP/Radius/证书/Active Directory/TACACS+/POP3等第三方用户认证系统。支持客户端地址分配
19
IPSec VPN支持DES、3DES、AES、AES192、AES256等标准加密算法，支持MD5、SHA1、SHA2-256、SHA2-384、SHA2-512等标准HASH算法。
22
支持对失陷的主机进行检测并阻断隔离的功能（提供具备CNAS资质的第三方机构颁发的第三方测试报告，第三方报告需体现失陷主机检测及处置的测试方案内容）
23
策略与处置
支持在单条安全策略中可同时启用入侵防御、防病毒、URL过滤、文件过滤、Web应用防护等安全功能。
24
所投产品必须支持接收前防护状态、处置状态以及相应的操作等信息；并可根据设备安全配置的变化动态显示应急响应的处理结果（需提供相关证明文件或功能截图）
28
所投产品必须web页面必须内置抓包工具，并可通过表达式方便灵活的指定抓包过滤条件