什么是防火墙的部署方式

1透明模式

透明模式也可叫作桥模式。最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。

正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、等功能。

2网关模式

网关模式适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。

3NAT模式

NAT(Network Address Translation)地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据;当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。

NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。

服务名为svc:/network/ipfilter:default。默认是禁用的：
svcs -a |gre[ ipfilter
ipFilter的配置文件为/etc/ipf/ipfconf。我们来新建一条规则，禁止1921680168访问服务器端的ftp。
#vi /etc/ipf/ipfconf 添加内容：block in log quick proto tcp from 1041280/24 to any port = ftp
然后重启服务，并查看是否启动。
svcadm -enable scv:/network/ipfilter:default
禁止就是block
通过就是pass
进来就是in
出去就是out
例如：禁止对PING的响应
block out quick proto icmp from any to 104128163/32 icmp-type 0

1、首先打开Windows server，在Windows防火墙中选择高级设置。

2、在开启高级安全Windows防火墙中选择入站规则，在最右边点击新建规则。

3、根据创建入站规则向导中，在要创建的规则类型下面点击选择端口，点击下一步继续。

4、这里设置FTP的访问入站规则，因此选择TCP，点选特定本地端口，在后面输入FTP的端口，这里为FTP默认的端口21。

5、在此需要用户能否访问FTP，因此在连接符合指定条件时应该进行什么 *** 作的下面点击选择允许连接。

6、最后输入便于记忆的规则名称。点击完成，便完成相关的规则建立。

7、在其他的电脑上输入ftp服务器上的ftp地址，已经可以正常的访问了。

应用到: Windows 7, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Vista由于FTP 工作方式所致，在防火墙后的服务器上使用文件传输协议 (FTP) 服务会产生一系列的挑战。通过打开到 TCP 端口号 21 的“命令通道”连接，标准模式 FTP 客户端会启动到服务器的会话。客户端通过将 PORT 命令发送到服务器请求文件传输。然后，服务器会尝试启动返回到 TCP 端口号 20 上客户端的“数据通道”连接。客户端上运行的典型防火墙将来自服务器的此数据通道连接请求视为未经请求，并会丢弃数据包，从而导致文件传输失败。Windows�0�2Vista 和 Windows Server�0�22008 中的 高级安全 Windows 防火墙 支持有状态 FTP，该 FTP 允许将端口 20 上的入站连接请求与来自客户端的先前出站 PORT 命令相匹配。但是，如果您通过 SSL 使用 FTP 来加密和保护 FTP 通信，则防火墙不再能够检查来自服务器的入站连接请求，并且这些请求会被阻止。为了避免此问题，FTP 还支持“被动” *** 作模式，客户端在该模式下启动数据通道连接。客户端未使用 PORT 命令，而是在命令通道上发送 PASV 命令。服务器使用 TCP 端口号进行响应，客户端应连接到该端口号来建立数据通道。默认情况下，服务器使用极短范围（1025 到 5000）内的可用端口。为了更好保护服务器的安全，您可以限制 FTP 服务使用的端口范围，然后创建一个防火墙规则：仅在那些允许的端口号上进行 FTP 通信。本主题将讨论执行以下 *** 作的方法： 配置FTP 服务以便仅将有限数量的端口用于被动模式 FTP配置入站防火墙规则以便仅在允许的端口上进行入站 FTP 连接以下过程显示在 Internet 信息服务 (IIS) 70 版上配置 FTP 服务的步骤。如果您使用其他 FTP 服务，请查阅产品文档以找到相应的步骤。配置对 SSL 的支持不在本主题的讨论范围之内。有关详细信息，请参阅 IIS 文档。配置FTP 服务以便仅将有限数量的端口用于被动模式 FTP在IIS 70 管理器中的“连接”窗格中，单击服务器的顶部节点。在细节窗格中，双击“FTP 防火墙支持”。输入您希望 FTP 服务使用的端口号的范围。例如，41000-41099 允许服务器同时支持 100 个被动模式数据连接。输入防火墙的外部 IPv4 地址，数据连接通过该地址到达。在“ *** 作”窗格中，单击“应用”保存您的设置。还必须在 FTP 服务器上创建防火墙规则，以在前一过程中配置的端口上允许入站连接。尽管您可以创建按编号指定端口的规则，但是，创建打开 FTP 服务所侦听的任何端口的规则更为容易。通过按前一过程中的步骤 *** 作，您可限制 FTP 侦听的端口。配置入站防火墙规则以便仅允许到 FTP 所侦听端口的入站 FTP 连接打开管理员命令提示符。依次单击「开始」、“所有程序”和“附件”，右键单击“命令提示符”，然后单击“以管理员身份运行”。运行下列命令： netsh advfirewall firewall add rule name=”FTP Service” action=allow service=ftpsvc protocol=TCP dir=in 最后，禁用有状态 FTP 筛选，以使防火墙不会阻止任何 FTP 通信。 netsh advfirewall set global StatefulFTP disable

---