大家好，今天我想和大家分享一下我对“lan硬件防火墙配置图”的理解。为了让大家更深入地了解这个问题，我将相关资料进行了整理，现在就让我们一起来探讨吧。
1.一个路由器一个IP怎么设置可以多台电脑同时用
2.怎么设置网络防火墙
3.硬件防火墙的基本原理及内部构造
4.光纤—路由器—防火墙—交换机，其中路由器与防火墙如何设置
一个路由器一个IP怎么设置可以多台电脑同时用
路由器配置指南
对路由器进行基本配置，使电脑通过路由器实现共享上网，过程相对来说比较容易实现；这篇文档下面的内容，主要讲述如下几部分：
1， 收集并判断信息，为配置路由器做准备；
2， 进入路由器管理界面，对路由器进行配置；
3， 配置过程简单的故障定位排除；
让我们快快开始，进入正题！
1， 置路由器前的准备工作（如果你对你自己的连接方式清楚，可以直接跳到第2点）
第一个需要确认的就是您的“宽带接入方式”是怎样的？
当然，最简捷的办法就是给您的ISP（互联网服务提供商）打个电话咨询一下；也可以通过您购买路由器以前的网络连接方式进行快速判断。
常见的硬件连接方式有下面几种：
1， 电话线 —> ADSL MODEM —> 电脑
2，双绞线（以太网线）—> 电脑
3，有线电视（同轴电缆）—> Cable MODEM —> 电脑
4，光纤 —> 光电转换器 —> 代理服务器 —> PC
ADSL / VDSL PPPoE ：电脑上运行第三方拨号软件如Enternet300或WinXP 系统自带的拨号程序，填入ISP提供的账号和密码，每次上网前先要拨号；
或者您的ADSL MODEM 已启用路由功能，填入了ISP提供的账号和密码，拨号的动作交给 MODEM 去做；（这种宽带接入方式典型的比如南方电信提供的“ 网络快车 ”）
静态IP ：ISP提供给您固定的IP地址、子网掩码、默认网关、DNS ；
动态IP ：电脑的TCP/IP属性设置为“自动获取IP地址”，每次启动电脑即可上网；（这种宽带接入方式典型的比如深圳“天威视讯”）
802.1X+静态IP ：ISP提供固定的IP地址，专用拨号软件，账号和密码 ；
802.1X+动态IP ：ISP提供专用拨号软件，账号和密码 ；
WEB认证 ：每次上网之前，打开IE浏览器，先去ISP指定的主页，填入ISP提供的用户名密码，通过认证以后才可以进行其他得上网操作；
（上面的黑体字就是您的宽带接入方式，接入方式和硬件连接方式并不是固定搭配的）
上面提到的这些连接认证方式只是普及率比较高的一些宽带接入方式，当然还会有其他的拓扑连接以及认证方式的存在；所以，当您不能肯定自己的宽带方式的时候，最好向ISP咨询：自己装的宽带接入，IP地址是静态的还是动态的？认证使用的协议是PPPoE、802.1X还是WEB认证？当上面的两个问题有了答案，就可以对路由器进行配置了；
2， 怎样进入路由器管理界面？
先参照《用户手册》上面的图示，将ADSL MODEM、路由器、电脑连结起来；
TL-R4XX系列路由器的管理地址出厂默认：IP地址：192. 168. 1. 1 ，子网掩码：255. 255. 255. 0 （TL-R400 和TL-R400+ 两款的管理地址默认为：192. 168. 123. 254 ，子网掩码：255. 255. 255. 0）用网线将路由器LAN口和电脑网卡连接好，因为路由器上的以太网口具有极性自动翻转功能，所以无论您的网线采用直连线或交叉线都可以，需要保证的是网线水晶头的制作牢靠稳固，水晶头铜片没有生锈等。
电脑桌面上右键点击“网上邻居”，选择“属性”，在弹出的窗口中双击打开“本地连接”，在弹出的窗口中点击“属性”，然后找寻“Internet协议（TCP/IP）”，双击弹出“Internet协议（TCP/IP）属性”窗口；
在这个窗口中选择“使用下面的IP地址”，然后在对应的位置填入：
IP地址 ：192. 168. 1. X（X范围2-254）、
子网掩码：255. 255. 255. 0 、
默认网关：192. 168. 1. 1 ，填完以后“确定”两次即可；
“Internet协议（TCP/IP）属性”窗口如下：
3，检查电脑和路由器能不能通讯？
可采用如下办法查看，打开电脑的DOS界面：
“开始”—>“程序”，点击“MS-DOS” （Win98操作系统）
“开始”—>“程序”—“附件”，点击“命令提示符” （Win2000/XP操作系统）
一是检查上面的IP地址配置是否生效？
在DOS窗口输入：ipconfig/all 并回车，当看到类似如下信息，表示配置生效 ，
IP Address . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . : 192. 168. 1. 10
Subnet Mast . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .: 255. 255. 255. 0
Default Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . : 192. 168. 1. 1
二是从电脑往路由器LAN口发送数据包，看数据包能不能返回？在DOS窗口运行：
ping 192. 168. 1. 1 –t 并回车，如果出现如下类似信息，
Reply from 192. 168. 1. 1 : bytes=32 time<10ms TTL=128 Reply from 192. 168. 1. 1 : bytes=32 time<10ms TTL=128 Reply from 192. 168. 1. 1 : bytes=32 time<10ms TTL=128 如果回车后没有出现上面的信息，确提示输入的命令“不是内部命令或外部命令，也不是可运行的程序或批处理程序”，则说明命令输入有误，请检查空格之类的输入是否被忽略； 4，进入路由器管理界面；出现上图的信息，表示电脑可以和路由器通讯了，打开IE浏览器，在地址栏输入 192. 168. 1. 1 并回车，正常情况下会出现要求输入用户名和密码的对话框。当然，也有例外情况： 如果打开IE浏览器地址栏输入地址回车，弹出“脱机工作”的对话框，点即“连接”后出现拨号的小窗口，请点击IE浏览器菜单栏的“工具”—“Internet选项”，在弹出的对话框内点击“连接”属性页，界面如下图： 进行了上面的操作，应该说进入路由器管理界面应该没有什么障碍了； 5，开始配置路由器；有了刚开始时对宽带接入方式的信息准备，配置起来方便多了；刚进入路由器管理界面，会弹出一个类似下图“设置向导”界面，可以取消不理它； 进入路由器管理界面，在左列菜单栏中点击“网络参数”—>“WAN口设置”，就在这里配置路由器面向Internet方向的WAN口的工作模式，这是最关键的一步；
假设您的宽带接入方式为 ADSL PPPoE ，那就选择“WAN口连接类型”为“PPPoE”，填入“上网账号” 、“上网口令”，如果您是包月用户，再选择连接模式为：“自动连接”，点击“保存”即完成配置；保存完后“上网口令”框内填入的密码会多出几位，这是路由器为了安全起见专门做的；
然后您点击管理界面左列的“运行状态”，在运行状态页面“WAN口属性”，刚开始看不到对应的IP地址子网掩码默认网关DNS服务器等地址，就好像下面的这幅图，那说明路由器正在拨号过程中，等到这些地址都出现了相应的信息后，将其中的DNS服务器地址填入电脑“Internet协议（TCP/IP）”页面对应位置确定后，基本的设置就完成了，没有大碍的话可以冲浪了！
正常情况下一两分钟内，上图椭圆形部分会出现一系列地址，表明拨号成功；
6，故障情况列举；
如果上图椭圆形区域一直都没有变，看不到任何地址，有下面几种原因导致，请逐一排除：
1） ADSL MODEM上一般都会有一个ADSL灯，正常情况下MODEM加电并接好电话线后，这个灯会大致规律性地快慢闪烁，闪烁最终停止变为长亮；如果这个灯无休止的闪啊闪就是不长亮，请联系并告知ISP您的ADSL MODEM同局端的交换机不能同步，这个ADSL/DSL灯长亮的条件，是必须的；
2） 在配置过程中填入“上网口令”的时候不小心输错，不妨重新输入一遍；
3） ADSL MODEM 启用了“路由模式”， 需要将ADSL MDOEM复位成“桥接模式”；怎么复位到桥接模式可以和MODEM厂家联系取得操作方法；也可以这样判断：电脑接MODEM，并且在电脑上拨号，拨号成功以后可以上网，如果是这种情况的话，则说明MODEM的工作方式是桥接模式，可以排除这一可能性；
4） ISP将电脑网卡的MAC地址帮定到了ADSL线路上；解决的办法就是使用路由器的“MAC地址克隆”功能，将网卡的MAC地址复制到路由器的WAN口；
如果上面的可能性都排除了，ADSL PPPoE拨号一般就没什么问题了，下面列举的是另2个值得关注的故障原因；
5） 您的宽带接入方式是那种以太网线直接引入，不是ADSL但同样需要拨号，拨号的软件不局限于一种，认证使用的协议也是PPPoE，但就是拨号成功不了；如果ISP承诺带宽是10Mbps ，建议：找个10/100M自适应的集线器，将宽带进线接在集线器上，然后再连结集线器到路由器WAN口；经过这样一个速率适配的过程，拨号应该没有问题的；
6） 购买路由器前，您也是通过电脑运行拨号软件，填入用户名口令拨号。但拨号软件是ISP提供的专用软件，别的软件拨号是成功不了的；如果是这种情况，请联系ISP咨询一下：您的宽带接入，认证使用的协议是802. 1X 吗？如果是的，有种可能是认证系统在开发过程中加入私有信息，导致路由器拨号失败；
7，其他配置
1） 安全设置
当可以正常上网了，可能出于不同的原因，您想要对内部局域网的电脑上网操作，开放不同的权限，比如只允许登录某些网站、只能收发E-mail、一部分有限制、一部分不限制；用户在这方面需求差异较大，有些通过路由器可以实现，有些用路由器是没办法完全实现的，比如“IP地址和网卡地址绑定”这个功能，路由器不能完全做到；
我们上网的操作，其实质是电脑不断发送请求数据包，这些请求数据包必然包含一些参数比如：源IP、目的IP、源端口、目的端口等等；路由器正是通过对这些参数的限制，来达到控制内部局域网的电脑不同上网权限的目的；
下面我们会列举具有代表性的配置举例，来说明路由器“防火墙设置”、“IP地址过滤”这些功能是怎样使用的？列举的事例以及上面红字部分的解释，都是为了帮助您尽可能理解各个功能参数的含义，只有理解了参数的含义，您才可以随心所欲的配置过滤规则，迅速实现您预期的目的，而不会因为配置错误导致不能使用这些功能，也不会因为由于得不到及时的技术支持而耽误您的应用；
上图是“防火墙设置”页面，可以看到这是一个总开关的设置页面，凡是没有使用的功能，就请不要在它前面打钩选中；
除了总开关，再有就是两个过滤功能“缺省过滤规则”的确定，何谓缺省过滤规则？我们在具体规则设置页面里，定义一些特定的规则，对符合条件的数据包进行控制处理，而这儿的“缺省规则”顾名思义，限定的是我们定制的规则中没有涉及到不符合的数据包该怎么办？这个应该不难理解吧；
一个数据包，要吗符合我们设定的规则，要吗不符合我们设定的规则但同时必定符合缺省规则；
上图就是“IP地址过滤”页面，我们可以看到缺省的过滤规则，可以填加新条目；
上图就是详细具体的规则设置页面，各项参数如上；
我们配置一条规则：限制内部局域网的一台电脑，IP地址192. 168. 1. 10，只让它登录www.tp-link.com.cn这个网站，别的任何操作都不行；
上面这条规则可以解读为：内网电脑往公网发送数据包，数据包的源IP地址是要限制的这台电脑的IP地址192. 168. 1. 10，数据包目的IP地址202. 96. 137. 26 ，也就是www.tp-link.com.cn这个域名对应的公网IP地址，广域网请求因为是针对网站的限制，所以端口号是80 ；规则设置好界面如下图：
可以在配置好的规则页面清晰看到，规则生效时间是24小时，控制的对象是IP地址为
192. 168. 1. 10这台主机，局域网后面的端口默认不要填，广域网IP地址栏填入的是www.tp-link.com.cn对应的公网IP地址，端口号因为是网站所以填80，协议一般默认选择ALL就行了；是否允许通过呢？因为缺省规则是禁止不符合设定规则的数据包通过路由器，所以符合设定规则的数据包允许通过，规则状态为生效的；
上面这幅新加了第二条规则，请问第二条规则设定的是什么数据包？
如果您的规则中涉及对网站进行限制，也就是目的请求端口是80的，则应该考虑对应的将53这个端口对应数据包也允许通过，因为53对应的是去往“域名解析服务器”的数据包，用于将域名（如www.tp-link.com.cn）和IP地址（如202. 96. 137. 26）对应的，所以必须开！
配置“IP地址过滤规则”这个功能用来实现您的一些目的，最主要的是分析都要做那些控制，然后选择怎样的缺省规则？配置怎样的过滤规则？如果您决心了解这个功能的真正作用，通过仔细参考资料和在路由器上反复的实验，您一定可以完全掌握的！
怎么设置网络防火墙
点击防火墙（Firewall）按钮
选择访问规则（Access Rules）
点击打算修改规则的“编辑”图标来对规则进行编辑
弹出的下拉框，按需要对访问规则进行调整（图J）
另外，你也可以点击某个访问规则相应的垃圾桶图标，从而删除它。
图J:SonicWALL的下拉框可以迅速的编辑访问规则
点击“确定（OK）”来实施编辑（如果你是删除某个规则，则会提示你确认该操作）。SonicWALL的固件会写入修改，并更新防火墙的配置。 编辑服务组群SonicWALL设备，默认情况下包含服务目标和组群，是设计用于简化防火墙管理的。使用SonicWALL防火墙，服务组以及目标，一般是用于向网络用户提供常见应用和服务（比如PC Anywhere, ShoreTel, VNC以及Yahoo Messenger） 要回顾一台防火墙设备的设定登录进入SonicWALL防火墙。
点击防火墙（Firewall）按钮
选择服务（Services）
默认会提供许多服务组（图K）。要增加额外的组或目标：
登录进入SonicWALL防火墙。
点击防火墙（Firewall）按钮
选择服务（Services）
点击“自定义服务”（Custom Services）按钮
点击“添加组”（Add Group）来添加一个新服务组或增加建立一个新服务（图L）。
图K:SonicWALL的固件提供了数量众多的预定义服务组，以简化防火墙设置。
图L:管理员可以在需要建立自己的防火墙服务时，通过定义对应规则来进行
如果你点击“添加组（Add Group）”，左面板会有很多预定义的选项。你可以选择其中之一或者输入自己喜欢的名字，然后点击“确定（OK）”；要配置它的设定，点击它旁边的编辑图标。
硬件防火墙的基本原理及内部构造
问题一：网络防火墙怎么设置 网络防火墙在哪里设置 网络防火墙，是大家上网安全的基本保证之一，由于某些原因，部分朋友需要关闭或对网络防火墙进行设置，却不知道网络防火墙在哪里设置。
xp网络防火墙怎么设置？
xp系统的防火墙设置就比较简单了，直接右键网络连接图标，即可看到“更改windows防火墙设置”的选项，点击打开即可进行设置
win7网络防火墙在哪里设置？
右键win7桌面右下角的网络连接图标，打开网络和共享中心
打开窗口的左下角有个windows防火墙，单击点开
这就是win7网络防火墙的设置界面，左边红框处可以对防火墙进行高级设置
win8网络防火墙怎么设置？
在开始界面下 点击桌面或Win+D快捷键或单独按Win显示桌面。
在开始的位置的地方点击鼠标右键。选择控制面板
进入控制面板后点击用户帐户和家庭安全
在用户帐户和家庭安全界面中依次点击系统和安全----Windows 防火墙
进入防火墙设置界面下找到启用或关闭Windows防火墙点击进入。
自定设置下分别点击专用网络设置关闭Windows 防火墙和公共网络设置关闭Windows 防火墙单选框。再点击确定。这样就关闭了Win8的防火墙。
关闭防火墙后在设置下面是这样的都红了。如图所示：
问题二：怎样检查网络设置或防火墙设置是否正确 首先点击左下方的开始按钮，找到控制面板，并点击进入界面
在打开的界面中找到Windows防火墙
点击Windows防火墙，进入界面
在界面中找到打开或关闭Windows防火墙，并点击打开进入到设置界面即可。
问题三：怎么将win7防火墙由公用网络设为家庭网络 您好朋友，请回到你的桌面按照如下操作。
点击右下角的网络图标，打开网络和共享中心，左边是网络连接状态和网络类型，win7有三种网络类型，激庭网络，工作网络，公用网络。查看活动网络下是你现在的网络类型，显示蓝色字体，点击进入切换网络类型界面，点选你想更改的网络类型点确定就可以了。
问题四：本地连接的防火墙怎么设置啊？ 按以下操作步骤修改本地连接的Windows防火墙设置：
1、点击开始，选择控制面板；
2、在控制面板界面，选择系统和安全；
3、在系统和安全界面，选择Windows防火墙；
4、在Windows防火墙界面，点击左侧导航的打开或关闭Windows 防火墙；
5、进入自定义设置界面，可以设置防火墙的关闭和打开，设置完成，点击确定。
问题五：电脑防火墙设置了连接不到网络怎么办 假设你说的是windows防火墙，并且是win7系统。那么上图左侧有一个“还原默认设置”选项。应该能解决你的问题。
问题六：怎么调整防火墙设置？ 15分 好办 你要是家里的话 就先关网 再关防火墙 然后装 在全开 要是网吧的话 就比较麻烦了
问题七：启用防火墙，怎样设置局域网。 5分 得看局域网的规模来选设。
对具有3层交换机或以上的局域网，通常选交换机时直接选购具有防火墙模块的交换机恭可。
对简单采用路由器隔离的交换机或路由器最简单的方法是设置里面的软防火墙――只能简单地限制IP，流量，异常处理等；如果要较强地包括防攻击病毒等，则至少需要安装一台代理防火墙过滤[实际上就是1台计算机]来防止这类的攻击。
当然还有更简单方法就是局域网不设防火墙――因为简单交换机或路由器没有防火墙设置，由域内计算机自己安装防火墙等软件。
问题八：如何设置无线网络防火墙？ 你的这个问题题的可能就有点问题.你的意思是不是不想让别人通过你的无线路由器上网呢?如果是这样的话.那么就不必设置防火墙.只要设置好上网相关参数即可.
无线路由器与普通路由器的设置原理是一样的.只不过连接的方式不一样而已.
1.根据你的上网类型.设置好相关网络参数.比如网通:WAN类型选PPPOE填上网通给你的账号与密码.LAN设置好你的网关.默认下一般是192.168.11或192.168.0.1可以不设置.
2.关闭DHCP服务器.这样别人就不可能自动通过你的路由器连接网络.
3.在安全设置中.你可以通过MAC地址过滤来控制局域网中计算机对Internet的访问.来控制通过你的路由器上网的PC机了.这个功能根据不同的路由器.设置略有所不同.比如:禁止下列MAC地址的PC对Internet的访问.只下列MAC地址的PC对Internet的访问等.如果你的路由器有MAC地址与IP地址绑定功能的话.还可以用这种方法来控制别人的电脑通过你的路由器上网.
问题九：windows7的网络防火墙无法启动.如何解决? 我跟你一样，我装的是旗舰版的，应该是刚装完机郸会弹出来提示，或者是你之前没处理现在又提示了。修复是无效的的，可以无视之。安装杀毒软件就行了，能够确保你的计算机安全，别浏览非法，黄页，杀毒软件警告的网页，基本上不会中毒的。我的计算机上还只装了360呢，别把防火墙想的太万能了。当然，要是有什么特别隐私，或者重要文件，请一定备份！！！
问题十：win10 怎么设置网络防火墙 1、点击控制面板，然后把图标调成小图标，找到Windows 防火墙点击。
2、点击左侧的“启用或关闭Windows防火墙”
3、将所有网络或者某个网络设置为“启用Windows防火墙“就开启防火墙了。
光纤—路由器—防火墙—交换机，其中路由器与防火墙如何设置
防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉。在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。
天下的防火墙至少都会说两个词：Yes或者No。直接说就是接受或者拒绝。最简单的防火墙是以太网桥。但几乎没有人会认为这种原始防火墙能管多大用。大多数防火墙采用的技术和标准可谓五花八门。这些防火墙的形式多种多样：有的取代系统上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统。还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。还有一些基于硬件的防火墙产品其实应该归入安全路由器一类。以上的产品都可以叫做防火墙，因为他们的工作方式都是一样的：分析出入防火墙的数据包，决定放行还是把他们扔到一边。
所有的防火墙都具有IP地址过滤功能。这项任务要检查IP包头，根据其IP源地址和目标地址作出放行/丢弃决定。看看下面这张图，两个网段之间隔了一个防火墙，防火墙的一端有台UNIX计算机，另一边的网段则摆了台PC客户机。
当PC客户机向UNIX计算机发起telnet请求时，PC的telnet客户程序就产生一个TCP包并把它传给本地的协议栈准备发送。接下来，协议栈将这个TCP包“塞”到一个IP包里，然后通过PC机的TCP/IP栈所定义的路径将它发送给UNIX计算机。在这个例子里，这个IP包必须经过横在PC和UNIX计算机中的防火墙才能到达UNIX计算机。
现在我们“命令”（用专业术语来说就是配制）防火墙把所有发给UNIX计算机的数据包都给拒了，完成这项工作以后，“心肠”比较好的防火墙还会通知客户程序一声呢！既然发向目标的IP数据没法转发，那么只有和UNIX计算机同在一个网段的用户才能访问UNIX计算机了。
还有一种情况，你可以命令防火墙专给那台可怜的PC机找茬，别人的数据包都让过就它不行。这正是防火墙最基本的功能：根据IP地址做转发判断。但要上了大场面这种小伎俩就玩不转了，由于黑客们可以采用IP地址欺骗技术，伪装成合法地址的计算机就可以穿越信任这个地址的防火墙了。不过根据地址的转发决策机制还是最基本和必需的。另外要注意的一点是，不要用DNS主机名建立过滤表，对DNS的伪造比IP地址欺骗要容易多了。
服务器TCP/UDP 端口过滤
仅仅依靠地址进行数据过滤在实际运用中是不可行的，还有个原因就是目标主机上往往运行着多种通信服务，比方说，我们不想让用户采用 telnet的方式连到系统，但这绝不等于我们非得同时禁止他们使用SMTP/POP邮件服务器吧？所以说，在地址之外我们还要对服务器的TCP/ UDP端口进行过滤。
比如，默认的telnet服务连接端口号是23。假如我们不许PC客户机建立对UNIX计算机（在这时我们当它是服务器）的telnet连接，那么我们只需命令防火墙检查发送目标是UNIX服务器的数据包，把其中具有23目标端口号的包过滤就行了。这样，我们把IP地址和目标服务器TCP/UDP端口结合起来不就可以作为过滤标准来实现相当可靠的防火墙了吗？不，没这么简单。
客户机也有TCP/UDP端口
TCP/IP是一种端对端协议，每个网络节点都具有唯一的地址。网络节点的应用层也是这样，处于应用层的每个应用程序和服务都具有自己的对应“地址”，也就是端口号。地址和端口都具备了才能建立客户机和服务器的各种应用之间的有效通信联系。比如，telnet服务器在端口23侦听入站连接。同时telnet客户机也有一个端口号，否则客户机的IP栈怎么知道某个数据包是属于哪个应用程序的呢？
由于历史的原因，几乎所有的TCP/IP客户程序都使用大于1023的随机分配端口号。只有UNIX计算机上的root用户才可以访问1024以下的端口，而这些端口还保留为服务器上的服务所用。所以，除非我们让所有具有大于1023端口号的数据包进入网络，否则各种网络连接都没法正常工作。
这对防火墙而言可就麻烦了，如果阻塞入站的全部端口，那么所有的客户机都没法使用网络资源。因为服务器发出响应外部连接请求的入站（就是进入防火墙的意思）数据包都没法经过防火墙的入站过滤。反过来，打开所有高于1023的端口就可行了吗？也不尽然。由于很多服务使用的端口都大于1023，比如X client、基于RPC的NFS服务以及为数众多的非UNIX IP产品等（NetWare/IP）就是这样的。那么让达到1023端口标准的数据包都进入网络的话网络还能说是安全的吗？连这些客户程序都不敢说自己是足够安全的。
双向过滤
OK，咱们换个思路。我们给防火墙这样下命令：已知服务的数据包可以进来，其他的全部挡在防火墙之外。比如，如果你知道用户要访问Web服务器，那就只让具有源端口号80的数据包进入网络：
不过新问题又出现了。首先，你怎么知道你要访问的服务器具有哪些正在运行的端口号呢？ 象HTTP这样的服务器本来就是可以任意配置的，所采用的端口也可以随意配置。如果你这样设置防火墙，你就没法访问哪些没采用标准端口号的的网络站点了！反过来，你也没法保证进入网络的数据包中具有端口号80的就一定来自Web服务器。有些黑客就是利用这一点制作自己的入侵工具，并让其运行在本机的80端口！
检查ACK位
源地址我们不相信，源端口也信不得了，这个不得不与黑客共舞的疯狂世界上还有什么值得我们信任呢？还好，事情还没到走投无路的地步。对策还是有的，不过这个办法只能用于TCP协议。
TCP是一种可靠的通信协议，“可靠”这个词意味着协议具有包括纠错机制在内的一些特殊性质。为了实现其可靠性，每个TCP连接都要先经过一个“握手”过程来交换连接参数。还有，每个发送出去的包在后续的其他包被发送出去之前必须获得一个确认响应。但并不是对每个TCP包都非要采用专门的ACK包来响应，实际上仅仅在TCP包头上设置一个专门的位就可以完成这个功能了。所以，只要产生了响应包就要设置ACK位。连接会话的第一个包不用于确认，所以它就没有设置ACK位，后续会话交换的TCP包就要设置ACK位了。
举个例子，PC向远端的Web服务器发起一个连接，它生成一个没有设置ACK位的连接请求包。当服务器响应该请求时，服务器就发回一个设置了ACK位的数据包，同时在包里标记从客户机所收到的字节数。然后客户机就用自己的响应包再响应该数据包，这个数据包也设置了ACK位并标记了从服务器收到的字节数。通过监视ACK位，我们就可以将进入网络的数据限制在响应包的范围之内。于是，远程系统根本无法发起TCP连接但却能响应收到的数据包了。
这套机制还不能算是无懈可击，简单地举个例子，假设我们有台内部Web服务器，那么端口80就不得不被打开以便外部请求可以进入网络。还有，对UDP包而言就没法监视ACK位了，因为UDP包压根就没有ACK位。还有一些TCP应用程序，比如FTP，连接就必须由这些服务器程序自己发起。
FTP带来的困难
一般的Internet服务对所有的通信都只使用一对端口号，FTP程序在连接期间则使用两对端口号。第一对端口号用于FTP的“命令通道”提供登录和执行命令的通信链路，而另一对端口号则用于FTP的“数据通道”提供客户机和服务器之间的文件传送。
在通常的FTP会话过程中，客户机首先向服务器的端口21（命令通道）发送一个TCP连接请求，然后执行LOGIN、DIR等各种命令。一旦用户请求服务器发送数据，FTP服务器就用其20端口 (数据通道)向客户的数据端口发起连接。问题来了，如果服务器向客户机发起传送数据的连接，那么它就会发送没有设置ACK位的数据包，防火墙则按照刚才的规则拒绝该数据包同时也就意味着数据传送没戏了。通常只有高级的、也就是够聪明的防火墙才能看出客户机刚才告诉服务器的端口，然后才许可对该端口的入站连接。
UDP端口过滤
好了，现在我们回过头来看看怎么解决UDP问题。刚才说了，UDP包没有ACK位所以不能进行ACK位过滤。UDP 是发出去不管的“不可靠”通信，这种类型的服务通常用于广播、路由、多媒体等广播形式的通信任务。NFS、DNS、WINS、NetBIOS-over-TCP/IP和 NetWare/IP都使用UDP。
看来最简单的可行办法就是不允许建立入站UDP连接。防火墙设置为只许转发来自内部接口的UDP包，来自外部接口的UDP包则不转发。现在的问题是，比方说，DNS名称解析请求就使用UDP，如果你提供DNS服务，至少得允许一些内部请求穿越防火墙。还有IRC这样的客户程序也使用UDP，如果要让你的用户使用它，就同样要让他们的UDP包进入网络。我们能做的就是对那些从本地到可信任站点之间的连接进行限制。但是，什么叫可信任！如果黑客采取地址欺骗的方法不又回到老路上去了吗？
有些新型路由器可以通过“记忆”出站UDP包来解决这个问题：如果入站UDP包匹配最近出站UDP包的目标地址和端口号就让它进来。如果在内存中找不到匹配的UDP包就只好拒绝它了！但是，我们如何确信产生数据包的外部主机就是内部客户机希望通信的服务器呢？如果黑客诈称DNS服务器的地址，那么他在理论上当然可以从附着DNS的UDP端口发起攻击。只要你允许DNS查询和反馈包进入网络这个问题就必然存在。办法是采用代理服务器。
所谓代理服务器，顾名思义就是代表你的网络和外界打交道的服务器。代理服务器不允许存在任何网络内外的直接连接。它本身就提供公共和专用的DNS、邮件服务器等多种功能。代理服务器重写数据包而不是简单地将其转发了事。给人的感觉就是网络内部的主机都站在了网络的边缘，但实际上他们都躲在代理的后面，露面的不过是代理这个假面具。
小结
IP地址可能是假的，这是由于IP协议的源路有机制所带来的，这种机制告诉路由器不要为数据包采用正常的路径，而是按照包头内的路径传送数据包。于是黑客就可以使用系统的IP地址获得返回的数据包。有些高级防火墙可以让用户禁止源路由。通常我们的网络都通过一条路径连接ISP，然后再进入Internet。这时禁用源路由就会迫使数据包必须沿着正常的路径返回。
还有，我们需要了解防火墙在拒绝数据包的时候还做了哪些其他工作。比如，防火墙是否向连接发起系统发回了“主机不可到达”的ICMP消息？或者防火墙真没再做其他事？这些问题都可能存在安全隐患。ICMP“主机不可达”消息会告诉黑客“防火墙专门阻塞了某些端口”，黑客立即就可以从这个消息中闻到一点什么气味。如果ICMP“主机不可达”是通信中发生的错误，那么老实的系统可能就真的什么也不发送了。反过来，什么响应都没有却会使发起通信的系统不断地尝试建立连接直到应用程序或者协议栈超时，结果最终用户只能得到一个错误信息。当然这种方式会让黑客无法判断某端口到底是关闭了还是没有使用。
...防火墙分为软件防火墙和硬件防火墙两种。软件防火墙是安装在pc平台的软件产品，它通过在操作系统底层工作来实现网络管理和防御功能的优化。但对国内市场上的硬件防火墙产品介绍仔细研读后，记者发现，对于硬件防火墙的定义，厂商们似乎仍莫衷一是。大多数厂商对产品的介绍，往往用大量的篇幅向消费者灌输产品的防护功能，而关于防火墙的实际配置，则基本没有提及。
查阅国内外大量资料后，发现硬件防火墙一般有着这样的核心要求：它的硬件和软件都需要单独设计，有专用网络芯片来处理数据包；同时，采用专门的操作系统平台，从而避免通用操作系统的安全性漏洞。对软硬件的特殊要求，使硬件防火墙的实际带宽与理论值基本一致，有着高吞吐量、安全与速度兼顾的优点。
而国内市场的硬件防火墙，大部分都是所谓的“软硬件结合的防火墙”，采用的是定制机箱+x86硬件架构+防火墙软件模块(大多数是基于unix类系统下开发的)，而且是pc box结构。这种防火墙的核心技术实际上仍然是软件，吞吐量不高，容易造成带宽瓶颈。并且pc架构本身就不稳定，更不可能长时间运行。
路由器可以像没有防火培那样配置，防火墙的配置如下：
透明防火墙应用配置案例
实训要求：
1) 完成整个网络环境的搭建，完成好外网服务器及客户端IP信息的配置；
2) 完成FTP、Web服务器的配置；
3) 正确配置三层交换机、路由器；
4) 正确配置防火墙；
5) 使内网的客户端可以访问外网的任何服务(包括ping协议)；
6) 内网中的客户端可以远程到防火墙对其进行管理。
SW的配置说明：
Switch#config terminal
Switch(config)#
Switch(config)#host SW
SW(config)#ip routing
SW(config)#int f0/2
SW(config-if)#switchport access vlan 2
SW(config-if)#exit
SW(config)#int f0/10
SW(config-if)#no switchport
SW(config-if)#ip add 192.168.10.2 255.255.255.0
SW(config-if)#no sh
SW(config-if)#exit
SW(config)#int vlan 2
SW(config-if)#ip add 192.168.2.1 255.255.255.0
SW(config-if)#no sh
SW(config)#ip route 10.10.10.0 255.255.255.0 192.168.10.1
FW配置说明：
ciscoasa# conf t
ciscoasa(config)# firewall transparent ------------------设置防火墙为透明模式
ciscoasa(config)# host FW
FW(config)# int e0/0
FW(config-if)# switchport acc vlan 1 ------------------设置端口与VLAN1绑定
FW(config-if)# no sh
FW(config-if)# exit
FW(config)# int e0/1
FW(config-if)# switchport acc vlan 2 --------------设置端口与VLAN2绑定
FW(config-if)# no sh
FW(config-if)# exit
FW(config)# int vlan 1
FW(config-if)# nameif outside ---------------------对端口命名外端口
FW(config-if)# security-level 0 --------------------设置端口等级
FW(config-if)# no sh
FW(config-if)# exit
FW(config)# int vlan 2
FW(config-if)# nameif inside ---------------------对端口命名内端口
FW(config-if)# security-level 100 --------------------设置端口等级
FW(config-if)# no sh
FW(config)# ip address 192.168.10.10 255.255.255.0 ------------配置管理IP地址
FW(config)# access-list icmp extended permit icmp any any --------------设置ACL列表（允许ICMP全部通过）
FW(config)# access-list ip extended permit ip any any ------------------设置ACL列表（允许所有IP通过）
FW(config)# access-group icmp in interface outside
------------------------------------------------------------------设置ACL列表绑定到外端口
FW(config)# access-group icmp in interface inside
------------------------------------------------------------------设置ACL列表绑定到内端口
FW(config)# access-group ip in interface inside
FW(config)# access-group ip in interface outside
FW(config)# route outside 0.0.0.0 0.0.0.0 192.168.10.1 --------为管理地址配置网关
FW(config)# route inside 192.168.2.0 255.255.255.0 192.168.10.2
----------------------------------------------------------------------为管理地址配置网关
FW (config)# telnet 0.0.0.0 0.0.0.0 inside ------------设置TELNET所有地址进入
R配置说明：
Router(config)#host R
R(config)#int f0/0
R(config-if)#ip add 192.168.10.1 255.255.255.0
R(config-if)#no sh
R(config-if)#exit
R(config)#int f0/1
R(config-if)#ip add 10.10.10.1 255.255.255.0
R(config-if)#no sh
R(config-if)#exit
R(config)#ip route 192.168.2.0 255.255.255.0 192.168.10.2
R (config)#access-list 1 permit 192.168.0.0 0.0.255.255
-------------------------------------------定义内部网络中允许访问外部的访问控制列表
R(config)#ip nat inside source list 1 interface f0/1 overload
------------------------------------------------------------------------指定网络地址转换映射
R(config)#interface f0/1
R(config-if)#ip nat outside ---------------------------------在外部端口上启用NAT
R(config)#interface fastethernet 0/0
R(config-if)#ip nat inside ---------------------------------在内部端口上启用NAT
好了，今天我们就此结束对“lan硬件防火墙配置图”的讲解。希望您已经对这个主题有了更深入的认识和理解。如果您有任何问题或需要进一步的信息，请随时告诉我，我将竭诚为您服务。
