Cisco IOS 防火墙安全性功能简介

　防火墙是一套在网络基础设施上某一特定点实施的、可增强企业安全性政策的硬件和软件。

　　Cisco IOS防火墙在基于Cisco IOS软件的路由器中增加了先进的、行之有效的防火墙技术。作为一种集成解决方案，它可以充分利用客户已经拥有的(如外围路由器)和已经理解的(如Cisco IOS软件)的事物，并可简化拥有和管理问题。作为一种软件，它具有价格低廉、配置简单、升级方便等特点。Cisco IOS防火墙功能集是一份可用于Cisco路由器的可选的附加软件许可证，它可以提供集成在Cisco IOS路由器之中的防火墙功能。

　　Cisco IOS防火墙软件荟萃了多种多样功能强大的安全性功能，包括:

　　基于上下文的访问控制(CBAC) – 可针对横跨外围网络(如在企业专用网络与互联网之间的网段)的所有数据流提供安全的、基于应用的访问控制;CBAC能够阻止多数“端口扫描”企图。

　　入侵检测 – 对网络误用的实时监控、拦截和响应;一整套最常用的攻击与信息收集和入侵检测签名。

　　身份验证代理 – 可用于基于LAN和拨号上网通信的针对具体用户的动态身份验证和授权。

　　拒绝服务检测与预防 – 可防卫和保护路由器资源免遭常见攻击的威胁和伤害(可检查数据包报头;可删除和丢弃可疑数据包)。

　　动态端口映射 – 网络管理员可以在非标准端口上运行被CBAC支持的应用。

　　Java小应用封锁 – 可保护系统免遭身份不明或恶意Java小应用的攻击。

　　 VPN、IPSec加密和QoS支持:

　　 可与Cisco IOS软件加密、封装和QoS功能一起运行，进而确保VPN的安全。

　　 可在路由器上提供可扩展的加密隧道，同时还可集成强大的外围安全性、高级带宽管理、入侵检测以及服务级验证。

　   可在各种标准基础上提供异种机互操作性。

　　实时告警 – 可记录针对拒绝服务攻击或其他预配置条件的告警;现可根据具体应用或具体功能而进行配置。

　　网络事务跟踪记录 – 可跟踪和记录网络事务的详细信息:可记录时间印记、来源主机、目的地主机、端口、时长、以及所传输的字节的总数，并可编制详细报告;现可根据具体应用或具体功能而进行配置。

　　事件记录 – 可将系统错误信息输出记录到控制台终端或系统日志服务器，可设定严重性等级，还可记录其他参数，进而可使管理员实时地跟踪潜在安全性隐患或其他非标准活动。

　　防火墙管理 – 基于向导的网络配置工具可提供从网络设计到编址/寻址再到Cisco IOS防火墙安全性政策配置的一整套循序渐进的指南;还可支持网络地址转换(NAT)和IPSec配置。

　　与Cisco IOS软件的集成 – 可实现与Cisco IOS功能之间的互操作，可将安全性政策执法功能集成到网络之中。

　　基本和高级数据流过滤:

　　标准和扩展ACL可在具体网段上应用访问控制，还可确定允许哪些数据流通过某个网段。

　　加锁和密钥动态ACL可根据用户身份(用户名/密码)而授予通过防火墙的临时访问权。

　　基于政策的多接口支持 – 可提供根据安全性政策所规定的IP地址和接口而控制用户访问的能力。

　　网络地址转换 – 可将内部网络隐藏起来免遭外来攻击，进而可提高安全性。

　　基于时间的访问列表 – 可按照一天中的时间或一周中的日期来定义安全性政策。

　　对等路由器身份验证 – 可确保路由器能从值得信任的来源接收到可靠的路由信息。

　　Cisco IOS防火墙功能集与Cisco PIX防火墙

　　在网络设计过程中的很多阶段上，我们都需要作出这样的选择:我们是应该在网络设备中使用集成化功能(如Cisco IOS防火墙功能集)呢还是应该采用专门功能设备(如PIX™防火墙)呢?集成化功能通常具有比较大的吸引力，因为它可以在现有设备上进行实施，或者因为其功能可与设备的其他部分实现互操作，进而可提供一套更好的功能性解决方案。当所要求的功能非常高级，或者当性能要求迫使我们采用专门硬件时，我们通常就需要采用这些设备。每一次我们都需要作出选择:要么是利用设备的容量和功能，要么是利用设备的集成优势。