|
Cisco IOS防火墙特性集(3) CBAC根据状态表中的信息，动态地创建和删除每一个路由器接口的访问控制列入口。
这些入口在集成的防火墙中创建暂时的“开口”，允许有效的回返通信流量进入网络。与状态表相似，动态ACL在对话结束时不被保存。 CBAC适用于何处 CBAC是根据每个接口配置的。CBAC可能被配置用于控制源于防火墙另一方的通信(双向)；但是，大多数客户将CBAC用于仅源于一方的通信(单向)。 将CBAC配置为一个单向控制，其中客户对话是在内部网内启动的，必须穿过防火墙才能访问一个主机。例如，一个分支办事处可能需要跨一个广域网连接或Internet访问企业服务器。CBAC根据需要打开连接，并监视回返通信流量。 当一个防火墙双方都需要保护时，CBAC适合作为一个双向解决方案。这种配置的一个例子是在两个代理产品公司的网络之间，其中某些应用程序通信被限制在一个方向，其他应用程序在另一个方向。
有关CBAC的其他说明
对于每一个连接，CBAC都为状态表和动态ACL跟踪及分配内存。如果只有一个ACL组被配置在某一给定的方向，那么CBAC的内存消耗少于每连接600字节(跨所有平台)。一个应用程序对话可能包括多个TCP/UDP连接。例如，一个NetMeeting对话包括多达7个TCP/UDP连接。
CBAC和加密可以在同一接口上使用。但是，CBAC不能检查加密的数据包的内容。当路由器也是加密点时，CBAC和加密可以协同工作－CBAC可以在加密以前检查数据包。
CBAC可以与快速交换和过程交换一同工作，在Cisco 1600和2500系列路由器平台上提供一流的性能。
Java阻断 随着大量Java小程序可用于Internet，保护网络免受恶意小程序的攻击已经成为网络管理人员的一个主要课题。可以配置Java阻断来过滤或完全拒绝对没有嵌入在一个文档或压缩文件中的Java小程序的访问。 服务拒绝检测和预防 新近增强的服务拒绝检测和预防针对syn泛滥、端口扫瞄和包注入提供网络防御。服务拒绝检测和预防检查TCP连接中的包顺序号。如果这些号码不在预期的范围内，路由器将撤消可疑的包。当路由器检测出新建，它就发出一条告警信息。它还撤消半开的TCP连接状态表，以防止系统资源耗尽。 审计跟踪 增强的审计跟踪利用系统日志来跟踪所有事务；记录时间印迹、来源主机、目的地主机、所用的端口、对话以及传输的总字节数。 实时告警 一旦查出可疑的活动，实时告警将向中央管理控制台发送系统日志错误信息。网络管理人员有能力立即对入侵作出反应。
支持ConfigMaker 通过使用ConfigMaker(一种基于Win95/WinNT向导的管理工具，它能使你将网络上支持的任何路由器配置为一个防火墙)，Cisco IOS防火墙特性集非常容易安装。ConfigMaker是现有Cisco命令行接口工具的一个配置替换。它指导分销商和网络管理员完成网络设计及路由器安装过程。ConfigMaker允许从一台单一PC配置整个路由器网络，而不是将每一个路由器以独立的设备方式配置。 应用程序 分支办事处与总部和Internet的连接 作为分支办事处一个关键的安全部件，Cisco IOS防火墙特性集不占用布线柜中的额外空间。例如:使用Cisco 2514利用一个端口连接Internet网,另一个端口通过专线访问总部资源。通过防火墙特性集，管理员可以远程配置路由器，从而在一个接口拒绝某些应用通信和从Internet下载的Java小程序，并允许SNA通信和Java小程序通过另一个广域网进入总部网络。这一解决方案授权访问要求的应用程序，例如SNA主机和客户机/服务器应用程序，并拒绝对意外应用通信的访问。 小型企业Web服务器 在另一种情况中，一家小企业老板正通过一个现场Internet Web服务器与客户和供应商通信。
通过使用一个Cisco 1605路由器，客户和供应商可以随时登录Web服务器，而内部以太网在另一个接口上仍然受到保护。防火墙特性集在每一个端口提供CBAC检查，密切监视通信，并保护Web服务器和内部网免受攻击。 Cisco端到端网络 一项稳健的安全策略不仅需要周边控制，或防火墙安装和管理。Cisco IOS软件是实现一项全球安全策略的理想工具。建立一个端到端Cisco解决方案可以给管理人员提供随网络发展在整个网络加强安全策略的能力。 Cisco支持 根据现有的一项支持计划，你可以从Cisco获奖的Web站点－Cisco Connection Online随时获得Cisco IOS安全软件的升级版本。为了补充其业界领先的网络解决方案，Cisco开发了全面的支持解决方案。Cisco以寿命周期为重点的支持产品提供启动、维护、市场以及先进的服务和定制服务，来保护和实现你的投资的最大化。这些服务一起提供根据特定应用程序和环境定制解决方案的覆盖面、广度以及灵活性。
现在，通过世界级的Cisco支持服务，网络管理人员可以端到端地支持他们的局域和广域Cisco网络。 可用性和价格 现在，客户可以将Cisco IOS防火墙特性集作为Cisco 1600和2500系列路由器的一个额外选项来定购。你可以从Cisco的Web站点作为一个软件下载防火墙特性集，或者申请一个CD-ROM。有关价格信息，请与你的本地Cisco销售办事处、Cisco代理商联系，或者访问Cisco Web站点，网址为http://www.cisco.com/。
适用场合
当客户需要以下这些特性时
| 
