Rule (Rule 8). If someone tries to

Rule (Rule 8). If someone tries to access the Web server with non-HTTP traffic (other than port 80), then the firewall skips this rule and goes to the next.
Proxy server rules allow an organization to restrict all access to a device. The external firewall would be configured as shown in Table 6-13. The effective use of a proxy server of course requires that the DNS entries be configured as if the proxy server were the Web server. The proxy server is then configured to repackage any HTTP request packets into a new packet and retransmit to the Web server inside the firewall. The retransmission of the repackaged request requires that the rule shown in
Table 6-14 enables the proxy server at 10.10.10.5 to send to the internal router, assuming the IP address for the internal Web server is 10.10.10.10. Note that in situations where an internal NAT server is used, the rule for the inbound interface uses the externally routable address, because the device performs rule filtering before it performs address translation. For the outbound interface, however, the address is in the native 192.168.x.x format. The restriction on the source address then prevents anyone else from accessing the Web server from outside the internal filtering router/firewall.
Rule Set 8: The cleanup rule. As a general practice in firewall rule construction, if a request for a service is not explicitly allowed by policy, that request should be denied by a rule. The rule shown in Table 6-15 implements this practice and blocks any requests that aren’t explicitly allowed by other rules. Additional rules restricting access to specific servers or devices can be added, but they must be sequenced before the cleanup rule. Order is extremely important, as misplacement of a particular rule can result in unforeseen results. One organization installed a new $50,000 firewall, only to discover that the security the firewall provided was too perfect—that is, nothing was allowed in, and nothing was allowed out! It wasn’t until the firewall administrators realized that the rule base was out of sequence that the problem was resolved. Tables 6-16 through 6-19 show the rule sets, in their proper sequences, for both the external and internal firewalls. Note that the first rule prevents spoofing of internal IP addresses. The rule allowing responses to internal communications (appearing in Table 6-16 as rule 6), comes after the four rules prohibiting direct communications to or from the firewall (rules 2–5 in Table 6-16). In reality rules

ผลลัพธ์ (ไทย) 1:

กฎ (กฎ 8) ถ้ามีคนพยายามเข้าถึงเว็บเซิร์ฟเวอร์ มีการจราจรไม่ใช่ HTTP (ที่ไม่ใช่พอร์ต 80), ไฟร์วอลล์ข้ามกฎนี้ แล้วไปต่อไปพร็อกซีเซิร์ฟเวอร์กฎอนุญาตให้องค์กรที่จะจำกัดการเข้าถึงทั้งหมดไปยังอุปกรณ์ ไฟร์วอลล์ภายนอกจะกำหนดค่าดังแสดงในตาราง 6-13 ใช้พร็อกซีเซิร์ฟเวอร์ต้องแน่นอนว่า รายการ DNS ถูกกำหนดค่าเป็นถ้าพร็อกซีเซิร์ฟเวอร์ เว็บเซิร์ฟเวอร์ จากนั้นมีการกำหนดค่าพร็อกซีเซิร์ฟเวอร์การบรรจุแพคเก็ตการร้องขอ HTTP ใด ๆ ลงในแพคเก็ตใหม่ และสอื่นกับเว็บเซิร์ฟเวอร์ในไฟร์วอลล์ Retransmission repackaged ร้องขอจำเป็นต้องแสดงในกฎตารางที่ 6-14 ช่วยให้เซิร์ฟเวอร์พร็อกซีที่ 10.10.10.5 เพื่อส่งไปยังเราเตอร์ภายใน สมมติว่า อยู่ IP สำหรับเว็บเซิร์ฟเวอร์ภายในคือ 10.10.10.10 โปรดทราบว่า ในสถานการณ์ที่มีใช้ NAT เซิร์ฟเวอร์ภายใน กฎสำหรับอินเทอร์เฟซขาเข้าใช้ที่อยู่ภายนอก routable เนื่องจากอุปกรณ์ทำกฎการกรองก่อนจะทำการแปลที่อยู่ สำหรับอินเทอร์เฟซขาออก อย่างไรก็ตาม อยู่ในรูปแบบดั้งเดิม 192.168.x.x ข้อจำกัดที่อยู่ต้นทางแล้วป้องกันคนอื่นเข้าถึงเซิร์ฟเวอร์เว็บจากภายนอกภายในกรองเราเตอร์/ไฟร์วอลล์ ชุดกฎ 8: ล้างกฎ การปฏิบัติทั่วไปในการก่อสร้างกฎของไฟร์วอลล์ ถ้าการร้องขอการบริการไม่ชัดเจนอนุญาต โดยนโยบาย ที่ร้องขอควรจะปฏิเสธ โดยกฎ กฎที่แสดงในตาราง 6-15 ใช้ปฏิบัตินี้และบล็อกการร้องขอที่ไม่ได้รับอนุญาต โดยกฎอื่น ๆ อย่างชัดเจน สามารถเพิ่มกฎที่จำกัดการเข้าถึงเซิร์ฟเวอร์ที่ระบุหรืออุปกรณ์เพิ่มเติม แต่พวกเขาที่ต้องเรียงลำดับก่อนล้างกฎ สั่งซื้อเป็นสิ่งสำคัญมาก เนื่องจาก misplacement ของกฎเฉพาะสามารถทำผลลัพธ์ที่ไม่คาดฝัน หนึ่งองค์กรติดตั้งใหม่ $50,000 ไฟร์วอลล์ เพียงเพื่อจะพบว่า การรักษาความปลอดภัยไฟร์วอลล์ให้เป็นสมบูรณ์แบบเกินไป — นั่นคือ ไม่ได้รับอนุญาตใน และไม่ได้รับอนุญาตให้ออก มันไม่ได้จนกว่าผู้ดูแลระบบไฟร์วอลล์ตระหนักว่า กฎพื้นฐานจากลำดับ ว่า ปัญหาได้รับการแก้ไข ตารางที่ 6-16 ผ่าน 6-19 แสดงกฎการตั้งค่า ในลำดับที่เหมาะสม สำหรับทั้งไฟร์วอลล์ภายใน และภายนอก หมายเหตุกฎแรกป้องกันการ spoofing ของที่อยู่ IP ภายใน กฎที่ให้การตอบสนองการสื่อสารภายใน (ปรากฏในตาราง 6-16 เป็นกฎ 6), มาหลังจากกฎสี่ห้ามสื่อสารโดยตรงไปยัง หรือ จากไฟร์วอลล์ (กฎ 2 – 5 ในตาราง 6-16) ในกฎของความจริง

ผลลัพธ์ (ไทย) 2:

กฎ (กฎข้อ 8) ถ้ามีคนพยายามที่จะเข้าถึงเซิร์ฟเวอร์เว็บด้วยไม่ใช่ HTTP จราจร (นอกเหนือจากพอร์ต 80) แล้วไฟร์วอลล์ข้ามกฎนี้และไปถัดไป.
กฎเซิร์ฟเวอร์พร็อกซี่ช่วยให้องค์กรเพื่อ จำกัด การเข้าถึงทั้งหมดไปยังอุปกรณ์ ไฟร์วอลล์ภายนอกจะได้รับการกำหนดค่าดังแสดงในตารางที่ 6-13 การใช้งานที่มีประสิทธิภาพของพร็อกซีเซิร์ฟเวอร์ของหลักสูตรกำหนดว่ารายการ DNS ถูกกำหนดค่าให้เป็นถ้าพร็อกซีเซิร์ฟเวอร์เป็นเว็บเซิร์ฟเวอร์ พร็อกซีเซิร์ฟเวอร์มีการกำหนดค่าแล้ว repackage ใด ๆ แพ็คเก็ตร้องขอ HTTP เป็นแพ็คเก็ตใหม่และส่งอีกครั้งไปยังเว็บเซิร์ฟเวอร์ภายในไฟร์วอลล์ retransmission ของการร้องขอโฉมหน้ากำหนดว่ากฎที่แสดงใน
ตารางที่ 6-14 ช่วยให้ร็อกซี่เซิร์ฟเวอร์ที่ 10.10.10.5 ที่จะส่งให้เราเตอร์ภายในสมมติว่าอยู่ IP สำหรับเว็บเซิร์ฟเวอร์ภายในเป็น 10.10.10.10 โปรดทราบว่าในสถานการณ์ที่เซิร์ฟเวอร์ NAT ภายในจะใช้กฎสำหรับอินเตอร์เฟซขาเข้าใช้ที่อยู่ routable ภายนอกเนื่องจากอุปกรณ์ดำเนินการกรองกฎก่อนที่จะดำเนินการแปลที่อยู่ สำหรับอินเตอร์เฟซขาออก แต่ที่อยู่ในรูปแบบพื้นเมือง 192.168.xx ข้อ จำกัด เกี่ยวกับแหล่งที่อยู่แล้วป้องกันไม่ให้ผู้อื่นเข้าถึงเว็บเซิร์ฟเวอร์จากภายนอกภายในกรองเราเตอร์ไฟร์วอลล์ /.
ข้อบังคับตลาดหลักทรัพย์ 8: กฎการทำความสะอาด ในฐานะที่เป็นหลักปฏิบัติทั่วไปในการก่อสร้างกฎของไฟร์วอลล์ถ้าคำขอใช้บริการไม่ได้รับอนุญาตอย่างชัดเจนโดยนโยบายการร้องขอที่ควรจะปฏิเสธโดยกฎ กฎที่แสดงในตารางที่ 6-15 การดำเนินการปฏิบัตินี้และบล็อกการร้องขอใด ๆ ที่ไม่ได้รับอนุญาตอย่างชัดเจนโดยกฎระเบียบอื่น ๆ กฎระเบียบเพิ่มเติมการ จำกัด การเข้าถึงเซิร์ฟเวอร์ที่ระบุหรืออุปกรณ์ที่สามารถเพิ่มได้ แต่พวกเขาจะต้องติดใจก่อนที่กฎการทำความสะอาด การสั่งซื้อสินค้าเป็นสิ่งสำคัญมากในฐานะของการวางผิดกฎโดยเฉพาะอย่างยิ่งสามารถทำให้เกิดผลที่ไม่คาดฝัน องค์กรหนึ่งที่ติดตั้งใหม่ 50,000 $ ไฟร์วอลล์เพียงเพื่อพบว่าการรักษาความปลอดภัยไฟร์วอลล์ที่มีให้เป็นที่สมบูรณ์แบบที่เกินไปจะไม่มีอะไรที่ได้รับอนุญาตในและไม่มีอะไรที่ได้รับอนุญาตให้ออก! มันไม่ได้จนกว่าผู้ดูแลระบบไฟร์วอลล์ตระหนักว่าฐานกฎออกจากลำดับว่าปัญหาได้รับการแก้ไข ตารางที่ 6-16 ผ่าน 6-19 แสดงชุดของกฎในลำดับที่เหมาะสมของพวกเขาทั้งไฟร์วอลล์ภายนอกและภายใน โปรดทราบว่ากฎข้อแรกจะช่วยป้องกันการปลอมแปลงที่อยู่ IP ภายใน กฎที่ช่วยให้การตอบสนองต่อการสื่อสารภายใน (ปรากฏในตารางที่ 6-16 เป็นกฎ 6), มาหลังจากสี่กฎห้ามไม่ให้มีการสื่อสารโดยตรงไปยังหรือจากไฟร์วอลล์ (กฎ 2-5 ในตารางที่ 6-16) ในกฎระเบียบความเป็นจริง

ผลลัพธ์ (ไทย) 3:

กฎ ( กฎข้อ 8 ) ถ้าใครพยายามที่จะเข้าถึงเว็บเซิร์ฟเวอร์ปลอดการจราจร HTTP ( นอกเหนือจากพอร์ต 80 ) แล้วไฟร์วอลล์ข้ามกฎนี้ และไปที่หน้ากฎเซิร์ฟเวอร์พร็อกซี่ให้องค์กรเพื่อ จำกัด การเข้าถึงอุปกรณ์ทั้งหมด . ไฟร์วอลล์ภายนอกจะถูกกำหนดค่าดังแสดงในตารางที่ 6-13 . การใช้ประสิทธิภาพของเซิร์ฟเวอร์พร็อกซี่แน่นอนต้องที่ DNS รายการ : ถ้าเป็นร็อกซี่เซิร์ฟเวอร์เป็นเว็บเซิร์ฟเวอร์ พร็อกซีเซิร์ฟเวอร์จะกำหนดค่าให้แพ็กเก็ตใด ๆการร้องขอ HTTP รู้สึกดีในแพ็คเก็ตใหม่ และ retransmit ไปยังเว็บเซิร์ฟเวอร์ภายในไฟร์วอลล์ การ retransmission ของเชนขอใช้กฎที่แสดงในผู้เขียน หัวข้อ : โต๊ะช่วยให้ร็อกซี่เซิร์ฟเวอร์ที่ 10.10.10.5 ส่งเราเตอร์ภายในกำหนดที่อยู่ IP สำหรับเซิร์ฟเวอร์เว็บภายใน 10.10.10.10 . ทราบว่าในสถานการณ์ที่เป็นเซิร์ฟเวอร์ภายในที่ใช้กฎสําหรับการเชื่อมต่อขาเข้าใช้ที่อยู่ภายนอก routable เพราะอุปกรณ์แสดงกฎกรองก่อนที่จะแสดงที่อยู่แปล สำหรับ interface ขาออกแต่ที่อยู่ในพื้นเมือง 192.168 . - รูปแบบ จำกัด แหล่งที่อยู่ แล้วป้องกันไม่ให้ใครเข้าถึง Web Server จากภายนอกภายในตัว Router / Firewallชุดกฎที่ 8 : การทำความสะอาดกฎ เป็นปฏิบัติทั่วไปในการสร้างกฎไฟร์วอลล์ ถ้าขอบริการไม่ได้รับอนุญาตโดยชัดแจ้ง นโยบาย ที่ร้องขอจะถูกปฏิเสธโดยกฎ กฎที่แสดงในตารางที่ 6-15 ใช้ฝึกและบล็อกการร้องขอใด ๆที่ไม่ได้รับอนุญาตอย่างชัดเจนโดยกฎอื่น ๆ กฎระเบียบเพิ่มเติมการ จำกัด การเข้าถึงเซิร์ฟเวอร์ที่เฉพาะเจาะจงหรืออุปกรณ์ที่สามารถเพิ่มได้ แต่ต้องเป็นลำดับก่อนล้างกฎ สั่งเป็นสิ่งสำคัญอย่างยิ่งเป็น misplacement ของกฎที่เฉพาะเจาะจงสามารถส่งผลในผลที่ไม่คาดฝัน องค์กรหนึ่งที่ติดตั้งใหม่ 50000 ไฟร์วอลล์เท่านั้นที่จะค้นพบว่า การรักษาความปลอดภัยไฟร์วอลล์ให้สมบูรณ์แบบด้วยที่ไม่ได้รับอนุญาต และไม่อนุญาตให้ออก มันไม่ได้จนกว่าไฟร์วอลล์ผู้บริหารตระหนักว่าฐานกฎออกจากลำดับว่าปัญหาได้รับการแก้ไข ตาราง 6-16 ผ่านกองแสดงชุดกฎในลําดับที่เหมาะสมของพวกเขา ทั้งจากภายนอก และระบบป้องกันภายใน หมายเหตุว่า ข้อแรก ป้องกันการปลอมแปลงที่อยู่ IP ภายใน กฎการอนุญาตให้ตอบสนองต่อการสื่อสารภายใน ( ปรากฏในตาราง 6-16 เป็นกฎ 6 ) , มาหลังจากสี่กฎห้ามสื่อสารโดยตรง หรือจากไฟร์วอลล์ ( กฎ 2 – 5 โต๊ะ 6-16 ) ในกฎของความเป็นจริง