在人们谈到病毒，想到杀毒软件的同时，也必然会想到防火墙。那一夫当关，万夫莫开的特性。它也是病毒、木马程序要想入侵，首先必须要过的第一关。但有些朋友只知道装载了防火墙，但没有恰当合理的去设置防火墙。今天我们从实际的操作出发，继续讲授一些防火墙实际的运用。
1、防火墙怎么管理IP地址
有效利用IP地址资源
有效的IP地址管理首先是有效的地址分配，通过运用双向网络地址转换（NAT）技术，东方龙马防火墙实现了这一功能。东方龙马防火墙提供了“内部网到外部网”、“外部网到内部网”的双向NAT功能，同时支持两种方式的网络地址转换。一种为静态地址映射，即外部地址和内部地址一对一的映射，使内部地址的主机既可以访问外部网络，也可以接受外部网络提供的服务。另一种是更灵活的方式，可以支持多对一的映射，即通过转换端口地址，使多个内部IP地址共享一个外部IP地址，从而内部不同的IP地址的数据包就能转换为同一个IP地址而端口不同，多台机器就可以通过这些端口对外部提供服务。通过这种转换，企业可以更有效地利用IP地址资源。
隐藏真实地址，阻止黑客入侵
不仅如此，利用双向网络地址转换技术，还可隐藏内部真实的网络地址，降低黑客入侵的成功率。东方龙马防火墙将网卡标识为两种属性：一种是内部网卡，用于连接内部被保护的安全网络；另一种为外部网卡，用于连接外部公共网络。在内部网络通过内部网卡访问外部网络时将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过外部网卡与外部网络连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过外部网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。东方龙马防火墙根据预先定义好的映射规则来判断这个访问是否安全。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。
MAC地址绑定解决IP地址盗用
为解决IP地址盗用问题，东方龙马防火墙运用了MAC地址绑定技术。每一块网卡都具有一个唯一硬件物理地址标识号码，即网卡的MAC地址，MAC地址与网卡一一对应。对于网络协议为TCP/IP的两台设备进行通讯时，每块网卡都具有一个网络IP地址，东方龙马防火墙提供将内部网卡的IP地址同它的MAC地址进行绑定的功能，这样在防火墙内部就建立了网卡的IP地址同其MAC地址一一对应的关系，即实现了网卡的IP地址同其硬件MAC地址的绑定。在这种情况下，即使某个用户盗用了此网卡的IP地址，在通过防火墙时也会因网卡的MAC地址不匹配而拒绝通过。在网络管理中IP地址盗用现象经常发生，不仅对网络的正常使用造成影响，同时由于被盗用的地址往往具有较高的权限，因而也对用户造成了大量的经济上的损失和潜在的安全隐患。防火墙的IP/MAC地址绑定功能可以很好地解决这一问题，通过与硬件物理地址的绑定，使盗用的IP地址无法通过防火墙系统。
随着网络应用的发展，防火墙已经成为保障网络安全必不可少的工具。善用网络地址转换技术和MAC地址绑定，可以有效提高IP地址资源利用效率，并保证企业网络的安全、防止IP地址盗用。
目前，管理IP地址的技术很多，主要包括DHCP（动态主机配置协议）、NAT技术（网络地址转换技术）及MAC地址绑定等。其中，DHCP以BootP协议为基础，并利用了BootP协议的转发代理功能，实现了IP地址的动态分配。但BootP转发代理功能一般只在较贵的路由器和第3层交换机中提供。相比而言，NAT技术和MAC地址绑定则更容易实现，因此实用性更强。如今年蓬勃发展的防火墙市场上就有很多产品运用了这两种技术。下面我们就以东方龙马防火墙为例，看看如何利用防火墙有效管理IP地址。
双向NAT技术的两大功用
第一．有效利用IP地址资源
有效的IP地址管理首先是有效的地址分配，通过运用双向网络地址转换（NAT）技术，东方龙马防火墙实现了这一功能。东方龙马防火墙提供了“内部网到外部网”、“外部网到内部网”的双向NAT功能，同时支持两种方式的网络地址转换。一种为静态地址映射，即外部地址和内部地址一对一的映射，使内部地址的主机既可以访问外部网络，也可以接受外部网络提供的服务。另一种是更灵活的方式，可以支持多对一的映射，即通过转换端口地址，使多个内部IP地址共享一个外部IP地址，从而内部不同的IP地址的数据包就能转换为同一个IP地址而端口不同，多台机器就可以通过这些端口对外部提供服务。通过这种转换，企业可以更有效地利用IP地址资源。
第二．隐藏真实地址，阻止黑客入侵
不仅如此，利用双向网络地址转换技术，还可隐藏内部真实的网络地址，降低黑客入侵的成功率。东方龙马防火墙将网卡标识为两种属性：一种是内部网卡，用于连接内部被保护的安全网络；另一种为外部网卡，用于连接外部公共网络。在内部网络通过内部网卡访问外部网络时将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过外部网卡与外部网络连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过外部网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。东方龙马防火墙根据预先定义好的映射规则来判断这个访问是否安全。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。
MAC地址绑定解决IP地址盗用
为解决IP地址盗用问题，东方龙马防火墙运用了MAC地址绑定技术。每一块网卡都具有一个唯一硬件物理地址标识号码，即网卡的MAC地址，MAC地址与网卡一一对应。对于网络协议为TCP/IP的两台设备进行通讯时，每块网卡都具有一个网络IP地址，东方龙马防火墙提供将内部网卡的IP地址同它的MAC地址进行绑定的功能，这样在防火墙内部就建立了网卡的IP地址同其MAC地址一一对应的关系，即实现了网卡的IP地址同其硬件MAC地址的绑定。在这种情况下，即使某个用户盗用了此网卡的IP地址，在通过防火墙时也会因网卡的MAC地址不匹配而拒绝通过。在网络管理中IP地址盗用现象经常发生，不仅对网络的正常使用造成影响，同时由于被盗用的地址往往具有较高的权限，因而也对用户造成了大量的经济上的损失和潜在的安全隐患。防火墙的IP/MAC地址绑定功能可以很好地解决这一问题，通过与硬件物理地址的绑定，使盗用的IP地址无法通过防火墙系统。
2、巧妙设置天网防火墙 挡住流行网页病毒
一、先上线并打开天网。
四、然后分别点他们让他们运行。 这时候天网会立即弹出窗口询问是否允许他们访问 网络，全部选择禁止! 五、好了，现在就可以关掉那窗口，删掉你刚刚建立的快捷方式了。
六、解释：hh.exe是运行windows的html帮助的程序，但是它也可以访问 网络，而且比ie的执行权限要大，也就是说：在ie里不能被执行的命令，可以被它执行，可怕吧，如果恶意网站调用了它，可以小黑你的系统一下! ?
mshta.exe是微软的基于web的应用程序。但是它也可以访问网络，并且权限大的惊人，当它访问网络时，它本身就拥有和本地应用程序一样大的对系统的可操作权限，它执行网页里的任何ie不能执行或是说没权限执行的可执行代码而不给出提示。如果恶意网站调用了它的话，那么可就黑你没商量——连提示都没有，可以完全控制你的系统、你的硬盘！
3、边界防火墙的应用
DNS
DNS服务器可为互联网提供域名解析服务，对任何网络应用都十分关键。同时在其中也包括了非常重要的网络配置信息，如用户主机名和IP地址等。正因如此，对DNS服务器要采取特别的安全保护措施。
为了安全起见，建议在防火墙网络中，对内部DNS服务器和外部DNS服务器进行分开放置。为互联网服务的外部DNS服务器不应该包含对外禁止访问的内部网络系统的相关服务，需要专门放置在内部DNS服务器上。如果将内部网络的相关服务需放置在外部DNS服务器上，则会为非法攻击者提供攻击对象目标信息。这种将内部DNS服务器和外部DNS服务器分隔开的网络配置方案通常称之为“分割DNS”。
在这种典型防火墙DNS服务器配置网络结构中，内部DNS服务器专用来为内部网络系统进行名称解析，使得内部网络用户可以通过它连接到其它内部系统，其中就包括内部防火墙和内部DMZ；外部DNS使得外部网络能够解析出主防火墙、外部DNS服务器、外部DMZ区的主机名字，但不能解析出内部网络系统主机的名字。
6、入侵检测
安全检测是信息保障的一个重要环节，也新型防火墙的一个重要功能。目前主要的安全检测技术包括入侵检测、漏洞扫描和病毒检测。
入侵检测系统(Intrusion Detection System，IDS)能够对网络中未经授权用户的访问进行报警，某些时候还能够通过其它手段预防这种非法网络行为。它只能发现已发生的非法访问，而且检测本身不能提供安全保护的作用，但是很多入侵检测产品能够和防火墙这类网络安全保护产品联动，一旦入侵检测发现攻击行为，它可以通知防火墙修改安全规则，阻止后续的攻击网流。
入侵检测方式目前主要分为三类：基于主机的入侵检测、基于网络的入侵检测和基于应用的入侵检测。
建议将基于主机的入侵检测和基于应用的入侵检测产品配置在关键业务服务器上，以检测主机应用层次的网络攻击行为，尤其是基于用户的攻击行为检测。这属于一种高级的入侵检测手段，它所检测的范围覆盖整个网络和应用。必须清楚，这两类产品有极大的安全缺陷：
(1)、 时间上的滞后性，由于它们的检测资料来源是主机操作系统/应用的日志记录，因此难以做到实时反应；
(2)、其检测分析结果的准确性完全依赖于主机操作系统日志记录的全面性和准确性；
(3)、占用较多主机资源。
如果防火墙具有一定的入侵检测功能，则可以在主防火墙上打开此功能，在防火墙上使用入侵检测功能可以相当程度地抵制来自外部网络的DoS(拒绝服务攻击)攻击和地址欺骗攻击。
部署在某些区域的入侵检测产品如果能和相关的防火墙在网络上可通，则可以发挥它们之间的联动功能，提高安全效率。
在漏洞和病毒检测方面，边界防火墙比较难以实现，而在个人防火墙和分布式防火墙中却较容易。因为它们之中 软件 功能非常强大，而且还可以实时自动联网升级。以实现对最新的系统和病毒进行跟踪检测的目的，最大限度地保证检测的有效性。所以在个人防火墙就有好几种防火墙的叫法，如病毒防火墙、网络防火墙和邮件防火墙等。从这些名字我们要吧看出这些防火墙的主要功能
|