Fortinet FortiBridge 1000, Конфигурация

Страница: 163 / 286

防火墙配置 配置 策略 列表
FortiGate-1000 安装和配置指南
149
本 节 讨 论 了 以 下 内容：
· 策略匹 配的 细节
· 更 改策略 列表中 策略 的 顺 序
· 启用和 禁 用 策略
策略匹 配的 细节
当 FortiGate 从网络接口 上 收 到一个连接请 求 时，它 首 先要 选 择 一个 策略 列表，在
这 个 策略 列表中 查找与 这 个连接请 求 匹 配的 策略 。 FortiGate 根据连接请 求 的 源地址 和
目的 地址 决 定使用 哪 个 策略 列表。
随 后 FortiGate 从选定的 策略 列表的 顶 端 开始 向下搜索策略 列表， 查找 第一个 与 连
接请 求 的 源地址 、目的 地址 、服务 端 口以及接 收 到连接请 求 的日 期 和时 间 相 匹 配的 策
略 。 匹 配的第一个 策略 将 被应 用于连接。如果 没 有 找 到 匹 配的 策略 ，连接将 被丢 弃 。
默认的 策略 接 受 所有的从内部网络到 互联 网的连接请 求 。用户可以从内部网络 浏 览
网页、使用 POP3 接 收 邮件、使用 FTP 通 过 FortiGate 下载 文件 等等 。如果 默认的 策
略 在内部 -> 外部 策略 列表的 顶 端 ，防火墙将 允 许全部从内部网络到 互联 网的连接，因
为 所有的连接 都 和默认 策略匹 配。如果有其他特 殊 策略被添加 到 了策略 列表 并 处在默
认 策略 的 下 方 ，他们 永 远 也 不会 被匹 配。
对 于默认 策略 的例外 策略 ，例如，一个 阻塞 FTP 连接的 策略 ， 必 须 在内部 -> 外部
策略 列表中 位 于默认 策略 的 上 方 。在 这 个例子中，所有 来 自内部网络的 FTP 连接 尝 试
都 与 这 个 FTP 策略匹 配，于 是被阻塞 。 而 其它 类 型服务的连接请 求 将不会 被 这 个 FTP
策略 所 匹 配， 但 是 它们能 够 匹 配默认 策略 。于 是 ，防火墙 仍然 接 受来 自内部网络的所
有其它连接。
更 改策略 列表中 策略 的 顺 序
1 进 入 防火墙 > 策略 。
2 选 择 所 要重 新 排 序的 策略 列表的标 签 。
3 选 择要 移 动的 策略 然 后单击 移 动 以 改 变这 个 策略 在 策略 列表中的 位 置。
4 在 移 动到 一 栏输 入一个 数 字以指定 这 个 策略要 移 动到 策略 列表中的 位 置， 单击 确
定。
启用和 禁 用 策略
您可以启用和 禁 用 策略 列表中的 策略 以 控制 这 个 策略是 否 生 效 。 FortiGate 匹 配 已
被 启用 了 的 策略 ， 而 不 匹 配 被禁 用的 策略 。
禁 用一个 策略
禁 用一个 策略 可以 暂 时防 止 防火墙 试 图 匹 配 这 个 策略 。 禁 用一个 策略 不会中 断 当前
由 这 个 策略建立 的 通讯 会 话 。 要 中 断活 动的会 话 ，请 见 第 88 页 “ 系统 状态 ” 。
1 进 入 防火墙 > 策略 。
2 选 择 含有 要禁 用的 策略 的 策略 列表的标 签 。
3 清 除要禁 用的 策略 的选中标志。
注意： 需 要 认证的 策略 必 须 添加 到 策略 列表中不 需 认证的 策略 的 前面 。 否 则 ，不 需 要 认证的 策略
将 先被匹 配。