當前網(wǎng)絡安全形勢嚴峻，來自外網(wǎng)的攻擊與日俱增。局域網(wǎng)一不小心就會受到病毒、蠕蟲、勒索軟件的攻擊，導致嚴重的損失。本文中，我將結合WSG網(wǎng)關(WFilter NGF)來介紹如何阻止外網(wǎng)的攻擊。請注意，本文只討論如何阻止網(wǎng)絡攻擊，單機的防護是另外的課題不在本文的討論范圍內。阻止外網(wǎng)攻擊主要包括如下部分：

成都創(chuàng)新互聯(lián)公司專業(yè)為企業(yè)提供昂昂溪網(wǎng)站建設、昂昂溪做網(wǎng)站、昂昂溪網(wǎng)站設計、昂昂溪網(wǎng)站制作等企業(yè)網(wǎng)站建設、網(wǎng)頁設計與制作、昂昂溪企業(yè)網(wǎng)站模板建站服務，十余年昂昂溪做網(wǎng)站經(jīng)驗，不只是建網(wǎng)站，更提供有價值的思路和整體網(wǎng)絡服務。

1. 合理的防火墻配置

防火墻策略首先要保護局域網(wǎng)設備，不讓外網(wǎng)直接訪問到網(wǎng)關自身，也不轉發(fā)來自外網(wǎng)的數(shù)據(jù)。如下圖：WSG的“外網(wǎng)區(qū)域(WAN ZONE)”默認是阻止“入方向(到WSG自身)”和“轉發(fā)方向(轉發(fā)到內網(wǎng))”。這是防火墻的第一道防護策略。

2. 注意端口映射的規(guī)則

雖然防火墻策略已經(jīng)阻止了來自外網(wǎng)的訪問，但是端口映射的主機是不在此列的。做了端口映射，那就意味著把這臺主機暴露到了公網(wǎng)上。病毒一旦攻破了這個主機，就可以以這臺主機為跳板感染整個局域網(wǎng)。所以，端口映射一般要注意如下的規(guī)則：

1. 需要映射出去的主機單獨一個VLAN(也就是DMZ)。即使該主機被攻破，病毒也只能感染DMZ區(qū)，不會危害到整個內網(wǎng)。
2. 避免常用的端口。比如你用默認的3389端口，那么攻擊程序立刻就知道這是遠程桌面服務，從而就可以采用對應的滲透手動來攻擊。采用一些不常用的端口可以起到一定的保護作用。

3. 阻止來自高風險區(qū)域的訪問

主管部門經(jīng)常會發(fā)布一些外網(wǎng)攻擊的IP地址，我們可以直接把這些IP地址用防火墻阻止掉(配置下圖策略后，該IP無法訪問映射的服務)。如下圖：

4. 采用更嚴格的訪問限制策略

很多惡意攻擊都來源于國外，那么我們可以通過防火墻策略里面的“指定國家地區(qū)”功能。比如只允許來自中國地區(qū)的訪問。實現(xiàn)該功能需要兩條策略配合，一條禁止所有，一條允許中國的IP。配置如下圖：

經(jīng)過上述配置后，即可有效的阻止來自外網(wǎng)的攻擊。其實外網(wǎng)攻擊主要攻擊的是端口映射的主機，并以此為跳板攻擊到內網(wǎng)。如非必要，盡量不要直接做端口映射。

網(wǎng)頁題目：如何阻止外網(wǎng)攻擊公司局域網(wǎng)
URL標題：http://uogjgqi.cn/article/cddiici.html