軟考網(wǎng)工：防火墻配置中必備的六個主要命令解析

　　第五個命令：ICMP命令

　　當我們做好相關(guān)的配置之后，接下去的工作我們就需要利用測試命令，來判斷我們所配置的準確性。最基本的兩個測試命令，就是PING與DEBUG命令。

　　Ping 命令我們網(wǎng)絡(luò)管理員都是很熟悉的了。但是，在防火墻中有一個比較特殊的地方，就是在默認情況下，防火墻會拒絕所有來自于外部接口的ICMP輸入流量。當我們PING 一個外網(wǎng)的IP地址時，若跟對方連接通暢的話，則對方會返回一個ICMP響應(yīng)的回答。而防火墻默認的情況下，是會拒絕這個ICMP流量的。這主要是出于安全方面的考慮。但是，在我們進行測試的時候，我們不喜歡防火墻禁止接收這個ICMP響應(yīng)回答，不然的話，我們就無法進行測試工作了。

　　所以，在防火墻剛剛開始配置的時候，我們往往需要讓防火墻允許接收這個流量，我們需要利用permit命令來讓防火墻通過這個流量。

　　我們可以利用這條命令來實現(xiàn)這個需求：icmp permit any any outside。這個命令的意識就是允許ICMP協(xié)議在防火墻上暢通無阻的運行，允許防火墻接收來自外部的ICMP流量。

　　筆者提醒

　　不過，在測試完以后，最好還是能夠還原原先的設(shè)置，即讓防火墻拒絕接收這個來自外部接口ICMP流量，這對于提高企業(yè)內(nèi)部的安全性，非常有幫助，如可以很好的防止DOS攻擊，等等。

　　第六個命令：write memory.

　　一般來說，我們在對防火墻配置所做的更改，是不會直接寫入當防火墻的閃存中的。防火墻如此的設(shè)計，是為了防止網(wǎng)絡(luò)管理員萬一不小心，做了一些難以恢復(fù)的設(shè)置時，只需要重新啟動一下防火墻，就可以恢復(fù)以前的設(shè)置了。也就是說在，對防火墻的更新配置，在沒有應(yīng)該命令把他寫入到閃存中，防火墻一般都是先把它存放在RAM 中。而RAM中的數(shù)據(jù)，當防火墻重新啟動后，都會丟失。

　　所以，當配置測試完成之后，千萬要記住，要利用write memory命令，把相關(guān)的更改配置寫入到閃存中。如此的話，才能夠在防火墻重新啟動后，這些相關(guān)的配置仍然能夠起作用。

　　筆者提醒

　　在沒有測試之前，最好不要把更改配置寫入到閃存中。因為一旦寫入到閃存中，你若做了一些難以恢復(fù)的配置，而在測試的時候出現(xiàn)了問題，此時，你只能夠重置防火墻，以前的配置將會全部丟失，回復(fù)到出廠狀態(tài)，那對于我們網(wǎng)絡(luò)管理員來說，是個很大的打擊。所以，一般需要對相關(guān)的配置測試無誤后，才能夠利用這個命令，永久的保存配置。

　　不過，在防火墻配置的時候，要注意不要斷電，否則的話，你做的配置將會全功盡棄。不過，若在防火墻一端，接上UPS電源，是一個比較明智的做法。