■ Overall, this environment is simi

■ Overall, this environment is similar to that in Figure 9.2. Besides the addressing differences, the current topology employs CBAC for inbound connections rather than for
outbound.
■ The new CBAC rule is named INSPECT2 and dedicated to TCP inspection.
■ The purpose of ACL 101 is to close the firewall for outbound connections.
■ The ip inspect log drop-pkt command was added with the goal of revealing the
cause of CBAC packet drops (by means of syslog messages).
■ The ip inspect tcp block-non-session command is in charge of dropping connection
attempts that do not belong to any of the existing TCP sessions. For instance, if a
TCP segment containing flags other than the SYN is received and does not have an associated entry in the state table, it will not be allowed through the firewall.
Note It is a common practice to avoid that internal servers initiate outbound connections,
particularly when the outside world means the global Internet. This makes sense because,
in the event a server becomes compromised, it will be more difficult for the attacker to
establish outbound connections and download tools to the internal hosts (or illegally
uploading internal content to an external repository).

Kết quả (Việt) 1:

■ tổng thể, môi trường này là tương tự như mà tại con số 9,2. Bên cạnh những khác biệt về địa chỉ, cấu trúc liên kết hiện nay sử dụng CBAC cho kết nối trong hơn là chora bên ngoài.■ Các quy tắc mới của CBAC đặt tên là INSPECT2 và dành riêng cho kiểm tra TCP.■ mục đích của ACL 101 là để đóng tường lửa cho kết nối ra bên ngoài.■ kiểm tra ip đăng thả-pkt lệnh được thêm vào với mục đích tiết lộ cácnguyên nhân của CBAC gói giọt (bằng các phương tiện thông điệp syslog).■ ip tcp khối-không-phiên kiểm tra lệnh là phụ trách bỏ kết nốicố gắng không thuộc bất kỳ TCP phiên hiện tại. Ví dụ, nếu mộtTCP phân chứa cờ khác ngoài SYN là đã nhận được và không có một mục nhập kết hợp trong bảng nhà nước, nó sẽ không được phép thông qua tường lửa.Lưu ý là một thực tế phổ biến để tránh máy chủ nội bộ bắt đầu kết nối ra bên ngoài,đặc biệt là khi thế giới bên ngoài có nghĩa là mạng Internet toàn cầu. Điều này có ý nghĩa bởi vì,trong trường hợp một máy chủ trở nên xâm nhập, nó sẽ khó khăn hơn cho kẻ tấn công đểthiết lập kết nối ngoài và tải về công cụ để các máy chủ nội bộ (hoặc bất hợp pháptải lên các nội dung trong một kho lưu trữ bên ngoài).

Kết quả (Việt) 2:

■ Nhìn chung, môi trường này là tương tự như trong hình 9.2. Bên cạnh những khác biệt địa chỉ, cấu trúc liên kết hiện tại sử dụng CBAC cho các kết nối gửi hơn là cho
đi.
■ Các quy tắc CBAC mới được đặt tên INSPECT2 và chuyên dụng để kiểm tra TCP.
■ Mục đích của ACL 101 là để đóng tường lửa cho các kết nối ra bên ngoài.
■ Các ip kiểm tra log lệnh thả PKT đã được bổ sung với mục tiêu tiết lộ
nguyên nhân của gói CBAC giảm (bằng phương tiện thông điệp syslog).
■ các ip kiểm tra lệnh tcp khối phi phiên phụ trách bỏ kết nối
những nỗ lực đó không thuộc về bất kỳ các phiên TCP hiện. Ví dụ, nếu một
phân đoạn TCP chứa cờ khác hơn SYN được nhận và không có một mục liên quan trong bảng trạng thái, nó sẽ không được phép thông qua các bức tường lửa.
Lưu ý Đây là một thực tế phổ biến để tránh rằng các máy chủ nội bộ khởi tạo kết nối ra bên ngoài ,
đặc biệt là khi thế giới bên ngoài có nghĩa là mạng Internet toàn cầu. Điều này có ý nghĩa bởi vì,
trong trường hợp một máy chủ trở nên gây hại, nó sẽ khó khăn hơn cho những kẻ tấn công để
thiết lập các kết nối ra và tải về công cụ để các máy chủ nội bộ (hoặc trái phép
tải lên nội dung nội bộ đến một kho lưu trữ bên ngoài).