（5）系统操作
● 重新启动防火墙
重新启动防火墙计算机系统，执行此命令后，在终端控制台约一分钟会重新显示用户登录界面。
admin@NetST> reboot
● 停止防火墙
关闭防火墙计算机系统。执行该命令约30秒后，才可以关闭防火墙电源。建议不要直接关闭电源，否则，可能造成防火墙内部系统软件的损坏，导致系统瘫痪。
admin@NetST> shutdown
● 显示系统状态
显示防火墙引擎、UFP服务器、agent服务器、用户登录服务器、VPN服务器、HA功能和PROXY状态，以及CPU、内存使用率。
admin@NetST> show state
firewall = OFF
log server = OFF
UFP server = OFF
agent server = ON
content server = ON
login server = ON
log file size = 180296 Bytes
cpu usage = 0.3%
memory usage = 80%
VPN = ON
HA = OFF
PROXY = ON
4. 网络设置
若欲实现防火墙的正常运行，必须分别为各端口设置正确的IP地址信息。命令格式为：
Set interface interface_pwsition IP_addr/state
其中，interface_pwsition表示欲配置的端口。使用“admin(a)”、“internal(i)”、“external(e)”和“DMZ(d)”分别标识管理端口、内网端口、外网端口和DMZ端口。IP_addr表示指定的IP地址信息。IP地址采用带掩码的点为十进制格式“xxx.xxx.xxx.xxx/xx”，地址后的“xx”表示掩码位数。表示指定端口状态，可选参数为“up”、“down”、“stat”和“dhcp”，分别表示启动、停止、设置为固定IP地址类型（缺省）、设置网卡通过HDCP获取IP地址。
例如：为内网端口设置IP地址10.0.0 .1，子网掩码为255.255.255.0。
admin@NetST> set interface
Enter Interface position(i, e, dmz): internal
Enter IP address(xxx.xxx.xxx.xxx/xx): 10.0.0 .1/24
Set interface success!
可使用命令“show interface interface_position”，显示网络接口的IP地址信息。该命令可带参数，也可不带参数。如果指定端口，则只显示指定端口的信息；如果未指定端口，则显示所有端口的信息。
5. 过滤规则配置
NetST防火墙全面支持包过滤功能，包过滤规则的配置是防火墙最重要的设置。
（1）过滤规则表的执行次序
NetST防火墙将按规则表中有效规则的序号，由小到大依次对数据包进行匹配，直到有一条规则与数据包匹配，防火墙执行该规则指定的动作。如数据库不能与任何规则匹配，防火墙将根据系统缺省动作处理数据包。由此可见，过滤规则的次序非常重要。NetST防火墙的缺省的默认规则为拒绝，即没有明确允许的一律禁止。也就是说，当数据包与规则表中的任何规则均不能匹配时，系统拒绝该数据包。
在规则列表中，最一般的规则往往被列在最后，而最具体的规则通常被列在最前面。在列表中，每一个列在前面的规则都比列在后面的规则更加具体，而列表中列在后面的规则比列在前面的规则更加一般。
按以上规则要求，规则放置的次序是非常关键的。同样的规则以不同的次序放置，可能会完全改变防火墙产品的运行状况。由于防火墙以顺序方式检查信息包，当防火墙接收到一个信息包时，它先与第一条规则相比较，然后才是第二条、第三条……当它发现一条匹配规则时，就停止检查，并应用那条规则。如果信息包经过每一条规则而没有发现匹配的，那么，默认的规则就将起作用，这个信息包便会被拒绝。
（2）增加过滤规则
若欲增加过滤规则，使用下述命令：
Add rule protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于将过滤规则添加到过滤规则表的最后，命令参数包括协议、源IP地址、目的IP地址、服务类型、适用端口、规则的动作和规则处理时间段。所谓规则，是指对符合协议（protocol）、源IP地址（src_ip）、目的IP地址（dst_ip）、服务类型（service/icmp_type）、端口（interface_position）的所有数据执行某种操作（action），即接受、拒绝或进行内容过滤，该规则在特定的时间段（time）内生效。
protocol用于定义协议，可以为“any”（任何协议）、“tcp”（TCP协议）、“udp”（UDP协议）和“icmp”（ICMP）协议等。
src_ip和dst_ip用于指定源和目的IP地址。IP地址格式为点为十进制格式，如“xxx.xxx.xxx.xxx/xx”。如果目的IP是一个网络，必须带“/xx”掩码，否则，将视为一台主机。也可用“any”表示任何IP地址。
service/icmp_type用于指定服务类型，即协议为TCP或UDP时的端口，如http(80)、FTP(21)、telnet(23)、smtp(25)、pop3(110)等。既可使用名称方式，也可使用数字方式，也可用“xx:xx”方式指定端口范围，或使用“any”表示任意端口。
需要注意的是，在IP地址和服务类型前加“~”表示取反，即除此地址或服务之外的其他所有地址或服务。不过，“~”对“any”取反没有意义。
interface_position用于指定端口，即通信发起方的数据包是从哪个端口进入防火墙的，表明了通信的方向性，只有此方向才能发起通信请求，而反过来则不行，这也是状态检测型防火墙的一个特征：只需定义通信发起方即可，对于返回的数据，防火墙会自动允许通过，具备很好的安全性。可分别用“internal”、“external”、“DMZ”和“admin”指定内部、外部、DMZ和管理端口。也可以使用“any”表示任意端口。
Action用于指定动作，即防火墙对符合过滤规则的数据库采取的操作，可以是“drop”（丢弃）、“accept”（接受）和“content”（进行内容过滤）。
Time用于指定时间段，即规则在特定的时间段内生效，可以是“any”（任何时候）、“onduty”（工作时间）、“offduty”（非工作时间）。
log-prefix参数为可选，用于指定日志前缀，最多14个字符。如果设置，防火墙将把符合过滤规则的数据包的情况记录到日志中，并加入此前缀。如不设置，将不作记录。
例如，若欲禁止192.168.0.0网段的员工在工作时间使用QQ聊天，可以在防火墙中添加如下规则：
admin@NetST> add rule
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 8000
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any –a, onduty –on, offduty –off): on
Enter log prefix: drop-http
Insert rule success!
若欲禁止“冲击波”和“震荡波”蠕虫病毒入侵网络，可以禁用相关端口：
admin@NetST> add rule any any 134:139 any drop any
admin@NetST> add rule any any 445 any drop any
admin@NetST> add rule any any 9995:9996 any drop any
admin@NetST> add rule any any 4444 any drop any
admin@NetST> add rule any any 5554 any drop any
可以使用下述命令：
admin@NetST> add rule icmp any any any drop any
（3）插入过滤规则
若欲有现有规则中插入新的过滤规则，使用下述命令：
insert rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
在过滤规则表中指定位置插入过滤规则，与增加过滤规则命令不同之外在于增加了序号参数“number”，在此序号处插入规则，插入的过滤规则即成为第number条过滤规则，其他参数与增加过滤规则命令完全相同。
例如，若欲禁止192.168.0.0网段的员工在工作时间在线看大片，并将该规则设置为第3条，可以执行下述操作：
admin@NetST> insert rule
Enter position: 3
Enter protocol type: any
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.0.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]): any
Enter service/icmp type : 554
Enter interface position: internal
Enter action type (drop -d, accept -a, content -c): drop
Enter time (any –a, onduty –on, offduty –off): on
Enter log prefix:
Insert rule success!
（4）移动过滤规则顺序
若欲移动现有过滤规则的前后顺序，可以使用下述命令：
move rule number step
该命令用于指定的过滤规则在过滤规则表中进行移动，命令参数包括过滤规则的序号（number）和移动的步数（step），命令将过滤规则表的第number条过滤规则移动step位，step为正是后移，为负是前移，如果移动步数超过第一条规则或最后一条规则，就将规则设置为第一条或最后一条规则。
例如：若欲将规则3后移2位，那么，应当执行下述操作：
admin@NetST> move rule
Enter rule number: 3
Enter step: 2
Move rule success!
（5）修改过滤规则
若欲修改现有的过滤规则，可以使用下述命令：
modify rule number protocol src_ip dst_ip service/icmp_type interface_position action time log-prefix
该命令用于修改在过滤规则表的指定位置处的过滤规则，与增加过滤规则命令不同之外在于，增加了序号参数number，修改此序号处的过滤规则，其他参数与增加过小规则命令完全相同，当有参数不变时，用“*”号代替，或在分段输入时直接回车即可。对于日志前缀，如果直接回车表示无前缀，用“*”表示不变。
例如，若欲将第2条规则所限制的IP地址范围由192.168.0.0网段，修改为192.168.10.0网段，并不再记录日志，那么，操作如下：
admin@NetST> modify rule
Enter rule number: 2
Enter src IP address (xxx.xxx.xxx.xxx[/xx]): 192.168.10.0/24
Enter dst IP address (xxx.xxx.xxx.xxx[/xx]):
Enter service/icmp type :
Enter interface position:
Enter action type (drop -d, accept -a, content -c):
Enter time (any –a, onduty –on, offduty –off):
Enter log prefix:
Insert rule success!
（6）显示过滤规则
无论插入过滤规则也好，还是移动或修改过滤规则也罢，都需要事先确定过滤规则的位置。因此，显示过滤规则就成为必需的操作步骤。若欲显示过滤规则，执行下述命令：
show rule number
该命令用于显示过滤规则表，可选的命令参数是过滤规则号或规则范围（用“-”分隔）。若指定过滤规则号，只显示指定的过滤规则信息；若不指定，则显示所有过滤规则的信息。
例如，若欲显示所有的过滤规则，则执行：
admin@NetST> show rule
若欲显示1-6号规则，则执行：
admin@NetST> show rule 1-6
（7）启用或禁用过滤规则
若欲启用过滤规则，执行下述命令：
enable rule number
该命令用于使指定的过滤规则起作用，命令参数是过滤规则号，即使该过滤规则号指定的规则起作用。可在命令行一次指定多个相邻（使用“-”分隔）或不相邻（使用空格分隔）的规则。若分段输入，则只能指定一个。
例如，若欲启用过滤规则2-4和6，执行：
admin@NetST> enable rule 2-4 6
若欲禁用过滤规则，执行下述命令：
disable rule number
该命令用于使指定的过滤规则不起作用，number参数的指定与上述相同。在使用“show rule”命令查看时，不起作用的规则前标记有“*”号。
（8）删除过滤规则
若欲删除某条过滤规则，执行下述命令：
delete rule number
该命令用于使指定的过滤规则不起作用，number参数的指定与上述相同。
例如，若欲删除第3条过滤规则时，执行下述操作：
admin@NetST> delete rule
Enter number: 3
It will delete rule 3. Are you sure (y/n)? y
Delete rule success!
若欲删除所有的过滤规则，执行下述命令：
delall rule
例如，若欲删除所有的过滤规则，执行下述操作：
admin@NetST> delall rule
Enter number: 3
It will delete all rules. Are you sure (y/n)? y
Delete all rules success!
admin@NetST> show rule
Error: No any rules!
