look'n'stop防火墙使用心得
一、引言：
使用look`n`stop（以下简称lns）防火墙已经有一段时间了，我以前一直是用windows防火墙+自定义ipsec组策略作为网络安全方案的。使用lns是因为观察比较了几款墙后，被lns的小巧内核和强大功能所吸引，而且lns 2005sp3版的和windows安全中心完全兼容。还有一个原因是lns的灵活带来了配置的烦琐，很多人是刚装上lns就卸载了，正是这点吸引我去研究这个只有633kb的软件（用软件就是不复杂没有劲，复杂了受折磨，不过我还是喜欢受折磨、瞎折腾）。
二、安装：
本来安装没什么好说的，但是如果你在安装lns的时候已经安装过防病毒软件和其他防火墙，最好还是看一看。比如我，在安装lns时候不是那么顺利，出了点问题。
我在3台不同的电脑上安装lns，3台都出现了问题。第一台的问题是：安装好lns后每次重启都会发现硬件、安装。似乎是lns的某个文件不能被写入并存盘。分析了一下机器环境。感觉唯一的可能是我的mcafee virusscan enerpriese8.0i的设置问题。不过搞了半天没确定是哪条资源保护规则出了问题。后来的解决方案是：进安全方式安装lns，重启后再进安全方式，安装lns驱动。第三次重启后lns工作正常。
第二台的问题是：安装正常，不过只能导入一条规则，导入第二条规则铁定跳启，比按机箱上的reset还灵。后来分析了一下日志说是驱动或内存引起的问题。这个应该是我个人比较特殊的问题，不具普遍性。
第三台的问题是：安装后，重启，结果死活找不到lns驱动，运行lsn就提示“找不到设备”。后来发现是lns和mdf（mcafee desktopfire 8.0zh）冲突所致。因为lns和mdf都会在安装后试图接管windows安全中心并获取高级的排他权限。所以大多数和windows安全中心兼容的防火墙产品都是有我没他，有他没我，独霸一处的。
三、使用补遗：
在看本段使用补遗之前，建议大家先拜读一下zeus首发龙族，后被多处转载的帖子——《 look`n`stop防火墙中级使用指南（7月19日更新）》。指南很详尽地介绍了lns的设置和使用技巧，正是这个帖子才使我对lns有更深入和全面的了解。
1、不能上网的补遗
有些adsl用户反应装了lns后就不能上网。很不幸，我也遇到了，我在家里的一台电脑装了lns后就不能上网了，不过可以进行pppoe拨号并建立连接，可就是不能上网。后来发现是lns没有正确选择网络接口引起的。原因是为了加快winxp启动后载入adsl连接的速度，我手动指定了网卡ip地址。这导致lns不能自动辨别正确的网络接口。解决的方法有两个，一个是不要指定网卡的ip，另一个是在lns的选项标签页中，勾除自动选择网络接口的选项，手动指定网络接口为wan。小区宽带用户如fttx的lan接入在选择网络接口时也要注意。总之在lns的欢迎标签页上能看到正确的ip（不是全零或类似10.x.x.x内网型的就对了。当然局域网内用户除外）
2、优化补遗
在zeus《look`n`stop防火墙中级使用指南（7月19日更新）》这个帖子的末尾，有一段关于如何对应用程序过滤进行设置的技巧。是把svchost.exe设置为只允许53端口访问dns，并不允许svchost.exe调用其他程序连接。这个设置的思路是对的：是让svchost.exe只访问一个ip的特定端口，阻止一些利用svchost.exe进行调用，并试图连网的病毒或木马。不过这样设置有有一个问题。就是很多通过svchost调用的合法服务或程序也被阻止了。比如你在msn上点hotmail的图标，就不能连上网，一些浏览器的跳转也被阻止。所以还是把[禁止启动其他连接]给恢复成[允许]吧。
3、rules—规则补遗
a、新建一条针对特定应用程序才启动的规则时，必须重启该应用程序才能生效。比如，你在运行比特精灵的时候针对比特精灵的监听端口建立了一个开放端口的规则，要让该规则生效（就是暗红的钩子变绿色）必须关闭比特精灵后再启动才行。否则你会发现即便比特精灵已经运行，这个规则还是暗红的没有启用。
b、很多高手为我们定制了现成的规则表，直接导入就可以了。不过我还是建议每个人都从lsn提供给你的enhancedrulesset.rls入手，逐步建立个性化的规则表。比如每个人使用的bt客户端和电驴，其监听端口都是不一样的。有些规则不指定ip和端口，只要特定程序运行，就开放所有端口通信，这其实有安全隐患。另外这么做可以让你了解防火墙的运行机制，了解程序访问网络的手续和步骤，还可以锻炼你创建规则和分析问题的能力，虽然麻烦了点，但好处多多。
c、lns对不同的用户建立不同的应用程序过滤列表（网络过滤列表是全局的），如果你嫌麻烦让不同的用户去逐个授权，可以打开注册表，找到hkey_current_user\software\soft4ever\looknstop\applis这里保存着当前用户的应用程序列表，dll过滤列表也保存在这里哦。以后重装lns就不用授权应用程序了，导入就可以了。
4、漏洞检测补遗
漏洞检测：英文为leak test比较著名的检测站点有：
1：诺顿
http://security.symantec.com/ssc ... fkpxkbqw&bhcp=1
2：天网
http://pfw.sky.net.cn/news/info/list.php?sessid=&sortid=173.sygatetech
http://scan.sygatetech.com/prequickscan.html4.pcflank
http://www.pcflank.com/test.htm其中pcflank的检测项目最为全面。
lns不愧为出色的防火墙（世界第一并非浪得虚名），除cookie类隐私保护外，我通过了上面网站的所有漏洞检测。不过另一个叫pcaudit的检测软件却彻底摧毁了我的信心。用这个软件做检测，我彻底失败，包括击键记录、屏幕截图等众多敏感信息在内数据都被发送到检测服务器。这使我对lns产生了疑问。通过几次试验和分析，我发现pcaudit的设计理念很独特很超前，不久的将来会产生n多模仿pcaudit的木马和蠕虫。
下面我简要阐述一下pcaudit的攻击手段和lns通过pcaudit检测的方法：
pcaudit本身是一个模拟木马服务端的小软件，用以检测系统漏洞。和别的木马不同，它的运行后不能被lns的应用程序过滤检测到，任务管理器可以可以看到pcaudit进程，这说明他本身不递交连网要求，其本身不向外发送窃取的信息。通过分析和试验，我发现pcaudit启动时，很多连画笔这种从未有连网请求的程序都会请求通过lns的应用程序过滤授权（这种从未有过的授权请求引起了我的注意，但是如果是一个类似病毒库升级的请求或者软件update的请求就会很轻易地使我相信这是合法的要求，并给予授权）。通过试验发现，pcaudit运行时不发送连网请求，而是通过某种类似进程入侵的方式，按活动进程优先级的高低逐个截获进程，通过受到你信任的进程发送数据。因此，只要在运行pcaudit漏洞检测时，拦截逐个跳出的活动进程的连网要求就可以通过其检测了。
如果逆向考虑：一般的进程都是在运行是发出连网要求的，lns也会在进程运行时就截获其连网要求提交用户审核。因此，已经运行的活动进程是不应该提交连网要求的。可是，就如我前面所说，一个从未有过连网要求的记事本和画笔要求审核可能会引起你的警惕，可是一个update要求呢？我想你也会和我一样相信它是合法的。认识了pcaudit我才知道我们的网络是多么的不安全，这也许就是所谓的道高一尺魔高一丈吧。反病毒技术永远都是落后于病毒的。
