中國信息安全領導企業天融信防火墻產品配置與維護

February6,2023內容提綱防火墻基本應用防火墻高級應用防火墻常見問題與排除綜合實驗案例介紹Internet一種高級訪問控制設備，是置于不同網絡安全域之間的一系列部件的組合，它是不同網絡安全域間通信流的唯一通道，能根據企業有關的安全政策控制（允許、拒絕、監視、記錄）進出網絡的訪問行為。兩個安全域之間通信流的唯一通道UDPBlockHostCHostBTCPPassHostCHostADestinationProtocolPermitSource根據訪問控制規則決定進出網絡的行為防火墻簡介內部網防火墻提供的通訊模式透明模式(提供橋接功能)在這種模式下，網絡衛士防火墻的所有接口均作為交換接口工作。也就是說，對于同一VLAN的數據包在轉發時不作任何改動，包括IP和MAC地址，直接把包轉發出去。同時，網絡衛士防火墻可以在設置了IP的VLAN之間進行路由轉發。路由模式(靜態路由功能)在這種模式下，網絡衛士防火墻類似于一臺路由器轉發數據包，將接收到的數據包的源MAC地址替換為相應接口的MAC地址，然后轉發。該模式適用于每個區域都不在同一個網段的情況。和路由器一樣，網絡衛士防火墻的每個接口均要根據區域規劃配置IP地址。綜合模式(透明+路由功能)顧名思義，這種模式是前兩種模式的混合。也就是說某些區域（接口）工作在透明模式下，而其他的區域（接口）工作在路由模式下。該模式適用于較復雜的網絡環境

透明模式的典型應用Internet內部網ETH0：ETH1：ETH2：0/24網段0/24網段外網、SSN、內網在同一個廣播域，防火墻做透明設置。此時防火墻為透明模式。路由模式的典型應用Internet內部網ETH0：ETH1：ETH2：0/24網段0/24網段外網、SSN、內網在同一個廣播域，防火墻做透明設置。此時防火墻為透明模式。綜合接入模式的典型應用ETH1：02ETH2：00/24網段/24網段此時整個防火墻工作于透明+路由模式，我們稱之為綜合模式或者混合模式/24網段ETH0：兩接口在不同網段，防火墻處于路由模式兩接口在不同網段，防火墻處于路由模式兩接口在同一網段，防火墻處于透明模式1、路由走向(包括防火墻及其相關設備的路由調整)確定防火墻的工作模式：路由、透明、綜合2、IP地址的分配(包括防火墻及其相關設備的IP地址分配)根據確定好的防火墻的工作模式給防火墻分配合理的IP地址3、數據應用和數據流向(各種應用的數據流向及其需要開放的端口號或者協議類型)4、要達到的安全目的(即要做什么樣的訪問控制)

在配置防火墻之前的準備網絡衛士防火墻的硬件設備安裝完成之后，就可以上電了。在工作過程中，用戶可以根據網絡衛士防火墻面板上的指示燈來判斷防火墻的工作狀態，具體請見下表：防火墻的工作狀態串口(console)管理方式：用戶名superman，口令：talent,用passwd修改管理員密碼，請牢記修改后的密碼。WEBUI管理方式：

超級管理員:superman，口令:talentTELNET管理方式：

模擬console管理方式，用戶名superman，口令：talentSSH管理方式：

模擬console管理方式，用戶名superman，口令：talent防火墻的管理方式防火墻的CONSOLE管理方式超級終端參數設置：防火墻的CONSOLE管理方式輸入helpmodechinese命令可以看到中文化菜單防火墻的WEBUI管理方式在瀏覽器輸入：HTTPS://54，看到下列提示，選擇“是”防火墻的TELNET管理方式通過TELNET方式管理防火墻：網絡衛士防火墻配置思路：一、配置網絡連通二、配置安全控制防火墻的配置思路1.配置區域和接口2.配置路由3.配置地址轉換1.規劃好需要制定什么樣的訪問策略2.配置訪問控制3.調整安全參數（管理員、密碼等）拓樸描述原有網絡網絡規劃后防火墻的基本應用配置防火墻接口IP及區域默認權限設置路由表及默認網關定義防火墻的路由模式定義防火墻的透明模式定義網絡對象制定訪問控制策略制定地址轉換策略（通訊策略）保存和導出配置定義區域在“對象”－”區域對象“中定義防火墻3個區域（接口）的默認權限為”禁止訪問“定義區域的服務在“系統管理”－“配置”－“開放服務”里給區域定義服務路由模式－配置接口IP進入防火墻管理界面，點擊”網絡管理“

”接口“可以看到物理接口定義結果：點擊每個接口的”設置”按鈕可以修改每個接口的名稱、地址、模式等透明模式TRUNK模式配置要點

配置接口為TRUNK

添加需要透傳的VLANID號ACCESS模式配置要點

配置接口模式為ACCESS，并設置該接口屬于哪個VLAN

添加VLAN

定義VLAN定義一個VLAN。點擊“網絡管理”－“二層網絡”－“添加/刪除VLAN范圍”設置vlanID定義VLAN的IP地址，更改接口模式設置VLAN地址設置接口工作模式及地址設置防火墻路由設置缺省網關時，源和目的一般為全“0”防火墻的缺省網關在靜態路由時，必須放到最后一條路由定義對象－主機對象點擊：”資源管理“－“地址”－“主機”，點擊右上角“添加”定義對象－主機對象主機對象中可以定義多個IP地址定義對象－地址對象和子網對象定義地址轉換（通信策略）根據前面的需求如果內網要訪問外網，則必須定義NAT策略；同樣外網要訪問WEB服務器的映射地址，也要定義MAP策略定義NAT策略，選擇源為已定義的內部子網，目的為“AERA_ETH0”區域轉換地址要選擇”源地址轉換為“ETH0”，也就是防火墻外網接口IP地址；也可以選擇定義好的“NAT地址池”（在“對象”－“地址范圍中定義”）配置MAP（映射）策略，源選擇外網區域“area_eth0”目的選擇映射后的公網IP地址（也就是WEB服務器－MAP），目的地址轉換為必須選擇服務器映射前的IP（也就是WEB服務器的真實IP地址），選擇“WEB服務器”主機對象即可。定義地址轉換（通信策略）設置好的地址轉換策略（通信策略）第一條為內網訪問外網做NAT；（源轉換）第二條為外網訪問WEB服務器的映射地址，防火墻把包轉發給服務器的真實IP；（目的轉換）制定訪問規則（1）第一條規則定義“內網”可以訪問互聯網。源選擇“內部子網_1”；目的可以選擇目的區域“AERA_ETH0”，也可以是“ANY[范圍]”制定訪問規則（2）定義訪問規則（3）第二條規則定義外網可以訪問WEB服務器的映射地址，并只能訪問TCP80端口。源選擇“AERA_ETH0”、目的選擇”WEB服務器—MAP“地址。轉換前目的選擇”WEB服務器“（服務器真實的IP地址）點選“高級”選擇源AREA－area_eth0選擇目的－“WEB服務器－MAP”“服務”－“HTTP”定義訪問規則定義好的兩條訪問策略配置保存點擊防火墻管理頁面右上角“保存”按鈕，然后選擇彈出對話框“確定”即可保存當前配置查看配置、導出配置在“系統管理”－“維護”中進行防火墻當前配置的保存、下載、上傳等操作按照下圖中數字所示順序即可把防火墻配置導出到本地，其中配置替換是把本地配置導入到防火墻時候用的。內容提綱防火墻基本應用防火墻高級應用防火墻常見問題與排除綜合實驗案例介紹防火墻的高級應用策略路由應用應用程序識別部分DPI（URL）過濾全面支持DHCP鏈路備份流量管理雙機熱備策略路由策略路由與靜態路由都用于定義數據包轉發規則，比傳統路由控制能力更強，使用更靈活，根據協議類型、應用、IP源地址或者其它的策略來選擇轉發路徑。這種方式可以實現內部網絡的指定對象使用特定外部線路與外部網絡通信，從而進一步增強了網絡的通信安全。需求1：電信和網通用戶可以分別通過兩個不同的公網地址來訪問企業內網的一臺服務器；而且內網服務器回復報文遵循電信用戶使用電信出口，網通用戶使用網通出口的規則。需求2：內網服務器22訪問外網使用電信線路，其他使用網通。策略路由配置要點：添加路由綁定屬性添加路由條目應用程序識別IM實現方式及功能支持協議：QQ、MSN、SKYPE；實現內容：禁止IM客戶端登陸；實現方式：根據登陸過程的協議特征進行判斷；P2P實現方式及功能支持協議：BT、eDonkey；實現內容：禁止下載、QOS限制和連接數限制；實現方式：根據數據開始特征進行判斷內容過濾支持對HTTP、SMTP、POP3、IMAP、FTP等協議的深度內容過濾支持URL過濾。支持對移動代碼如Javaapplet、Active-X、VBScript、Javascript的過濾。支持對郵件的收發郵件地址、文件名、文件類型過濾。支持對郵件主題、正文、收發件人、附件名、附件內容等關鍵字匹配過濾。支持GB2312、UTF-8等多種編碼方式。可屏蔽受保護主機/服務器系統信息，如替換服務器（FTP、SMTP、POP3、telnet,HTTP）的BANNER信息。案例介紹-內容過濾需求：開啟DPI過濾禁止訪問sina和sohu；開啟應用程序識別每周一到周五上午9：00－17：00禁止使用QQ/BT;其他時間可以使用QQ/MSN案例介紹-URL過濾URL過濾配置要點：DPI應用端口綁定添加URL對象添加HTTP過濾策略引用到訪問控制案例介紹-應用程序識別應用程序識別配置要點：添加應用程序識別策略引用到防火墻訪問控制防火墻高級應用－DHCP網絡衛士防火墻提供比較全面的DHCP服務功能，能夠很好地結合到客戶網絡環境中。網絡衛士防火墻可以提供以下DHCP服務：作為DHCP客戶端，從DHCP服務器獲取動態IP地址；作為DHCP服務器，集中管理和維護客戶網絡主機IP地址分配；作為DHCP中繼，轉發DHCP報文；同時作為DHCP服務器和DHCP客戶機（需工作在網絡衛士防火墻的不同接口上）；網絡衛士防火墻可以作為DHCP客戶端，接口可以自動獲取某個IP地址。在這種情況下，網絡衛士防火墻的某些接口或全部接口將由DHCP服務器動態分配IP地址。設置要自動獲得IP地址的接口，點擊“運行”后該接口將從DHCP服務器自動獲取IP地址。要禁止接口獲得IP地址，點擊“停止”，該接口將停止從DHCP服務器自動獲取IP地址。防火墻高級應用－做DHCP客戶端該接口必須工作在路由模式下。防火墻高級應用－做DHCP服務器配置要點：開放對應區域的DHCP服務配置DHCP地址池指定DHCP運行接口網絡衛士防火墻提供DHCP中繼服務，即支持某一網段的主機連接到位于另一網段的DHCP服務器。輸入網絡上的DHCP服務器地址，并填寫指定客戶端所在端口，還有接受server回應的端口。點擊“運行”，啟動中繼服務。防火墻高級應用－做DHCP中繼防火墻高級應用－鏈路備份用戶環境為雙出口鏈路時，天融信防火墻實時監視整個鏈路的工作情況，一旦發現異常，就立即啟動“鏈路備份”功能自動切換到另一條備用鏈路，以確保網絡的正常通信。配置要點：配置網絡；配置二條路由；設置鏈路備份參數；防火墻高級應用－流量管理

通過QoS管理，用戶可以根據實際用戶網絡規劃，方便、靈活地定制帶寬策略，防止帶寬濫用現象，并可以確保關鍵應用的帶寬需求。配置要點：設置采用QoS的物理接口；在接口下設置一到多個類及其子類；在類下設置數據流的匹配規則；注意事項：必須在第二級以上Class下設置rule才生效數據先過防火墻再進行限制防火墻高級應用－雙機熱備在雙機熱備模式下（最多支持九臺設備），任何時刻都只有一臺防火墻（主墻）處于工作狀態，承擔報文轉發任務，一組防火墻處于備份狀態并隨時接替任務。當主墻的任何一個接口（不包括心跳口）出現故障時，處于備份狀態的防火墻經過協商后，由優先級高的防火墻接替主墻的工作，進行數據轉發。配置要點設置HA心跳口屬性設置除心跳口以外的其余通信接口屬于VRID10指定HA的工作模式及心跳口的本地地址和對端地址主從防火墻的配置同步防火墻高級應用－雙機熱備注意事項度量值大優先心跳口IP大優先內容提綱防火墻基本應用防火墻高級應用防火墻常見問題與排除綜合實驗案例介紹常見問題分析和解決辦法工具介紹防火墻監控工具輔助命令介紹常見問題和解決辦法防火墻無法管理長連接問題訪問控制導致網絡和應用異常FAQ錦集防火墻監控工具的使用(1)

功能:

1.集中管理天融信設備。

2.讀取防火墻內存，可以實時看到防火墻上的連接狀態。3.實時監控防火墻的硬件信息并提示報警信息。工具獲取地址：

1.防火墻光盤里。2.用戶名:tos密碼:tos使用方法：1.安裝程序

防火墻監控工具的使用(2)

使用方法:2.添加設備防火墻監控工具的使用(3)

使用方法:2.右鍵設備功能介紹監控防火墻CUP等信息進入防火墻WEB管理界面防火墻連接實時監控防火墻工具-TCPDUMP

通過CONSOLE或TELNET、SSH方式進入到>SYSTEM菜單下，輸入TCPDUMP命令進行抓包輔助工具-Ping、tracertnetworksession命令介紹

命令：networksessionshowmax-user功能：顯示按連接數排序的IP用戶信息快速定位某個IP的連接是否正常。

防火墻無法管理(1)問題描述:

通過WEB,telnet方式無法管理防火墻,但是應用都正常。問題分析：

安全設備自身對外提供的服務默認都是關閉的，因此在應用正常的情況下，訪問防火墻設備功能異常的時候優先考慮對外服務是否開啟解決辦法：1.查看管理PC對應防火墻哪個接口2.我們使用IP已經無法進入防火墻管理了，使用CONSOLE口登陸防火墻，輸入defineareashow(查看區域配置)

防火墻無法管理(2)解決辦法：3.輸入命令pfservershow

這里可以看到對應的區域名開放了哪些服務，如沒有按照命令格式添加。解決辦法2：

如果是誤刪導至無法管理防火墻，可以在不影響業務的情況下重啟防火墻將防火墻配置恢復到上一次保存時的配置。

長連接問題問題描述：

在使用數據庫和視頻連接的時候，過了一段時間業務提示和服務器斷開連接，重新連接就可以連上，影響了處理業務的效率。

問題分析：

安全設備在設計上考慮安全性和性能，通常設置了連接超時時間。

在防火墻“系統參數---配置---高級屬性勾上”可以查看超時時間。解決辦法：

在訪問控制添加策略，指定訪問源、訪問目的地、目的端口(建議使用詳細端口)。在選項里把普通連接改為長連接。

訪問控制導致網絡和應用異