网神SecAV3600防毒墙系统快速安装指南V8.1.1

网神 SecAV3600 防毒墙系统快速安装指南 1 网神网神 SecAV3600 防毒墙系统防毒墙系统 快速安装指南快速安装指南 网神信息技术 北京 股份有限公司网神信息技术 北京 股份有限公司 网神 SecAV3600 防毒墙系统快速安装指南 1 目目 录录 1产品介绍产品介绍 1 2开箱检查开箱检查 1 3规划组网规划组网 2 4设备上架设备上架 3 4 1安装注意事项 4 4 2上架步骤 4 5配置系统配置系统 4 5 1系统出厂配置 5 5 2登录设备 5 5 2 1通过Console口登录设备 6 5 2 2通过WEBUI界面登录设备 8 5 2 3通过SSH协议登录设备 10 5 3更改管理员密码 13 5 4配置接口参数 14 5 4 1CLI配置步骤 14 5 4 2WEBUI配置步骤 16 5 5添加默认路由 17 5 6配置 DNS 服务器 17 5 7激活许可证 18 5 8添加功能配置对象 18 5 9配置安全策略 20 6软件维护软件维护 24 7获取技术支持获取技术支持 24 网神 SecAV3600 防毒墙系统快速安装指南 1 1 产品介绍产品介绍 网神防毒墙系统 SecAV3600 简称网神防毒墙 可实时检查互联网流量 防止恶 意和不必要的应用及 web 内容进出网络 实现办公区域网络最大化保护 控制与使用 通过利用 ASIC 加速的数据检查引擎 可在不影响网络上互联网流量速度的前提下快速 准确地检查并分类 HTTP HTTPS FTP SMTP 和 POP3 数据 此外 基于用户和用户 群的 URL 过滤引擎和应用控制可协助管理员实现网络应用策略 间谍软件 病毒 rootkit 攻击 广告软件和木马等恶意内容在网关处即可被识别 并拦截下来 此外 web 内容过滤和应用控制引擎由于可识别并阻止在线游戏 在线 赌博和在线股票交易等会严重影响工作效率的互联网应用的使用 从而还能控制不必 要和与工作无关的互联网使用 网神防毒墙系统可向系统管理员提供详尽的日志信息 在日志信息中详细记录了 设备的系统日志 管理员日志 以及恶意软件活动日志 恶意软件统计日志 站点过 滤日志 WEB 服务器保护日志 事件日志 正常电子邮件日志 应用控制日志 管理 员可以分类查看详细的日志记录信息 日志可保存在设备的硬盘上 输出到 FTP 服务器或发送到 Syslog 服务器 管理员还可以在系统中设置日志报警机制 通过设置系统使用率的告警阈值 如 果使用率达到或超过百分比阈值 系统将发送报警电子邮件给管理员 同时产生弹出 式消息 警告管理员磁盘使用率高并删除或输出部分日志以清理磁盘空间 网神 SecAV3600 防毒墙系统包括如下五个系列产品 V5000 U001P V5000 U005P V5000 U010P V5000 U020M V10000 U050M 2 开箱检查开箱检查 打开包装箱后 请拿出装箱检查单 然后对照检查单逐项检查部件是否齐全 如 果发现存在部件缺失或品质问题 请记录问题并马上联系网神更换 产品装箱交付清单如下表 Item规格描述数量 1网神 SecAV3600 防毒墙系统1 配件盒 网神 SecAV3600 防毒墙系统快速安装指南 2 1用户使用光盘 CD1 2标准电源线1 4串口线1 5交叉网线 直通网线 1 1 6机架固定耳朵 2 7上架导轨2 已装 7螺丝 1 包 8备用缓冲垫4 已装 设备面板上 各 RJ 45 类型的以太网口和 SFP 类型的光纤网口 用于外部数据的 接入 实现对数据包的监控和处理 DB 9 类型的管理串口 用于通过串口线连接到管 理计算机 然后通过终端仿真软件配置网神 SecAV 3600 防毒墙系统 网神 SecAV 3600 防毒墙系统的 LCD 参数说明 如下表所示 LCD 参数说明 PWR 为系统电源指示灯 灯灭表示电源没有接通 灯亮表示电源已接通 HDD为硬盘指示灯 灯灭表示硬盘工作不正常 灯亮表示硬盘工作正常 HA为双机热备指示灯 当设备启用双机热备功能时指示灯亮 3 规划组网规划组网 网神防毒墙系统能以两种模式部署 在线预防模式和离线侦察模式 预防模式 网神防毒墙系统在网络中在线部署 网神防毒墙系统会主动扫描 web 和电子邮件 流量 阻止恶意软件到达并感染网络上的主机 网神 SecAV3600 防毒墙系统快速安装指南 3 侦察模式 网神防毒墙系统采用旁路部署 监控并检查 Web 和电子邮件流量中恶意软件内容 网神防毒墙系统可部署于核心交换机外的 span 端口或监控端口上 交换机上 SPAN 端 口必须可看到所有通往互联网的流量 注 只有在预防模式中网神防毒墙系统才能够防止恶意软件到达终端用户 在侦注 只有在预防模式中网神防毒墙系统才能够防止恶意软件到达终端用户 在侦 察模式中 网神防毒墙系统并不能拦截恶意软件的下载 推荐用户在接入到网络中 察模式中 网神防毒墙系统并不能拦截恶意软件的下载 推荐用户在接入到网络中 提供防护之前 先采用旁路监听的侦察模式部署 学习网络环境及各种攻击特征 从提供防护之前 先采用旁路监听的侦察模式部署 学习网络环境及各种攻击特征 从 而配置合理 有效的防护规则 然后再采用预防模式将设备部署在网络中 而配置合理 有效的防护规则 然后再采用预防模式将设备部署在网络中 4 设备上架设备上架 本章介绍设备的安装注意事项及上架步骤 网神 SecAV3600 防毒墙系统快速安装指南 4 4 1 安装注意事项安装注意事项 设网神防毒墙系统设备必须在室内使用 为保证设备的正常工作和延长使用寿命 在设备的安装和使用过程中 特提出如下安全建议 请将设备放置在远离潮湿或远离热源的地方 工作温度建议 0 45 工作湿度建议范围 10 90 40 非冷凝 请确认设备已经正确接地 保护地线的正常连接是设备防雷 抗干扰的重要保障 所以用户在安装 使用设 备时必须首先正确接好保护地线 请在安装维护过程中预防静电 建议用户使用 UPS Uninterrupted Power Supply 不间断电源 设备可以放在机架上或直接放置于平台上 设备四周要留出散热空间 并且不要 在设备上面放置重物 4 2 上架步骤上架步骤 介绍网神 SecAV3600 防毒墙系统设备上架的操作步骤 步骤 1将设备放入 19 英寸标准机柜中 并通过左右两个耳板将其固定 步骤 2将电源线连接到后面板的电源插口中 步骤 3打开后面板的电源开关 启动上电之前应进行如下检查 电源线和地线连接是否正确 供电电压与设备的要求是否一致 配置电缆连接是否正确 配置用微机或终端是否已经打开 并设置完毕 启动电源开关后 前面板上的 PWR 指示灯亮 表明电源工作正常 5 配置系统配置系统 本章介绍设备的出厂配置信息 以及系统部署在用户网络中以后 需要进行的初 始配置 网神 SecAV3600 防毒墙系统快速安装指南 5 5 1 系统出厂配置系统出厂配置 在出厂配置中 所有物理接口皆为透明模式且都属于 VLAN 1 除了网神 SecAV 3600 V10000 U050M 系列防毒墙系统有两个专用的管理口 MGT1 和 MGT2 以外 其余 型号产品上的 GE1 口为管理端口 管理员必须通过 GE1 经由 VLAN1 通过 WEBUI 界 面配置网关 然后再根据自身的网络状况配置接口的相关属性 下列表格显示了登录 WEBUI 和 CLI 的默认 IP 和管理账户 表表 1 默认管理员账户信息 默认管理员账户信息 操作模式透明模式 管理口 IP 地址 GE1 192 168 20 200 MGT1 192 168 20 200 MGT2 192 168 30 200 用户名Administrator 密码Password 语言English 设备名SecWorld 默认管理端口 SecAV 3600 V10000 U050M 系列产品为 MGT1 和 MGT2 其余型号为 GE1 管理口开放服务默认开放 HTTPS SSH 和 ping 服务 接口工作模式 默认除了 MGT1 和 MGT2 的所有接口均工作在透明模式 MGT1 和 MGT2 为路由模式 5 2 登录设备登录设备 网络管理员可以通过多种方式管理网神防毒墙系统设备 管理方式包括 本地管理 即通过 CONSOLE 口登录网神防毒墙系统设备进行管理 远程管理 包括两种方式 A 使用浏览器和设备建立 HTTPS 连接对设备进行管理 B 通过 SSH 协议和设备建立安全连接登录网神防毒墙系统设备进行配置管理 第一次使用网神防毒墙系统设备 管理员可以通过 CONSOLE 口或 SSH 客户端连 接设备 以命令行方式配置和管理设备 也可以通过浏览器以 WEBUI 方式进行配置和 管理 网神 SecAV3600 防毒墙系统快速安装指南 6 5 2 1 通过通过 Console 口登录设备口登录设备 Console 口即设备的控制台接口 本地一台管理主机通过 CONSOLE 线缆与网神 防毒墙系统设备的 CONSOLE 口连接 可以通过 CLI 对设备进行本地配置 可以进行 系统的调试 配置和管理工作 管理员要想通过此串口直接连接并管理设备 需要进行如下的准备工作 准备一根 Console 线缆 带有可用串口的管理主机 在微机上运行终端仿真程序 如 Windows 9X 的 Hyperterm 超级终端等 建 立连接 下面将详细介绍如何通过 CONSOLE 口连接到网神防毒墙系统设备 1 使用 CONSOLE 口控制线连接计算机的串口 这里假设使用 COM1 和设备 的 Console 口 2 在主机上选择 开始开始 程序程序 附件附件 通讯通讯 超级终端超级终端 建立管理主机和设 备的网络连接 A 输入连接名称 B 选择 COM1 端口 网神 SecAV3600 防毒墙系统快速安装指南 7 C 配置终端通信参数为 9600 波特 8 位数据位 无奇偶校验 1 位停止位 无数据流控 如下图所示 点击 确定 按钮完成设置 成功连接到网神防毒墙系统后 超级终端界面会出 现输入用户名和密码提示信息 如下图所示 网神 SecAV3600 防毒墙系统快速安装指南 8 3 用户直接输入网神防毒墙系统默认的串口登录用户 administrator 和密码 password 即可登录到网神防毒墙系统设备 登录后界面如下图所示 用户就可使用命 令行方式对设备进行配置管理等操作 5 2 2 通过通过 WEBUI 界面登录设备界面登录设备 第一次使用网神防毒墙系统设备 管理员还可以使用安全的 HTTPS 连接 对网神 防毒墙系统设备进行管理和配置 网神防毒墙系统设备支持的浏览器包括 Internet Explorer 6 0 及 6 0 以上版本 Firefox2 50 及 2 50 以上版本 登录网神防毒墙系统网关的 WEBUI 步骤描述如下 1 通过 WEB 浏览器 输入路径和地址 https 特别说明 特别说明 网神 SecAV3600 防毒墙系统快速安装指南 9 VLAN1 的缺省出厂 IP 是 192 168 20 200 24 如果管理员没有通过 Console 口修改 VLAN1 的 IP 地址 则管理主机的 IP 地址必须与缺省 IP 处于同一网段 并通过以太网 连接到网神防毒墙系统的 GE1 或管理接口 2 登录 WEBUI 界面如下图 输入默认的管理员用户名 administrator 和密码 password 还可以在 语言 处选 择 WEBUI 界面的显示语言 可选项为 English 简体中文或繁体中文 然后单击 登录 按钮即可 也可以登录后选择菜单 管理管理 系统设置系统设置 语言语言 选择 WEBUI 显示语言 如下 图所示 网神 SecAV3600 防毒墙系统快速安装指南 10 5 2 3 通过通过 SSH 协议登录设备协议登录设备 SSH Secure Shell 安全外壳 是一个用于在非安全网络中提供安全的远程登录 以及其他安全网络服务的协议 当用户通过非安全的网络环境远程登录到设备时 每 次发送数据前 SSH 都会自动对数据进行加密 当数据到达目的地时 SSH 自动对加 密数据进行解密 以此提供安全的信息保障 以保护设备不受诸如明文密码截取等攻 击 除此之外 SSH 还提供强大的认证功能 以保护不受诸如 中间人 等攻击方式 的攻击 SSH 采用客户端 服务器模式 网神防毒墙系统可以作为 SSH 服务器接受 SSH 客户端的连接并提供认证 管理员 可以在本地主机上使用支持 SSH 的客户端软件 如用于 UNIX 系统的 OpenSSH 或 用于 32 位 WINDOWS 平台的 PUTTY 来登录网神防毒墙系统设备 管理员通过认 证后 管理主机与网神防毒墙系统设备之间建立 SSH 连接 可以通过 SSH 协议远程管 理网神防毒墙系统设备 网神防毒墙系统设备作为网神防毒墙系统设备作为 SSH 服务器的相关配置 服务器的相关配置 网神防毒墙系统设备作为 SSH 服务器接收管理员的 SSH 协议连接请求 需要在设 备的相应端口开放 SSH 服务 出厂配置中 设备的 GE1 口为管理端口 在 GE1 口默认开放 SSH 服务 管理员 可以通过 GE1 口与设备建立 SSH 连接 查看 GE1 口开放的服务使用如下命令 show interface GE1 manage 结果显示为 HTTPS SSH PING 表示 GE1 口开放 HTTPS 服务 SSH 服务和 ping 服务 如果管理员需要通过其他端口与设备建立 SSH 连接 则需要在相应接口开放 SSH 服务 例如要在 GE3 口开放 SSH 服务 在 CLI 下的配置命令为 set interface GE3 manage ssh 在 WEBUI 界面操作为 1 选择导航菜单 管理管理 网络配置网络配置 网络接口网络接口 界面如下图所示 网神 SecAV3600 防毒墙系统快速安装指南 11 2 点击 GE3 口左侧的 选择 一栏 然后点击 编辑 按钮 或者直接点击 GE3 进入设置界面 如下图所示 在 管理访问 处选择 SSH 然后点击 应用 按钮即可 SSH 客户端配置 客户端配置 SSH 客户端软件有很多 例如 PuTTY OpenSSH 等 用户可根据自己的具体情况 决定使用的 SSH 客户端软件 下面以 PUTTY 为例介绍 SSH 客户端的相关配置 1 运行 Putty exe 文件 出现如下图所示配置界面 网神 SecAV3600 防毒墙系统快速安装指南 12 2 设置连接的协议类型 以及服务器参数 在 Host Name or IP address 文本框中输入 SSH 服务器的 IP 地址 在 port 处保证连接端口号为 22 在 connection type 处选择连接的协议类型为 SSH 出现如下图所示的界面 如果需要保存此连接 请在 saved session 处输入保存名称 并点击 save 按 钮 则该连接将保存在下面的文本框中 下次直接选择该连接 并点击 load 按钮即 可 无需再次输入 SSH 服务器的名称和端口号等信息 3 单击 Open 按钮 出现如所示的 SSH 客户端界面 如果连接正常则会提示 用户输入用户名和密码 网神 SecAV3600 防毒墙系统快速安装指南 13 输入正确的管理员名和密码信息后 进入配置界面 如下图所示 5 3 更改管理员密码更改管理员密码 出于安全考虑 首次登录后建议超级管理员修改 administrator 账户的密码 网神 SecAV3600 防毒墙系统快速安装指南 14 在 CLI 下的配置命令为 set admin administrator password 123 在 WEBUI 下的配置步骤为 1 选择菜单 管理管理 访问管理访问管理 用户账号 用户账号 修改 administrator 账户的密码 界面如下图所示 2 点击管理员名称 administrator 弹出如下图所示界面 3 输入默认密码 password 然后在 新密码 和 确认新密码 处重复输入 相同的密码 4 点击 应用 按钮提交配置 5 4 配置接口参数配置接口参数 登录设备后管理员可以修改接口参数 包括修改接口的工作模式 更改物理接口 或 VLAN 虚接口的 IP 启用接口的管理服务等 5 4 1 CLI 配置步骤配置步骤 下面以 GE1 为例介绍 CLI 的配置命令 1 查看接口的工作模式 在上图中输入命令 show interface GE1 执行结果为 网神 SecAV3600 防毒墙系统快速安装指南 15 GE1 Link encap Ethernet Mode TrunkMode TrunkMode Trunk HWaddr 00 e0 81 43 6c 87 addr 0 0 0 0 Bcast 0 0 0 0 Mask 0 0 0 0 MTU 1500 RX packets 22069891 errors 9 dropped 0 overruns 0 TX packets 32376395 errors 0 dropped 0 overruns 0 collisions 0 Link Yes Link type autonegotiation Duplex full Speed 100Mbps RX Off TX Off AutoNeg On Internet Mode No Inbound Enable 上图红色字体中的内容表明接口工作在透明模式 且属于 Trunk VLAN 2 设置接口工作模式 默认接口工作在透明模式 设置为路由模式 set interface GE1 mode route 设置为透明模式 set interface GE1 mode transparent 3 设置物理接口或 VLAN 虚接口的 IP 地址 当接口工作在路由模式时设置物理接口 IP 地址即可 当接口工作在透明模式时则 需要设置所属的 VLAN 虚接口的 IP 地址 添加接口添加接口 IP 命令为 命令为 set interface IF NAME ip A B C D M 设置物理口的 IP 地址 例如设置 GE4 口 IP 为 11 11 11 1 24 set interface GE4 ip 11 11 11 1 24 设置 VLAN 虚接口的 IP 地址 例如设置 VLAN1 的 IP 为 11 11 11 1 24 set interface vlan1 ip 11 11 11 1 24 删除接口删除接口 IP 的命令为 的命令为 unset interface IF NAME 删除物理口的 IP 地址 例如删除 GE4 口的 IP unset interface GE4 删除 VLAN 虚接口的 IP 地址 例如删除 VLAN1 的 IP unset interface vlan1 需要注意的是 更改需要注意的是 更改 VLAN 虚接口虚接口 IP 后 原有的后 原有的 SSH 连接会断开 需要管理员连接会断开 需要管理员 重新建立重新建立 SSH 连接 才能继续进行连接 才能继续进行 CLI 配置 配置 网神 SecAV3600 防毒墙系统快速安装指南 16 4 如果管理员需要通过其他端口与设备建立 HTTPS 连接或者 SSH 连接 则需要 在相应接口启用 HTTPS 服务或者 SSH 服务 下面以 GE3 口为例进行说明 启用接口的 HTTPS 服务 set interface GE3 manage https 禁用接口的 HTTPS 服务 unset interface GE3 manage https 启用接口的 SSH 服务 set interface GE3 manage ssh 禁用接口的 SSH 服务 unset interface GE3 manage ssh 5 4 2 WEBUI 配置步骤配置步骤 WEBUI 下配置接口参数的步骤为 1 查看接口配置 选择导航菜单 管理管理 网络配置网络配置 网络接口网络接口 界面如下图所示 可以查看接口的简单配置信息 在 模式 一栏可以查看各个接口的工作模式 2 更改 VLAN1 的 IP 地址 选择 VLAN1 然后点击 编辑 按钮 或者直接单击 VLAN1 名称 修改 VLAN 虚 接口的默认 IP 地址 界面如下图所示 设置完成后 点击 应用 按钮保存设置 设置后原有的连接将会断开 需要管 理员使用新的 IP 地址登录网神防毒墙系统设备 3 如果管理员需要通过其他端口与设备建立 HTTPS 连接 则需要在相应接口开 放 HTTPS 服务 下面以 GE3 口为例进行说明 网神 SecAV3600 防毒墙系统快速安装指南 17 点击 GE3 口左侧的 选择 一栏 然后点击 编辑 按钮 或者直接点击 GE3 进入设置界面 如下图所示 在 管理访问 处选择 HTTPS 然后点击 应用 按钮即可 5 5 添加默认路由添加默认路由 如果管理员想通过不同的网段对设备进行管理 则需要添加默认路由 而且设备 上所有特征库的更新都需要通过连接 ASDN 服务器来进行 也要求必须添加默认路由 添加默认路由的步骤为 1 选择 管理管理 网络设置网络设置 路由表路由表 点击 添加 按钮 界面如下图所示 勾选 添加为默认网关 并设置 VLAN 虚接口所在网段的默认网关 2 点击 应用 按钮保存并提交配置 5 6 配置配置 DNS 服务器服务器 对于网神防毒墙系统来说 所有特征库的更新都是通过连接到服务器的域名来进 行的 因此必须设置 DNS 服务器 选择 管理管理 系统设置系统设置 主机主机 在下图中配置 DNS 服务器 网神 SecAV3600 防毒墙系统快速安装指南 18 设置完成后 点击 应用 按钮使设置生效 5 7 激活许可证激活许可证 用户购买网神防毒墙系统后 首先必须进行注册激活 否则产品的在线防病毒 站点过滤和应用程序控制等功能均无效 1 选择菜单 管理管理 系统维护系统维护 许可证许可证 界面如下图 点击 激活 按钮即可 无需手工导入 License 文件 如果已经激活 则系统会弹出如下图所示的提示框 5 8 添加功能配置对象添加功能配置对象 出厂配置中内置了一个功能配置对象 default security profile 配置了对客户端 进行保护的基本的安全策略 管理员可以在安全策略中直接引用该默认的功能配置对 象 也可以修改该对象的默认参数 或添加新的功能配置对象 具体设置步骤为 1 选择 全局设置全局设置 功能配置功能配置 界面中显示默认的功能配置对象 网神 SecAV3600 防毒墙系统快速安装指南 19 2 查看默认功能配置对象的参数设置 直接点击对象名 default security profile 可以查看其配置 界面如下图所示 点击具体类别的设置图标 如上图红色框内所示 可以查看和修改其默认的过滤 策略 具体请查看 网神 SecAV3600 防毒墙系统管理员手册 3 添加功能配置对象 点击 添加 按钮 界面如下图所示 网神 SecAV3600 防毒墙系统快速安装指南 20 输入配置名称 并分别点击具体类别的设置图标设置具体的过滤参数 然后点击 应用 按钮保存设置 5 9 配置安全策略配置安全策略 添加安全策略 并在策略中引用功能配置对象 添加应用程序策略添加应用程序策略 1 选择 全局设置全局设置 策略策略 应用程序策略应用程序策略 界面如下图所示 2 点击 添加 按钮 界面如下图 网神 SecAV3600 防毒墙系统快速安装指南 21 3 选择客户端连接的接口 接口 VLAN 选择客户端连接的接口 例如 GE1 4 配置受保护的客户端 为了使所有的客户端都受到保护 先将 源 IP 子网掩码 和 目的 IP 子网掩码 均设置为 any 5 引用功能配置对象 默认情况下 使用系统内置的功能配置对象 default security profile 为客户端提 供保护 管理员可以选择其他自定义的功能配置对象 6 点击 应用 按钮保存设置 添加服务策略添加服务策略 1 选择 全局设置全局设置 策略策略 服务策略服务策略 界面如下图所示 2 点击 添加 按钮 界面如下图 网神 SecAV3600 防毒墙系统快速安装指南 22 3 选择客户端连接的接口 接口 VLAN 选择需要保护的客户端连接的接口 例如 GE1 4 选择过滤的动作 可选项为