Hillstone山石网科基础配置手册50

1、Hillstone山石网科基础配置手册50Hillstone山石网科基础配置手册5050/50Hillstone山石网科基础配置手册50Hillstone山石网科多核安全网关基础配置手册version5.0目录第1章设施管理1设施管理介绍.1终端Console登录1WebUI方式登录1恢复出厂设置.2经过CLI方式2经过WebUI方式2经过CLR按键方式4StoneOS版本升级4经过网络快速升级StoneOS（TFTP）4经过WebUI方式升级StoneOS6允许证安装8经过CLI方式安装8经过WebUI方式安装8第2章基础上网配置10基础上网配置介绍10接口配置10路由配置11策略配置13源

2、NAT配置14第3章常用功能配置16常用配置介绍.16PPPoE配置.16DHCP配置18IP-MAC绑定配置20端到端IPsecVPN配置22SCVPN配置29DNAT配置37一对一IP映照37一对一端口映照40多对多端口映照43一对多映照（服务器负载平衡）46第4章链路负载平衡48链路负载平衡介绍48鉴于目的路由的负载平衡49鉴于源路由的负载平衡50智能链路负载平衡50第5章QoS配置53QoS介绍53IPQoS配置53应用QoS配置55混淆QoS配置58QoS白名单配置59第6章网络行为控制60URL过滤（有URL允许证）60配置自定义URL库63URL过滤（无URL允许证）64网页重点

3、字过滤65网络聊天控制.69第7章VPN高级配置.72鉴于USBKey的SCVPN配置72新建PKI相信域72配置SCVPN77制作USBKey78使用USBKey方式登录SCVPN80PnPVPN83用户配置83IKEVPN配置85地道接口配置89路由配置90策略配置91PnPVPN客户端配置92第8章高靠谱性94高靠谱性介绍.94高靠谱性配置.95对于本手册手册内容本手册为Hillstone山石网科多核安全网关的基础配置手册，对Hillstone山石网科多核安全网关的主要功能模块配置进行介绍，帮助用户快速掌握安全网关的WebUI配置。合用于StoneOS5.0以及以上版本。详细内容包含：第

4、1章：设施管理。介绍登录方式、StoneOS升级以及允许证安装等。第2章：基础上网配置。介绍接口、路由、策略等基本上网配置。第3章：常用功能配置。介绍PPPoE拨号、动向地点分派DHCP、DNAT等配置。第4章：链路负载平衡。介绍鉴于目的路由、源路由、策略路由的流量负载配置等。第5章：QoS配置。介绍QoS功能及配置。第6章：网络行为控制配置。介绍URL过滤、网页重点字以及网络聊天控制配置。第7章：VPN高级配置。介绍鉴于USBKey的SCVPN配置以及PnPVPN配置。第8章：高靠谱性。介绍高靠谱性（HA）的配置。手册商定为方便用户阅读与理解，本手册依据以下商定：内容商定本手册内容商定以下：

5、提示：为用户供给有关参照信息。说明：为用户供给有助于理解内容的说明信息。注意：假如该操作不正确，会致使系统犯错。：用该方式表示Hillstone设施WebUI界面上的链接、标签或许按钮。比如，“点击登录按钮进入Hillstone设施的主页”。：用该方式表示WebUI界面上供给的文本信息，包含单项选择按钮名称、复选框名称、文本框名称、选项名称以及文字描绘。比如，“改变MTU值，选中单项选择按钮，而后在文本框中输入适合的值”。Hillstone山石网科基础配置手册第1章设施管理设施管理介绍为方便管理员管理与配置，安全网关支持当地（Console口）与远程（Telnet、SSH、HTTP以及HTTP

6、S）两种环境配置方法，能够经过CLI和WebUI两种方式进行配置。终端Console登录经过Console口，用户可登录安全网关设施的CLI，进而使用命令行对设施进行配置。在计算机上运转终端仿真程序（系统的超级终端、SecureCRT等）成立与安全网关的连结。依据表1配置终端参数：表1：配置终端参数参数数值波特率9600bit/s数据位8奇偶校验无停止位1WebUI方式登录WebUI是最方便、直观、简单的配置方式，WebUI同时支持http和https两种接见方式。安全网关的ethernet0/0接口配有默认IP地点，首次使用安全网关时，用户可以经过该接口接见安全网关的WebUI页面。请依据以

7、下步骤：1.将管理PC的IP地点设置为与同网段的IP地点，而且用网线将管理PC与安全网关的ethernet0/0接口进行连结。2.在管理PC的Web阅读器中输入地点“”并按回车键。出现登录页面以下列图所示。1Hillstone山石网科基础配置手册恢复出厂设置Hillstone山石网科供给三种方法恢复设施的出厂配置，分别是：命令行：经过CLI使用命令进行恢复WebUI：经过WebUI消除配置以恢复出厂配置物理方法：使用设施的CLR按键进行恢复经过CLI方式经过CLI使用命令恢复出厂设置，请依据以下步骤进行操作：1.在履行模式下，使用unsetall命令。依据提示，选择能否保留目前配置：y/n。选

8、择能否重启设施：y/n。系统重启后即出厂配置恢复完成。经过WebUI方式经过WebUI恢复出厂配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从工具栏的下拉菜单项选择择配置备份复原。2Hillstone山石网科基础配置手册以下列图所示：在弹出的对话框，选择单项选择按钮，并点击下一步按钮。3.选择能否重启设施。为使配置奏效，用户需从头启动设施。选择单项选择按钮，并点击达成按钮。3Hillstone山石网科基础配置手册全部配置将会被消除，而后设施将自动重启。经过CLR按键方式使用CLR按键恢复出厂配置，请依据以下步骤进行操作：封闭安全网关的电源。2.用针状物按住CLR按键的

9、同时翻开安全网关的电源。3.保持按住状态直到指示灯STA和ALM均变成红色常亮，开释CLR按键。此时系统开始恢复出厂配置。4.出厂配置恢复完成，系统将会自动从头启动。StoneOS版本升级经过网络快速升级StoneOS（TFTP）Sysloader能够从TFTP服务器获取StoneOS，进而保证用户能够经过网络快速升级StoneOS。请依据以下步骤进行操作：给设施上电依据提示按ESC键而且进入Sysloader。参照以下操作提示：HILLSTONENETWORKSHillstoneBootloader1.3.2Aug142008-19:09:37DRAM:2048MBBOOTROM:512KB

10、4Hillstone山石网科基础配置手册PressESCtostopautoboot:4（5秒倒计时结束前按“ESC”键）Runon-boardsysloader?y/n:y（键入字母“y”或许敲回车键）Loading:#2.从Sysloader的操作选择菜单项选择择经过TFTP升级StoneOS。参照以下操作提示：Sysloader1.2.13Aug142008-16:53:42LoadfirmwareviaTFTPLoadfirmwareviaFTPLoadfirmwarefromUSBdisks(notavailable)SelectbackupfirmwareasactiveShowo

11、n-boardfirmwareResetPleaseselect:1（在此处键入“1”并敲回车键）3.保证设施与控制主机的连通性，并将需升级的StoneOS拷贝到指定目录下。4.挨次配置Sysloader的IP地点、TFTP服务器的IP地点、网关IP地点以及StoneOS名称。参照以下操作提示：Localipaddress:（输入Sysloader的IP地点并敲回车键）Serveripaddress:（输入TFTP服务器的IP地点并敲回车键）Gatewayipaddress:（假如Sysloader与TFTP服务器的IP地址不属于同一个网段，输入网关的IP地点并敲回车键；不然直接敲回车键）Fi

12、lename:StoneOS-3.5R2（输入StoneOS名称并敲回车键，系统开始经过TFTP获5Hillstone山石网科基础配置手册取StoneOS）#保留StoneOS。参照以下操作提示：Filetotallength10482508Checkingtheimage.VerifiedOKSavethisimage?y/n:y（键入字母“y”或许敲回车键，保留获取的StoneOS）SavingSetStoneOS-3.5R2asactivebootimage重启。系统将使用新的StoneOS启动。参照以下操作提示：PleaseresetboardtobootthisimageLoadfi

13、rmwareviaTFTPLoadfirmwareviaFTPLoadfirmwarefromUSBdisks(notavailable)SelectbackupfirmwareasactiveShowon-boardfirmwareResetPleaseselect:6（在此处键入“6”并敲回车键，系统开始重启）设施的Flash中最多能够储藏两个StoneOS。假如Flash中已经保留了两个StoneOS，请依据提示对储藏的StoneOS进行删除。经过WebUI方式升级StoneOS经过WebUI方式登录StoneOS，从工具栏的下拉菜单项选择择版本升级。以下列图所示：2.在弹出的对话框，选

14、择单项选择按钮，并点击下一步按钮。6Hillstone山石网科基础配置手册3.在下拉菜单中选择一个软件版本做为备份，而后点击后的阅读按钮并在当地PC选择新的软件版本文件。点击下一步。依据需要，选择单项选择按钮，并点击达成按钮。为使配置奏效，用户需从头启动设施。7Hillstone山石网科基础配置手册注意：假如选择暂不从头启动设施，将会在下次从头启动设施后加载新版本StoneOS。允许证安装经过CLI方式安装经过CLI使用命令安装允许证，请依据以下步骤进行操作：1.登录StoneOS，在履行模式下，使用execlicenseinstalllicense-string命令（license-stri

15、ng要安装的允许证字符串。输入“license：”后的字符串）。以下图所示：2.依据系统提示重启后即达成允许证安装。经过WebUI方式安装经过WebUI安装允许证，请依据以下步骤进行操作：经过WebUI方式登录StoneOS，从工具栏的下拉菜单项选择择允许证。以下列图所示：8Hillstone山石网科基础配置手册在弹出的对话框中，允许证列表可查察目前系统允许证的种类和有效时间。在处，用户可依据需要，选择手动输入允许证恳求或选择上传当地文件。?上传允许证文件：选中单项选择按钮（允许证为纯文本.txt文件），点击阅读按钮，而且选中允许证文件；?手动输入：选中单项选择按钮，而后将允许证字符串内容（包

16、含“license：”及以后内容）输入到对应的文本框。点击确立按钮保留所做配置，而且重启设施达成允许证的安装。9Hillstone山石网科基础配置手册第2章基础上网配置基础上网配置介绍为使设施实现正常上网，基本配置包含接口、路由、策略以及源NAT的配置。接口配置接口配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-网络连结”，进入网络连结页面。从接口列表中选中需要编写的接口，双击或许点击列表右上方的编写按钮。在弹出的对话框对接口进行编写:绑定安全域：指定接口的安全域种类。三层接口选择三层安全域，二层接口选择二层安全域；安全域：选择安

17、全域名称。一般状况下，内网选择trust或l2-trust；外网选择untrust10Hillstone山石网科基础配置手册或l2-untrust。IP配置：为接口配置IP地点有关信息。管理方式：指定接口的管理方式。在部分选中需要的管理方式的复选框。提示：假如外网接口使用PPPoE拨号方式接入，对于接口的配置请参阅PPPoE配置。路由配置路由配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-路由”，进入路由页面。点击目的路由标签，进入目的路由页面。3.从下拉菜单项选择择一个VR，新建的路由将属于该VR，默以为“trust-vr”。4

18、.点击目的路由列表左上角的新建按钮，弹出对话框，在该对话框对目的路由进行编写：?目的地：指定路由条目的目的IP。?子网掩码：指定路由条目的目的IP对应的子网掩码。11Hillstone山石网科基础配置手册?下一跳：指定下一跳种类，选中或单项选择按钮。若选择，需在文本框中输入网关IP地点。若选择，需在下拉菜单中选择接口名称。假如该接口为tunnel的时候，需要在可选栏输入tunnel对端的网关地点。如：下一跳网关指定为（由营运商供给网关地点）。优先权：该参数取值越小，优先级越高，而在有多条路由选择的时候，优先级高的路由会被优先使用。取值范围是1到255，默认值为1。当优先级为255时，该路由无效

19、。?路由权值：路由权值决定负载平衡中流量转发的比重。范围是1到255，默认值是1。用户能够依据需要，在文本框中指定目的路由的描绘信息。点击确立按钮，达成新建目的路由。12Hillstone山石网科基础配置手册策略配置策略配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-安全-策略”，进入策略页面。点击列表左上角的新建按钮，弹出对话框，在该对话框对策略规则进行编辑。基本选项包含策略的源/目的安全域和源/目的地点的选择，以及服务、时间表、用户、行为和策略描绘的指定。13Hillstone山石网科基础配置手册配置达成后，点击确立按钮保留所做配置

20、并返回策略页面。源NAT配置源NAT配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-NAT”，进入源NAT页面。2.点击源NAT列表中的新建按钮，弹出对话框。在该对话框对源NAT规则进行编写。14Hillstone山石网科基础配置手册配置达成后，点击确立按钮保留所做配置。15Hillstone山石网科基础配置手册第3章常用功能配置常用配置介绍本章介绍Hillstone山石网科多核安全网关的一些常用功能配置，包含PPPoE、DHCP、IP-MAC绑定、端到端IPsecVPN、SCVPN、DNAT等配置。PPPoE配置PPPoE配置，

21、请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-网络连结”，进入网络连结页面。从接口列表中选中需要编写的接口，双击或许点击列表右上方的编写按钮。在弹出的对话框对接口进行编写。点击确立按钮保留所做配置并返回网络连结页面。5.从页面右边协助栏的区选择PPPoE列表链接，弹出对话框。6.点击页面左上角的新建按钮，弹出对话框。在该对话框进行配置。16Hillstone山石网科基础配置手册配置达成点击确立按钮并返回PPPoE列表对话框。选中需要连结/断开的PPPoE实例，而后点击页面左上角的连结按钮。17Hillstone山石网科基础配置手册DH

22、CP配置DHCP配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-网络连结”，进入网络连结页面。2.从页面右边协助栏的区选择DHCP列表链接，弹出对话框。在该对话框对DHCP进行编写：接口：选择应用DHCP服务器功能的接口。种类：选中单项选择按钮。基本配置：在标签页对DHCP的基本属性进行配置。18Hillstone山石网科基础配置手册3.配置达成点击确立按钮并返回DHCP列表对话框。而且将用户pc或许互换机连结在相应端口，即可获取IP地点。19Hillstone山石网科基础配置手册IP-MAC绑定配置IP-MAC绑定配置，请依据以

23、下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-安全-ARP防备”，进入ARP防备页面。2.从静态IP-MAC绑定条目列表中选中需要绑定的IP-MAC条目，双击或许点击列表上方的编写按钮，弹出对话框。3.在对话框中，选中复选框开启IP-MAC绑定，并点击确定按钮保留配置。20Hillstone山石网科基础配置手册默认状况下，安全网关的ARP学习功能是开启的，IP-MAC绑定成功后，还需要封闭接口的ARP学习功能。5.从页面左边导航树选择并点击“配置-网络-网络连结”，进入网络连结页面，从接口列表中选中需要编写的接口，双击或许点击列表右上方的编写按钮。

24、6.在弹出的对话框中，点击属性标签，在部分撤消选中ARP学习后的启用复选框开启接口的ARP学习功能。21Hillstone山石网科基础配置手册端到端IPsecVPN配置在Hillstone安全网关A和Hillstone安全网关B之间成立一个安全地道，PC1作为Hillstone安全网关A端的主机，PC2作为Hillstone安全网关B端的主机，两头的公网IP都是固定的状况下，配置端到端的IPsecVPN，拓补图以下：使用IKEVPN即自动磋商方式配置IPsecVPN，配置包含：配置P1建议配置VPN对端配置P2建议配置地道22Hillstone山石网科基础配置手册绑定接口到地道配置地道路由和策

25、略详细配置。请依据以下步骤进行操作：1.配置P1建议。经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-IPsecVPN”，进入IPsecVPN页面。点击P1建议标签，进入P1建议标签页。2.点击P1建议列表左上方的新建按钮，弹出对话框。在该对话框进行编写：建议名称：指定或许显示P1建议的名称。认证：指定IKE身份认证的方式。考证算法：为P1建议指定考证算法。选中所需考证算法的单项选择按钮。加密算法：为P1建议指定加密算法。DH组：为P1建议选择DH组。?生计时间：指定SA第一阶段的生命周期长度，单位为秒。默认86400秒。3.配置VPN对端。在IPsecVPN页面

26、，点击VPN对端列表标签，进入VPN对端列表标签页。4.点击VPN对端列表左上方的新建按钮，弹出对话框。在该对话框对VPN对端进行基本配置。23Hillstone山石网科基础配置手册注意：假如在设施前还有其余NAT设施，需在标签下配置NAT穿越功能。5.配置P2建议。在IPsecVPN页面，点击P2建议标签，进入P2建议标签页。6.点击P2建议列表左上方的新建按钮，弹出对话框。在该对话框进行P2建议配置。24Hillstone山石网科基础配置手册配置地道。在IPsecVPN页面，点击IKEVPN列表左上方的新建按钮，弹出对话框。8.在部分派置各选项。点击后边的导入按钮，并在下拉菜单项选择择已配

27、置的VPN对端名称，导入系统中已配置的VPN对端参数。9.点击，配置地道有关选项。25Hillstone山石网科基础配置手册注意：地道配置达成后，需要流量触发VPN连结。假如需要自动连结，请在标签下配置自动连结功能。10.绑定接口到地道。从主页面左边导航树选择并点击“配置-网络-网络连结”，进入网络连结页面。点击接口列表左上角的新建按钮，从下拉菜单中选择并点击，系统弹出对话框。在该对话框绑定接口到地道。26Hillstone山石网科基础配置手册11.配置地道路由和策略。从页面左边导航树选择并点击“配置-网络-路由”，进入目的路由页面。点击目的路由列表左上角的新建按钮，弹出对话框，在该对话框对目

28、的路由进行编写。12.从页面左边导航树选择并点击“配置-安全-策略”，进入策略页面。点击列表左上角的新建按钮，弹出对话框，在该对话框对策略规则进行编写。27Hillstone山石网科基础配置手册配置达成后，安全网关B也依据步骤1-12进行配置。14.达成以上配置后，安全网关A和安全网关B之间的安全地道便成立成功了。从IPsecVPN页面右边协助栏的区选择ISAKMPSA/IPsecSA/链接，查察VPN监控结果。28Hillstone山石网科基础配置手册SCVPN配置为解决远程用户安全接见私网数据的问题，安全网关供给鉴于SSL的远程登录解决方案SecureConnectVPN，简称为SCVPN

29、。SCVPN功能能够经过简单易用的方法实现信息的远程连通。SCVPN配置，请依据以下步骤进行操作：1.经过WebUI方式登录StoneOS，从页面左边导航树选择并点击“配置-网络-SSLVPN”，进入SCVPN页面。2.点击SCVPN列表左上角的新建按钮或许从页面右边协助栏的区选择新建SSLVPN链接，弹出对话框。3.阅读内容，并在文本框中指定SCVPN名称。29Hillstone山石网科基础配置手册点击下一步按钮进入配置页面。在该页面配置用于客户端用户身份认证的AAA服务器。点击下一步按钮进入配置页面。在该页面配置设施端接口、地道接口和地点池。30Hillstone山石网科基础配置手册注意：

30、地道接口地点和地点池一定在同一网段，且地点池地点段中不可以包含地道接口地点。在配置页面下拉菜单中选择系统中已配置的地道接口；或许选中下拉菜单中的选项，在弹出的对话框中新建地道接口；还可以在下拉菜单中选中系统中已配置的地道接口，而后点击配置按钮，在弹出的对话框中编写该地道接口。31Hillstone山石网科基础配置手册7.在配置页面下拉菜单中选择系统中已配置的地点池；或许，选中下拉菜单中的选项，在弹出的对话框中新建地点池；还能够在下拉菜单中选中系统中已配置的地点池，而后点击配置按钮，在弹出的对话框中编写该地点池。32Hillstone山石网科基础配置手册8.点击下一步按钮进入页面。在该页面配置策

31、略规则和地道路由。注意：系统会自动创立一条源安全域是VPNHub，目的安全域是Any的策略；地道路由即为远程拨入用户需要接见的内网资源网段。9.如需要，点击页面右下方的高级配置按钮，进行SCVPN高级参数配置，包含参数配置、客户端/USBKey配置、主机检测/绑定配置、短信口令认证配置和最优路径检测配置。33Hillstone山石网科基础配置手册参数配置保持默认即可。成立登录取户。从工具栏的下拉菜单项选择择当地用户，弹出对话框。11.选中下拉菜单中的用户按钮，弹出对话框。在基本配置标签页，进行用户名称和密码的配置。34Hillstone山石网科基础配置手册12.Web方式（用户名/密码）启动S

32、CVPN。在IE阅读器的地点栏输入以下URL接见设施端：https:/IP-Address:Port-Number（默以为4433）。阅读器转到登录页面，输入用户名和密码，并点击登录按钮。14.下载并启动SCVPN客户端（用户名/密码）。使用Web方式登录后，下载并安装客户35Hillstone山石网科基础配置手册端程序HillstoneSecureConnect。15.达成安装后，双击桌面的HillstoneSecureConnect快捷方式，或许点击“开始菜单”中的“全部程序HillstoneSecureConnectHillstoneSecureConnect，系”36Hillstone

33、山石网科基础配置手册统弹出登录对话框，点击对话框中的模式按钮，系统弹出对话框（以下列图所示）。选中单项选择按钮，点击确立按钮。16.在弹出的“用户名/密码”登录模式客户端程序登录对话框，挨次填写服务器地点、端口号、用户名以及密码，而后点击登录按钮。DNAT配置目的地点映照主要用于将内网的服务器对外进行公布（如HTTP服务，FTP服务，数据库服务等），使外网用户能够经过外网地点接见需要公布的服务。常用的DNAT映照有一对一IP映照，一对一端口映照，多对多端口映照，一对多映照。一对一IP映照配置举例：将公网地点映照到内网地点请依据以下步骤进行配置：创立两个地点簿（内网地点和外网地点）。从工具栏的下拉菜单项选择择地点簿，弹出对话框。点击新建按钮，弹出对话框。37Hillstone山石网科基础配置手册注意：针对此配置举例，掩码一定填写32。同步骤1，创立内网地点簿。3.新建目的NATIP映照规则。从页面左边导航树选择并点击“配置-网络-NAT”，进入源NAT页面。点击目的NAT标签，进入目的NAT页面。点击目的NAT列表中的新建按钮，并在弹出的下拉菜单中选择IP映照，弹出对话框。38Hillstone山石网科基础配置手册查察接口所在安全域。点击目的NAT列表中的新建按钮，并在弹出的下