网神SecGate-3600-防火墙用户手册

前言欢迎使用网神SecGate-3600系列防火墙（以下简称SecGate-3600）。本手册旨在为您提供SecGate-3600的安装、配置、管理及日常维护的详细指导。无论是初次接触防火墙的网络管理员，还是需要深入了解高级功能的资深技术人员，都能从中获取所需信息。在使用本设备前，请务必仔细阅读本手册，并严格按照手册中的指引进行操作。这不仅能确保设备的安全稳定运行，也能充分发挥其强大的安全防护能力。本手册将随着产品firmware的更新而定期修订，建议您通过官方渠道获取最新版本的文档。第一章产品概述1.1产品简介SecGate-3600是一款面向中大型企业网络环境的高性能下一代防火墙。它集传统防火墙、入侵防御系统（IPS）、虚拟专用网络（VPN）、应用识别与控制、威胁情报等多种安全功能于一体，能够为您的网络边界提供全方位、多层次的安全防护。其采用先进的多核处理架构，确保在提供强大安全能力的同时，保持高效的数据处理性能。1.2主要功能特性*状态检测防火墙：基于会话状态进行细粒度访问控制，精确管控网络流量。*入侵防御（IPS）：内置丰富的攻击特征库，实时检测并阻断各类网络攻击，如SQL注入、缓冲区溢出、蠕虫病毒等。*VPN功能：支持IPSecVPN、SSLVPN等多种VPN技术，为远程办公和分支机构互联提供安全加密通道。*应用识别与管控：深度识别数千种网络应用，并可基于应用类型、用户/用户组实施精细化的访问控制和带宽管理。*威胁情报集成：可与外部威胁情报平台联动，及时获取最新威胁信息，提升对未知威胁的检测能力。*用户认证与授权：支持多种用户认证方式（如本地认证、LDAP、RADIUS等），并可基于用户身份进行权限分配。*日志审计与报表：提供全面的日志记录功能，并支持生成多种安全报表，满足合规审计需求。1.3硬件结构SecGate-3600采用模块化设计，具体硬件组成可能因型号不同而略有差异，通常包括：*前面板：通常布置有电源指示灯、系统运行状态灯、各网络接口状态灯等。*后面板：提供多种网络接口（如GE电口、SFP光口）、Console配置口、USB接口以及电源接口等。部分型号可能支持扩展模块插槽。*内部组件：包括主处理单元、内存、硬盘（用于日志存储和系统文件）、电源模块等。第二章安装与初始配置2.1开箱检查在收到SecGate-3600设备后，请首先进行开箱检查，确认设备外观完好，无明显物理损坏。同时核对设备型号、配件（如电源线、Console线、SFP模块等）是否与发货清单一致。如发现任何异常，请立即联系供应商。2.2安装环境要求为确保设备稳定运行，安装环境需满足以下条件：*温度：工作环境温度通常建议在0℃~40℃之间。*湿度：相对湿度建议在10%~90%（非凝结）。*电源：确保提供稳定的交流电源，并符合设备铭牌上标注的电压和频率要求。建议配备UPS以防止突然断电。*空间：设备需安装在标准19英寸机架上，确保机架稳固，并预留足够的通风空间。*接地：设备必须可靠接地，以保障设备安全和正常运行，减少电磁干扰。2.3硬件安装1.机架安装：使用随机附带的机架安装套件，将设备牢固地固定在机架上。2.连接地线：将设备的接地端子通过接地线连接到可靠的接地体。3.连接网络线缆：根据网络规划，将不同功能的网络线缆（如内外网、DMZ区）连接到设备对应的网口。对于光口，需先安装兼容的SFP光模块，再连接光纤跳线。4.连接Console线：使用Console线将设备的Console口与计算机的串口（或通过USB转串口适配器连接USB口）相连，用于初始配置。5.连接电源线：确认所有线缆连接无误后，连接电源线。2.4初始登录SecGate-3600支持通过Console口和Web界面进行配置管理。初次配置通常通过Console口进行。2.4.1通过Console口登录1.在计算机上打开终端仿真软件（如Windows的“超级终端”、Putty、SecureCRT等）。2.配置终端参数：波特率9600bps，数据位8位，停止位1位，奇偶校验无，流控无。3.设备上电启动，终端软件将显示启动信息。启动完成后，提示输入用户名和密码。4.输入默认用户名和密码（请参考设备附带的快速入门指南或咨询供应商，通常默认用户名为admin，密码为admin或特定初始密码）。首次登录成功后，系统通常会强制要求修改默认密码，请务必设置强密码并妥善保管。2.4.2通过Web界面登录在通过Console口完成基本网络参数（如管理IP地址、子网掩码、默认网关）配置后，您可以通过Web浏览器登录设备的管理界面。1.确保管理计算机的IP地址与防火墙管理接口的IP地址在同一网段。3.在弹出的登录页面中，输入用户名和密码。4.成功登录后，即可进入Web管理界面进行后续配置。2.5初始配置向导为简化配置过程，SecGate-3600通常提供图形化的初始配置向导。通过向导，您可以快速完成以下基本配置：*修改管理员密码*设置系统时间和时区*配置网络接口（如设置内外网接口的IP地址、子网掩码、网关等）*配置DNS服务器*设置基本的安全策略（如允许内部网络访问互联网）建议初次使用时，通过配置向导完成基础设置。第三章核心功能配置3.1网络接口配置网络接口是防火墙与外部网络连接的桥梁。在SecGate-3600上，您可以对物理接口进行配置，也可以创建逻辑接口（如VLAN子接口、聚合接口）。1.物理接口配置：进入“网络配置”或“接口管理”相关菜单，选择需要配置的物理接口（如GigabitEthernet0/0）。可配置的参数通常包括：启用/禁用接口、IP地址及子网掩码、工作模式（如路由模式、透明模式）、MTU值、接口描述等。2.VLAN子接口配置：当需要在一个物理接口上承载多个VLAN网络时，可以创建VLAN子接口。配置时需指定所属物理接口、VLANID、IP地址等。3.接口聚合（链路聚合）：将多个物理接口捆绑为一个逻辑聚合接口，以提高带宽和实现链路冗余。需配置聚合模式（如静态聚合、LACP动态聚合）及成员接口。3.2安全策略配置安全策略是防火墙的核心，用于控制不同安全区域之间的流量。一个完整的安全策略通常包含源区域、目的区域、源地址/地址组、目的地址/地址组、服务/服务组、动作（允许/拒绝/丢弃）、日志等要素。1.创建地址/地址组：在配置策略前，通常需要先定义网络对象，如单个IP地址、IP地址范围、子网，或由多个地址组成的地址组。3.创建安全策略规则：进入“安全策略”或“访问控制”菜单，点击“新建”或“添加”。*源/目的区域：选择流量的源区域和目的区域（如trust、untrust、dmz）。*源/目的地址：从已定义的地址或地址组中选择。*服务：从已定义的服务或服务组中选择。*动作：选择对匹配流量的处理动作，通常为“允许”或“拒绝”。*日志：配置是否对匹配此策略的流量进行日志记录。*其他高级选项：如开启会话老化时间、应用识别、用户识别等。4.策略顺序：安全策略规则按配置顺序进行匹配，通常“更具体”的策略应放置在“更宽泛”的策略之前。请务必注意策略的排列顺序，避免策略冲突或不生效。3.3NAT配置网络地址转换（NAT）用于解决IPv4地址资源不足的问题，并隐藏内部网络结构。SecGate-3600支持多种NAT类型。1.源NAT（SNAT）：通常用于内部网络用户访问外部网络时，将内部私有IP地址转换为防火墙的公网IP地址。*动态SNAT：将多个内部IP地址映射到一个或多个公网IP地址的端口范围。*静态SNAT：将一个内部IP地址一对一映射到一个公网IP地址。2.目的NAT（DNAT）/端口映射：通常用于外部用户访问内部服务器（如Web服务器、邮件服务器）时，将公网IP地址和端口转换为内部服务器的私有IP地址和端口。3.配置NAT时，需指定原始地址/端口、转换后的地址/端口、协议类型以及应用的接口等。3.4VPN配置SecGate-3600提供多种VPN解决方案，以实现安全的远程接入和站点间互联。3.4.1IPSecVPN配置（站点到站点）1.配置基本参数：双方设备需一致，包括加密算法（如AES）、认证算法（如SHA）、密钥交换协议（IKEv1/IKEv2）、预共享密钥或数字证书。2.配置感兴趣流（ACL）：定义哪些流量需要通过IPSec隧道进行加密传输。3.配置IKE策略：定义第一阶段协商的参数，如加密算法、认证算法、DH组、生存时间等。4.配置IPSec策略：定义第二阶段协商的参数，如封装模式（传输模式/隧道模式）、加密算法、认证算法、生存时间等，并关联感兴趣流。5.在接口上应用IPSec策略：通常应用在连接对端的公网接口上。3.4.2SSLVPN配置（远程接入）1.启用SSLVPN服务：配置SSLVPN使用的端口（通常为443）、证书（可使用自签名证书或CA颁发的证书）。2.配置地址池：为远程接入用户分配的内部IP地址段。3.配置用户与认证：创建SSLVPN用户或用户组，并配置认证方式（本地认证、LDAP、RADIUS等）。4.配置访问权限：定义远程用户可以访问的内部资源（如特定IP地址、子网、应用服务）。3.5入侵防御（IPS）配置启用并正确配置IPS功能，可以有效防御网络攻击。1.启用IPS：在系统全局或特定接口上启用IPS功能。2.更新特征库：确保IPS特征库为最新版本，以便能够检测到最新的攻击威胁。通常支持手动更新和自动更新。3.配置IPS策略：*选择检测模式：通常有“仅检测”（记录日志但不阻断）和“检测并阻断”两种模式。*选择特征组：根据网络环境和安全需求，选择启用哪些类别的攻击特征（如病毒、蠕虫、间谍软件、漏洞利用等）。*配置例外规则：对于某些特定流量或应用，可以配置例外规则，避免误阻断。4.查看IPS日志：定期查看IPS日志，分析攻击尝试和处理情况，以便调整IPS策略。第四章系统管理与维护4.1用户管理为了安全管理设备，SecGate-3600支持多用户和角色管理。1.创建用户：可以创建不同级别的管理员用户，并为其分配用户名和密码。2.角色与权限：系统通常预设了不同权限的角色（如超级管理员、只读管理员、配置管理员等）。也可以自定义角色，并为角色分配具体的操作权限，如配置权限、查看权限、管理用户权限等。3.密码策略：配置密码复杂度要求（如长度、字符类型组合）、密码有效期、历史密码限制等，强制用户使用安全密码。4.2日志管理日志是监控设备运行状态、分析安全事件的重要依据。1.日志配置：启用不同类型的日志（如系统日志、安全策略日志、IPS日志、VPN日志等），并配置日志级别（如调试、信息、警告、错误、严重）。2.日志存储：日志可以本地存储（设备内置硬盘或外接存储），也可以发送到外部日志服务器（如Syslog服务器）。3.日志查看与导出：通过Web界面或命令行查看日志，并可将日志导出为文件（如CSV、TXT格式）进行分析。4.3固件升级定期升级设备固件可以获取新功能、性能优化和安全补丁。2.备份配置：在升级前，务必备份当前的配置文件，以防升级过程中出现意外导致配置丢失。3.执行升级：通过Web界面或命令行上传固件文件并执行升级操作。升级过程中，设备会自动重启，请勿断电或中断操作。4.验证升级：升级完成后，登录设备确认固件版本已更新，并检查设备功能是否正常。4.4配置备份与恢复定期备份配置文件是保障系统可恢复性的重要措施。1.配置备份：通过Web界面的“系统维护”或“配置管理”菜单，将当前配置导出并保存到本地计算机。2.配置恢复：当设备配置丢失或需要恢复到之前的配置状态时，可以导入之前备份的配置文件。恢复配置后，设备通常需要重启才能生效。4.5系统监控实时监控设备的运行状态，有助于及时发现和解决问题。1.仪表盘：Web管理界面通常提供直观的仪表盘，显示CPU使用率、内存使用率、接口流量、并发会话数等关键指标。2.接口流量监控：查看各网络接口的实时流量、历史流量统计图表。3.会话监控：查看当前活跃的网络会话信息。4.系统资源监控：监控CPU、内存、磁盘等系统资源的使用情况。第五章故障排除与FAQ5.1常见故障排除方法当设备出现故障时，可按照以下步骤进行初步排查：1.检查物理连接：确认电源是否正常、网络线缆是否连接牢固、接口指示灯是否正常。2.查看系统状态：通过Console口或Web界面登录设备，查看系统日志、接口状态、CPU和内存使用率等，定位异常信息。3.检查配置：回顾近期的配置变更，确认是否因配置错误导致故障。可尝试恢复到之前的正确配置。4.测试连通性：使用ping、tracert等工具测试网络连通性，判断故障点位置。5.查阅日志：详细分析系统日志、安全日志等，寻找故障原因的线索。5.2常见问题解答（FAQ）*Q:忘记管理员密码怎么办？A:通常可以通过Console口连接设备，在启动过程中通过特定按键进入恢复模式，清除管理员密码。具体操作请参考设备的应急恢复指南或联系技术支持。*Q:安全策略配置后不生效，可能的原因有哪些？A:可能原因包括：策略顺序不正确（