03联想网御防火墙安装调试培训.ppt

1、联想网御防火墙安装调试培训,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙的配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,1、登录防火墙管理页面,1.1 安装调试前的工作 1.2 安装调试的准备工作 1.3 管理方式简介 1.4 登录防火墙,1.1安装调试前的工作,拆箱检查,请安照装箱单的提示进行检查机箱内所有的配件： 防火墙主机、USB电子钥匙、随机光盘(电子钥匙驱动、电子钥匙初始化程序、管理员登录认证程序)、

2、电源线、网线(交叉线）、串口线、安装支架、保修卡 *注：如发现有问题，请及时与你的供货商进行沟通解决。,1.1安装调试前的工作,前期工作,一、第一时间内填写保修卡的回执卡，并邮寄回联想公司，以便于成为联想公司永远服务的对象。 二、在线服务网站 联想信息安全网站为用户注册后可以在网站上自行下载防火墙升级包与相应升级说明文档，并且提供在线问答等特色服务。 三、进行产品注册，请您详细填写用户名、通信地址、联系电话、Email地址等信息，以便于将新的技术成果迅速及时的传递给您！,一、接通防火墙电源，开启防火墙(听到“滴滴滴) 后防火墙启动完成) 二、选用一台带USB接口、以太网卡和光驱的PC机作为防火

3、墙的管理主机，操作系统应为Window98/2000/XP/2003(暂不支持linux、unix) 三、使用随机提供的交叉线，连接管理主机和防火墙的FE1网口54(出厂默认的地址),将管理主机的IP地址改为00（防火墙出厂时默认指定的管理主机IP）,1.2安装调试的准备工作,1.3管理方式介绍,支持多种管理方式； 串口命令行管理-常用于灾难的恢复工作 Web页面管理-常用于正常管理 ssh远程管理-常用于管理调试 集中管理-方便管理 PPP远程拨号接入-专线远程拨入,1.4登录防火墙,A.电子钥匙认证 需要安装电子钥匙驱动程序和防火墙管理员登录认证程序。 B.

4、证书认证 需要导入IE证书，和防火墙证书(IE证书与防火墙证书要一一对应，防火墙证书支持页面与串口两种方式。,认证方式,安装电子钥匙驱动程序将随机光盘放入管理主机的光驱，进入随机附带的光盘的key目录， 执行该目录下的INSTDRV，提示“退出请重新插锁”。 则表示已正确安装完网御电子钥匙的驱动程序。,*注意：安装驱动程序过程中，请不要先将网御电子钥匙插入管理主机的USB口。,1.4登录防火墙,电子钥匙认证,1.4登录防火墙,点击“退出请重新插锁”后装电子钥匙插入管理主机USB接口中，XP/2000/2003系统提示自动搜索电子钥匙驱动程序,自动安装即可。,*注意：安装驱动程序过程中，请不要先

5、将网御电子钥匙插入管理主机的USB口。,电子钥匙认证,在管理主机上，运行随机光盘administrator目录下的ikeyc 程序, 程序将提示用户输入PIN口令 首次使用默认PIN为“12345678”，,1.4登录防火墙,电子钥匙认证,通过后弹出管理员身份认证对话框,首次登录点击“连接”成功后,会显示“通过认证”对话框。退出防火墙管理之前请不要关闭此页面,*注：在管理防火墙过程中，本程序每5秒将向防火墙提交一次认证信息，因此，不能拔出电子钥匙，或者关闭认证程序，否则将导致对防火墙的管理被立即中断。,1.4登录防火墙,电子钥匙认证,通过认证程序后，在IE中输入https:/防火墙IP:888

6、8出厂默认地址54，默认的用户密码administrator,1.4登录防火墙,电子钥匙认证,1.4登录防火墙,电子钥匙认证,一、 使用防火墙证书管理之前需要先把防火墙的证书导入到防火墙上并启用。 二、 导入IE浏览器证书。,1.4登录防火墙,证书认证,首先以电子钥匙方式登录到防火墙，进入“系统配置”“管理配置”“管理员证书”-管理员证书模块中选择浏览，在本地计算机文件夹中选择CACert.pem、Leadsec.pem、Leadsec_key.pem分别对应防火墙的中的CA中心证书、安全网关证书、安全网关密钥。点击“导入”。然后在本地计算机文件夹中再选择admin.pem对应

7、防火墙的中的管理员证书，点击“导入”,1.4登录防火墙,证书认证,1.4登录防火墙,证书认证,导入证书后选择生效选项,保存配置,证书生效,1.4登录防火墙,证书认证,导入防火墙证书要导入相对应的IE浏览器证书.在管理主机本地双击IE浏览器证书，按照提示进行安装，需要输入密码时输入“hhhhhh”，当出现导入成功后点击确定完成。,证书认证,1.4登录防火墙,当防火墙与IE证书均导入成功后，我们在管理主机打开IE浏览器并输入https:/防火墙ip:8889出厂默认IP为54,出现选择证书提示后点击“确定”,1.4登录防火墙,证书认证,1.4登录防火墙,证书认证,出现安全警报后点击

8、“是（Y)”就会出现防火墙登录页面,XP系统请确认IE浏览器中internet选项-隐私选项-中的阻止弹出窗口选取去掉：如下图,1.4登录防火墙,证书认证,用户名密码为:administrator/administrator,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙的配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,2防火墙界面介绍,管理首页,各级子菜单,2防火墙界面介绍,管理配置-管理主机,2防火墙界面介绍,管理方式设定,2防火墙界面介绍,与IDS联动设置,2防火墙界面介绍,网络配置,2防火墙界面介绍,网桥设备,2防火墙界面介绍,物理设备,2防

9、火墙界面介绍,这里可以设定是否被管理，是否可以PING，等功能。,网桥设备,2防火墙界面介绍,域名服务器,2防火墙界面介绍,静态路由,2防火墙界面介绍,HA双机热备,2防火墙界面介绍,HA探测网口,2防火墙界面介绍,HA探测ip,2防火墙界面介绍,连接管理,2防火墙界面介绍,连接规则,2防火墙界面介绍,连接状态,2防火墙界面介绍,连接排行,2防火墙界面介绍,安全选项,2防火墙界面介绍,默认全通/全禁,包过滤规则,2防火墙界面介绍,端口映射规则,2防火墙界面介绍,IP映射规则,2防火墙界面介绍,NAT规则,2防火墙界面介绍,代理服务,2防火墙界面介绍,地址绑定,2防火墙界面介绍,定义地址列表,2

10、防火墙界面介绍,定义域名地址,2防火墙界面介绍,定义域名地址,2防火墙界面介绍,定义地址组,2防火墙界面介绍,定义地址池,2防火墙界面介绍,定义服务器地址,2防火墙界面介绍,定义服务,2防火墙界面介绍,定义动态服务,2防火墙界面介绍,ICMP服务,2防火墙界面介绍,定义基本服务,2防火墙界面介绍,定义服务组,2防火墙界面介绍,系统监控,2防火墙界面介绍,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙的配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,安全规则,包流经规则的顺序：应用代理，端口映射，IP映射，过滤规则，地址转换 增加源端口，源MAC地址，

11、URL过滤，网页关键字过滤，入网口，出网口，时间调度，长连接等选项,代理规则,端口映射规则,IP映射规则,包过滤规则,NAT规则,流入,流出,3防火墙的配置管理,端口映射,3防火墙的配置管理,IP映射,3防火墙的配置管理,注意：如果源地址包含管理主机，公开地址是防火墙的管理IP，该管理主机将不能管理防火墙。,如果取消选中，既能通过公开地址和端口访问内部服务器，也可以直接访问服务器；如果选中，只能通过公开地址和端口访问内部服务器。源端口可以用英文逗号分割表示多个端口，或用英文冒号分割表示端口段 注意：下一条IP 映射规则，如果没有选择“包过滤缺省策略通过”，还必须再下一条相应的包过滤规则才能生效

12、。方法如下：包过滤规则的源地址是IP 映射规则的源地址，包过滤规则的目的地址是IP 映射规则的内部地址。,端口映射,3防火墙的配置管理,包过滤,3防火墙的配置管理,NAT,3防火墙的配置管理,注意：设置一条NAT 规则，必须再设置一条相应的包过滤规则才能生效。,串口命令行命令介绍 acsystem show (显示系统信息防火墙序列号、版本号) acinterface show all (显示所有网络端口的ip) ac interface set phy if fe3 ip netmask active on admin on ping on（设定f

13、e3的ip为 网口启用允许web管理、 ping） acadmhost show (查看管理主机ip) acadmhost add ip (添加一个地 为的管理主机) acconfig save (防火墙配置保存),串口命令行抓包命令介绍（TCPDUMP） 使用随机所附的串口线(兰)，将防火墙的console与一台装有超级终端的个人计算机的串口连接起来。 设置超级终端的波特率：9600；数据位：8；奇偶校验：无；停止位：1；流量控制：硬件/无 用户名：dump；密码：dump；通过“?”命令查看可用命令 T

14、cpdump命令使用参数如下： tcpdump -C file_size -F file -i interface - r file -T type -w file -E algo:secret expression ,例如： 1、tcpdump i eth0 host eth0 是对应防火墙前面板的FE1口，是在Eth0网口上数据抓包。 host 是指对这台主机进行数据抓包。 此条命令是指:在防火墙eth0网口对主机 的所有访问进行数据抓包。 2、tcpdump i eth0 dst host 83.16.1

15、6.1 and port 53 dst host 是指对目标主机进行数据抓包。 port 53 是指对目标主机 的53端口进行数据抓包。 此条命令是指:在防火墙eth0网口对目标主机 的53端口上进行数据抓包。,3、tcpdump i eth0 src host dst host and port 53 此条命令是指:在防火墙eth0网口上对源地址是 对目标地址是 的端口53进行数据抓包 tcpdump命令主要是用在对应用服务器无

16、法确定开放服务端口时，用此命令来分析应用服务器的端口是多少。,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙的配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,典型应用环境 拓朴图三网口路由,典型应用环境 三网口路由,一、需求描述,内部网络区段主机的缺省网关指向fe1的IP地址；DMZ网络区段的主机的缺省网关指向fe3的IP地址；防火墙的缺省网关指向路由器的地址。 WWW服务器的地址是0，端口是80；MAIL服务器的地址是1，端口是25和110；

17、FTP服务器的地址是2，端口是21。 安全策略的缺省策略是禁止。允许内部网络区段访问DMZ网络区段和Internet区段的http,smtp，pop3，ftp服务；允许Internet区段访问DMZ网络区段的服务器。其他的访问都是禁止的。,典型应用环境 三网口路由,二、网络设备配置,网络配置网络设备 编辑物理设备fe1，将它的IP地址配置为，掩码是 。 编辑物理设备fe3，将IP地址配置为，掩码是 。 编辑物理设备fe4，将IP地址配置为，掩码是 255.

18、255.255.0。 网络配置静态路由： 添加下一跳地址是的默认路由。目的地址， 掩码都是，接口选择fe4。,典型应用环境 三网口路由,三、策略配置,添加源地址是/24，目的地址是any，服务是http，动作是允许的包过滤规则。 添加源地址是/24，目的地址是any，服务是smtp，动作是允许的包过率规则。 添加源地址是/24，目的地址是any，服务是pop3，动作是允许的包过滤规则。 添加源地址是/24，目的地址是any，服务是ftp，动作是允许的包过滤规则。 添加

19、源地址是/24，目的地址是any，服务是any的NAT规则。 添加源地址是any，目的地址0，服务是http，动作是允许的包过滤规则。 添加源地址是any，目的地址1，服务是smtp，动作是允许的包过滤规则。 添加源地址是any，目的地址1，服务是pop3，动作是允许的包过滤规则。 添加源地址是any，目的地址2，服务是ftp，动作是允许的包过滤规则。 添加公开地址是，对外服务是http，内部地址是0 ，内部服务是http的端口映射规则。 添加公开

20、地址是，对外服务是smtp，内部地址是1 ，内部服务是smtp的端口映射规则。 添加公开地址是，对外服务是pop3，内部地址是1 ，内部服务是pop3的端口映射规则。 添加公开地址是，对外服务是ftp，内部地址是2 ，内部服务是ftp的端口映射规则。,典型应环境 三网口混合模式,典型应环境 三网口混合模式,一、需求描述 fe1工作在透明模式，fe3工作在透明模式，fe4工作在路由模式，IP地址是，掩码是。桥

21、接设备brg0的IP地址是，掩码时。内网网络区段的缺省网关是，DMZ网络区段的缺省网关是。防火墙的缺省网关是。 防火墙的缺省安全策略是禁止。区段间的安全策略是：允许内网网络区段访问Internet和DMZ，允许Internet访问DMZ，其他的访问都禁止。,典型应环境 三网口混合模式,二、网络设备配置 编辑桥接设备brg0，配置它的IP地址是，掩码是 ，选择可管理。 编辑物理设备fe1，选择它的工作模式是“透明模式”。 编辑物理设备fe3

22、，选择它的工作模式是“透明模式”。 编辑物理设备fe4，配置它的IP地址为，掩码是 。 静态路由：添加网关是的缺省路由。,典型应环境 三网口混合模式,三、策略配置 策略配置需要先定义如下的资源： LOCAL_NET：到0，地址段。 DMZ_NET：到0，地址段。 WWW_SERVER：00，掩码是55，主机地址。 MAIL_SERVER：01，掩码是255.255.255.

23、255，主机地址。 FTP_SERVER：02，掩码是55，主机地址。 INTERNET：!，掩码是，取反网络地址。,典型应环境 三网口混合模式,三、策略配置 添加源地址是LOCAL_NET，目的地址是any，服务是http，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是smtp，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是pop3，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是ftp，动作是允

24、许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是INTERNET，服务是any的NAT规则。 添加源地址是INTERNET，目的地址是WWW_SERVER，服务是http，动作是允许的包过滤规则。 添加源地址是INTERNET，目的地址是MAIL_SERVER，服务是smtp，动作是允许的包过滤规则。 添加源地址是INTERNET，目的地址是MAIL_SERVER，服务是pop3，动作是允许的包过滤规则。 添加源地址是INTERNET，目的地址是FTP_SERVER，服务是ftp，动作是允许的包过滤规则。 添加源地址是INTERNET，目的地址是WWW_SERVER，服务是http

25、的端口映射规则。 添加源地址是INTERNET，目的地址是MAIL_SERVER，服务是smtp的端口映射规则。 添加源地址是INTERNET，目的地址是MAIL_SERVER，服务是pop3的端口映射规则。 添加源地址是INTERNET，目的地址是FTP_SERVER，服务是ftp的端口映射规则。,典型应环境 三网口透明模式,典型应环境 三网口透明模式,一、需求描述 fe1工作在透明模式，fe3工作在透明模式，fe4工作在透明模式。桥接设备brg0的IP地址是，允许管理。 防火墙的缺省安全策略是禁止。区段间的安全策略是：允许内部网络区段访问DMZ区段和INTERNET的h

26、ttp，smtp，pop3，ftp服务，允许INTERNET区段访问DMZ网络的http，smtp，pop3，ftp服务。其他的访问都禁止。,典型应环境 三网口透明模式,二、网络设备配置 编辑桥接设备brg0，将它的IP地址配置为，掩码是 ，允许管理，确定。 编辑物理设备fe1，选择工作模式为“透明”，确定。 编辑物理设备fe3，选择工作模式为“透明”，确定。 编辑物理设备fe4，选择工作模式为“透明”，确定。,典型应环境 三网口透明模式,三、策略配置 在策略配置前，先添加如下的资源： LOCAL_NET：到

27、0，网络地址段。 DMZ_NET：00到50，网络地址段。 EXTERNAL_NET：00到54，网络地址段。 INTERNET：地址是，掩码是，反网络地址。 WWW_SERVER：地址是00，掩码是55。 MAIL_SERVER：地址是01，掩码是55.。 FTP_SERVER：地址是02，掩码是55。,典型应环境 三网口透明模式,

28、三、策略配置 添加源地址是LOCAL_NET，目的地址是any，服务是http，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是smtp，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是pop3，动作是允许的包过滤规则。 添加源地址是LOCAL_NET，目的地址是any，服务是ftp，动作是允许的包过滤规则。 添加源地址是any，目的地址是WWW_SERVER，服务是http，动作是允许的包过滤规则。 添加源地址是any，目的地址是MAIL_SERVER，服务是smtp，动作是允许的包过滤规则。 添加源地址是any，目的地址是

29、MAIL_SERVER，服务是pop3，动作是允许的包过滤规则。 添加源地址是any，目的地址是FTP_SERVER，服务是ftp，动作是允许的包过滤规则。,目录,1 防火墙登录管理 2防火墙的功能模块的配置使用 3 防火墙的配置管理 4 防火墙产品的典型应用 5 防火墙产品的日常管理及故障处理,防火墙在配置与使用过程中，如果配置不当往往会造成防火墙无法管理，网络中断等现场。为了有效的避免这些故障的发生，我们在配置过程中应该注意以下的问题。,5防火墙产品的日常管理及故障处理,电子钥匙认证问题 电子钥匙连接防火墙时提示“认证失败，请检查IP地址及网络”. 处理方法:防火墙设置的管理主机的IP地址

30、和目前正在使用的管理主机地址不一致造成,更改管理主机ip. 2)电子钥匙认证时窗口弹出一个空白. 处理方法:防火墙的电子钥匙的ID号中有一个空格的存在,需要重新写电子钥匙。,5防火墙产品的日常管理及故障处理,防火墙策略配置问题 防火墙中配置了端口映射或IP映射规则后，为什么外网和内网用户还是无法访问DMZ区服务器？ 处理方法：在配置了映射规则后，还需要配置相应的包过滤规则才可以。,5防火墙产品的日常管理及故障处理,管理主机配置问题 为什么我们更改了防火墙的fe1口的地址后,却管理不上了? 当我们更改防火墙的网络接口的同时，要确认你已经添加了此接口网段的管理主机，否则你将无法管理防火墙。没有用的管理主机址尽量删除，因为管理主机的IP地址是做为管理防火墙的一个很重要的条件。,5防火墙产品的日常管理及故障处理,网络设备配置问题 当不同的设备地址进行工作模式的转换时候，注意它的附加选项。如拨号设备要先关闭管理属性才能删除。当墙连接的对端的设备工作速率不支持自适应的时候，要注意设定墙接口的工作方式与速率。,5防火墙产品的日常管理及故障处理,防火墙名称