天融信防火墙配置与维护要点.ppt

* 推荐使用的管理方式 * 与串口命令一样，只不过是需要通过IP地址来登录管理 * * * * * * * * * 典型网络，网络分为三个安全区域：内部办公网、服务器区、互联网区 * 注意模式和子网掩码正确 * * 控制地址可以细化到具体的地址，具有更高的安全性 * * * 两个出口，制定一部分用户走出口A，其它用户走出口B，实现网络分流 * * * * 网络卫士防火墙支持静、动态路由协议。策略路由可以不是只根据目的地址， 而是同时根据目的地址和源地址进行路由，这种方式可以实现内部网络的指 定对象使用特定外部线路与外部网络通信，从而进一步增强了网络的通信安全。 策略路由： 防火墙特殊应用－策略路由 第一部分：防火墙基础知识 第二部分：防火墙配置案例 第三部分：防火墙特殊应用 第四部分：防火墙辅助功能 第五部分：防火墙日常维护 目录 防火墙本身不存储日志信息，如果要保留相关日志，请安装随机光盘 的日志服务器软件。然后设置日志服务器地址，防火墙就会把日志信息 发送到日志服务器上 防火墙辅助功能－日志设置 防火墙辅助功能－开放服务 管理员可以定期生成、下载设备的健康记录，以便当设备出现异常时，可以帮助天融信的技术支持人员快速地定位并解决故障。 防火墙辅助功能－健康记录 系统除了提供上节所述的设备配置维护功能外，还提供了恢复出厂默认配置的功能，以方便用户重新配置设备。恢复出厂配置后，设备的网络接口地址可能会改变，配置信息会被清除，进而导致失去连接，请用户提前做好准备。 防火墙辅助功能－恢复出厂设置 设备支持基于TFTP 协议的升级方式和专用升级工具 注意：请在升级前进行系统备份！！！ 防火墙辅助功能－系统升级 设备支持多级用户管理，不同类型的用户具有不同的操作权限。用户权限基本可分为三种：超级管理员、管理用户与审计用户。超级管理员是系统的内建帐号，具有全部的功能权限；管理用户可以设定和查看规则，但没有综合配置（例如分配管理员、配置维护等）的权限。审计用户权限最小，只可以查看已有规则，没有添加和修改规则的权限。 超级管理员是系统内建帐号， 用户名是superman，密码talent 用户可以对其帐号及口令进行修改 防火墙辅助功能－管理员配置 网络卫士防火墙内部维护了一张ARP 表，维护了网络卫士防火墙所学习到的主机IP 和MAC 地址的对应关系条目。当网络卫士防火墙转发数据报文时，会首先查看ARP表，如目的IP 已经在ARP 表中，网络卫士防火墙则不必再发送ARP 广播就获取了目的设备的MAC 地址。 选项“限制ARP 请求个数”，设定允许ARP 请求的上限值。 防火墙辅助功能－ARP及MAC地址 设置IP＋MAC地址绑定：网络卫士防火墙内部维护了一张ARP 表，维护了网络卫士 防火墙所学习到的主机IP 和MAC 地址的对应关系条目。 在ARP表中“定义”好后，系统自动生成“主机对象”（包含了IP及MAC地址） 也可以手动填写mac地址绑定 防火墙辅助功能－ARP及MAC地址 MAC地址表 网络卫士防火墙内部维护了一张VLAN 虚接口的MAC 地址表，保存了网络卫士防火墙所学习到的物理接口及该接口所在区域主机MAC 地址的对应表。当网络卫士防火墙转发数据帧时，会查看虚接口MAC 地址表，如果该目的MAC 在网络卫士防火墙的MAC 地址表中，网络卫士防火墙将直接通过该MAC 地址所对应的接口发送数据帧。 也可以自行添加MAC地址 防火墙辅助功能－ARP及MAC地址 第一部分：防火墙基础知识 第二部分：防火墙配置案例 第三部分：防火墙特殊应用 第四部分：防火墙辅助功能 第五部分：防火墙日常维护 目录 防火墙通电后，大约30秒钟左右，应看到防火墙前面板的工作指示灯（绿色）为闪烁状态；主/从指示灯（橙色）为常亮状态。此状态为防火墙的正常工作状态。 －防火墙接入线缆后的接口状态 防火墙的接口与交换机相连接后，注意其接口状态指示灯（link）要变为绿色。 如果防火墙接口指示灯不亮，则应该检查线缆的连通性。 特殊情况：如果线缆没有问题，但防火墙接口指示灯还是不亮，则调整防火墙和交换机的接口协商模式为一致状态即可。（比如：调整为手动100M/全双工） 防火墙辅助功能－防火墙正常工作状态 防火墙的两个接口配置有IP地址，在防火墙接入网络后，进入到防火墙的命令行（通过串口或TELNET均可）用PING命令分别PING内网的服务器IP地址和外网上级站的网关路由器IP地址。 如果可以PING通，则说明网络在接入防火墙后，通信线路没有问题。 在规则配置好的情况下，通过TELNET相应主机的开放端口来测试网络的连通性。 如果TELNET端口没有成功，则需要打开PING权限来探测主机之间的连通情况。 如果主机之间可以PING通，则需要检查规则设置情况，是否已经打开