防火墙配置培训_all剖析.ppt

* * * * * * * * * * * * * * 防火墙高级应用－服务器负载均衡 1、定义主机对象 定义两台WEB服务器：00、00 定义负载均衡组的映射IP：00 * 防火墙高级应用－服务器负载均衡 2、定义服务器对象： 选择 对象 负载均衡 服务器，在右侧页面中点击“添加配置”， 进入服务器设置页面，如下图所示。 * 防火墙高级应用－服务器负载均衡 服务器参数说明： 通过探测，可以检测服务器的工作状态，可以避免在该服务器宕机或服 务异常的情况下仍旧发送流量到该服务器，造成用户请求的服务不能得 到响应的情况。 ?? 探测的方式可以是主机探测或服务探测，主机探测是通过简单的PING 命令进行定时监测来确定服务器是否在线，而服务探测是根据服务器提 供的服务选择相应的端口作为探测，如HTTP 的80 端口、FTP 的20、 21 端口或用户自定义的特殊端口。一般来说，服务探测比较能够真实反 映服务器的工作状态。 * 防火墙高级应用－服务器负载均衡 3、定义负载均衡组 选择 对象 负载均衡 均衡组，在右侧页面中点击“添加配置”， 系统进入均衡组设置页面，如下图所示 * 防火墙高级应用－服务器负载均衡 参数说明： 均衡组备份功能（backup选项） 对于一个均衡组A来说，必须配置另外一台均衡组B来给A做备份，配置参数是B的id号。只有当A中的所有服务/服务器器都down掉后，新的服务请求才会被分配到B上去， B只起备份作用，不能给A做流量分担。 * 防火墙高级应用－服务器负载均衡 4、定义地址转换规则 选择 防火墙引擎 地址转换 ，在右侧页面中点击“添加配置”按钮， 进入添加地址转换规则页面。 * 防火墙高级应用－服务器负载均衡 相关问题： 1、某个应用或主机不正常时，防火墙多长时间才能探测到？ 10s，FW每10s发送一次探测包。主机探测发ping包，服务探测发syn包 （所以只支持tcp服务）。探测频率是每10s一次，如果5s内没有回应， 就认为此服务器down掉了。ICMP请求每次发一个包，而syn探测交互一 次为6个包，基本可以保证5s内探测的冗余。 2、是否支持同一服务器的多个服务探测 TOS只支持探测一个端口，而且只支持对TCP服务的探测。 * 防火墙辅助功能 * 防火墙辅助功能－查看防火墙基本信息 * 防火墙辅助功能－查看/修改防火墙系统时间 * 防火墙辅助功能－查看防火墙运行状态 * 防火墙辅助功能－查看系统参数 * 防火墙辅助功能－日志设置 防火墙本身不存储日志信息，如果要保留相关日志，请安装随机光盘 的日志服务器软件。然后设置日志服务器地址，防火墙就会把日志信息 发送到日志服务器上 * 防火墙辅助功能－报警设置 设置触发报警的安全事件 管理管理员登陆或离线。 ?? 重要配置发生变化。 ?? 系统资源不足（如内存不足等等）。 ?? 系统硬件故障（如网卡、加密卡损坏等等）。 ?? 系统状态异常（除资源不足和硬件损坏）。 ?? 系统进行升级以及其他对外关键通信事件出现故障。 ?? 系统监测到攻击发生、违反了某条访问策略，并且此条访问 策略还规定了违反时必须报警等。 分为：邮件报警、声音报警、SNMP、NETBIOS、控制台报警 * 防火墙辅助功能－开放服务 * 防火墙辅助功能－健康记录 管理员可以定期生成、下载设备的健康记录，以便当设备出现异常时，可以帮助天融信的技术支持人员快速地定位并解决故障。 * 防火墙辅助功能－恢复出厂设置 系统除了提供上节所述的设备配置维护功能外，还提供了恢复出厂默认配置的功能，以方便用户重新配置设备。恢复出厂配置后，设备的网络接口地址可能会改变，配置信息会被清除，进而导致失去连接，请用户提前做好准备。 * 防火墙辅助功能－系统升级 设备支持基于TFTP 协议的升级方式和专用升级工具 注意：请在升级前进行系统备份！！！ * 防火墙辅助功能－添加管理用户及修改管理员口令 设备支持多级用户管理，不同类型的用户具有不同的操作权限。用户权限基本 可分为三种：超级管理员、管理用户与审计用户。超级管理员是系统的内建帐 号，具有全部的功能权限；管理用户可以设定和查看规则，但没有综合配置 （例如分配管理员、配置维护等）的权限。审计用户权限最小，只可以查看已 有规则，没有添加和修改规则的权限。 超级管理员是系统内建帐号，用户名是superman，不可以修改，用户对其帐号维护仅限于口令的修改 * 防火墙辅助功能－查看CDP 邻居信息 网络卫士防火墙可以接受CDP（Cisco Discovery Protocol）消息，并识别出相应的思科设备。使用CDP 功能的具体方法是选择 网络 CDP，网络卫士防火墙即可自动发现并识别出相邻的思科设备。 * 防火墙辅助