防火墙应用指南(一)基本配置指导思想.doc

防火墙应用指南（一）——基本配置指导思想 注：阅读本文前，请先详细阅读本文最后的红色部分的提示内容。 一 概要介绍 ??? 新上市的TL-FR5300防火墙产品，主要有两大功能特点：“攻击防护”和“策略”。它还有其他很多功能，在这篇文档里，我们将侧重表述“策略”这一块，其他功能我们另有专门的表述文档。当您在看这篇文档之前，我们希望您能够先了解一下TL-FR5300的《用户手册》，对TL-FR5300使用过程中涉及的诸多概念有一定的了解。??? 一般情况下用户购买了TL-FR5300，将其置于本单位网络的出口处，作为内部网络所有主机登录互联网的网关设备，内网主机所有去往互联网的数据都需要流经TL-FR5300，我们对TL-FR5300进行适当配置，就可以对内网主机的上网操作进行灵活的管理。??? TL-FR5300处于整个内部网络的出口，默认内部网络（LAN）和外部互联网（WAN）是互通的，但建议将这一条默认策略删除。当内部网络中某一部分主机需要某上网权限时，网络管理员只需要在TL-FR5300上面给这一部分主机打开相应的上网权限，当内部网络另一部分主机需要另外的上网权限时，管理员只需要在TL-FR5300上打开另一部分上网权限即可。这就是我们配置TL-FR5300这款防火墙产品时候的基本指导思想——“有需求才开放”。??? 在使用TL-FR5300的过程中，为了顺利实施上面“有需求才开放”的思想，我们极力建议您的网络是经过规划的——特别是“IP地址”这一部分，因为“IP地址”是互联网中每台主机标示自己的唯一标志，TL-FR5300也是通过“IP地址”实现对主机权限的控制。具体地说，网络里具备相同网络权限的主机应该从属于一个组，适应不同网络权限的主机从属于不同的组，而我们在规划“IP地址”的时候，既要考虑现有各个组的规模，也要考虑到以后网络的增长，不同网络权限的主机组使用不同的IP地址段，比如下面不同的组使用不同IP地址段： ???? 管理团队：～0(/27)?????市场部门：5～4(4/27)?????销售部门：29～58(28/27) ??? 当配置TL-FR5300时给不同的IP地址段不同的网络权限，那么网络中某台主机使用了什么IP地址就具备了什么网络权限，这就是网络经过规划的好处： ??? 上班时间限制内部网络某台主机只能登录互联网某个网站服务器。 ??? 要实现上面的目的，网络管理员通过设置TL-FR5300的“策略”，将上面这个想要实现的目的体现出来就可以。在这条“策略/规则”设置的过程当中，“内网某主机、互联网某网站服务器、可以登录”这些都属于“策略/规则”的基本组成部分，“上班时间”属于“策略/规则”的可选组成部分。??? “策略”可分为基本组成部分和可选组成部分。基本组成部分有：信息流的方向、信息流的源地址、信息流的目的地址、禁止/允许通过。可选组成部分有：时间、安全认证、流量控制、深层检测、日志等。??? 在TL-FR5300里面将“策略”的组成部分称之为“对象”，当需要设置一条“策略”的时候，要考虑一下即将设置的“策略”都包含哪些“对象”？TL-FR5300有专门用于定义“对象”的配置界面，比如策略里面涉及“上班时间”，那么配置策略之前，要先在“对象”-“时间表”里面将“上班时间”体现出来，然后在“策略”配置过程中引用先设定好的“上班时间”这个“对象”，那么这样设置的“策略”才能在“上班时间”生效。简单的说这就是“策略”和“对象”的关系。可以说多个不同的“对象”通过组合最后生成了一条“策略”。 ??? TL-FR5300的“策略”可由如下可选“对象”组成：IP地址、IP地址组、服务、服务组、动作、时间表、应用、深层检测、网络地址转换、用户认证、QoS控制、URL过滤、日志。二 举例以及说明 下面我们通过一些简单的“策略”设置过程，来详细地描述“策略”和“对象”是一个怎样的关系？它们是怎样使用的？ 1,销售部员工张三只能登录阿里巴巴网站。?分析：通过设置TL-FR5300的“策略”实现上面的目的，这条“策略”包含的“对象”有：张三（使用的IP地址）、阿里巴巴（网站服务器IP地址）、可以登录（网站）。?设置：设置过程分两部分，分别是设置“对象”和“策略”，设置“对象”是为了“策略”引用它，设置“策略”是为了最终实现我们的限制目的。 如上图选择了“对象”-“IP地址”，设置界面如下图： 如上图要在“区域”选择LAN ，因为张三处于公司内网也就是TL-FR5300定义的LAN区域，选择后点击“新增”按钮，界面如下图： 如上图： “IP地址名字”建议具备可读性，张三是销售部员工，这里取为“Sales – 张三”。 “说明”是对本