防火墙安装与配置.ppt

防火墙日常维护 防火墙指示灯介绍 线路连通性检查 防火墙常见故障 防火墙日常维护－防火墙的正常工作状态 防火墙通电后，大约30秒钟左右，应看到防火墙前面板的工作指示灯（绿色）为闪烁状态；主/从指示灯（橙色）为常亮状态。此状态为防火墙的正常工作状态。 －防火墙接入线缆后的接口状态 防火墙的接口与交换机相连接后，注意其接口状态指示灯（link）要变为绿色。 如果防火墙接口指示灯不亮，则应该检查线缆的连通性。 特殊情况：如果线缆没有问题，但防火墙接口指示灯还是不亮，则调整防火墙和交换机的接口协商模式为一致状态即可。（比如：调整为手动100M/全双工） 防火墙日常维护－线路连通性检查 防火墙的两个接口配置有IP地址，在防火墙接入网络后，进入到防火墙的命令行（通过串口或TELNET均可）用PING命令分别PING内网的服务器IP地址和外网上级站的网关路由器IP地址。 如果可以PING通，则说明网络在接入防火墙后，通信线路没有问题。 在规则配置好的情况下，通过TELNET相应主机的开放端口来测试网络的连通性。 如果TELNET端口没有成功，则需要打开PING权限来探测主机之间的连通情况。 如果主机之间可以PING通，则需要检查规则设置情况，是否已经打开相应的端口或者规则顺序是否不正确。 防火墙日常维护－故障判断1 通过超级终端无法连接到防火墙 查看是否在超级终端上设置了正确的通信参数(9600-8-N-1)及终端类型,并检查线缆连接正确。（必须使用防火墙随机带的CONSOLE线缆） 如果防火墙通讯中断，经过多次重启后，CONSOLE依然不能登陆。则可确定防火墙发生严重故障。请及时通知本公司的工程师进行处理。 －故障判断2 无法通过GUI、TELNET管理防火墙 检查防火墙登录控制中是否允许TELNET或 GUI管理。 确认登录源主机的IP是否在设定IP范围内。 确认是否有相同用户名的用户已登录防火墙（同用户名用户不允许在同一时间登录同一台防火墙）。 防火墙日常维护－故障判断3 增加策略禁止某主机，该主机仍能通过防火墙 检查该主机与通信目标主机间的通信通道是否经过防火墙； 检查是否已有策略许可该主机通过防火墙； 检查这台主机是否为双穴主机，是否网卡配有多个IP地址。 -故障判断4 防火墙重启后配置丢失 通常情况下是用户在防火墙重启前没有对防火墙的配置进行保存。 特殊情况：在同一个节点对象中，设置了过多的IP地址或在对象组中加入了过多的网络对象。（不能超过15个） 防火墙日常维护－故障判断5 IP地址绑定未起作用 检查主机的绑定IP是否经过其它路由设备（因为通过路由设备后主机的MAC地址已被路由设备的MAC替换）后，才到达防火墙。 －故障判断6 防火墙多端口接在同一交换机或HUB 上后，交换机或HUB工作不正常 检查防火墙是否工作于透明模式，如果是，则修改配置，使防火墙工作于路由模式。因为打开防火墙透明后会形成环路。 大致分为8个方面介绍防火墙的知识 * * 推荐使用的管理方式 * 以案例为主线进行介绍 * 以案例为主线进行介绍 * 防火墙特殊应用－阻断策略 通过设置包过滤策略可以对IP协议和非IP协议进行控制。当设备接收到一个数据报文后， 会顺序匹配包过滤策略，如果没有匹配到任何策略，则会依据默认规则对该报文进行处理。 从具体应用上，一般用来阻断一些病毒传播端口 包过滤策略的优先级高于“访问控制策略 第一部分：防火墙基础知识 第二部分：防火墙基本应用 第三部分：防火墙特殊应用 第四部分：防火墙高级应用 第五部分：防火墙辅助功能 第六部分：防火墙日常维护 目录 防火墙的高级应用 用户认证 Trunk环境及VLAN间的路由 全面支持DHCP 双机热备 防火墙高级应用－用户认证 网络卫士防火墙支持以下认证方式或协议： ?? 本地认证（网络卫士防火墙内置的用户数据库） ?? RADIUS 认证（使用RADIUS 第三方认证服务器） ?? TACACS 认证（使用TACACS 第三方认证服务器） ?? 证书认证（使用标准CA 证书认证） ?? SecurID 认证（使用SecurID 方式认证） ?? LDAP 认证（使用LDAP 认证） ?? 域认证（使用WINDOWS 域认证） 网络卫士防火墙系统可以实现有效、快速、全面的用户及设备身份的管理， 解决以往简单认证方式带来的弊端，保证用户访问和设备之间访问的安全性； 用户通过网络卫士防火墙认证系统，可以通过简洁方便的模式实现对多种协议 、多种类型、多种方式的用户实现认证，用户通过简单统一的认证模式便可以 实现全方位的认证。 防火墙高级应用－TRUNK环境及VLAN间的路由1 防火墙支持TRUNK环境，也可以做VLAN间的路由 例一： 交换机有两个VLA