实训指导3.4基于天融信硬件防火墙对网络进行防护.pptVIP

* * 典型网络，网络分为三个安全区域：内部办公网、服务器区、互联网区 * 注意模式和子网掩码正确 * * 控制地址可以细化到具体的地址，具有更高的安全性 * * 两个出口，制定一部分用户走出口A，其它用户走出口B，实现网络分流 * * * 设备支持基于TFTP 协议的升级方式和专用升级工具 注意：请在升级前进行系统备份！！！ 防火墙辅助功能－系统升级 设备支持多级用户管理，不同类型的用户具有不同的操作权限。用户权限基本可分为三种：超级管理员、管理用户与审计用户。超级管理员是系统的内建帐号，具有全部的功能权限；管理用户可以设定和查看规则，但没有综合配置（例如分配管理员、配置维护等）的权限。审计用户权限最小，只可以查看已有规则，没有添加和修改规则的权限。 超级管理员是系统内建帐号， 用户名是superman，密码talent 用户可以对其帐号及口令进行修改 防火墙辅助功能－管理员配置 网络卫士防火墙内部维护了一张ARP 表，维护了网络卫士防火墙所学习到的主机IP 和MAC 地址的对应关系条目。当网络卫士防火墙转发数据报文时，会首先查看ARP表，如目的IP 已经在ARP 表中，网络卫士防火墙则不必再发送ARP 广播就获取了目的设备的MAC 地址。 选项“限制ARP 请求个数”，设定允许ARP 请求的上限值。 防火墙辅助功能－ARP及MAC地址 设置IP＋MAC地址绑定：网络卫士防火墙内部维护了一张ARP 表，维护了网络卫士 防火墙所学习到的主机IP 和MAC 地址的对应关系条目。 在ARP表中“定义”好后，系统自动生成“主机对象”（包含了IP及MAC地址） 也可以手动填写mac地址绑定 防火墙辅助功能－ARP及MAC地址 MAC地址表 网络卫士防火墙内部维护了一张VLAN 虚接口的MAC 地址表，保存了网络卫士防火墙所学习到的物理接口及该接口所在区域主机MAC 地址的对应表。当网络卫士防火墙转发数据帧时，会查看虚接口MAC 地址表，如果该目的MAC 在网络卫士防火墙的MAC 地址表中，网络卫士防火墙将直接通过该MAC 地址所对应的接口发送数据帧。 也可以自行添加MAC地址 防火墙辅助功能－ARP及MAC地址 防火墙通电后，大约30秒钟左右，应看到防火墙前面板的工作指示灯（绿色）为闪烁状态；主/从指示灯（橙色）为常亮状态。此状态为防火墙的正常工作状态。 防火墙的接口与交换机相连接后，注意其接口状态指示灯（link）要变为绿色。 如果防火墙接口指示灯不亮，则应该检查线缆的连通性。 特殊情况：如果线缆没有问题，但防火墙接口指示灯还是不亮，则调整防火墙和交换机的接口协商模式为一致状态即可。（比如：调整为手动100M/全双工） 防火墙辅助功能－防火墙正常工作状态 防火墙的两个接口配置有IP地址，在防火墙接入网络后，进入到防火墙的命令行（通过串口或TELNET均可）用PING命令分别PING内网的服务器IP地址和外网上级站的网关路由器IP地址。 如果可以PING通，则说明网络在接入防火墙后，通信线路没有问题。 在规则配置好的情况下，通过TELNET相应主机的开放端口来测试网络的连通性。 如果TELNET端口没有成功，则需要打开PING权限来探测主机之间的连通情况。 如果主机之间可以PING通，则需要检查规则设置情况，是否已经打开相应的端口或者规则顺序是否不正确。 防火墙辅助功能－线路连通性检查 －故障判断1 通过超级终端无法连接到防火墙 查看是否在超级终端上设置了正确的通信参数(9600-8-N-1)及终端类型,并检查线缆连接正确。（必须使用防火墙随机带的CONSOLE线缆） 如果防火墙通讯中断，经过多次重启多次后，CONSOLE依然不能登陆。则可确定防火墙发生严重故障。请及时通知本公司的工程师进行处理。 －故障判断2 无法通过GUI、TELNET管理防火墙 检查防火墙登录控制中是否允许TELNET或 GUI管理。 确认登录源主机的IP是否在设定IP范围内。 确认是否有相同用户名的用户已登录防火墙（同用户名用户不允许在同一时间登录同一台防火墙）。 防火墙日常维护－故障判断 －故障判断3 增加策略禁止某主机，该主机仍能通过防火墙 检查该主机与通信目标主机间的通信通道是否经过防火墙； 检查是否已有策略许可该主机通过防火墙； 检查这台主机否为双穴主机，是否网卡配有多个IP地址。 －故障判断4 防火墙重启后配置丢失 通常情况下是用户在防火墙重启前没有对防火墙的配置进行保存。 特殊情况：在同一个节点对象中，设置了过多的IP地址或在对象组中加入了过多的网络对象。（不能超过15个） 防火墙日常维护－故障判断 IP地址绑定未起作用 检查主机的绑定IP是否经过其它路由设备（因为通过路由设备后主机的MAC地址已被路由设备的MAC替换