Eudemon防火墙产品使用注意事项 20060420-A（最新整理）.docVIP

Eudemon防火墙产品使用注意事项 声明 Copyright ?2005 华为技术有限公司 版权所有，保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。 ?、HUAWEI?、华为?、CC08?、EAST8000?、HONET?、?、视点?、ViewPoint?、INtess?、ETS?、DMC?、TELLIN?、InfoLink?、Netkey?、Quidway?、SYNLOCK?、Radium?、雷霆?、M900/M1800?、TELESIGHT?、Quidview?、Musa?、视点通?、Airbridge?、Tellwin?、Inmedia?、VRP?、DOPRA?、iTELLIN?、HUAWEI OptiX?、CC08 iNET?、NETENGINE?、OptiX?、iSite?、U-SYS?、iMUSE?、OpenEye?、Lansway?、SmartAX?、边际网?、infoX?、TopEng?均为华为技术有限公司的商标。 对于本手册中出现的其它商标，由各自的所有人拥有。 由于产品版本升级或其它原因，本手册内容会不定期进行更新。除非另有约定，本手册仅作为使用指导，本手册中的所有陈述、信息和建议不构成任何明示或暗示的担保。 技术支持 技术支援网址：:// 客户服务邮箱：upport@ 客户服务电话8008302118 0755传真：0755-2地址： 邮编：518目 录 声明 i 技术支持 i Eudemon防火墙产品使用注意事项 1 1 Eudemon防火墙产品使用注意事项 1 1.1 防火墙组网注意事项 1 1.2 防火墙双机热备份使用注意事项 1 1.3 防火墙硬件板卡配置注意事项 3 1.4 防火墙升级注意事项 4 1.5 防火墙安装注意事项 4 1.6 防火墙攻击防范注意事项 4 1.7 防火墙NAT应用注意事项 4 1.8 防火墙日常维护注意事项 5 1.9 防火墙P2P应用注意事项 5 Eudemon防火墙产品使用注意事项 Eudemon防火墙产品使用注意事项 防火墙组网注意事项 不建议使用防火墙参与动态路由计算，特别不建议在OSPF和BGP中引入大量路由。由于内存有限，大量的路由会占用很多内存，导致防火墙会话表容量降低，同时路由计算会消耗大量的CPU资源，在链路动荡时严重影响防火墙的性能。 尽可能避免来回路径不一致情况。存在来回路径不一致时，会导致防火墙无法识别正常的会话状态，影响TCP连接的正常建立，如何关闭防火墙状态检查，则防火墙只能进行普通的包过滤，部分攻击防范能力会失效。 当存在来回路径不一致时，必须配置undo firewall session link-state check和firewall fragment-forward enable允许分片报文通过。 使用透明模式组网时避免出现二层环路，避免透传所有VLAN。 每种防火墙都有会话表数量限制，使用中应考虑业务容量，避免会话表规格不满足情况出现。 负载分担的组网是一种很复杂的组网，需要和上下行设备紧密配合才能正常工作。目前不能支持与路由器的负载分担组网。 双机热备组网时，VRRP组号不能和网络中其它华为设备（不限于防火墙设备）的VRRP组号重复。否则会引起虚MAC地址冲突。 Eudemon500工作在混合模式，不要使用VLANIF作为业务网关。 防火墙双机热备份使用注意事项 双机热备目前只支持两台设置进行备份，不支持多台设备进行备份。但对于只使用VRRP的组网可以支持多台设备进行冗余备份。 由于双机热备中具有备份机制可以备份动态信息和命令，因此要求进行双机热备的两台设备板卡的位置，以及接口卡的类型都要求相同，否则会出现主防火墙备份过去的信息，与从防火墙根本就无法进行搭配使用，如出现主备状态切换就会导致业务出问题。 进行双机热备的两台防火墙中的配置文件最好为初始配置或保证两台设备配置相同，以免由于先前的配置而导致业务问题。 在VRRP管理组中添加组成员时，注意不要在承载业务的组成员上配置transfer-only参数。该参数只用于防火墙之间的心跳接口上。 对于Eudemon500和Eudemon1000产品，在混合模式的双机热备组网中，不能采用心跳口的VRRP备份组监视透明模式的业务端口的方式。 在Eudemon500/1000中，需要将透明模式的业务端口加入到vlan，并在vlan下配置set vgmp vgmp-id 命令将vlan与VRRP管理组绑定。当该vlan中有业务端口出现故障时，与之绑定的VRRP管理组将会降低优先级（默认降低数值为10），从而触发主备切换。由于没有使用track功能，所以VRRP管理组的优先级必须配置具体的数值