Checkpoint防火墙实施维护手册.docVIP

Checkpoint防火墙实施维护手册 前言 经过一段时间的学习和实际的工作，下面把学习和工作中的一些资料加以整理，方便以后更好地工作。由于学习不系统和工作经验不足，有什么错漏的地方希望大家不吝指教。 防火墙的创建 1、创建Gateway防火墙 ◆创建Gateway对象 ◆选择创建防火墙的模式 ◆配置防火墙的基本属性 ◆编辑防火墙的拓扑 ◆编辑防地址欺骗 首先双击外网接口，在下面弹出的对话框中选择Topology。选择如图所示外网口Anti-Spoofing功能启用了。 首先双击内网接口，在下面弹出的对话框中选择Topology。选择如图所示内网口Anti-Spoofing功能启用了。 2、创建Cluster防火墙 ◆创建Cluster对象 ◆选择创建防火墙的模式 ◆配置防火墙的基本属性 ◆添加并配置Cluster成员 注：IP为的管理地址（192.168.0.246） ◆输入SIC码 添加Cluster2同理 ◆编辑Topology 点击Edit Topology进入编辑窗口，在编辑窗口点击Get all members’topology按钮，topology内容自动获取： 如要修改，双击要修改的内容，在弹出的窗口中修改： 编辑完成后，在Topology属性中能看到完整的Topology结构： 3、创建VXS防火墙 ◆创建vsx对象 ◆配置vsx基本属性 ip address为管理地址 ◆添加物理接口 ◆编辑vsx拓扑 ◆添加接口 ◆添加路由 ◆添加vr ◆配置vr属性 ◆配置vr拓扑 ◆创建vs ◆配置vs基本属性 ◆配置vs拓扑 ◆创建vsw ◆配置vsw基本属性 ◆配置vsw拓扑 Nodes和Networks的创建 1、添加Nodes对象 2、添加Networks对象 策略的创建 1、策略和对象的管理 ◆策略包管理 (Policy package management)(仅包含规则集) ◆给策略包命名并选择策略类型： ◆数据库版本控制 (Database Revision Control) (包括对象和规则集) 2、编辑策略 ◆添加新策略，选择Rules-Add Rule-Below或者点击红圈中的添加按钮： 配置策略内容（在需要添加的地方点击右键添加，已经有定义好的对象拖拽也可）： NO：规则序号 NAME：规则名称 SOURCE：源地址 DESTINATION：目的地址 SERVICE：选择允许或禁止的服务 ACTION：此策略要做的动作（Accept，Drop，Reject） TRACK：是否要记录日志（Log，Alert，Account） INSTALL ON：选择安装在那个防火墙上 TIME：可以编辑策略生效的时间段 ◆Server的添加 假如列表中没有server，可以自己新建 3、下发策略 ◆选择Policy-Install或者点击红圈下发按钮 ◆在弹出的对话框中选择策略安装的防火墙，点击OK下发 NAT配置 1、静态地址映射 ◆将Nodes做静态地址映射 ◆将Networks做静态地址映射 2、动态地址映射 ◆将Nodes做动态地址映射 ◆将Networks做动态地址映射 动态映射的地址可以是Gateway也可以映射到指定的IP Address 3、手工添加NAT 4、针对不同的防火墙映射成不同的地址 添加License ◆确认服务器与防火墙是否相通 ◆假如原来有License，把原来的License Detach ◆在防火墙上重置SIC，然后在服务器上重建SIC连接 把Licenses添加到管理服务器上 ◆在服务器上Attach/Get Licenses ◆在防火墙上Attach/Get Licenses ◆最后检查Licenses是否生效 查看防火墙状态 ◆SmartView Monitor中可查看防火墙运行状态 ◆查看防火墙状态、CPU利用率、内存利用率、硬盘剩余百分比 查看日志 ◆在SmartView Tracker中可查看日志 ◆双击日志可以查看日志的详细信息 ◆使用日志过滤方便查看关心的日志 备份和恢复 1、管理服务器的定期备份 Unix、Linux和Solaris系统下，$FWDIR/conf 和 $FWDIR/lib 目录需要定期备份。 Windows系统下，%FWDIR%conf 和 %FWDIR%lib 目录需要定期备份。 2、使用Database Revision Control可以恢复对象和策略 SmartDashboard 不可用时无法用数据库版本控制恢复安全策略。 3、通过Upgrade tools进行备份CheckPoint 配置 ◆# cd $FWDIR/bin/upgrade_tools/ #u