云安全产品配置与应用 操作实践与配置案例 2-2-07《信息安全产品配置与应用》课程-VPN篇-设备特殊功能-【操作实践与配置案例】.pptVIP

任务目标 任务1：了解 VPN配置流程及管理方式 任务2：了解配置VPN前需要弄清的几个问题 任务3：学习天融信VPN基本功能应用 任务4：学习天融信VPN高级应用 任务5：学习天融信VPN辅助功能 学习目标 掌握VPN的配置准备工作及注意事项 掌握天融信VPN的主要配置方法 掌握一般VPN的故障处理过程 本讲主要任务与学习目标 VPN配置－长连接的应用 在访问规则中，对于TCP的连接可以设置为普通连接，也可以设置为长连接，一般地VPN对通信空闲一定时间的TCP连接将自动断开，以提高安全性和释放通信资源，但某些应用所建立的TCP连接需要长时期保持，即使处于空闲状态！ 普通连接如果在一段时间内没有收到报文则连接超时，以防止连接积累 得越来越多。而长连接则不受这个限制，除非通信的一方主动拆除连接， 否则连接不会被删除。主要应用在数据库和视频系统。 VPN配置－自定义端口 VPN内置一些标准服务端口，用以在访问规则中引用。但有时用户的系统 没有使用某些服务的标准端口，这时我们通过自定义方式加以定义。 VPN配置－自定义端口 VPN配置－应用端口绑定和TCP连接的子连接 如果某种应用层协议使用了非标准的端口时，用户需要将这些非标准端口与应 用协议进行绑定。这样，VPN在对这个应用层协议进行深度内容检测时，才 会认为这些数据包是合法报文并进行检测，否则将不进行深度过滤检测并按照 访问控制规则处理数据包。 另外，在一些应用中（如：FTP、ORACLE）会包含一些子连接。也就是说 某些应用在建立TCP连接时，只需要一个监听端口，但传送数据时会使用随机 的端口进行数据传输。如果在VPN访问策略中只开放了监听端口 （如：ORACLE一般只开放TCP1521端口），其他端口禁止访问。那么，将导 致数据无法传送。 VPN配置－应用端口绑定和 TCP连接的子连接 在“内容过滤” －“应用端口绑定”中设置 VPN配置－阻断策略（包过滤） 通过设置报文阻断策略可以对IP协议和非IP协议进行控制。当设备接收到一个 数据报文后，会顺序匹配报文阻断策略，如果没有匹配到任何策略 ，则会依据默认规则对该报文进行处理。 从具体应用上，一般用来阻断一些病毒传播端口 阻断策略（包过滤）的优先级高于“访问控制策略 * *