天融信防火墙命令

天融信防火墙命令
天融信防火墙命令

Helpmode chinesel

区域权限:pf service add name webui(gui/ping/telent) area 区域名addressname any

web管理服务开启:system httpd start

web界面权限添加:pf service add name webui area 区域名addressname any

添加网口ip:network interface eth16 ip add 192.168.4.12 mask 255.255.255.0 label 0

禁用网口:network interface eth16 shutdown

启用网口:network interface eth16 no shutdown

交换模式:network interface eth16 switchport(no switchport路由模式)

区域设置:define area add name E1 attribute 网口access off(on)《off权限禁止,on权限允许》

主机地址:define host add name 主机名ipaddr 192.1.1.1

子网地址:define host subnet add name 名字ipaddr 192.168.1.1 mask 25.255.255.0

自定义服务:define service add name 名称protocol 6 port 端口号(6是tcp的协议码) vlan添加ip:network interface vlan.0001 ip add 192.168.1.1 mask 255.255.255.0 label 0

web服务器外网访问

1)设置 E1 区域

#define area add name E1 access on attribute eth1

2)定义 WEB 服务器真实地址

#define host add name WEB_server ipaddr 172.16.1.2

3)定义 WEB 服务器访问地址

#define host add name MAP_IP ipaddr 202.99.27.199

4)定义服务端口

#define service add name Web_port protocol 6 port 8080

说明:“6”是 TCP 协议的协议码

5)设置地址转换规则

#nat policy add srcarea E1 orig_dst MAP_IP orig_service http

trans_dst Web_server trans_service Web_port

路由adls

ADS拨号设置

1)设置 ADSL 拨号参数

#network adsl set dev eth0 username adsl1234 passwd 123456 attribute adsl

2)定义外网区域(adsl-a)

#define area add name adsl-a attribute adsl access on

3)配置地址转换策略

#nat policy add srcarea area_eth1 dstarea adsl-a trans_src adsl

4)拨号

#network adsl start

5)查看拨号连接情况

# network adsl show status

STATE: PHASE_RUNNING

RX_BYTES: 815

TX_BYTES: 2021

RX_PKTS: 13

TX_PKTS: 42

LOCALIP: 168.22.100.3

PEERIP: 168.22.100.1

ELAPS: 586

Dhcp配置

1)配置 Eth1 口的 IP 地址

#network interface eth1 ip add 10.10.10.1 mask 255.255.255.0

系统自动为物理接口 eth1 绑定属性“eth1”。

2)添加区域对象,指定对区域对象的访问权限为允许访问,并将区域与属性 eth1 绑

定。

#define area add name area_eth1 access on attribute eth1

3)开放该区域的 DHCP 服务

#pf service add name dhcp area area_eth1 addressname any

4)配置 DHCP 服务器

首先要配置 DHCP 服务器的地址池

#network dhcp server add_subnet subnet 10.10.10.0 submask 255.255.255.0 gateway 10.10.10.1 sub_start 10.10.10.23 sub_end 10.10.10.33 pri_dns 202.106.0.20

如果需要,DHCP 服务器可以给指定 MAC 地址的主机绑定 IP 地址。

#network dhcp server add_host name bind macaddr 00:50:04:c3:b0:31 ipaddr

10.10.10.25

5)在 eth1 口启动 DHCP 服务器

#network dhcp server start on eth1

6)查看已分配的 IP 情况

#network dhcp show binded

web服务器外网访问

1)设置 E1 区域

#define area add name E1 access on attribute eth1

2)定义 WEB 服务器真实地址

#define host add name WEB_server ipaddr 172.16.1.2

3)定义 WEB 服务器访问地址

#define host add name MAP_IP ipaddr 202.99.27.199

4)定义服务端口

#define service add name Web_por t protocol 6 port 8080

说明:“6,”是 TCP 协议的协议码

5)设置地址转换规则

#nat policy add srcarea E1 orig_dst MAP_IP orig_service http

trans_dst Web_serve rtrans_service Web_port

目的地址转换:

nat policy add srcarea adsla orig_dst adsl orig_service anyshare端口trans_dst营销系统主机

nat policy add orig_src any orig_dst adsl orig_service anyshare端口trans_dst营销系统主机

区域源地址转换:

nat policy add srcarea area_eth11dstarea adsla trans_src adsl enable yes

访问控制

firewall policy add action accept srcarea area_eth12dstarea area_eth11

firewall policy add action accept src any dstarea area_eth11

源地址转换

1)定义区域对象

#define area add name area_eth1 access on attribute eth1

#define area add name area_eth0 access off attribute eth0

2)定义内网地址对象

#define subnet add name 子网 100.x ipaddr 192.168.100.0 mask 255.255.255.0

3)定义 NAT 地址

#define host add name nat-ip ipaddr202.10.10.1 mask 255.255.255.0

定义 NAT 地址池

#define range add name nat-poo l ip1 202.10.10.1 ip2 202.10.10.10

4)定义 NAT 地址转换规则

转换为固定 nat-ip

#nat policy add dstarea area-eth1orig_src子网 100.x trans_src nat-ip enable yes

在地址池中动态选择转换后的 IP

#nat policy add dstarea a rea-eth1orig_src子网 100.x trans_src nat-pool enable yes

天融信防火墙命令

天融信防火墙命令 Document serial number【KK89K-LLS98YT-SS8CB-SSUT-SST108】

Helpmode chinesel 区域权限:pf service add name webui(gui/ping/telent) area 区域名 addressname any web管理服务开启:system httpd start web界面权限添加:pf service add name webui area 区域名 addressname any 添加网口ip: 禁用网口: network interface eth16 shutdown 启用网口: network interface eth16 no shutdown 交换模式: network interface eth16 switchport(no switchport路由模式) 区域设置: define area add name E1 attribute 网口 access off(on)《off权限禁止,on 权限允许》 主机地址: define host add name 主机名 子网地址: define host subnet add name 名字 自定义服务:define service add name 名称 protocol 6 port 端口号 (6是tcp的协议码) vlan添加ip: web服务器外网访问 1)设置 E1 区域 #define area add name E1 access on attribute eth1 2)定义 WEB 服务器真实地址 #define host add name WEB_server ipaddr 3)定义 WEB 服务器访问地址 #define host add name MAP_IP ipaddr 4)定义服务端口 #define service add name Web_port protocol 6 port 8080 说明:“6”是 TCP 协议的协议码 5)设置地址转换规则 #nat policy add srcarea E1 orig_dst MAP_IP orig_service http trans_dst Web_server trans_service Web_port 路由adls ADS拨号设置 1)设置 ADSL 拨号参数 #network adsl set dev eth0 username adsl1234 passwd 123456 attribute adsl 2)定义外网区域(adsl-a) #define area add name adsl-a attribute adsl access on 3)配置地址转换策略 #nat policy add srcarea area_eth1 dstarea adsl-a trans_src adsl 4)拨号 #network adsl start 5)查看拨号连接情况 # network adsl show status STATE: PHASE_RUNNING RX_BYTES: 815 TX_BYTES: 2021 RX_PKTS: 13

天融信版本防火墙常用功能配置手册v

天融信版本防火墙常用功能配置手册 北京天融信南京分公司 2008年5月

目录

一、前言 我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙(在本安装手册中简称为“天融信防火墙”)时,可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。 二、天融信版本防火墙配置概述 天融信防火墙作为专业的网络安全设备,可以支持各种复杂网络环境中的网络安全应用需求。在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求,建议参照以下思路和步骤对天融信防火墙进行配置和管理。 1、根据网络环境考虑防火墙部署模式(路由模式、透明模式、混合模式),根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。 2、防火墙接口IP配置 3、区域和缺省访问权限配置 4、防火墙管理权限配置 5、路由表配置 6、定义对象(地址对象、服务对象、时间对象) 7、制定地址转换策略(包括四种地址转换策略:源地址转换、目的地址转换、双向转换、不做转换) 8、制定访问控制策略 9、其他特殊应用配置 10、配置保存 11、配置文件备份 ?提示:每次修改配置前,建议首先备份防火墙再修改配置,避免防火墙配置不当造成网络长时间中断。

三、天融信防火墙一些基本概念 接口:和防火墙的物理端口一一对应,如Eth0、Eth1 等。 区域:可以把区域看作是一段具有相似安全属性的网络空间。在区域的划分上,防火墙的区域和接口并不是一一对应的,也就是说一个区域可以包括多个接口。在安装防火墙前,首先要对整个受控网络进行分析,并根据网络设备,如主机、服务器等所需要的安全保护等级来划分区域。 对象:防火墙大多数的功能配置都是基于对象的。如访问控制策略、地址转换策略、服务器负载均衡策略、认证管理等。可以说,定义各种类型的对象是管理员在对防火墙进行配置前首先要做的工作之一。对象概念的使用大大简化了管理员对防火墙的管理工作。当某个对象的属性发生变化时,管理员只需要修改对象本身的属性即可,而无需修改所有涉及到这个对象的策略或规则。防火墙中,用户可定义的对象类型包括:区域、地址、地址组、服务、服务组、以及时间等。 ?提示:对象名称不允许出现的特殊字符:空格、“'”、“"”、“\”、“/”、“;”、“"”、“$”、“&”、“<”、“>”、“#”、“+”。 ?提示:防火墙所有需要引用对象的配置,请先定义对象,才能引用。四、防火墙管理 防火墙缺省管理接口为eth0口,管理地址为,缺省登录管理员帐号:用户名superman,口令talent。 防火墙出厂配置如下:

天融信防火墙NGFW4000配置手册

天融信防火墙NGFW4000快速配置手册

目录 一、防火墙的几种管理方式 (3) 1.串口管理 (3) 2.TELNET管理 (4) 3.SSH管理 (5) 4.WEB管理 (6) 5.GUI管理 (6) 二、命令行常用配置 (12) 1.系统管理命令(SYSTEM) (12) 命令 (12) 功能 (12) WEBUI界面操作位置 (12) 二级命令名 (12) V ERSION (12) 系统版本信息 (12) 系统>基本信息 (12) INFORMATION (12) 当前设备状态信息 (12) 系统>运行状态 (12) TIME (12) 系统时钟管理 (12) 系统>系统时间 (12) CONFIG (12) 系统配置管理 (12) 管理器工具栏“保存设定”按钮 (12) REBOOT (12) 重新启动 (12) 系统>系统重启 (12) SSHD (12) SSH服务管理命令 (12) 系统>系统服务 (12) TELNETD (12) TELNET服务管理 (12) 系统>系统服务命令 (12) HTTPD (12) HTTP服务管理命 (12) 系统>系统服务令 (12) MONITORD (12) MONITOR (12) 服务管理命令无 (12) 2.网络配置命令(NETWORK) (13)

4.定义对象命令(DEFINE) (13) 5.包过滤命令(PF) (13) 6.显示运行配置命令(SHOW_RUNNING) (13) 7.保存配置命令(SAVE) (13) 三、WEB界面常用配置 (14) 1.系统管理配置 (14) A)系统> 基本信息 (14) B)系统> 运行状态 (14) C)系统> 配置维护 (15) D)系统> 系统服务 (15) E)系统> 开放服务 (16) F)系统> 系统重启 (16) 2.网络接口、路由配置 (16) A)设置防火墙接口属性 (16) B)设置路由 (18) 3.对象配置 (20) A)设置主机对象 (20) B)设置范围对象 (21) C)设置子网对象 (21) D)设置地址组 (21) E)自定义服务 (22) F)设置区域对象 (22) G)设置时间对象 (23) 4.访问策略配置 (23) 5.高可用性配置 (26) 四、透明模式配置示例 (28) 拓补结构: (28) 1.用串口管理方式进入命令行 (28) 2.配置接口属性 (28) 3.配置VLAN (28) 4.配置区域属性 (28) 5.定义对象 (28) 6.添加系统权限 (29) 7.配置访问策略 (29) 8.配置双机热备 (29) 五、路由模式配置示例 (30) 拓补结构: (30) 1.用串口管理方式进入命令行 (30) 2.配置接口属性 (30) 3.配置路由 (30) 4.配置区域属性 (30) 5.配置主机对象 (30) 6.配置访问策略 (30)

天融信防火墙日常维护及常见问题资料

天融信防火墙日常维护及常见问题 综述: 防火墙作为企业核心网络中的关键设备,需要为所有进出网络的信息流提供安全保护,对于企业关键的实时业务系统,要求网络能够提供7*24小时的不间断保护,保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。 天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法,通过日常管理维护可以使防火墙运行在可靠状态,在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。本文对天融信防火墙日常维护进行较系统的总结,为防火墙维护人员提供设备运维指导。 一、 防火墙的连接方式 5 硬件一台 ?外形:19寸1U 标准机箱 产品外形 接COM 口 管理机 直通线交叉线 串口线 PC Route Swich 、Hub 交叉线 1-1 产品提供的附件及线缆使用方式

产品提供的附件及线缆使用方式 ?CONSOLE线缆 ?UTP5双绞线 -直通(1条,颜色:灰色) -交叉(1条,颜色:红色) 使用: –直通:与HUB/SWITCH –交叉:与路由器/主机(一些高端交换机也可以通过交叉线与 防火墙连接) ?软件光盘 ?上架附件 6 二、防火墙的工作状态 网络卫士防火墙的硬件设备安装完成之后,就可以上电了。在工作过程中, 具用户可以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态, 体请见下表: 2-1防火墙安装前的准备 在安装防火墙之前必须弄清楚的几个问题: 1、路由走向(包括防火墙及其相关设备的路由调整) 确定防火墙的工作模式:路由、透明、综合。 2、IP地址的分配(包括防火墙及其相关设备的IP地址分配) 根据确定好的防火墙的工作模式给防火墙分配合理的IP地址 3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型)

天融信防火墙NGFW4000快速配置手册

天融信防火墙NGFW4000快速配置手册 一、防火墙的几种管理方式 1.串口管理 第一次使用网络卫士防火墙,管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。 通过 CONSOLE 口登录到网络卫士防火墙,可以对防火墙进行一些基本的设置。用户在初次使用防火墙时,通常都会登录到防火墙更改出厂配置(接口、IP 地址等),使在不改变现有网络结构的情况下将防火墙接入网络中。这里将详细介绍如何通过 CONSOLE口连接到网络卫士防火墙: 1)使用一条串口线(包含在出厂配件中),分别连接计算机的串口(这里假设使用 com1)和防火墙的CONSOLE 口。 2)选择开始 > 程序 > 附件 > 通讯 > 超级终端,系统提示输入新建连接的名称。 3)输入名称,这里假设名称为“TOPSEC”,点击“确定”后,提示选择使用的接口(假设使用 com1)。 4)设置 com1 口的属性,按照以下参数进行设置。

5)成功连接到防火墙后,超级终端界面会出现输入用户名/密码的提示,如下图。 6)输入系统默认的用户名:superman 和密码:talent,即可登录到网络卫士防火 墙。登录后,用户就可使用命令行方式对网络卫士防火墙进行配置管理。 2.TELNET管理 TELNET管理也是命令行管理方式,要进行TELNET管理,必须进行以下设置: 1)在串口下用“pf service add name telnet area area_eth0 addressname any”命令添加管理权限 2)在串口下用“system telnetd start”命令启动TELNET管理服务 3)知道管理IP地址,或者用“network interface eth0 ip add 192.168.1.250 mask 255.255.255.0”命令 添加管理IP地址 4)然后用各种命令行客户端(如WINDOWS CMD命令行)管理:TELNET 192.168.1.250 5)最后输入用户名和密码进行管理命令行如图: 3.SSH管理

(完整版)天融信防火墙日常维护与常见问题

天融信防火墙日常维护及常见问题 综述: 防火墙作为企业核心网络中的关键设备,需要为所有进出网络的信息流提供安全保护,对于企业关键的实时业务系统,要求网络能够提供7*24小时的不间断保护,保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。 天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法,通过日常管理维护可以使防火墙运行在可靠状态,在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。本文对天融信防火墙日常维护进行较系统的总结,为防火墙维护人员提供设备运维指导。 一、防火墙的连接方式

5 硬件一台 ?外形:19寸1U 标准机箱产品外形接COM 口管理机 直通线交叉线串口 线 PC Route Swich 、Hub 交叉线 1-1 产品提供的附件及线缆使用方式 6 ?CONSOLE 线缆 ?UTP5双绞线 - 直通(1条,颜色:灰色)-交叉(1条,颜色:红色) 使用: –直通:与HUB/SWITCH –交叉:与路由器/主机(一些高端交换机也可以通过交叉线与 防火墙连接) ?软件光盘 ?上架附件 产品提供的附件及线缆使用方式

二、防火墙的工作状态 网络卫士防火墙的硬件设备安装完成之后,就可以上电了。在工作过程中, 具用户可以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态, 体请见下表: 2-1防火墙安装前的准备 在安装防火墙之前必须弄清楚的几个问题: 1、路由走向(包括防火墙及其相关设备的路由调整) 确定防火墙的工作模式:路由、透明、综合。 2、IP地址的分配(包括防火墙及其相关设备的IP地址分配) 根据确定好的防火墙的工作模式给防火墙分配合理的IP地址 3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型) 4、要达到的安全目的(即要做什么样的访问控制) 三、防火墙的管理及登录方式

天融信防火墙 通用配置

天融信防火墙通用配置 Document serial number【LGGKGB-LGG98YT-LGGT8CB-LGUT-

天融信防火墙通用配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的 网口相连。 出厂用户名为:superman,密码为:talent或superman,密码为:topsec0471。 在浏览器上输入防火墙的管理URL,例如:,弹出如下的登录页面。 输入用户名为:superman,密码为:topsec0471,登陆进入。 二.接口IP地址的配置: 1.点击:网络管理---接口 Eth0口接在WEB服务器端网络,eth1口接在MISS网络,根据实际情况配置IP,eth0口与web 服务器在同一网段,eth1口与miss网在同一网段。现例eth0口IPIP其余选项采用默认配置。 三.路由配置 点击:网络管理----路由, 四.地址转换: 1.配置转换对象: 点击:资源管理----地址; 点击:添加: 该例需添加两个对象:wcj-web为实际WEB的IP地址,MAC地址为空。X 2.区域设置: 点击:资源管理---区域; 将eth0口名称改为scada,权限选:允许;eth1口名称改为:miss,权限:允许。 3.地址转换: 点击:防火墙----地址转换;点击添加: 在此我们只需设置目的转换,选中:[目的转换]选项。 在:[源]选项栏中,将any从选择源:移到:已选源中。 在:[目的]选项栏中将虚拟的主机对象(即xnweb)从选择源移到:已选源中。 下面的:[目的地址转换为:]选择:wcj-web(主机)即实际的web服务器的地址对象。 其他选项采用默认配置。 点击:确定。 最后要保存配置:如下图操作: 至此,该防火墙配置完成。

天融信防火墙配置手册

天融信防火墙配置指南 一、对象与规则 现在大多防火墙都采用了面向对象的设计。针对对象的行为进行的快速识别处理,就是规则。 比如:甲想到A城市B地点。由这个行为就可以制定一些规则进行约束,例如: 1)用户身份识别,是不是甲用户(说明:在实际应用中,甲用户可能是一群人或所有的人)。 2)用户当前的目标是不是A城市,是不是B地点。 3)用户当前状态中是否符合规定,比如,是不是带了危险品什么的。 用户、城市、地点等等均可以看作为一个个的对象。在防火墙中我们可以这样来比喻:用户-->访问者 城市-->主机 地点-->端口 为了安全,我们就可以制定一个规则:如果用户甲或所有的人到达A城市B地点,并且没有携带任何危险品,就允许他或他们通过,否则就禁止通行。翻译成防火墙的规则就是:如果访问者访问目标区域中的开放主机中的允许访问的端口,并且访问的过程中没有防火墙禁止的恶意行为,就允许通过。 二、路由功能与地址转换 现在防火墙都集成了路由功能。路由功能简单的说法就是告诉访问者怎么走,相当于引路。比如:甲要到美国洛杉矶,甲城市的路由器就告诉甲,你应该先到上海,然后上海的路由器再告诉甲,该乘飞机到洛杉矶。 我们使用的互联网是基于TCP/IP协议的。所有在网络上的主机都是有IP地址的,相当于在互联网上的用户身份,没有IP地址是无法进行网络访问的。互联网中的主机中(包括访问者与被访问者)是不可能存在两个相同的IP的。 当前互联网中应用的大都是IPV4。比如:我们姜堰教育城域网的IP是58.222.239.1到58.222.239.254。由于当初的IP规划没想到后来会有这么多的计算机,所以发展到现在,IP 地址是非常紧缺的。目前,已不可能为世界上的所有的计算机都分配一个IP地址,这就产生了源地址转换又称为源地址伪装技术(SNA T)。比如A学校有100台计算机,但是只有

天融信防火墙配置

天融信防火墙配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的网口相连。 出厂默认eth0口IP为:192.168.1.254, 出厂用户名为:superman,密码为:talent或12345678。现IP改为192.168.4.21,用户名为:superman,密码为:topsec0471。 在浏览器上输入防火墙的管理URL,例如:https://192.168.1.254,弹出如下的登录页面。 输入用户名为:superman,密码为:topsec0471,登陆进入。 二.接口IP地址的配置: 1.点击:网络管理---接口 Eth0口接在WEB服务器端网络,eth1口接在MISS网络,根据实际情况配置IP,eth0口与

web 服务器在同一网段,eth1口与miss网在同一网段。现例:WEB服务器端在192.168.4.0/24网段,MISS网在172.20.40.0/24网段。eth0口IP为192.168.4.21(WEB服务器实际IP为192.168.4.20),eth1IP口为172.20.40.1。接口模式选择:路由。其余选项采用默认配置。三.路由配置 点击:网络管理----路由, 现有四条路由是设备自身生成的路由,现例不牵扯到复杂网络带有路由器等相关网络设备,所以不需添加静态路由,只需将WEB服务器主机的网关设成:192.168.4.21既eth0口的IP,MISS网端的主机网关设成:172.20.40.1即eth1口的IP。若遇复杂网络,则需添加路由关系,确保两端网络能相互PING通即可。 四.地址转换: 1.配置转换对象: 点击:资源管理----地址; 点击:添加:

防火墙配置实例

C I S C O5520防火墙配置实例 本人在项目中已经两次接触到思科5500系列防火墙的配置应用了,根据项目的需求不同,详细的配置也不一样,因此汇总了一个通用版本的思科5500系列防火墙的配置,不详之处,请各位大虾给予指点,谢谢! CD-ASA5520# show run : Saved : ASA Version (2) ! hostname CD-ASA5520&nb sp; //给防火墙命名 enable password 9jNfZuG3TC5tCVH0 encrypted // 进入特权模式的密码 names dns-guard ! interface GigabitEthernet0/0 //内网接口: duplex full //接口作工模式:全双工,半双,自适应 nameif inside //为端口命名:内部接口inside security-level 100 //设置安全级别 0~100 值越大越安全 ! interface GigabitEthernet0/1 //外网接口 nameif outside //为外部端口命名:外部接口outside

security-level 0 ! interface GigabitEthernet0/2 nameif dmz security-level 50 ! interface GigabitEthernet0/3 shutdown no nameif no security-level no ip address ! interface Management0/0 //防火墙管理地址shutdown no nameif no security-level no ip address ! passwd encrypted ftp mode passive clock timezone CST 8 dns server-group DefaultDNS

全新的天融信防火墙NGFW的配置

全新的天融信防火墙NGFW4000_配置 配置一台全新的天融信防火墙NGFW4000,配置完后,内网用户10.10.1.0/24和10.10.2.0/24可以通过防火墙上网,外网用户可以通过访问防火墙的外网接口地址来访问内网的WEB服务器10.10.1.200,并且内网用户也可以通过WEB服务器的外网地址进行访问。 网络说明: 防火墙外网接口地址:218.90.123.121/30 防火墙内网接口地址:192.168.0.253/30 核心交换机防火墙VLAN:192.168.0.254/30 核心交换机用户群A的VLAN:10.10.1.0/24 核心交换机用户群B的VLAN:10.10.2.0/24 用户群A的默认网关:10.10.1.254 用户群B的默认网关:10.10.2.254 防火墙至出口的默认网关:218.90.123.122/30 核心交换机至防火墙的默认网关:192.168.0.253 内网WEB服务器地址:10.10.1.200/32(通过防火墙映射成公网地址) 简单拓扑图如下:

这里着重介绍的是出口防火墙的配置,从上图中可以看出,防火墙位于核心交换机至INTERNET 出口的中间。我们首先需通过某种方式对防火墙进行管理配置。 1、连接防火墙 首先查看防火墙的出厂随机光盘,里面其中有个防火墙安装手册,描述了防火墙的出厂预设置:管理用户 管理员用户名 superman 管理员密码 talent 或12345678 系统参数 设备名称 TopsecOS 同一管理员最多允许登录失败次数 5 最大并发管理数目 5 最大并发管理地点 5

同一用户最大登录地点 5 空闲超时 3 分钟 物理接口 Eth0(或LAN 口) IP:192.168.1.254/24 其他接口 Shutdown 服务访问控制 WEBUI 管理(通过浏览器管理防火墙):允许来自Eth0(或LAN 口)上的服务请求 GUI 管理(通过TOPSEC 管理中心):允许来自Eth0(或LAN 口)上的服务请求 SSH(通过SSH 远程登录管理):允许来自Eth0(或LAN 口)上的服务请求 升级(对网络卫士防火墙进行升级):允许来自Eth0(或LAN 口)上的服务请求 PING(PING 到网络卫士防火墙的接口IP 地址或VLAN虚接口的IP 地址):允许来自Eth0(或LAN 口)上的服务请求 其他服务禁止 地址对象 地址段名称 any 地址段范围 0.0.0.0 – 255.255.255.255 区域对象 区域对象名称 area_eth0 绑定属性 eth0 权限允许 日志 日志服务器IP 地址 IP:192.168. 1.253 日志服务器开放的日志服务端口 UDP 的514 端口 高可用性(HA)关闭 从中可以看出,管理口为ETH0口,地址为192.168.1.254,我们将一台电脑直接与ETHO接口相连,然后配置一个192.168.1段的地址,然后在浏览器上访问https://192.168.1.254,就进入了WEB管理界面(如出现安装证书问题,直接点继续浏览此网站),如下。

(完整word版)天融信防火墙双机热备配置说明

天融信防火墙双机热备配置说明 一、防火墙的接口设置: ifconfig 'eth0' 10.1.3.4 255.255.255.0 内网接口//接内网交换机 ifconfig 'eth4' 211.141.203.74 255.255.255.0 外网接口口//上接F5 ifconfig 'eth5' 211.141.203.76 255.255.255.240 服务器区//接服务器区交换机 ifconfig 'eth6' 192.168.1.250 255.255.255.0 防火墙同步接口//主备防火墙间同步接口互连 二、按需配置好主防火墙 三、配置双击热备过程: 1、配置主防火墙的双机设置,并使之处于工作状态: system -n 'work' //给主防火墙取名为work system -i 0 //配置主防火墙的设备号为0 system -h backup working 3 //配置主防火墙为双机热备方式并处于工作状态 system ssp on //在主防火墙上打开状态同步协议 2、在从防火墙上清空所有配置: restore config //恢复防火墙出厂默认值 ifconfig eth6 off //清空防火墙所有接口地址(默认出厂只有eth6有地址) 3、配置从防火墙的双机设置,并使之处于备用状态: system -n 'standby' //给从防火墙取名为standby system -i 1 //配置从防火墙的设备号为1 system -h backup standby 3 //配置从防火墙为双机热备方式并处于备用状态 system ssp on //在从防火墙上打开状态同步协议

天融信防火墙的一个典型配置方案

[原创]天融信防火墙的一个典型配置方案 一个典型配置方案 现在根据我们的经验,假设几种典型的网络环境,描述“网络卫士”防火墙在这些环境中应 该如何配置。 以3个端口的“网络卫士”防火墙为例,其中一个接外网,一个接内网,一个接SSN,在SSN 中有三台服务器,一台是HTTP服务器,一台是FTP服务器,一台是邮件服务器。有如下需求:内网的机器可以任意访问外网,可以访问SSN中指定的服务器,外网和SSN的机器不能 访问内网;外网可以访问SSN中的服务器。 在非动态地址环境下: 防火区域配置 外网:接在eth1上,缺省访问策略为any(即缺省可读、可写),日志选项为空,禁止ping。 内网:接在eth2上,缺省访问策略为none(不可读、不可写),日志选项为日志命令,允 许ping。 SSN:接在eth0上,缺省访问策略为none(不可读、不可写),日志选项为日志命令,禁 止ping。 经过以上的配置后,如果没有其他的访问策略和通信策略,则防火墙允许内网上的机器访问外网,允许SSN上的机器访问外网,不允许内网被外网或SSN访问,不允许SSN被外网、内网访问。(允许访问并不表示可以成功通信,尽管内网被允许访问外网,但假如没有合法的IP地址,也无法进行成功的访问,这个问题在后面NAT配置中将进行详细描述。) 定义三个网络节点 FTP_SERVER:代表FTP服务器,区域=DMZ,IP地址=…,物理地址=…。 HTTP_SERVER:代表HTTP服务器,区域=DMZ,IP地址=…,物理地址=…。 MAIL_SERVER:代表邮件服务器,区域=DMZ,IP地址=…,物理地址=…。

配置访问策略 根据区域的定义,外网和内网的缺省访问权限已经满足要求,现在只需要进行一些访问策略 设置。在SSN区域中增加三条访问策略: ① 访问目的=FTP_SERVER,目的端口=TCP 21。 源=内网,访问权限=读、写。 源=外网,访问权限=读。 这条配置表示内网的用户可以读、写FTP服务器上的文件,而外网的用户只能读文件,不能 写文件。 ② 访问目的=HTTP_SERVER,目的端口=TCP 80。 源=内网+外网,访问权限=读、写。 这条配置表示内网、外网的用户都可以访问HTTP服务器。 ③ 访问目的=MAIL_SERVER,目的端口=TCP 25,TCP 110。 源=内网+外网,访问权限=读、写。 这条配置表示内网、外网的用户都可以访问MAIL服务器。 假如所有的机器都有合法的IP地址,则配置到此为止就结束了。否则, 假设内网的机器没有合法的IP地址,它们访问外网需要进行地址转换。当内部机器访问外部机器时,可以将其地址转换为防火墙的地址,也可以转换成某个地址池中的地址。这里描述将地址转换成防火墙地址的方法:增加一条通信策略,目的=外网,源=内网,方式=NAT,目的端口=所有端口。如果需要转换成某个地址池中的地址,则必须先在外网中定义一个子网,地址范围就是地址池的范围,然后在通信策略中选择NAT方式,在地址池类型中选择刚 才定义的地址池。 假设SSN中的服务器也没有合法的IP地址,必须依靠防火墙做地址映射来提供对外服务。

天融信防火墙通用配置

天融信防火墙通用配置 The following text is amended on 12 November 2020.

天融信防火墙通用配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的 网口相连。 出厂默认eth0口IP为: 出厂用户名为:superman,密码为:talent或。现IP改为,用户名为:superman,密码为:topsec0471。 在浏览器上输入防火墙的管理URL,例如:,弹出如下的登录页面。 输入用户名为:superman,密码为:topsec0471,登陆进入。 二.接口IP地址的配置: 1.点击:网络管理---接口

Eth0口接在WEB服务器端网络,eth1口接在MISS网络,根据实际情况配置IP,eth0口与web 服务器在同一网段,eth1口与miss网在同一网段。现例:WEB服务器端在网段,MISS网在网段。eth0口IP为服务器实际IP为,eth1IP 口为。接口模式选择:路由。其余选项采用默认配置。 三.路由配置 点击:网络管理----路由, 现有四条路由是设备自身生成的路由,现例不牵扯到复杂网络带有路由器等相关网络设备,所以不需添加静态路由,只需将WEB服务器主机的网关设成:既eth0口的IP,MISS网端的主机网关设成:即eth1口的IP。若遇复杂网络,则需添加路由关系,确保两端网络能相互PING通即可。 四.地址转换: 1.配置转换对象: 点击:资源管理----地址; 点击:添加:

该例需添加两个对象:wcj-web为实际WEB的IP地址,MAC地址为空。Xnweb 为转换后的IP地址为:,该地址与MISS网的主机在同一网段,只要不被使用即可。以后miss网的主机只需浏览:,不需浏览地址。以达到伪装IP的目的。 2.区域设置: 点击:资源管理---区域;

天融信防火墙通用配置

天融信防火墙通用配置 一. 通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的网口相连。 出厂默认eth0口IP为:, 出厂用户名为:superman,密码为:talent或。现IP改为,用户名为:superman,密码为:topsec0471。 在浏览器上输入防火墙的管理URL,例如:,弹出如下的登录页面。 输入用户名为:superman,密码为:topsec0471,登陆进入。 二.接口IP地址的配置: 1.点击:网络管理---接口 Eth0口接在WEB服务器端网络,eth1口接在MISS网络,根据实际情况配置IP,eth0口与

web 服务器在同一网段,eth1口与miss网在同一网段。现例:WEB服务器端在/24网段,MISS网在/24网段。eth0口IP为(WEB服务器实际IP为),eth1IP口为。接口模式选择:路由。其余选项采用默认配置。 三.路由配置 点击:网络管理----路由, 现有四条路由是设备自身生成的路由,现例不牵扯到复杂网络带有路由器等相关网络设备,所以不需添加静态路由,只需将WEB服务器主机的网关设成:既eth0口的IP,MISS 网端的主机网关设成:即eth1口的IP。若遇复杂网络,则需添加路由关系,确保两端网络能相互PING通即可。 四.地址转换: 1.配置转换对象: 点击:资源管理----地址; 点击:添加:

该例需添加两个对象:wcj-web为实际WEB的IP地址,MAC地址为空。Xnweb为转换后的IP 地址为:,该地址与MISS网的主机在同一网段,只要不被使用即可。以后miss网的主机只需浏览:,不需浏览地址。以达到伪装IP的目的。 2.区域设置: 点击:资源管理---区域; 将eth0口名称改为scada,权限选:允许;eth1口名称改为:miss,权限:允许。

天融信防火墙通用配置

天融信防火墙通用配置 Document number【SA80SAB-SAA9SYT-SAATC-SA6UT-SA18】

天融信防火墙通用配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的 网口相连。 出厂默认eth0口IP为: 出厂用户名为:superman,密码为:talent或。现IP改为,用户名为:superman,密码为:topsec0471。 在浏览器上输入防火墙的管理URL,例如:,弹出如下的登录页面。 输入用户名为:superman,密码为:topsec0471,登陆进入。 二.接口IP地址的配置: 1.点击:网络管理---接口

Eth0口接在WEB服务器端网络,eth1口接在MISS网络,根据实际情况配置IP,eth0口与web 服务器在同一网段,eth1口与miss网在同一网段。现例:WEB服务器端在网段,MISS网在网段。eth0口IP为服务器实际IP为,eth1IP 口为。接口模式选择:路由。其余选项采用默认配置。 三.路由配置 点击:网络管理----路由, 现有四条路由是设备自身生成的路由,现例不牵扯到复杂网络带有路由器等相关网络设备,所以不需添加静态路由,只需将WEB服务器主机的网关设成:既eth0口的IP,MISS网端的主机网关设成:即eth1口的IP。若遇复杂网络,则需添加路由关系,确保两端网络能相互PING通即可。 四.地址转换: 1.配置转换对象: 点击:资源管理----地址; 点击:添加:

该例需添加两个对象:wcj-web为实际WEB的IP地址,MAC地址为空。Xnweb 为转换后的IP地址为:,该地址与MISS网的主机在同一网段,只要不被使用即可。以后miss网的主机只需浏览:,不需浏览地址。以达到伪装IP的目的。 2.区域设置: 点击:资源管理---区域;

天融信防火墙设置

钟祥水利局防火墙 通过交换机中的主机192.168.1.0 网段访问 在浏览器地址栏中输入 https://192.168.1.1 按回车即可访问 (新防火墙默认只有ETH0口可用WEB访问,地址为https://192.168.0.254)期间会提示证书不完全 点击接受即可 登录页面需输入访问账号和密码 为默认值

账号:superman 密码:talent 正确输入后即可看到默认首页 显示的是防火墙的基本信息 防护墙所有基本功能需要在系统管理=》配置=》开放服务里添加 比如能在网页配置该防火墙 点击【添加】

服务名称为需要添加的服务 Webui为可网页配置 DHCP为该区域可动态获取IP地址 等 具体可参考随机安装光盘 上面有每个服务名称的详细说明 控制区域 需要手动添加后面会讲解 控制地址 默认有一条ANY【范围】

选择此项为所有主机都可以访问,使用 其他主机需手动添加 表示只有该主机才能够访问,使用 添加方式见下文 【管理员】 此项为管理可登陆防火墙的账号名与密码可自行添加账号与修改密码 【资源管理】 该选项需要注意的是地址区域服务 【地址】为每台主机的IP地址 若需要端口映射需要选定主机 则需要在此选项内添加该主机IP地址 点击添加

名称为自己容易记录的名称 可随意输入(但必须输入) 在红框内填写需要添加的主机的IP地址后点击旁边的箭头 然后点击确定 即可添加一条地址信息 【区域】

区域可选择为一个网段,一个VLAN,一个端口等等可视为许多地址的集合 做端口映射 需要选择外端端口作为区域 名称同地址 可随意填写 权限为默认值允许 属性选择一个端口 然后点击右边箭头=》 然后点击确定 即可添加一个区域信息 【服务】 服务就是协议与端口号 我们主要需要在自定义服务内添加需要映射的端口

天融信防火墙配置案例(带宽管理)

QoS(服务质量),是Quality of Service的缩写。通过QoS管理,用户可以根据实际用户网络规划,方便、灵活地定制带宽策略,防止带宽滥用现象,并可以确保关键应用的带宽需求。 网络卫士防火墙的带宽策略采用了分层的带宽管理机制,用户可以通过设置细粒度的带宽规则来实现基于源和目的IP 地址(或地址段)、服务的带宽的集中管理。同时,同层的带宽策略还可以根据业务需求,设置带宽策略的优先级,为关键业务流量优先分配带宽,从而合理、有效地为用户网络分配带宽资源。 图 12网络卫士防火墙分层带宽管理示意图 图中的网络卫士防火墙工作在纯透明模式(即所有接口均工作在交换模式下,且属于同一个VLAN),只起到限制带宽的作用,不做任何访问策略配置。网络卫士防火墙的初始配置不需要用户进行修改。

上传带宽管理 基本需求 子网1(10.200.51.0/24)向网段10.200.2.0/24上传数据,网络卫士防火墙为其分配7K (如果没有特殊说明单位均为字节/秒)的限制带宽,7K的保证带宽。并对不同的应用设置不同的优先级控制以及带宽优化: ?ICMP为最高优先级,保证带宽为1K(最大限制带宽为7K) ?数据库为第二优先级,保证带宽为2K(最大限制带宽为7K) ?FTP为第三优先级,保证带宽为2K(最大限制带宽为7K) ?SMTP为最低优先级,保证带宽为1K(最大限制带宽为7K) 配置要点 带宽策略的设置包括以下方面: ?设置采用QoS的物理接口。 ?在接口下设置一到多个类及其子类。 ?在类下设置数据流的匹配规则。 WEBUI配置步骤 1)设置采用QoS的物理接口。 选择网络管理 > 流量管理,在“带宽控制”页面点击“添加接口”,添加采用上传带宽配置策略的物理接口eth0。 接口的配置原则是以数据流流向为准,在数据流出网络卫士防火墙的物理接口上配置才能生效,本例中即eth0接口。 2) 在物理接口下设置上传类及其四个子类:ICMP上传、Web上传、FTP上传、邮件上传。 a)点击接口eth0对应的“下级”图标,添加eth0口的上传带宽类“上传类”。

天融信防火墙NGFW4000快速配置手册

资料 天融信防火墙 NGFW4000快速配置手册 一、防火墙的几种管理方式 1.串口管理 第一次使用网络卫士防火墙,管理员可以通过 CONSOLE口以命令行方式进行配置和管理。 通过 CONSOLE口登录到网络卫士防火墙,可以对防火墙进行一些基本的设置。用户在初次使用防火 墙时,通常都会登录到防火墙更改出厂配置(接口、IP 地址等),使在不改变现有网络结构的情况下将防 火墙接入网络中。这里将详细介绍如何通过CONSOLE口连接到网络卫士防火墙: 1)使用一条串口线(包含在出厂配件中),分别连接计算机的串口(这里假设使用com1 )和防火墙的CONSOLE口。 2)选择开始>程序>附件>通讯>超级终端,系统提示输入新建连接的名称。 3)输入名称,这里假设名称为“TOPSEC”,点击“确定”后,提示选择使用的接口(假设使用com1 )。 4)设置 com1 口的属性,按照以下参数进行设置。 参数名称取值 每秒位数:9600

奇偶校验:无 停止位:1 5)成功连接到防火墙后,超级终端界面会出现输入用户名/ 密码的提示,如下图。 6)输入系统默认的用户名:superman 和密码: talent,即可登录到网络卫士防火 墙。登录后,用户就可使用命令行方式对网络卫士防火墙进行配置管理。 2. TELNET管理 TELNET管理也是命令行管理方式,要进 行TELNET管理,必须进行以下设置: 1)在串口下用“ pf service add name telnet area area_eth0 addressname any”命令添加管理权限 2)在串口下用“ system telnetd start”命令启动 TELNET管理服务 3)知道管理 IP地址,或者用“ network interface eth0 ip add 192.168.1.250 mask 255.255.255.0”命令 添加管理 IP地址 4)然后用各种命令行客户端 ( 如 WINDOWS CMD命令行 ) 管理: TELNET 192.168.1.250 5)最后输入用户名和密码进行管理命令行如图:

天融信防火墙维护指南

天融信防火墙维护指南 天融信防火墙维护指南 天融信防火墙维护指南 一、综述 防火墙作为企业核心网络中的关键设备,需要为所有进出网络的信息流提供安全保护,对于企业关键的实时业务系统,要求网络能够提供7*24小时的不间断保护,保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。 天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法,通过日常管理维护可以使防火墙运行在可靠状态,在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。本文对天融信防火墙日常维护进行较系统的总结,为防火墙维护人员提供设备运维指导。 二、天融信防火墙日常维护 围绕防火墙可靠运行和出现故障时能够快速恢复为目标,天融信防火墙维护主要思路为:通过积极主动的日常维护将故障隐患消除在萌芽状态;故障发生时,使用恰当的诊断机制和有效的故障排查方法及时恢复网络运行;故障处理后及时进行总结与改进避免故障再次发生。 常规维护: 在防火墙的日常维护中,通过对防火墙进行健康检查,能够实时了解天融信防火墙运行状况,检测相关告警信息,提前发现并消除网络异常和潜在故障隐患,以确保设备始终处于正常工作状态。 1、日常维护过程中,需要重点检查以下几个关键信息:

连接数:如当前的连接数达到或接近系统最大值,将导致新会话不能及时建立连接,此时已经建立连接的通讯虽不会造成影响;但仅当现有的连接拆除后,释放出来的资源才可供新建连接使用。维护建议:当当前连接数正常使用至85,时,需要考虑设备容量限制并及时升级,以避免因设备容量不足影响业务拓展。 CPU: 天融信防火墙是高性能的防火墙,正常工作状态下防火墙CPU使用率应保 第 1 页共 13 页 持在10%以下,如出现CPU利用率过高情况需给予足够重视,应检查连接数使用情况和各类告警信息,并检查网络中是否存在攻击流量。通常情况下CPU利用率过高往往与攻击有关,可通过正确设置系统参数、攻击防护的对应选项进行防范。 内存: 天融信防火墙对内存的使用把握得十分准确,正常情况下,内存的使用率应基本保持稳定,不会出现较大的浮动。如果出现内存使用率过高(>90%)时,可以查看连接数情况,或通过实时监控功能检查网络中是否存在异常流量和攻击流量。 2、在业务使用高峰时段检查防火墙关键资源(如:Cpu、连接数、内存和接口流量)等使用情况,建立网络中业务流量对设备资源使用的基准指标,为今后确认网络是否处于正常运行状态提供参照依据。当连接数数量超过平常基准指标20,时,需通过实时监控检查当前网络是否存在异常流量。当Cpu占用超过平常基准指标20,时,需查看异常流量、定位异常主机、检查策略是否优化。 3、防火墙健康检查信息表: 设备型号软件版本序列号 设备用途 XX区防火墙设备状态主用/备用工作模式透明/路由/混合 检查对象相关信息检查结果备注

相关文档
最新文档