网御神洲防火墙04 防火墙工作模式
网御神州-防火墙快速管理入门
三、WEB管理
三、WEB管理
三、WEB管理
三、WEB管理
三、WEB管理
三、WEB管理
3.3 设备的管理
管理方式 IP地址的管理属性 管理主机 管理员账号 管理员证书 集中管理 配置存储、导入导出
三、WEB管理
5种管理方式中，通常使用WEB、SSH、超级终端管理三种方式 种管理方式中，通常使用WEB、SSH、 WEB
管理主机要求:具有以太网卡、USB接口和光驱，管理主机IE要求为5.0以上。
三、WEB管理
3.1 USB—KEY 认证方式
安装认证驱动程序 进入光盘\\Ikey Driver\目录，双击运行INSTDRV程序，选 择“开始安装”，随后出现安装成功的提示，选择“退出” 切记：安装驱动前不要插入usb电子钥匙。驱动安装完成后 ，再插入电子钥匙，会提示发现新硬件，表示驱动安装成功。
三、WEB管理
3.2证书认证的准备工作：
直接运行随即光盘中//admin cert/文件夹里的 firewalladmin.p12，安装密码：123456，其他默认即可
三、WEB管理
要通过任意一种认证后，打开IE浏览器，输入 https://10.50.10.45:8889 ,然后回车即可 输入帐号：admin，密码：firewall，这样就可以管理防火墙了
三、WEB管理
IP地址的管理属性 IP地址的管理属性
三、WEB管理
管理主机的维护
三、WEB管理
管理员帐户维护（仅admin帐号具有此权限）
允许多个管理员同时管理
管理员访问策略
三、WEB管理
配置管理
ＦＡＱ
ＷＥＢ管理方式主要有三：
１、管理主机的检查（ＩＰ地址） ２、管理员身份的检查（证书或电子钥匙） ３、帐户口令检查
网御防火墙管理系统使用手册
2.5.1 控制台的安装要求.........................................................................................15 2.5.2 第一个控制台的安装过程.............................................................................15 2.5.3 其它控制台安装.............................................................................................16 2.5.4 控制台的修复.................................................................................................16 2.5.5 控制台卸载.....................................................................................................16 2.5.6 控制台的重新安装.........................................................................................16
2.3 数据库的安装和卸载...............................................................................8
防火墙工作模式简介
防火墙工作模式简介防火墙能够工作在三种模式下：路由模式、透明模式、混合模式。
如果防火墙以第三层对外连接（接口具有IP 地址），则认为防火墙工作在路由模式下；若防火墙通过第二层对外连接（接口无IP 地址），则防火墙工作在透明模式下；若防火墙同时具有工作在路由模式和透明模式的接口（某些接口具有IP 地址，某些接口无IP 地址），则防火墙工作在混合模式下。
一、防火墙三种工作模式的简介1、路由模式当防火墙位于内部网络和外部网络之间时，需要将防火墙与内部网络、外部网络以及DMZ 三个区域相连的接口分别配置成不同网段的IP 地址，重新规划原有的网络拓扑，此时相当于一台路由器。
如下图所示，防火墙的Trust区域接口与公司内部网络相连，Untrust 区域接口与外部网络相连。
值得注意的是，Trust 区域接口和Untrust 区域接口分别处于两个不同的子网中。
采用路由模式时，可以完成ACL 包过滤、ASPF 动态过滤、NAT 转换等功能。
然而，路由模式需要对网络拓扑进行修改（内部网络用户需要更改网关、路由器需要更改路由配置等），这是一件相当费事的工作，因此在使用该模式时需权衡利弊。
2. 透明模式如果防火墙采用透明模式进行工作，则可以避免改变拓扑结构造成的麻烦，此时防火墙对于子网用户和路由器来说是完全透明的。
也就是说，用户完全感觉不到防火墙的存在。
采用透明模式时，只需在网络中像放置网桥（bridge）一样插入该防火墙设备即可，无需修改任何已有的配置。
与路由模式相同，IP 报文同样经过相关的过滤检查（但是IP 报文中的源或目的地址不会改变），内部网络用户依旧受到防火墙的保护。
防火墙透明模式的典型组网方式如下：如上图所示，防火墙的Trust 区域接口与公司内部网络相连，Untrust 区域接口与外部网络相连，需要注意的是内部网络和外部网络必须处于同一个子网。
3. 混合模式如果防火墙既存在工作在路由模式的接口（接口具有IP 地址），又存在工作在透明模式的接口（接口无IP 地址），则防火墙工作在混合模式下。
防火墙详细说明4000-UF
防火墙详细说明产品概述网络卫士系列防火墙NGFW4000-UF（NetGuard FireWall）系列产品，是天融信公司结合了多年来的网络安全产品开发与实践经验,在参考了天融信广大用户宝贵建议的基础上，开发的最新一代网络安全产品。
该产品以天融信公司具有自主知识产权的TOS（Topsec Operating System）为系统平台，采用开放性的系统架构及模块化的设计，融合了防火墙、防病毒、入侵检测、VPN、身份认证等多种安全解决方案，构建的一个安全、高效、易于管理和扩展的网络安全产品。
NGFW4000-UF属于网络卫士系列防火墙的中高端产品，特别适用于网络结构复杂、应用丰富、高带宽、大流量的大中型企业骨干级网络环境。
NGFW4000-UF（TG-5030）产品特点自主安全操作系统平台采用自主知识产权的安全操作系统--TOS（Topsec Operating System），TOS拥有优秀的模块化设计架构，有效保障了防火墙、IPSECVPN、SSLVPN、防病毒、内容过滤、抗攻击、流量整形等模块的优异性能，其良好的扩展性为未来迅速扩展更多特性提供了无限可能。
TOS具有具有高安全性、高可靠性、高实时性、高扩展性及多体系结构平台适应性的特点。
虚拟防火墙虚拟防火墙，是指在一台物理防火墙上可以存在多套虚拟系统，每套虚拟系统在逻辑上都相互独立，具有独立的用户与访问控制系统。
不同的企业或不同的部门可以共用1台防火墙，但使用不同的虚拟系统。
对于用户来说，就像是使用独立的防火墙。
大大节省了成本。
强大的应用控制网络卫士防火墙提供了强大的网络应用控制功能。
用户可以轻松的针对一些典型网络应用，如BT、MSN、QQ、Edonkey、Skype等实行灵活的访问控制策略，如禁止、限时、乃至流量控制。
网络卫士防火墙还提供了定制功能，可以对用户所关心的网络应用进行全面控制。
CleanVPN服务企业对VPN应用越来越普及，但是当企业员工或合作伙伴通过各种VPN远程访问企业网络时，病毒、蠕虫、木马、恶意代码等有害数据有可能通过VPN隧道从远程PC 或网络传递进来，这种威胁的传播方式极具隐蔽性，很难防范。
04 防火墙管理及基本功能
防火墙管理
防火墙WEB管理及基本配置 防火墙WEB管理及基本配置 WEB
1、修改管理员帐号 2、添加管理主机 3、配置接口IP 4、导入license 5、导入导出配置
防火墙管理
管理前准备
管理防火墙的时候，需要管理在PC上安装证书，证书一般都是在随机光盘 里面的保存的
安装私钥 为123456
防火墙管理
防火墙管理方式
总结
1. 防火墙默认一个端口FE1可以管理,但是其他端口(例如 FE2,FE3,FE4)也可以设置具有管理属性,具体配置方法可以看用户手 册,考虑到安全和管理方面的因素,建议一个防火墙最好不要太多端 口进行管理,最好只有一个端口可以进行管理 2. 防火墙默认只有单用户管理,也就只能有admin这个用户且只能同时 登陆一次.如果想多用户管理,那么可以在CLI下使用命令:mngacct multi on,或者在web页面:管理配置->管理员帐号 ,选择允许多个 管理配置管理配置 管理员帐号中, 允许多个 管理员同时管理即可,建议管理员不要启用允许多个管理员同时管理 管理员同时管理 允许多个管理员同时管理 3. 如果想修改防火墙端口原有的IP地址,只能先删除该IP地址,然后又 重新添加所需要的IP地址
防火墙管理
导入导出配置
配置存储 导入导出
防火墙管理
登录 CLI 界面
连接成功以后，提示输入管理员账号和口令时，输入出厂默认账 号“admin”和口令“firewall”即可进入登录界面，注意所有的字母都 是小 写的
防火墙管理
简单命令介绍
接口）（ 地址）（掩码） ）（IP地址）（掩码 sysip add （接口）（ 地址）（掩码） ping on admin on /配置防火墙接口IP 属性可管理 Sysip del （接口IP）/删除接口IP Mnghost limitles on /管理主机不受限制 Mngacct multi Syscfg Reboot save on /允许多用户进行管理 /保存配置 /重启防火墙
网御神州防火墙安装调试培训教材
点击确定生效
2防火墙界面介绍
对象定义－ 对象定义－>添加带宽列表
1点击添加 按钮
2定义带宽1Mb 3点击确定生效
2防火墙界面介绍
安全策略－ 安全策略－>包过滤规则
1选中包过滤规则
3选择禁止动作 2输入ip地址
1.4登录防火墙
电子钥匙认证 通过认证程序后，在IE中输入https://防火墙IP:8888出厂默 https://防火墙 防火墙IP:8888 认地址10.50.10.45，默认的用户密码firewall
1.4登录防火墙
电子钥匙认证
1.4登录防火墙
2防火墙界面介绍
系统配置, 系统配置,管理配置模块及各级子菜单
2防火墙界面介绍
系统配置－ 系统配置－>升级许可配置
1点击浏览按钮选中升级文件 2打开pkg文件后点击升级按钮
4升级后选中要导入 license文件
3点击重启网关，注意 不要保存配置 5点击导 入许可 证
1.4登录防火墙
电子钥匙认证 点击“退出请重新插锁” 点击“退出请重新插锁”后装电子钥匙插入管理 主机USB接口中，XP/2000/2003系统提示自动搜 USB接口中 主机USB接口中，XP/2000/2003系统提示自动搜 索电子钥匙驱动程序,自动安装即可。 索电子钥匙驱动程序,自动安装即可。
1.1安装调试前的工作 1.1安装调试前的工作
拆箱检查 请安照装箱单的提示进行检查机箱内所有的 配件： 防火墙主机、USB电子钥匙、随机光盘(电子 钥匙驱动、电子钥匙初始化程序、管理员登录认 证程序)、电源线、网线(交叉线）、串口线、安 装支架、保修卡
网御神州产品线介绍
目录
网神SecGate3600防火墙、UTM、IPSEC-VPN 网神SecSIS3600安全隔离与信息交换系统 网神SecIPS3600入侵防御系统 网神SecIDS3600入侵检测系统 网神SecAV3600防毒墙 网神SecSSL3600安全接入网关 网神SecWAF3600应用防火墙 网神SecSSM3600服务器安全加固与管理系统 网神SecFox-SNI安全网络监控 网神SecFox-NBA行为审计 网神SecFox-LAS日志审计
全线多核
追求功能的大而全
最高支持12个核 性能得不到保障
网神UTM：更加高效
网神UTM SecOSII操作系统
保障基本功能全面高效，对防 火墙的性能，IPS的性能，杀毒 的性能具有针对性的优化
目前UTM受到的质疑： 对于威胁防护的精细 化不够
网神UTM：更加精细：
国内首位取得多核操 作系统的安全厂商
内端机 6个千兆以太网接口 外端机 6个千兆以太网接口
2
50000小时
内端机 4个千兆以太网接口+2个SFP 外端机 4个千兆以太网接口+2个SFP
4
USB
4
4
4
4
4
机箱
1U
2U
2U
2U
2.5U
液晶面板
无
无
有
有
无
电源
单电源
单/冗余电源 单/冗余电源 单/冗余电源
单/冗余电源
网闸产品功能简介
文 件 交 换 模 块
网神IPS产品特殊型号分析
H2000
该型号为非标准型号，因此没有在型号全景中列出，标配16个网口，可扩 展为24个接口或者是16个千兆口加两个万兆接口可用于某些特殊情况下如： 性能要求较高，对手规格尤其是接口要求高，我们无法应对等情况。
hillstone、华为、联想网御、网御神州产品对比分析
应用特征库更新
专业团队维护，1-2周更新一次
安全策略
IP/MAC绑定 IPSECVPN 支持协议 加密方式 认证方式 加密算法
可实现基于IP地址、服务端口、IP协议 、物理端口、DSCP值、IP优先级、 能够基于时间、用户/用户组、应用层 TOS值、TTL值、ICMP类型、分片状 协、地理位置、IP地址/地址段、端口, 态、TCP状态、时间等安全策略的状态 内容安全统一界面进行安全策略配置 包过滤，还可实现基于七层协议的访问 控制 实现IP/MAC地址绑定，且支持 实现IP/MAC地址绑定，且支持 IP/MAC地址对的自动探测和唯一性检 IP/MAC地址对的自动探测和唯一性检 查 查 标准IPSEC协议，可与任何支持标准 IPSEC的厂商互通 支持硬件加解密和软件加解密 支持预共享密钥、证书等认证方式 标准IPSEC协议，可与任何支持标准 IPSEC的厂商互通 支持硬件加解密和软件加解密 支持预共享密钥、证书等认证方式
路由、透明、混合 支持 支持 DHCP Client、DHCP Relay、DHCP Server 不支持 不支持
备注
非OEM安全产品都会采用自己的OS
防火墙吞吐能力（1518字节） VPN吞吐能力（1518字节） 防病毒吞吐能力（1518字节） IPS吞吐能力（1518字节） 设备处理新连接的能力
500万
不详
设备同时处理的会话数
不支持 10,000
不支持 不详
SSLVPN同时登录人数 IPSEC同时建立的隧道数 网络的适应能力
上网行为控制不精准，只能显示IP，不 能显示具体的网址
联想网御
Kingguard 8000 多核 联想网御专用操作系统 4GE 双（热插拔） 普通 2 2个万兆或24个千兆 不支持 20 Gbps 2Gbps（算法不详） 不支持 不支持 20万
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1 路由模式
• 案例拓扑
1 路由模式
• 假设防火墙外其它设备都已配置完成，客 户机PC欲通过防火墙－路由器访问互联网， 防火墙需设置相应的nat规则及相关路： • 定义接口属性 • 定义策略路由 • 定义安全规则
1 路由模式
定义网络接口
进入防火墙web界面：网络配置－〉接口ＩＰ，点击添加， 如图添加fe1,fe2IP地址
Fe1或者fe2可以添加此IP地址，也可以不添加IP地址。添 加IP地址为了方便管理而已
2 透明模式
• 定义安全规则
进入防火墙web界面：安全策略-〉安全规则，点击添加内网访问外 网的包过滤规则
3 混合模式
• 案例拓扑
Cisco 路由器 Cisco 路由器
fa 0/1 IP:172.18.2.1 fe1
5 FAQ
欢迎大家批评指正！ 欢迎大家批评指正！
谢谢！ 谢谢！
br:fe1 IP:172.18.2.3/24 fe2
网神防火墙
fa 0/0 IP:172.18.2.2/24
局域网
fa 0/1 IP:10.50.10..2/24
Cisco 路由器
fa 0/0 IP:172.18.1.1/24
fe3 IP:172.18.3.1/24 客户机PC IP:172.18.1.2/24 gw:172.18.1.1
互联网
fa 0/0 IP:172.18.3.2/24 fa 0/1 IP:172.18.5.2/24
3 混合模式
• 假设除防火墙外其它设备都已配置完成， 客户机PC欲通过路由器－防火墙－路由器 访问互联网及其它网络，防火墙需设置相 应的包过滤/nat规则，且防火墙模式为混合 模式
3 混合模式
配置方法： • 定义接口属性 • 定义策略路由 • 定义安全规则
工作模式
（Ver 1.2）
网御神州
客服中心
2008.04
学习目标
学习完本课程，您应该能够 • 理解防火墙的路由模式 • 理解防火墙的透明模式 • 理解防火墙的混合模式 • 理解防火墙的透明桥模式 • 了解防火墙规则的优先级
课程内容
1. 路由模式 2. 透明模式 3. 混合模式 4. 规则优先级 5. FAQ
• 定义安全规则
3 混合模式
进入防火墙web界面：安全策略－〉安全规则，点击添加一 条客户机pc访问局域网的包过滤规则
3 混合模式
• 再添加客户机pc和局域网访问外网的NAT规则
3 混合模式
4 规则优先级
优先级 高
底
4 规则优先级
• 如上图可以看出，防火墙安全规则的优先 级是由上到下 • 一般情况下，建议用户在添加规则：首先 是禁止病毒的包过滤规则;其次是对外提供 服务的端口映射或者IP映射；最后才是NAT 规则或者包过滤规则
3 混合模式
• 定义网络接口
进入防火墙web界面：网络配置－〉网络接口，点击编辑， 如图编辑fe1,fe2
3 混合模式
进入防火墙web界面：网络配置－〉接口ＩＰ，点击添加， 如图添加fe1,fe3IP地址
3 混合模式
• 定义策略路由
进入防火墙的web界面：网络配置－〉策略路由，点击添加 一条默认路由
• 定义安全规则
1 路由模式
进入防火墙web界面：安全策略－〉安全规则，点击添加一 条内网访问外网ＮＡＴ规则
2 透明模式
• 案例拓扑
2 透明模式
• 假设除防火墙外其它设备都已配置完成， 客户机PC欲通过路由器－防火墙－路由器 访问互联网，防火墙在整个网络环境的位 置是不改变原先拓扑环境, 进而防火墙模式 设置为透明模式，且安全规则设置为包过 滤规则
1 路由模式
定义网络接口
1 路由模式
• 定义策略路由
进入防火墙的web界面：网络配置－〉策略路由点击添加一 条默认路由
1 路由模式
• 定义策略路由
进入防火墙的web界面：网络配置－〉策略路由，点击添加 一条默认路由
1 路由模式
• 定义安全规则
进入防火墙web界面：安全策略－〉安全规则，点击添加一 条内网访问外网ＮＡＴ规则
2 透明模式
配置方法： • 定义接口属性 • 定义安全规则
2 透明模式
• 定义接口属性
进入防火墙web界面：网络配置-〉网络接口，点击编辑，如 图编辑fe1，fe2
2 透明模式
• 定义接口属性
进入防火墙web界面：网络配置-〉网络接口，点击编辑，如 图编辑fe1，fe2
2 透明模式
进入防火墙web界面：网络配置-〉接口IP，点击添加，如图 添加fe1的IP地址