CheckPoint 防火墙基本操作及应急措施
Check Point教程
Check point防火墙基本操作手册CheckPoint(中国)TEL:(86)10 8419 3348 FAX:(86)10 8419 3399©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:目录目录 (2)防火墙架构 (3)防火墙的Web管理 (3)配置IP： (4)配置DNS和Host: (5)配置路由: (5)通过防火墙的管理客户端管理 (5)添加防火墙 (7)添加策略步骤 (10)IP节点添加 (10)添加网段 (11)IPS的配置 (13)更新IPS库 (14)新建IPS动作库 (14)应用控制 (16)更新数据库 (16)添加应用控制策略 (17)App Wike (18)自定义添加应用 (18)QOS配置 (20)Qos策略的添加 (20)日志工具的使用 (20)筛选日志 (21)临时拦截可以连接 (22)©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:防火墙架构Check point 防火墙的管理是通过一个三层架构来实现的。
首先我们可以在任意的机器上安装防火墙客户端控制台，然后利用控制台的图形化界面登录check point 的管理服务器，定义出各个网络对象，定义企业各条策略，最后下发到防火墙执行模块。
具体实现过程见图示：防火墙的Web 管理首先打开Web 管理界面，出现登录界面：登陆后的界面设备的Web界面只能配置设备的IP地址，网关，DNS和路由。
还可以针对设备的事件，SNMP监控，代理等信息。
Checkpoint防火墙安全配置指南
Checkpoint防火墙安全配置指南中国联通信息化事业部2012年 12月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录第1章概述 (1)1.1目的 (1)1.2适用范围 (1)1.3适用版本 (1)1.4实施 (1)1.5例外条款 (1)第2章安全配置要求 (2)2.1系统安全 (2)2.1.1用户账号分配 (2)2.1.2删除无关的账号 (3)2.1.3密码复杂度 (3)2.1.4配置用户所需的最小权限 (4)2.1.5安全登陆 (5)2.1.6配置NTP (6)2.1.7安全配置SNMP (6)第3章日志安全要求 (7)3.1日志安全 (7)3.1.1启用日志功能 (7)3.1.2记录管理日志 (8)3.1.3配置日志服务器 (9)3.1.4日志服务器磁盘空间 (10)第4章访问控制策略要求 (11)4.1访问控制策略安全 (11)4.1.1过滤所有与业务不相关的流量 (11)4.1.2透明桥模式须关闭状态检测有关项 (12)4.1.3账号与IP绑定 (13)4.1.4双机架构采用VRRP模式部署 (14)4.1.5打开防御DDOS攻击功能 (15)4.1.6开启攻击防御功能 (15)第5章评审与修订 (16)第1章概述1.1 目的本文档规定了中国联通通信有限公司信息化事业部所维护管理的CheckPoint防火墙应当遵循的设备安全性设置标准，本文档旨在指导系统管理人员进行CheckPoint防火墙的安全配置。
1.2 适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
本配置标准适用的范围包括：中国联通总部和各省公司信息化部门维护管理的CheckPoint防火墙。
1.3 适用版本CheckPoint防火墙；1.4 实施本标准的解释权和修改权属于中国联通集团信息化事业部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
本标准发布之日起生效。
Checkpoint防火墙命令行维护说明材料
Checkpoint防火墙命令行维护手册制订模版：NGX-R65版本号：V1.0目录一、基本配置命令 (1)1.1SYSCONFIG (1)1.2CPCONFIG (2)1.3CPSTOP (3)1.4CPSTART (3)1.5EXPERT (4)1.6IDLE (4)1.7WEBUI (4)1.8脚本添加路由 (4)二、查看系统状态 (1)2.1TOP (1)2.2DF –H (3)2.3FREE (3)三、HA相关命令 (1)3.1CPHAPROB STAT (1)3.2CPHAPROB –A IF (1)3.3CPHACONF SET_CCP BROADCAST (1)3.4CPHAPROB LIST (2)3.5CPHASTART/CPHASTOP (3)四、常用维护命令 (1)4.1VER (1)4.2FW VER (1)4.3查看防火墙UTM/POWER版本 (1)4.4查看防火墙硬件型号 (1)4.5LICENSE查看和添加 (1)4.6IFCONFIG/IFCONFIG –A (1)4.7MII-TOOL (1)4.8ETHTOOL (1)4.9CPSTAT FW (2)4.10会话数查看 (1)五、日志查看命令 (1)5.1FW LOG (1)5.2FW LSLOGS (1)5.3FW LSLOGS –E (1)5.4FW LOGSWITCH (2)5.5导出日志文件 (2)六、防火墙的备份和恢复 (1)6.1备份防火墙 (1)6.2在IE中备份 (1)6.4恢复防火墙 (2)一、基本配置命令1.1sysconfig可以对系统进行配置和修改，比如主机名修改，DNS配置修改，以及路由的配置等，另外还可以配置DHCP功能，以及产品的安装等等如上图所示，在命令提示符输入：sysconfig，将会出现下图所列一些选项，在Your choice后面输入你想配置的选项前的数字，然后按回车可以看到，依次的选项为主机名，域名，域名服务，时间和日期，网络连接，路由，DHCP服务配置，DHCP中继配置，产品安装，产品配置等例如我们选择5，为防火墙新增一个接口IP地址然后选择2，进行连接配置，也就是配置IP地址选择1进行IP地址配置更改如上图所示按照提示配置IP地址和子网掩码进行其他配置也如同上述操作，选择对应的编号然后按照提示进行配置1.2cpconfig可以对checkpoint防火墙进行相关的配置，如下图所示，也是按照列表的形式列出，分别是license，snmp，PKCS#11令牌，随机池，SIC，禁用cluster，禁用安全加速，产品自动启动常用的选项一般为SIC的配置，cluster功能模块的启用等；选择7是开启cluster功能模块；选择5是设置SIC。
Checkpoint防火墙基本操作和应急操作
网路安全的基本概念
• 通过采用各种技术和管理措施 • 使网络系统正常运行，从而确保网络数
据的可用性、完整性和保密性 • 建立网络安全保护措施的目的: • 是确保经过网络传输和交换的数据不会
发生增加、修改、丢失和泄露等
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
2020/3/2
防火墙日志管理
• 通过SmartView Tracter查看日志
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
Checkpoint防火墙结构
• Checkpoint防火墙为软件防火墙， 可以在不同的操作系统上安装
– Windows操作系统 – Solaris操作体统 – Linux操作系统 – Nokia的专有操作系统IPSO
2020/3/2
Checkpoint防火墙结构
• Checkpoint防火墙层次结构
2020/3/2
防火墙策略配置及下发
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
11.CheckPoint 防火墙管理中心高可用性操作手册
C h e c k P o i n t防火墙管理中心高可用性操作手册广州中软信息技术有限公司目录1. 管理中心高可用性概述 (3)2. 管理中心高可用性解决方案 (4)2.1. 备份管理中心服务器 (4)2.2. 管理中心高可用性部署 (5)2.3. 管理中心备份信息 (6)2.4. 管理中心同步模式 (6)2.5. 管理中心同步状态 (7)2.6. 改变管理中心状态 (8)2.7. 高可用性注意事项 (8)3. 管理中心高可用性配置 (10)3.1. 安装与同步备份管理中心 (10)3.2. 改变管理中心状态 (12)3.3. 管理中心同步方式 (13)1.管理中心高可用性概述CheckPoint管理中心SmartCenter由几个独立的数据库组成，分别存储了用户定义的网络对象、用户对象以及安全策略等信息。
系统管理员修改了这些数据库中的信息后，管理中心服务器会把修改后的信息发布到SVN产品的各个相关组件进行执行，因此，做好管理中心数据的备份是很重要的。
备份了管理中心的数据后，在管理中心服务器失效时可以保证这些重要的数据不会丢失。
另外，如果管理中心服务器由于维护的目的需要停机，备份管理中心服务器就可以代替活动的管理中心服务器进行各种处理。
例如，执行模块就可以从备份管理中心服务器获得安全策略和传递CRL以及传达其它信息等。
2.管理中心高可用性解决方案2.1. 备份管理中心服务器实现管理中心的高可用性，那么活动的管理中心服务器就总有一个或多个的备份管理中心服务器处于备份状态，准备随时从活动的管理中心服务器接替管理中心的任务。
备份的管理中心服务器必须和活动的管理中心服务器具有相同的操作系统(例如：Windows NT、Window 2000)，操作系统的版本可以不相同。
备份管理中心服务器的存在可以起到两方面的作用：备份活动管理中心――企业防火墙的各种不同数据库和信息，例如网络对象数据库、用户对象数据库、安全策略数据库以及ICA文件等都会存储到备份的管理中心服务器，并且备份管理中心服务器可以同主管理中心服务器进行同步，以便保证保存信息的一直。
CheckPoint防火墙操作手册
CheckPoint防火操作手册1 配置主机对象定义防火墙策略时，如需对I P 地址进行安全策略控制则需首先配置这个对象，下面介绍主机对象配置步骤，在“Network Objects”图标处，选择“Nodes”属性上点击右键，选择“Node”，点击“Host”选项，定义主机对象的名称，IP Address属性，同时可按照该主机的重要性定义颜色，配置完成后点击OK,主机对象创建完成。
2 配置网段对象定义防火墙策略时，如需对网段进行安全策略控制则需首先配置这个网络对象，配置步骤如下，在防火墙“Network”属性上点击右键，选择“Network”，选项，定义网段名称，比如DMZ，Internal，建议根据网段所处位置定义，配置网段地址和子网掩码，如有必要可以添加注释（Comment），配置完成后点击确认。
3 配置网络组对象如果需要针对单个I P 地址、IP 地址范围或者整个网段进行安全策略控制，可以将这些对象添加到网络组，如下在防火墙“Group”属性上点击右键，选择“Simple Group”选项，成后点击O K 即可4 配置地址范围对象除了配置I P 地址，网段，也可以指定地址范围(IP range)，地址范围对象配置步骤是，如下在防火墙“Network”属性上点击右键，选择去掉“Do not show empty folders”选项，让I P Range 配置属性显示出来。
配置“Address Rage”，选择“Address Ranges”，如下图输入地址名称、起始IP地址与结束IP地址，完成后点击OK即可。
5 配置服务对象5.1 配置T CP 服务对象Check Point 防火墙内置了预定义的近千种服务，包括T CP、UDP、RPC、ICMP 等各种类型服务，通常在定义防火墙安全策略时，大多数服务已经识别并内置，因此无需额外添加，但也有很多企业自有开发程序使用特殊端口需要自行定义，下面介绍如何自定义服务，如下图所示，点击第二个模块标签，即S ervices，已经预定义多种类型服务，用户根据需要自定义新的服务类型，下面举例定义T CP 类型服务，右键点击“TCP”，选择“New TCP如下图，可以点以单个TCP服务端口服务对象，如果是一段端口，可以定义端口范围以上举例新建T CP 协议的端口服务，如需定义U DP 协议或其他协议类型按照同样流程操作即可。
CheckPoint防火墙配置
中国移动通信CHINA MOBILECheckPo int 防火墙配置Specificati on for CheckPo int FireWailCo nf i g u r a中国移n动通版信有限公司网络部n2 .Mo bileXXXX - XX - XX 发布XXXX - XX - XX 实施11.2内部适用性说明1 概述2 CHECKPOIN 防火墙设备配置要求 (7)冃U 言概述1.1适用范围本规范适用于中国移动通信网、业务系统和支撑系统的CHECKPOIN 防火墙设备。
本规范明确了设备的基本配置要求， 为在设备入网测试、工程验收和设备 运行维护环节明确相关配置要求提供指南。
本规范可作为编制设备入网测试规 范，工程验收手册，局数据模板等文档的参考本规范是依据《中国移动防火墙配置规范》中配置类规范要求的基础上提出目录1677的CHECKPOIN防火墙配置要求规范，为便于比较，特作以下逐一比较及说明（在2 2.2内部适用性说明数超过6次（不含6次），锁定 持“采纳意见”部分对应为“完全采纳”、“部分采纳”、“增强要求”、“新增要求”、 “不采纳”。
在“补充说明”部分，对于增强要求的情况，说明在本规范的相应 条款中描述了增强的要求。
对于“不采纳”的情况，说明采纳的原因）。
内容采纳意见备注1.不同等级管理员分配不同账完全采纳号，避免账号混用。
2.应删除或锁定与设备运行、维完全采纳护等工作无关的账号。
3.防火墙管理员账号口令长度至完全采纳少8位，并包括数字、小写字母、大与子母和特殊符号4类中至少2类。
4.账户口令的生存期不长于90部分采纳IPSO 操作系统支天。
持5.应配置设备，使用户不能重复部分采纳IPSO 操作系统支使用最近5次（含5次）内已持使用的口令。
该用户使用的账号。
6.应配置当用户连续认证失败次部分采纳IPSO 操作系统支7. 在设备权限配置能力内，根据用户的管理等级，配置其所需的最小管理权限。
CheckPoint防火墙配置
C h e c k P o i n t防火墙配置S p e c i f i c a t i o n f o r C h e c k P o i n t F i r e W a l lC o n f i g u r a t i o n U s e d i n C h i n a M o b i l e版本号：１.０.０╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信有限公司网络部目录1概述 (2)1.1适用范围 (2)1.2内部适用性说明 (2)1.3外部引用说明 (4)1.4术语和定义 (4)1.5符号和缩略语 (4)2CHECKPOINT防火墙设备配置要求 (5)前言概述1.1 适用范围本规范适用于中国移动通信网、业务系统和支撑系统的CHECKPOINT防火墙设备。
本规范明确了设备的基本配置要求，为在设备入网测试、工程验收和设备运行维护环节明确相关配置要求提供指南。
本规范可作为编制设备入网测试规范，工程验收手册，局数据模板等文档的参考1.2内部适用性说明本规范是依据《中国移动防火墙配置规范》中配置类规范要求的基础上提出的CHECKPOINT防火墙配置要求规范，为便于比较，特作以下逐一比较及说明（在“采纳意见”部分对应为“完全采纳”、“部分采纳”、“增强要求”、“新增要求”、“不采纳”。
在“补充说明”部分，对于增强要求的情况，说明在本规范的相应条款中描述了增强的要求。
对于“不采纳”的情况，说明采纳的原因）。
内容采纳意见备注1.不同等级管理员分配不同账号，避完全采纳免账号混用。
完全采纳2.应删除或锁定与设备运行、维护等工作无关的账号。
完全采纳3.防火墙管理员账号口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
4.账户口令的生存期不长于90天。
部分采纳IPSO操作系统支持5.应配置设备，使用户不能重复使用部分采纳IPSO操作系统支持最近5次（含5次）内已使用的口令。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防火墙基本操作及应急措施陈世雄安全工程师
CCSE
议程
▪智能边界安全解决方案▪CheckPoint 配置基础▪常见问题及应急措施
Check Point 简介
▪最受信赖、最可依靠的互联网安全厂商
–我们致力发展安全领域——并且比任何厂商更优秀!
–全球财富100企业中，100%企业使用我们的产品
–在防火墙和虚拟专用网络（VPN）市场中占有领导
地位
•在全球 VPN/防火墙软件市场销售额中占70%份额
（Infonetics提供数据）
•VPN/防火墙软件市场占有率超过 54% （IDC提供数据）
•安全硬件设备市场份额中有 36% 为 Check Point 产品（由
Infonetics 提供）
▪以客为本的企业原则
–业界领先的技术合作伙伴关系
–强大且广泛的渠道合作伙伴关系
状态检测 /
FireWall-1
1993
OPSEC 1997 VPN-1
1998
Next Generation
2001 SmartDefense
2002 应用智能
2003 Check Point:
一直走在客户现实需求的前面
创新历程
1994 1995 1996
1999 2000
Web 智能
2004
我们的策略
2004上半年提供!
▪ 安全远程访问 ▪ Web 服务器保护
▪ 统一认证 ▪ 一致性策略管理
▪ 市场领先
▪ 十年的成功史 ▪ 最新发布
- InterSpect 2.0 - Connectra 2.0 - Intergrity 6.0
▪ Check Point InterSpect ▪ Zone Labs
SMART 管理
无忧保护
边界
深入检查
智能 安全解决方案
智能边界安全解决方案
边界安全挑战
边界的安全
•攻击保护
•分支机构之间的安全联接
•远程员工的安全访问•能够控制的Internet 访问攻击保护
必须能针对网络层和应用层的攻击必须能防范已知的和未知的攻击
分支机构之间的安全联接
高效地管理
应用策略的一致性
大规模地VPN部署
远程员工的安全访问
容易部署和配置
客户端保护（即使不在办公室）
能够控制Internet访问
灵活地认证
对新应用的支持
PERIMETER
防火墙的基本功能
▪访问控制
▪认证（可采用OPSEC智能卡：用来存储证书或用户名及密码）
▪地址转换（多对一和一对一方式）
Example FireWall-1 Security Policy
▪内容的安全保护
▪QoS带宽管理
多层安全网关
PERIMETER
同时集成网络和应用层的功能
提供全面的攻击防护和网络安全
控制对Internet 网络资源的访问
RPC
P2P
ICMP
DNS
CIFS H.323 SIP
SOAP IPSEC MGCP
GTP TCP 序列 PERIMETER
BitTorrent
Skype
重要的应用暴露
Web 服务器
邮件服务器
FTP 服务器
VoIP 网关
DNS
Peer-to-Peer
黑客
•拒绝为合法用户服务 ( DoS 攻击) •获取管理员权限访问服务器或客户端 •访问后台数据库
•安装木马软件以避开安全检查
•
在服务器上安装 “嗅探” 软件以捕获用户名/口令
黑客目标
因特网
安全策略通常 “允许”这些通信
Microsoft 网络
PERIMETER
应用智能
Application Intelligence 是一组高级功能
– 被集成于Check Point FireWall-1 NG 和 SmartDefense 中 – 检测和避免应用层的攻击
验证是否遵循标准 ✓ 验证协议是否符合预期用法
✓ 阻止可疑数据 ✓ 控制应用的有害操作
✓
PERIMETER
CIFS 支持
–需求: 支持 Microsoft 环境
–通常的解释: “安全的访问共享驱动器”
–好处
•安全: 你的用户可能使用Microsoft网络（很大的安
全漏洞），而没有你的知识。
现在，你可以保护他
们！
•生产力: 提供对内部共享驱动器的安全互联网访问，
朝着真正的办公室—家庭的工作模式迈进了一大步
•整体拥有成本（TCO）: 很少的用户需要笔记本电
脑，因为他们可以通过他们的家用PC访问办公室的
文件
•控制: 管理用户访问共享文件和打印资源
Peer-to-Peer 应用–需求: 保护新的 P2P 应用，如 Kazaa, 即时通
信等等
–好处
•安全: 这些应用是一个
很大的安全隐患，现在
我们可以保护它们
•控制: 允许你想要的服
务的使用 (Web
browsing), 拒绝你不想
要的 (P2P)
攻击防护
的集中控制
从日志中
得到攻击的证据
实时
攻击信息响应，警告和配置跟踪
攻击防护— SmartDefense PERIMETER
“无忧”保护获得最大安心
无忧保护▪防护各种已知和未知的攻击，让您安心▪不仅针对网络层攻击，而且更需要防护应用层攻击
VPN解决方案—边界数据私密性传输
▪利用Internet安全连接多个分支机构
▪减少对frame relay 和租用线路的依靠
公司总部站点
Internet
分支机构站点
PERIMETER
远程访问 VPNs
▪提供通过Internet 访问公司网络内部资源的方法 ▪降低了长途、大型Modem Pool 和技术支持的费用
▪VPN-1 SecureClient 提供桌面安全配置和基于策略的访问控制
公司总部站点
Internet
远程或移动用户 提供个人防火墙保护
PERIMETER
Check Point VPN-1 网关部署场景
互联网公司总部
VPN-1 Pro和
SmartCenter或
Provider-1
VPN-1 Edge
VPN-1 Express
中型地区场点
远程场点
主和备VPN-1 Edge
PERIMETER
保护边界的安全解决方案
挑战:
•Check Point Enterprise
-边界VPN/安全解决方案，保护企业网络和应用以及远程联接
▪Check Point SmartDefense
-业界唯一的主动攻击保护解决方案，针对已知的和未知的网络层和应用层攻击
▪Check Point Express
-专为中型企业定制的解决方案。
强健的安全、远程的访问及中央基于策略的管理
•VPN-1 Edge
-针对远程分支机构的安全联接，专为大规模VPN 分支部署而设计 •Safe@Office
-专为小型企业定制的成本高效的安全专用设备 ▪SecureClient
- 中央管理的VPN 客户端及个人防火墙解决方案
• 攻击保护
•网络层和应用层保护 •抵御已知的和未知的攻击
• 分支机构之间安全联接
•高效管理
• 应用策略的一致性 • 大规模VPN 部署
• 远程员工安全访问
• 容易部署和配置
• 客户端保护 – 即使不在办公室
• 能够控制的Internet 访问
•灵活地认证
•对新应用的支持
Check Point 解决方案:
PERIMETER
CheckPoint 配置基础
登陆防火墙
SmartDashboard 界面
配置防火墙属性
配置防火墙属性配置网卡
配置防火墙属性配置日志
新建防火墙模块
新建防火墙模块输入名称、IP，建立SIC安全通信
至少建两个防火墙模块后，建防火墙集群
建防火墙集群把防火墙加入到集群中
建防火墙集群
建防火墙集群
建防火墙集群集群工作方式，是HA，还是Load Sharing
建防火墙集群建同步网络，使多台防火墙之间同步状态信息
建防火墙集群编辑集群网卡
建防火墙集群集群网卡Anti-Spoofing配置
建防火墙集群日志设定
建主机对象
建主机对象对主机做静态NAT
建网络对象
建网络对象对网络对象做动态NAT
添加安全规则
安装安全规则
使用SmartView Tracker
使用SmartView Status
使用SmartUpdate
常见问题及应急措施
典型故障现象一：
防火墙性能变慢，内网客户端访问外网速率降低
可能故障原因：
1）网络线路原因
2）防火墙负载过重或并发连接数过大
3）防火墙或内网可能受到攻击
解决方案
▪查明网络可能出现
的故障，例如：路
由调整；线路干扰；
端口大量发送不正
常广播包等等
▪通过防火墙GUI界
面—系统状态查看
器（SmartView
Status）系统资源占
用情况：
解决方案（续） 如果发现防火墙核心内存太少，以至于不
能支撑更多的用户会
话。
防火墙核心缺省
配置为支持25000个
并发连接数，如果需
要支持更大的并发连
接数，请调整以下并
发连接数、相应占用
内存大小及防火墙状
态连接表大小参数。