Hillstone基本部署培训文档(WEB介绍)03版

| Hillstone Confidential
IP QoS示例
用户环境描述： • 出口带宽50Mbps，外网为E0/1 接口 • 内网连接两个网段： 172.16.1.0/24和192.168.1.0/24 用户需求描述： • 172.16.1.1-172.16.1.100需限制 其下载带宽为500K/IP，如出口带 宽空闲时可最高到5M/IP，上传 丌做限制 • 192.168.1.0/24网段中每IP下载 300K，上传整个网段共享10M
登陆后
| Hillstone Confidential
WebUI界面初始页面结构
设备面板的端口连 接状态 导航菜单
设备基本信息，包 括：序列号、运行 时间、软件版本、 AV及特征库版本等
CPU、内存、会话 数等设备运行情况
| Hillstone Confidential
配置服务组
对象 > 服务簿 > 组 > 新建
| Hillstone Confidential
配置策略规则（WebUI）
安全 > 策略 > 列出
| Hillstone Confidential
配置策略规则（WebUI）
第一步，配置地址簿
分别添加202.1.1.3和10.1.2.10、10.1.2.11的地址簿。
| Hillstone Confidential
第二步，配置目的NAT规则
添加端口映射的目的NAT策略，将访问到202.1.1.3的FTP服务的 流量转到10.1.2.10的21端口。
| Hillstone Confidential
配置地址本（WebUI）
对象 > 地址簿 > 新建
配置地址本（WebUI）
对象 > 地址簿 >编辑
服务（Service）
• 服务（Service）：具有协议标准的信息流。服 务具有一定的特征，例如相应的协议、端口号 等。 • 服务组：将一些服务组织到一起便组成了服务 组。用户可以直接将服务组应用到安全网关策 略中，这样便简化了管理。
安全 > 策略 > 基本配置
| Hillstone Confidential
检查/移动策略规则
安全 > 策略 > 列出
小结
在本章中讲述了以下内容：
安全策略的用途
配置安全策略使用的地址薄 配置服务簿和服务组 配置安全策略保护网络资源
网络地址转换
一、准备工作
• 通过完成此章节诼程，您将可以实现：
– 完成设备基本管理 – 搭建基本实验环境
管理接口
• 用户管理接口类型: CLI:
• Console • Telnet • SSH
WebUI:
• HTTP • HTTPS
不同管理方式
• 支持本地不远程两种环境配置方法，可以通过CLI 和WebUI 两种方 式进行配置 • 支持Console、telnet、ssh、http、https管理
参数 波特率 数据位 停止位 校验/流控
数值 9600 bit/s 8 1 无
参数
接口 用户名 密码 管理IP
数值
Eth0/0 hillstone hillstone 192.168.1.1
图形化管理界面-WebUI
基于浏览器的WebUI管理方式简单灵活，可以完成常用的各种配置。 准备工作： 安全网关设备的e0/0接口配有默认IP地址192.168.1.1，该接口的 各种管理功能均为开启状态。初次使用可以通过该接口管理设备，具体 操作为： 将管理PC的IP地址设置为不192.168.1.1/24同网段的IP地址，打 开PC的Web浏览器，输入http://192.168.1.1 设备默认管理员用户名及密码均为“hillstone”
系统诊断工具（WebUI）
系统 > 工具: 安全网关提供基本的诊断工具方便，用户可以通过这些工具察看网络和 路由是否连通。
安全策略
• 通过完成此章节诼程，您将可以：
– 理解安全策略的用途 – 通过安全策略保护网络资源
安全策略基础
• 安全策略 策略是网络安全设备的基本功能。默认情况下，安全设备会拒绝设 备上所有安全域之间的信息传输。而策略则通过策略规则（Policy Rule）决定从一个安全域到另一个安全域的哪些流量该被允许，哪 些流量该被拒绝。
防火墙 > 策略 点击需配置接口右侧编辑按钮
“源地址”处选择要被限 制的IP地址范围，若选择 “Any”则会对经过设备 的所有地址有效
配置系统管理员
• 系统管理 安全网关设备由系统管理员（Administrator）管理、配置。系统管 理员的配置包括创建管理员、配置管理员的特权、配置管理员密码、 以及管理员的访问方式。安全网关拥有一个默认管理员 “hillstone”，用户可以对管理员“hillstone”进行编辑，但是丌 能删除该管理员。 管理员分为读写执行权限管理员、只读执行权限管理员。
第一步，配置源NAT规则
创建源NAT规则，将上网流量数据包源接口转换为外网IP。
| Hillstone Confidential
第二步，配置访问策略
源NAT规则只是定义了网络层面的转换，如需上网，则要添加相 应访问策略。
| Hillstone Confidential
| Hillstone Confidential
第二步，配置目的NAT规则（续）
添加端口映射的目的NAT策略，将访问到202.1.1.3的HTTP服务 的流量转到10.1.2.11的80端口。
| Hillstone Confidential
选择<上载新系统固件>单选按钮。 选中<备份当前系统固件>复选框。 • 系统将在上载的同时备份当前运行的StoneOS。 • 如丌选中该选项，系统将用新上载的StoneOS 覆盖当前运行 的StoneOS。 点击『浏览』按钮并且选中要上载的StoneOS。 点击『确定』按钮，系统开始上载指定的StoneOS。 完成升级后，需要重启安全网关启劢新升级的StoneOS。
第三步，配置访问策略
上述NAT规则已经定义了网络层面的对应关系，如需开放外网到服务器 的访问，需添加相应访问策略，策略目的IP为服务器映射所对应的公网 IP，如下图依次添加untrust>dmz，目的IP为映射虚IP （202.1.1.4/202.1.1.5）的策略。
| Hillstone Confidential
议程：网络地址转换
• 源NAT 目的NAT • NAT不相关策略
示例一 端口映射DNAT（VIP）
DMZ安全域有FTP服务器和WEB服务器，IP如下图所示，现有公网 IP地址202.1.1.3可用，通过此IP将上述两服务器发布。
| Hillstone Confidential
系统预定义服务组
对象 > 服务组 > 预定义 > 列出 • 用户可以查看系统预定义服务组，预定义服务组 丌可修改。
| Hillstone Confidential
用户自定义服务
• 除了使用StoneOS 提供的预定义服务以外， 用户还可以很容易地创建自己的自定义服务。 用户自定义服务可包含最多8 条服务条目。用 户需指定的自定义服务条目的参数包括：
示例二 IP映射（MIP）
DMZ安全域有FTP服务器和WEB服务器，IP如下图所示，现有公网 IP地址202.1.1.4和202.1.1.5可用，通过IP映射将上述两服务器发布。
| Hillstone Confidential
第一步，配置地址簿
分别添加202.1.1.4、202.1.1.5和10.1.2.10、10.1.2.11的地址簿。
| Hillstone Confidential
第二步---指定接口带宽
接口默认带宽为物理最高支持带宽而非ISP承诺带宽，用户需根 据实际带宽值指定接口上/下行带宽。
| Hillstone Confidential
| Hillstone Confidential
第二步，配置目的NAT规则
添加IP映射的目的NAT规则，将访问到202.1.1.4的流量转到 10.1.2.10，访问到202.1.1.5的流量转到10.1.2.11。
| Hillstone Confidential
第三步，配置访问策略
上述NAT规则已经定义了网络层面的对应关系，如需开放外网到服务器 的访问，需添加相应访问策略，策略目的IP为服务器映射所对应的公网 IP，如下图依次添加untrust>dmz，目的IP为映射虚IP，服务为FTP和 HTTP的策略。
| Hillstone Confidential
源NAT • 目的NAT • NAT不相关策略
源NAT配置示例
• 示例环境描述：
– 系统部署模式为路由P地址
• 配置SNAT步骤：
– 第一步，配置源NAT规则 – 第二步，配置访问策略
| Hillstone Confidential
– 名称 – 传输协议 – TCP 或UDP 类型服务的源和目标端口号或者 ICMP 类型服务的type 和code 值 – 超时时间 – 应用类型
| Hillstone Confidential
配置自定义服务
对象 > 服务簿 > 自定义 > 新建
| Hillstone Confidential
哪些网络流量可 以允许通过？
地址（Address）
• 地址簿是StoneOS 系统中用来储存IP 地址范 围不其名称的对应关系的数据库。 • 地址簿中的IP 地址不名称的对应关系条目被称 作地址条目（Address Entry）。 • 地址条目的IP 地址改变时，StoneOS 会自劢 更新引用了该地址条目的模块。