联想网御防火墙使用手册
资产
资产
风险
威胁
漏洞
基本的风险
RRIISKSK
风R险ISK
威胁 漏洞
采取措施后剩余的风险
什么是防火墙？
➢ 定义：防火墙（Firewall）是一种用来加强网络之间访问 控制的特殊网络互连设备，是一种非常有效的网络安全模 型。
➢ 核心思想：在不安全的网络环境中构造一个相对安全的子 网环境。
➢ 目的：都是为了在被保护的内部网与不安全的非信任网络 之间设立唯一的通道，以按照事先制定的策略控制信息的 流入和流出，监督和控制使用者的操作。
联想网御Power V防火墙 技术培训
1
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
2
什么是防火墙？
安全域的概念
什么是防火墙？
什么是防火墙？
访问控制，过滤未经许可的通信流量
未经许可的流量
合法的流量
风险管理：---就是为了把网络的安全风险降到可接受的程度
电信
GE 0/1/1 IP add 211.10.0.1/24
GE 0/1/0 IP add 6.0.0.1/24 IP add 6.0.0.2/24
Default gateway : 6.0.0.1
用户 IP:1.2.x.x/16 Gw:1.2.2.1
IP:2.2.x.x Gw:2.2.2.3
用户
dport port-range 21 21 • interface Ge0/1/0 • ip address 6.0.0.1 24 • interface Ge0/1/1 • ip address 211.10.0.1 24 • pcp net_1 source-ip net 1.2.0.0 255.255.0.0 • pcp net_2 source-ip net 2.2.0.0 255.255.0.0 • pcp dnat-jl-ftp destination-ip net 211.10.0.1
FlowOpt产品的主要功能 透明模式和路由模式 流量可视 基于管道的带宽管理 应用识别 抗DDOS攻击功能 内容过滤功能 其他基础网络功能 一级菜单 PCP 基本服务对象 服务对象组 时间对象
2020/2/28 page 33
主要功能 ------基本服务对象
透明模式和路由模式
流量可视
基于管道的带宽管理
应用识别
抗DDOS攻击功能
内容过滤功能
其他基础网络功能
一级菜单
PCP
基本服务对象
服务对象组
时间对象
2020/2/28 page 35
典型应用方案二 详细配置
• 设备一： • object service tcp sport port-range 1 65535
部署位置－网络内部区域防护
网络内部区域防护，即多安全域防护。
internet
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
16
防火墙配置案例
• 准备工作-登录防火墙 • 配置前的信息收集 • 网御防火墙的配置顺序 • 防火墙路由模式接入案例 • 防火墙策略注意事项
9
数据包
协议
数据包连接状态
• 通过netstat –na命令来查看本机的连接
工作模式-透明模式
internet
防火墙透明接入，相当于交换 机，防火墙接口不需要配置ip 地址，同时不用更改周边设备 的路由等信息
工作模式-路由模式
internet
防火墙做内部网络的网关
部署位置－网络边界防护
internet
Байду номын сангаас
准备工作 登录防火墙
准备工作
• 配置管理主机的ip地址 • 连接连接主机和防火墙 • 登录防火墙
准备工作-本机配置
• 主要是配置主机的IP地址为 10.1.5.200/255.255.255.0
准备工作-连接防火墙
FE1IP地址：10.1.5.254 网卡IP地址：10.1.5.200
登录防火墙
引用的原则。 • 配置策略-从上到下依次执行，第一优先匹
配的原则。
案例 防火墙路由模式接入网络
案例二：路由模式
路由模式—概述
路由模式的防火墙多部署于网络边界 连接多个不同网络
NAT基本配置
NAT配置步骤：
定义被 添加报 配置 引用的 文待匹 pcp对
地址资 配的包 应的 源（可 分类 NAT策 选） （PCP） 略
FlowOpt产品的主要功能
透明模式和路由模式
流量可视
基于管道的带宽管理
应用识别
抗DDOS攻击功能
内容过滤功能
其他基础网络功能
一级菜单
PCP
基本服务对象
服务对象组
时间对象
2020/2/28 page 34
主要功能 ------服务对象组
FlowOpt产品的主要功能
查看是 否生效
（会话 表）
SUPER V 典型应用方案
• SUPER V网络出口应用
1：SNAT+DNAT典型应用: A：内网用户通过SNAT+地址池
访问Internet B：外网用户通过DNAT访问内网
的服务器
NAT池： IP add 211.10.0.2/24 211.10.0.3/24-211.10.0.254/24
30
接口 IP地址
网络接口配置
•在一个接口上可以配置多个地址 •应用于HA和VRRP的地址较特别
•在HA一节中详细讲解
静态路由的配置
配置 静态 路由
•标记为不可达路由和黑洞路由的流量都 会被丢弃，对不可达的流量将返回ICMP •对于多出口不路可由达后差，错将消根息据所配置的权
值决定流量的分担
主要功能 ------PCP
什么是防火墙？
防火墙能做什么
保障授权合法用户的通信与访问 禁止未经授权的非法通信与访问 记录经过防火墙的通信活动
防火墙不能做什么
不能控制不经防火墙的通信与访问 不能防范来自网络内部的攻击 不能主动防范新的安全威胁
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
• 打开IE浏览器输入 • 按照提示选择证书，登录完成。 • 输入用户名和密码。
配置前的信息收集工作
配置前的信息收集工作
• 查看网络环境（防火墙及周边路由器、交 换机和服务器的IP、路由状况等）
• 搞清楚应用需求（协议、服务和端口） • 制定合适的安全策略
网御防火墙配置顺序
配置步骤
• 配置接口 • 配置路由或默认路由 • 定义资源-基于对象的概念，遵循先定义后
联想网御强五防火墙联想网御防火墙日常维护手册V2
联想网御防火墙日常维护手册1、电子钥匙无法使用，提示没有安装驱动?故障分析：如果使用电子钥匙管理防火墙电子钥匙插到管理计算机前，必须要在该机安装驱动程序，驱动程序在防火墙的随机光盘里根目录/Ikey Driver。
解决方案:先拔下电子钥匙，安装电子钥匙驱动，然后插入钥匙（目前为止电子钥匙驱动程序支持32位XP和2000server、2003server的操作系统），之后打开认证程序/administrator目录下ikeyc.exe。
认证通过后程序会弹出提示。
2、电子钥匙PIN码错误？故障分析：由于电子钥匙属安全认证设备，密码连续错误输入13次将被锁死，返厂也无法修复。
解决方案: 密码连续输错几次后，请拔下电子钥匙，回忆密码然后重新输入，并且咨询联想网御售后人员。
请勿试图暴力破解防火墙电子钥匙pin码。
3、连接防火墙失败,请检查IP地址和端口号是否正确？故障分析：连接防火墙失败，一般会有如下三种原因a) 电子钥匙认证程序上防火墙IP输入不正确b) 电子钥匙认证程序上端口号被修改，电子钥匙上默认的端口号为9999，此端口为电子钥匙与防火墙连接端口，一定不要与页面登陆8888端口混淆c) 防火墙的管理主机IP设置不正确解决方案：a)联想网御防火墙FE1口默认IP为:10.1.5.254,如此地址改变，电子钥匙认证程序上的防火墙IP也要做相应修改。
b）修改电子钥匙认证程序端口为默认9999c）修改防火墙上管理主机IP与管理电脑的IP一致，防火墙默认的管理主机IP10.1.5.2004、认证失败!错误的用户名/密码故障分析：联想网御防火墙与电子钥匙是一一对应的，具体是通过防火墙的ID号来识别，如果使用了非对应的电子钥匙则会提示用户名/密码错误。
解决方案：保证防火墙和电子钥匙的一一对应，通过在防火墙串口命令行输入system show查看防火墙ID与电子钥匙读出的ID是否一致，如不一致寻找和防火墙配对的电子钥匙进行测试。
联想网御防火墙Power V Web界面操作手册
联想网御防火墙IP,端口映射配置
联想网御防火墙IP、端口映射配置一、认证登录1.1 启用管理员认证程序,并输入“用户PIN值”点击确定。
(出厂默认为12345678)2.1 出现认证程序界面后点击连接。
待出现认证通过的提示后，指示灯会变为绿色。
3.1 在IE浏览器地址栏中输入3.2会出现如下图的登录界面。
在默认没有设置过的情况后口令与用户名相同都是aministrator.二、基本配置1(网络配置)2.1 先在菜单中选中“网络配置-网络设备”2.2 按照本文档开始时的注意事项中的拓扑图，划fe2口为外网接口。
(10.1.5.254已经由防火墙默认) 点击fe2行最后的操作栏图标后弹出如下界面。
2.3 在上图中，主要需要配置的是网络接口的IP地址。
在IP地址输入1.1.1.1、在掩码输入对应的掩码。
这里输入255.255.255.0。
跟据需要选择其他选项(用于管理、允许PING、允许Traceroute) 然后选中“是否启用”点击确定后。
网络设备的界面中fe2的设备会显示已经启用。
三、基本配置2(资源定义)3.1 添加服务器地址在资源定义->地址->服务器地址中进行设定。
3.2 名称可以随意。
请注意，必须使用字母开头，并且暂时不支持中文。
在标识为1的行中输入服务器的内网IP即可。
备注是对服务器的说明，可以随意。
3.3 对需要对外发布的服务做定义。
如果是使用常见服务比如HTTP、FTP等服务，防火墙有预定义服务，就不需再做定义。
如果是不经常使用到的服务，就需要添加“基本服务”3.4 同样，服务的名称不能使用中文，并且不能使用数字开头。
在设置中需要注意的是一般情况下，我们只控制目的端口。
举例端口为80时，则在“目的端口”一列的低和高都填入80。
在协议类型中主要是选择TCP或是UDP。
四、策略配置4.1(A) 端口应射规则(和IP映射规则二选一) 规则名及序号为系统自动生成，建议不要更改。
“公开地址”一栏选择在第一部份中配置给fe2口的外网IP1.1.1.1 。
联想网御防火墙使用手册
资产
资产
风险
威胁
漏洞
基本的风险
RRIISKSK
风R险ISK
威胁 漏洞
采取措施后剩余的风险
什么是防火墙？
➢ 定义：防火墙（Firewall）是一种用来加强网络之间访问 控制的特殊网络互连设备，是一种非常有效的网络安全模 型。
➢ 核心思想：在不安全的网络环境中构造一个相对安全的子 网环境。
➢ 目的：都是为了在被保护的内部网与不安全的非信任网络 之间设立唯一的通道，以按照事先制定的策略控制信息的 流入和流出，监督和控制使用者的操作。
255.255.255.255 service-obj ftp • filter default accept • nat pcp net_1 snat interface g0/1/1 address-
pool out hash-mapping on • nat pcp dnat-jl- interface g0/1/1 address-
查看是 否生效
（会话 表）
SUPER V 典型应用方案
• SUPER V网络出口应用
1：SNAT+DNAT典型应用: A：内网用户通过SNAT+地址池
访问Internet B：外网用户通过DNAT访问内网
的服务器
NAT池： IP add 211.10.0.2/24 211.10.0.3/24-211.10.0.254/24
联想网御Power V防火墙 技术培训
1
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
2
什么是防火墙？
安全域的概念
什么是防火墙？
什么是防火墙？
联想网御防火墙PowerV-Web界面操作手册-3系统配置
第3章系统配置本章主要介绍防火墙的系统配置，由以下部分组成：日期时间，系统参数，系统更新，管理配置，联动，报告设置，入侵检测和产品许可证。
3.1 日期时间防火墙系统时间的准确性是非常重要的。
可以采取两种方式来同步防火墙的系统时钟1)与管理主机时间同步2)与网络时钟服务器同步（NTP协议）图3-1配置防火墙时间与管理主机时间同步1.调整管理主机时钟2.点击“时间同步”按钮与时钟服务器时间同步有两种方式1.立即同步2.周期性自动同步立即同步1.选中“启用时钟服务器”，输入“时钟同步服务器IP”2.点击“立即同步”按钮周期性自动同步1.选中“启用时钟服务器”，输入“时钟同步服务器IP”2.设定同步周期3.点击“确定”按钮系统参数注意事项：防火墙的很多操作依赖于系统时间，改变系统时间会对这些操作发生影响，比如更改时间后配置管理界面登录超时等。
3.2 系统参数系统参数设置防火墙名称和动态域名注册所使用的用户名、密码。
防火墙名称的最大长度是14个英文字符，不能有空格。
默认的防火墙名称是themis，用户可以自己修改这个名称。
动态域名注册所使用的用户名、密码的最大长度是31个英文字符，不能有空格。
动态域名的设置在网络配置>>网络设备的物理网络配置中。
图3-2系统参数配置图3.3 系统更新3.3.1 模块升级防火墙系统升级功能可以快速响应安全需求，保证防火墙功能与安全的快速升级。
图3-3导入升级文件模块升级界面包括以下功能1.模块升级2.导出升级历史3.检查最新升级包4.重启防火墙模块升级1.点击“浏览”按钮，选择管理主机上的升级包2.点击“升级”按钮点击“重启防火墙”按钮，重启防火墙完成升级导出升级历史点击“导出升级历史”按钮，导出升级历史做备份。
检查最新升级包管理员可以查看”系统当前软件版本”，点”检查最新升级包”，系统会弹出新的IE窗口并连接联想安全服务网站（防火墙可以连接Internet）。
联想网御防火墙PowerV Web界面操作手册_7资源定义
第7章资源定义为了简化防火墙安全规则的配置和维护工作，引入了资源定义。
联想网御防火墙系统可以定义以下资源：●地址：地址、地址组、NA T地址池、服务器地址●服务：服务、服务组●用户：用户、用户组●时间：时间、时间组、一次性调度和周循环调度●带宽：带宽●URL关键字●网页关键字●VLAN ID7.1 资源定义通用功能介绍对于各项资源，操作基本相同，通常提供如下操作：●分页显示●查找●排序●添加资源●编辑资源（修改）●删除资源还有一些需要注意的地方，适用于所有规则，比如：●名称的限制●备注的限制下面对这些共同的功能做一个介绍。
7.1.1 分页显示各列表界面均有“分页功能”，其工具条通常位于表格的下方，如下图所示：例如，点击“资源定义>>地址>>地址列表”，显示地址列表页面，就能看到上述工具条。
实际上，所有资源的列表页面都有该项功能。
具体如下：表7-1资源定义分页功能列表点击如果出现竖向滚动条，则点击7.1.2 查找为便于查找已经定义过的资源，各列表界面均提供了查找功能，通常位于标题和列表之间，靠右排列。
如下图所示：7.1.3 排序为便于查看比较资源，各列表界面均提供了排序功能。
具体如下：，蓝粗体（如）表示可以进行排序，黑通常按照字符串顺序进行排序（如、项，则按数字大小进行排序（如7.1.4 添加各项资源最重要的功能之一就是能够添加资源，按钮都排列在在各列表最下方的正中位置。
添加资源的操作步骤：1.在相应的资源列表页面中，点击，将弹出添加界面；2.给弹出界面的各域选择或者输入相应的值；3.点击，则成功添加本条规则后关闭本窗口；如果点击，则添加本条规则成功后刷新列表页码，本窗口不关闭，以便继续添加下一条。
点击后弹出界面中最下方通常有三个按钮，如图所示：7.1.5 编辑各项资源，不管是否被引用，均能随时修改。
名称不能改变，其余属性可以修改。
编辑资源的操作步骤：1．在相应的资源列表页面中，点击对应的编辑图标（如图：），将弹出编辑界面2．输入相应的值，或者指定相应的成员（对于各项资源，值的限制不同，在各资源中进行介绍，可参考具体资源的帮助或者手册）3．点击，修改成功后关闭本窗口。
网御星云(联想网御)PowerV防火墙 -OSPF配置实例资料
Power V 防火墙 OSPF 配置实例 (3.4.3.8
第 1页
第 2页
1.案例背景
Power V防火墙具有 OSPF 路由功能,并可以通过添加多个区域的方式与其他网络设备进行互联互通。
2.案例拓扑
3.配置步骤
3.1 FW1配置
1、网络接口配置,配置 fe3接口地址为 192.168.29.1,配置 fe4接口地址为10.0.2.246
2、策略配置,配置允许内网访问外网的包过滤规则。
3、 OSPF 路由配置
4.验证
以上操作之后就可以从防火墙上动态学习到路由器那边的路由, 在 OSPF 路由监控里可以看到学习到的路由。
第 3页
5.注意事项
在启动 OSPF 的时,如需修改网络配置,则须先停止 OSPF 功能。
防火墙如果有 4个以上的网口,则只有前 4个网口可以做 OSPF 接口。
防火墙做 HA 配置,主从墙切换后,从墙学习不到 OSPF 路由,要重新启动下OSPF 功能。
启动 OSPF ,一定不可以开启多播路由。
第 4页。
联想网御防火墙PowerVWeb界面操作手册_5策略配置
第5章策略配置本章是防火墙配置的重点。
符合安全规则的策略是保证防火墙真正起到“防火”作用的基础。
错误的安全规则不但有可能使得防火墙形同虚设，甚至有可能妨碍网络正常功能的使用。
5.1 安全选项安全选项提供防火墙可设置的一些全局安全策略，包括包过滤策略、抗攻击策略、IP/MAC 检查开关和是否允许除IP和ARP之外的其他二层协议通过。
这些参数对整个防火墙生效。
界面如下图所示：图 5-1 安全选项配置5.1.1 包过滤策略包过滤缺省允许策略：提供包过滤缺省策略的选项设置，选中为允许，不选为禁止。
包过滤缺省策略是当所有的用户添加的包过滤规则都没有被匹配时所使用的策略。
如果包过滤缺省策略是禁止，用户添加的包过滤规则应该是允许哪些连接可以通过；如果包过滤缺省策略是允许，用户添加的包过滤规则应该是禁止哪些连接不能通过。
严格的状态检测：选中为启用，不选为禁止。
仅针对TCP连接。
只有完成三次握手的TCP连接才创建状态，除此之外的任何TCP数据包都不创建状态。
启用严格的状态检测，是为了防止ACK扫描攻击。
因为如果没有严格的状态检测，那么如果收到ACK置位的包，防火墙就会创建相应的状态，使得此连接可以通过防火墙。
需要使用“策略配置>>安全规则>>包过滤规则”中的“长连接”属性，设置连接建立的时间时，就必须选中此项属性“策略配置>>安全规则>>包过滤规则”。
在某些特殊网络环境下，防火墙可能无法收到所有三次握手的数据包，此时就不能选中严格的状态检测。
包过滤策略中还包括两项高级设置：图 5-2 安全选项高级设置规则配置立即生效：启用后为规则优先（缺省是状态优先）。
如果不启用，当一个连接在防火墙上的建立起来后，设置了与原有的规则相反的规则，则此时数据包仍能够根据建立的状态表通过防火墙；如果启用，则此时数据包根据设定的规则将无法通过防火墙。
重新设置规则可能会造成已有连接中断。
建议不启用。
联想网御防火墙PowerVWeb界面操作手册网络配置
是否允许TRACEROUTE设备的IP
是否启用
是否启用设备
图49别名设备列表
图410别名设备可配置的属性
4.1.6
冗余设备的目的是将两个物理设备做为一个虚拟的设备，这两个物理设备同一时间只有一个处于启用状态，如果处于启用状态的设备失效，则另一个设备启用。冗余设备可以工作在全冗余模式下，在全冗余模式下，加入冗余设备的两个物理设备的IP地址，掩码，MAC地址（如果冗余设备设置了MAC地址）都将使用冗余设备的IP地址，掩码和MAC地址。如果不是工作在全冗余模式，这两个设备使用它自己的参数。冗余设备默认不工作在全冗余模式下。
4.1.1
物理设备初始情况下工作在路由模式，也就是说该设备上绑定有IP地址，可以与其它设备进行数据包的路由转发。其中第一个物理设备（fe1或某些型号是ge1）是默认的可管理设备。它的默认IP地址是10.1.5.254，子网掩码为255.255.255.0，这个地址允许管理，PING和TRACEROUTE（默认管理主机的IP地址是10.1.5.200，请参考系统配置>>管理配置>>管理主机）。物理设备也可以切换到透明模式。当桥接设备当中只有一个桥设备brg0时，切换到透明模式的物理设备会自动加入到桥接设备brg0中；如果把物理设备从透明模式切换到路由模式，系统自动将这个设备从桥接设备的设备列表中删除。
链路工作模式
设备的链路工作模式，有以下三种
1：自适应
2：全双工
3：半双工
链路速度
设备的链路速度，有以下三种
1：10
2：100
3：1000
MTU
设备的MTU（最大传输单位）。百兆网络设备可设置的范围是68到1504，千兆网络设备可设置的范围是64到16128。
联想网御防火墙PowerV Web界面操作手册_8系统监控
第8章系统监控系统监控能够显示防火墙当时的工作状态，为防火墙管理员提供了功能强大的监控工具。
与联想网御集中管理软件共同使用，可以搭建全面的安全管理平台。
8.1 网络设备网络设备监控的是启用的物理设备收发包的情况，如图：图8-1网络设备监控图中的网络设备是当前有效的物理设备，状态图标表示设备处于启用状态，图标表示设备处于停止状态。
流量栏中显示了当前设备总发送和总接收的字节数。
点击“当前状态”可以查看设备更详细的信息，点击“统计图”可以查看设备收发数据的统计图示。
如果要查看设备一段时间内的监控信息，必须先启用设备监控服务，如下图：图标表示监控服务正在运行，图标表示监控服务已经停止。
点击“停止”按钮可以停止监控服务，点击“启动”按钮可以启动监控服务。
启动监控服务后，才可以在统计图中查看到统计数据；停止监控服务后，仍然可以查看当前设备收发数据的情况，但是无法查看历史数据。
如果要清除以前的统计数据，可以点击“清空数据文件”将之清除。
点击“当前状态”后，显示如下图所示的页面：图8-2网络设备当前状态页面中显示了设备的详细信息。
点击“统计图”后，显示如下图所示的页面：图8-3网络设备流量统计上图显示了设备“5分钟”，“30分钟”，“3小时”，“一天”之内的流量统计信息，每个设备都有自己的统计图。
流量的单位是兆字节，如果选择最近5分钟的数据，则系统每10秒钟记录一次流量信息，如果选择查看的时间较长，则系统记录流量信息的间隔也相应增大。
如果单位时间内流量一直小于1兆字节，则绘制的曲线会比较贴近横坐标，不很醒目。
8.2 HA状态如果启用了HA功能，则可以进行HA状态监控。
在主防火墙的监控界面上，可以监控集群内所有防火墙的HA状态。
包括：配置同步的情况，节点优先级，网口状态列表和探测周边设备状态列表。
如下图所示：图8-4显示HA状态点详细可看到该节点的详细信息，如下图图8-5HA状态详细显示其中主节点的“优先级”应为1，其余从节点的“优先级”依次为2，3，4（目前支持4个节点的HA工作模式）。