天融信-3.3版本防火墙高级功能配置手册
天融信版本防火墙常用功能配置手册v
天融信版本防火墙常用功能配置手册北京天融信南京分公司2008年5月目录一、前言我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。
二、天融信版本防火墙配置概述天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求。
在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。
1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。
2、防火墙接口IP配置3、区域和缺省访问权限配置4、防火墙管理权限配置5、路由表配置6、定义对象（地址对象、服务对象、时间对象）7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换）8、制定访问控制策略9、其他特殊应用配置10、配置保存11、配置文件备份☺提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络长时间中断。
三、天融信防火墙一些基本概念接口：和防火墙的物理端口一一对应，如Eth0、Eth1 等。
区域：可以把区域看作是一段具有相似安全属性的网络空间。
在区域的划分上，防火墙的区域和接口并不是一一对应的，也就是说一个区域可以包括多个接口。
在安装防火墙前，首先要对整个受控网络进行分析，并根据网络设备，如主机、服务器等所需要的安全保护等级来划分区域。
对象:防火墙大多数的功能配置都是基于对象的。
如访问控制策略、地址转换策略、服务器负载均衡策略、认证管理等。
可以说，定义各种类型的对象是管理员在对防火墙进行配置前首先要做的工作之一。
对象概念的使用大大简化了管理员对防火墙的管理工作。
当某个对象的属性发生变化时，管理员只需要修改对象本身的属性即可，而无需修改所有涉及到这个对象的策略或规则。
天融信版本防火墙常用功能配置手册v2
天融信版本防火墙常用功能配置手册北京天融信南京分公司2008年5月目录一、前言 (3)二、天融信版本防火墙配置概述 (3)三、天融信防火墙一些基本概念 (4)四、防火墙管理 (4)五、防火墙配置 (6)（1）防火墙路由模式案例配置 (6)1、防火墙接口IP地址配置 (7)2、区域和缺省访问权限配置 (8)3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (9)4、路由表配置 (10)5、定义对象（包括地址对象、服务对象、时间对象） (11)6、地址转换策略 (14)7、制定访问控制策略 (25)8、配置保存 (30)9、配置文件备份 (30)（2）防火墙透明模式案例配置 (31)1、防火墙接口IP配置 (32)2、区域和缺省访问权限配置 (34)3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (34)4、路由表配置 (35)5、定义对象（包括地址对象、服务对象、时间对象） (36)6、制定访问控制策略 (40)7、配置保存 (44)8、配置文件备份 (44)一、前言我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。
二、天融信版本防火墙配置概述天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求。
在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。
1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。
2、防火墙接口IP配置3、区域和缺省访问权限配置4、防火墙管理权限配置5、路由表配置6、定义对象（地址对象、服务对象、时间对象）7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换）8、制定访问控制策略9、其他特殊应用配置10、配置保存11、配置文件备份☺提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络长时间中断。
天融信防火墙配置手册
天融信防火墙配置指南一、对象与规则现在大多防火墙都采用了面向对象的设计。
针对对象的行为进行的快速识别处理，就是规则。
比如：甲想到A城市B地点。
由这个行为就可以制定一些规则进行约束，例如：1）用户身份识别，是不是甲用户（说明：在实际应用中，甲用户可能是一群人或所有的人）。
2）用户当前的目标是不是A城市，是不是B地点。
3）用户当前状态中是否符合规定，比如，是不是带了危险品什么的。
用户、城市、地点等等均可以看作为一个个的对象。
在防火墙中我们可以这样来比喻：用户-->访问者城市-->主机地点-->端口为了安全，我们就可以制定一个规则：如果用户甲或所有的人到达A城市B地点，并且没有携带任何危险品，就允许他或他们通过，否则就禁止通行。
翻译成防火墙的规则就是：如果访问者访问目标区域中的开放主机中的允许访问的端口，并且访问的过程中没有防火墙禁止的恶意行为，就允许通过。
二、路由功能与地址转换现在防火墙都集成了路由功能。
路由功能简单的说法就是告诉访问者怎么走，相当于引路。
比如：甲要到美国洛杉矶，甲城市的路由器就告诉甲，你应该先到上海，然后上海的路由器再告诉甲，该乘飞机到洛杉矶。
我们使用的互联网是基于TCP/IP协议的。
所有在网络上的主机都是有IP地址的，相当于在互联网上的用户身份，没有IP地址是无法进行网络访问的。
互联网中的主机中（包括访问者与被访问者）是不可能存在两个相同的IP的。
当前互联网中应用的大都是IPV4。
比如：我们姜堰教育城域网的IP是58.222.239.1到58.222.239.254。
由于当初的IP规划没想到后来会有这么多的计算机，所以发展到现在，IP 地址是非常紧缺的。
目前，已不可能为世界上的所有的计算机都分配一个IP地址，这就产生了源地址转换又称为源地址伪装技术（SNA T）。
比如A学校有100台计算机，但是只有一个互联网IP，上网的时候就将所有上网的计算机都伪装为这个唯一的互联网IP进行访问。
天融信防火墙安装配置手册
3.1 机房建筑要求 .......................................................................................................................8 3.2 机房室内环境要求 ...............................................................................................................9 3.3 供电要求.............................................................................................................................10 3.4 接地要求.............................................................................................................................10 3.5 其他配套设备 .....................................................................................................................10 3.6 工具仪表准备 .....................................................................................................................11 3.7 技术资料准备 .....................................................................................................................11
天融信防火墙双机热备配置说明
天融信防火墙双机热备配置说明一、防火墙的接口设置：ifconfig 'eth0' 10.1.3.4 255.255.255.0 内网接口//接内网交换机ifconfig 'eth4' 211.141.203.74 255.255.255.0 外网接口口//上接F5ifconfig 'eth5' 211.141.203.76 255.255.255.240 服务器区//接服务器区交换机ifconfig 'eth6' 192.168.1.250 255.255.255.0 防火墙同步接口//主备防火墙间同步接口互连二、按需配置好主防火墙三、配置双击热备过程：1、配置主防火墙的双机设置，并使之处于工作状态：system -n 'work' //给主防火墙取名为worksystem -i 0 //配置主防火墙的设备号为0system -h backup working 3 //配置主防火墙为双机热备方式并处于工作状态system ssp on //在主防火墙上打开状态同步协议2、在从防火墙上清空所有配置：restore config //恢复防火墙出厂默认值ifconfig eth6 off //清空防火墙所有接口地址（默认出厂只有eth6有地址）3、配置从防火墙的双机设置，并使之处于备用状态：system -n 'standby' //给从防火墙取名为standbysystem -i 1 //配置从防火墙的设备号为1system -h backup standby 3 //配置从防火墙为双机热备方式并处于备用状态system ssp on //在从防火墙上打开状态同步协议4、把主防火墙和从防火墙的所有接口按照要求接到相应的设备5、在主防火墙执行同步命令，将主防火墙的所有配置同步到从防火墙上：writep //同步命令。
天融信防火墙配置步骤
天融信防火墙配置步骤1. 登录天融信防火墙首先，需要通过浏览器访问天融信防火墙的管理地址，输入正确的用户名和密码进行登录。
2. 进入配置页面登录成功后，点击左侧导航栏中的“配置”，选择“网络”或“安全策略”，根据不同需求进行配置。
2.1 配置网络2.1.1 VLAN配置在天融信防火墙的“网络”界面中，选择“VLAN”进行配置。
首先需要新建一个VLAN，输入VLAN ID、VLAN名称等信息，并设置IP地址和子网掩码。
接下来，需要将新建的VLAN绑定到对应的物理接口上，以实现网络的隔离和控制。
2.1.2 VPN配置在天融信防火墙的“网络”界面中，选择“VPN”进行配置。
首先需要设置VPN基本信息，包括VPN名称、本地地址、远端地址等。
接下来，需要根据需要设置VPN的安全协议、身份验证方式等。
2.2 配置安全策略2.2.1 访问控制规则在天融信防火墙的“安全策略”界面中，选择“访问控制规则”进行配置。
首先需要添加新的规则，设置规则名称、源地址、目的地址、服务等信息，并设置允许或拒绝访问。
接下来，需要设置规则优先级、生效时间等。
2.2.2 NAT规则在天融信防火墙的“安全策略”界面中，选择“NAT规则”进行配置。
首先需要添加新的规则，设置规则名称、源地址、目的地址等信息，并设置源地址转换和目的地址转换。
接下来，需要设置规则优先级、生效时间等。
3. 保存配置并重启配置完成后，需要保存当前配置，并重启天融信防火墙以使配置生效。
重启后，可以通过检查网络、VPN、安全策略等功能是否正常来验证配置是否正确。
结论天融信防火墙作为一种重要的网络安全设备，需要进行正确的配置以保证网络的安全和可用性。
本文介绍了天融信防火墙的基本配置步骤，希望能够对读者有所帮助。
天融信防火墙TOS3.3介绍
虚拟防火墙
虚拟防火墙
• 支持基于接口进行虚拟系统划分 • 支持基于VLAN进行虚拟系统划分 • 支持虚拟系统间独立的PF控制 • 支持虚拟系统间独立的访问控制 • 支持虚拟系统间独立的NAT • 支持虚拟系统之间独立的路由选择 • 超级管理员可以增加和删除虚拟系统用户
病病毒毒文文件件通通过过VVPPNN设设 备备检检测测阻阻断断
其他协议FTP/ SMTP/ HTTP/ POP3/ IMAP也能如此。
可以精细地进行病毒查杀，有效提 高设备的病毒处理能力。
AV性能显著提高
AV模块的HTTP并发连接数提 高到15000条，相比于3.2版本的 1200提高了10倍，有效解决了AV存 在的性能问题。
该性能已经超过了NGFG以及同 档竞争产品。
CleanVPN
加密数据通道
Virus Code Red
检测引擎 加密引擎
病 设病 设毒 备毒 备文 检文 检件 测件 测通 阻通 阻过 断过 断VVPPNN
检测引擎 加密引擎
Code Red Virus
受保护网络
嵌入式内容检测引擎 各模块完全对等的安全域设计理念 采用一次性内容过滤检测技术 多合一特性和安全域完美统一
MSN、QQ、SKYPE应用与限制
• 全面支持msn,qq,skype即时通讯软 件其各种应用（包括文本聊天、音 频和视频聊天，文件传输）；当在 用户网络中部署防火墙后，这些应 用仍能正常使用
• 能够配置规则禁止或允许MSN、QQ和 skype的登录
AV与FW策略集成
AV策略集成到防火墙策略中，是否 进行病毒过滤作为防火墙策略的一部分； 如对来自于某个地址段访问HTTP服务的 数据流允许通过并且查毒。
• 由于我们的产品采用的无硬盘设计 （Netscreen /PIX也如此），因此对 手经常在招标中要求支持本地日志， 现在3.3版本可在一定程度上满足此类 需求；
天融信防火墙配置案例(带宽管理)
QoS（服务质量），是Quality of Service的缩写。
通过QoS管理，用户可以根据实际用户网络规划，方便、灵活地定制带宽策略，防止带宽滥用现象，并可以确保关键应用的带宽需求。
网络卫士防火墙的带宽策略采用了分层的带宽管理机制，用户可以通过设置细粒度的带宽规则来实现基于源和目的IP 地址（或地址段）、服务的带宽的集中管理。
同时，同层的带宽策略还可以根据业务需求，设置带宽策略的优先级，为关键业务流量优先分配带宽，从而合理、有效地为用户网络分配带宽资源。
图 12网络卫士防火墙分层带宽管理示意图图中的网络卫士防火墙工作在纯透明模式（即所有接口均工作在交换模式下，且属于同一个VLAN），只起到限制带宽的作用，不做任何访问策略配置。
网络卫士防火墙的初始配置不需要用户进行修改。
上传带宽管理基本需求子网1（10.200.51.0/24）向网段10.200.2.0/24上传数据，网络卫士防火墙为其分配7K （如果没有特殊说明单位均为字节/秒）的限制带宽，7K的保证带宽。
并对不同的应用设置不同的优先级控制以及带宽优化：¾ICMP为最高优先级，保证带宽为1K（最大限制带宽为7K）¾数据库为第二优先级，保证带宽为2K（最大限制带宽为7K）¾FTP为第三优先级，保证带宽为2K（最大限制带宽为7K）¾SMTP为最低优先级，保证带宽为1K（最大限制带宽为7K）配置要点带宽策略的设置包括以下方面：¾设置采用QoS的物理接口。
¾在接口下设置一到多个类及其子类。
¾在类下设置数据流的匹配规则。
WEBUI配置步骤1）设置采用QoS的物理接口。
选择网络管理 > 流量管理，在“带宽控制”页面点击“添加接口”，添加采用上传带宽配置策略的物理接口eth0。
接口的配置原则是以数据流流向为准，在数据流出网络卫士防火墙的物理接口上配置才能生效，本例中即eth0接口。
-天融信版本防火墙常用功能配置手册v2
-天融信版本防火墙常用功能配置手册v2天融信3.3版本防火墙常用功能配置手册北京天融信南京分公司2008年5月目录一、前言 (3)二、天融信3.3版本防火墙配置概述 (3)三、天融信防火墙一些基本概念 (4)四、防火墙管理 (4)五、防火墙配置 (6)（1）防火墙路由模式案例配置 (6)1、防火墙接口IP地址配置 (7)2、区域和缺省访问权限配置 (8)3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (9)4、路由表配置 (10)5、定义对象（包括地址对象、服务对象、时间对象） (11)6、地址转换策略 (14)7、制定访问控制策略 (26)8、配置保存 (31)9、配置文件备份 (31)（2）防火墙透明模式案例配置 (32)1、防火墙接口IP配置 (33)2、区域和缺省访问权限配置 (35)3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (35)4、路由表配置 (36)5、定义对象（包括地址对象、服务对象、时间对象） (37)6、制定访问控制策略 (41)7、配置保存 (46)8、配置文件备份 (46)一、前言我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。
二、天融信3.3版本防火墙配置概述天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求。
在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。
1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。
2、防火墙接口IP配置3、区域和缺省访问权限配置4、防火墙管理权限配置5、路由表配置6、定义对象（地址对象、服务对象、时间对象）7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换）8、制定访问控制策略9、其他特殊应用配置10、配置保存11、配置文件备份提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络长时间中断。
天融信防火墙配置
52
�”务服PTTH”择选务服 ,”址地实真器务服即��1.1.1.01�象对址地器务服 beW“择选的目 �”网外、网内“域区源择选源�”级高“击点�”源“择选 ”加添“ 击点�”制控问访“ � ”墙火防“在 。用应ptth器务服 问访能只�口端用应的布发外对的器务服问访以可网外义定则规条二第>2<
62
。�项选认默�”许允“作动
72
序顺有用作则规、1 。”置配限权问访省缺和域区、3“ 见参请置 设性属域区。文报该理处� �问访止禁或问访许允�性属省缺的域区在所口接的 目据根将墙火防信融天�略策问访的配匹可在存不果如。查检的性属省缺域区行 进再不�文报该理处�弃丢或许允�作操的定规所略策该照按则�则规的配匹到 找寻旦一。则规定设所中表则规制控问访配匹序顺将�后文报到收接墙火防。过 通 文 报 的 则规 制 控问 访 配 匹 止 禁或 许 允墙 火 防 信 融 天了 述 描则 规 制 控 问 访 �题问的意注要需则规问访 �
22
32
。�项选认默�”许允“作动 ,”级高“击点 , ”网 外“域区的目择选的目�”网内“域区源择选源�”级高“ 击点� ” 源“ 择选 ”加添“ 击点�”制控问访“ � ”墙火防“在 网外问访以可网内义定则规条一第>1< ”加添“ 击点�”制控问访“ � ”墙火防“在 略策制控问访定制、7
42
4
�下如图扑拓 网内问访止禁网外、3 问访他其止禁�用应 PTTH 器务服 BEW 问访以可仅网外、2 网联互问访以可机户客网内、1 �求需置配 。址地 PI 置配划规域区据 根要均口接个每的墙火防信融天�样一器由路和。况情的段网个一同在不都域区 个每于用适式模该。发转后然�址地 CAM 的口接应相为换替址地 CAM 源的包据 数的到收接将 �包据数发转器由路台一于似类墙火防信融天�下式模由路在
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
PPTP隧道举例如下远程客户端与防火墙建立PPTP VPN隧道，安全访问内网资源。
图例：远程用户通过PPTP隧道访问内网示意图本例中防火墙的Eth0口使用了私有IP：10.10.10.1/24,仅为示例，应用环境中，该接口IP应为用户可以访问的公网地址。
配置要点1、配置远程用户2、开放相关接口的PPTP服务3、配置PPTP服务4、配置PPTP客户端5、配置PPTP的访问控制WebUI配置步骤1）配置远程用户。
包括添加远程用户、启动内部basic认证服务器并设置用户角色。
a）选择用户认证>Basic认证，选择“用户列表”页签，点击“增加用户”添加类型为“远程用户”的新用户pptpuser。
该用户用于PPTP用户的身份认证。
b）防火墙作为认证服务器接受PPTP用户的认证请求，需要在防火墙上启动内部认证服务器（默认为停止状态）。
选择用户认证>Basic认证，并选择“Basic认证服务器”页签，点击“启动”按钮启动内置认证服务器。
c）将PPTP用户设置所属用户角色。
不属于任何用户角色的用户无法通过认证服务器的认证。
而且可以通过设置对用户角色的访问控制规则来实现对PPTP用户的访问控制。
选择用户认证>Basic认证，并选择“用户角色”页签，点击“添加”按钮，设置包含PPTP远程用户的用户角色。
点击“确定”，完成用户角色设置。
界面如下图所示。
2）开放Eth0口的PPTP服务。
a）选择资源管理>区域，设置区域intranet、dmz分别和属性eth0、eth1绑定，权限为允许访问。
b）选择系统管理>配置菜单，并选择“开放服务”页签，开放该区域的PPTP服务服务。
3）配置PPTP服务选择虚拟专网>PPTP菜单，在“PPTP设定”处设置PPTP服务属性，如下图。
需要注意的是：PPTP服务器的起始地址和结束地址必须和本地地址（服务器的虚拟IP）在同一个网段。
点击“启动”，成功后进入等待远程PPTP客户端的连接。
4）配置PPTP客户端（以windows2000为例）需要确认PPTP客户端可以访问防火墙的Eth0接口。
在控制面板中打开网络连接点击“创建一个新连接”，新建一个连接（VPN）。
选择网络连接类型为“连接到我的工作场所的网络”。
选择创建“虚拟专用网连接”。
输入为此VPN连接定义的名字（例如PPTP连接）。
如果在拨VPN之前需要拨公网，可以选择是拨VPN同时自动启动公网连接还是先连接公网以后，再进行VPN连接。
输入防火墙上开放PPTP服务的接口的IP地址，此例中为10.10.10.1，如上图所示。
点击“完成”完成设置，会出现该连接，右键修改其属性。
5）建立PPTP VPN隧道输入已在防火墙上设好的远程用户的用户名（pptpuser@basic）和密码，点击连接按钮。
连接成功后如下图。
6）设置内网资源对象。
选择资源管理>地址，并选择“主机”页签添加内网资源对象83.234。
7）对远程PPTP客户端作访问控制对于远程PPTP客户端的访问控制可以通过对PPTP区域的控制完成，也可以通过对包含PPTP远程用户的用户角色的访问控制来完成。
a）通过对PPTP区域的控制完成访问控制。
选择资源管理>区域，添加区域pptp_area并和pptp属性绑定，权限为默认权限“允许”。
pptp_area区域可以作为源或目的区域在访问控制规则中使用。
“PPTP”属性是PPTP的动态属性，不需要用户设置，用户只需要设置该属性绑定的区域即可。
选择防火墙>访问控制，点击“添加”按钮设置新的访问控制规则。
b）通过基于认证用户角色的访问控制来实现对PPTP用户的访问控制。
选择防火墙>访问控制，点击“添加配置”按钮设置新的访问控制规则。
L2TP隧道L2TP隧道的配置和PPTP隧道的配置类似，值得说明的是在windows的客户端必须安装一个TOPSEC提供的小程序，该程序在防火墙随机光盘和TOPSEC的网站上均可获取。
光盘位置如下图所示：安装该程序后，必须重启系统才可以生效。
运行该程序，如下图。
选中“允许TOS到L2TP的连接”。
客户端上L2TPVPN隧道的配置步骤与PPTP基本一致，只需要修改VPN隧道的属性为“L2TP”，如下图。
详细配置请参考PPTP案例。
带宽管理QoSQoS（服务质量），是Quality of Service的缩写。
通过QoS管理，用户可以根据实际用户网络规划，方便、灵活地定制带宽策略，防止带宽滥用现象，并可以确保关键应用的带宽需求。
网络卫士防火墙的带宽策略采用了分层的带宽管理机制，用户可以通过设置细粒度的带宽规则来实现基于源和目的IP地址（或地址段）、服务的带宽的集中管理。
同时，同层的带宽策略还可以根据业务需求，设置带宽策略的优先级，为关键业务流量优先分配带宽，从而合理、有效地为用户网络分配带宽资源。
图例：防火墙分层带宽管理示意图图中的防火墙工作在纯透明模式（即所有接口均工作在交换模式下，且属于同一个VLAN），只起到限制带宽的作用，不做任何访问策略配置。
防火墙的初始配置不需要用户进行修改。
上传带宽管理基本需求子网1（10.200.51.0/24）向网段10.200.2.0/24上传数据，防火墙为其分配7K（如果没有特殊说明单位均为字节/秒）的限制带宽，7K的保证带宽。
并对不同的应用设置不同的优先级控制以及带宽优化：1、ICMP为最高优先级，保证带宽为1K（最大限制带宽为7K）2、数据库为第二优先级，保证带宽为2K（最大限制带宽为7K）3、FTP为第三优先级，保证带宽为2K（最大限制带宽为7K）4、SMTP为最低优先级，保证带宽为1K（最大限制带宽为7K）配置要点带宽策略的设置包括以下方面：1、设置采用QoS的物理接口。
2、在接口下设置一到多个类及其子类。
3、在类下设置数据流的匹配规则。
WEBUI配置步骤1）设置采用QoS的物理接口。
选择网络管理>流量管理，在“带宽控制”页面点击“添加接口”，添加采用上传带宽配置策略的物理接口eth0。
接口的配置原则是以数据流流向为准，在数据流出防火墙的物理接口上配置才能生效。
本例中即eth0接口。
点击“确定”，则新添加的接口显示在右侧界面中，如下图所示。
2)在物理接口下设置上传类及其四个子类：ICMP上传、Web上传、FTP上传、邮件上传。
a）点击接口eth0对应的“下级”，添加eth0口的上传带宽类“上传类”。
点击“确定”，则新添加的类显示在接口eth0下，如下图所示。
b）点击“上传类”所在行的“下级”图标，添加上传业务带宽子类，共分为4个优先级。
“ICMP上传”为最高优先级0，保证带宽为1K（最大限制带宽为7K）“Web上传”为第二优先级1，保证带宽为2K（最大限制带宽为7K）“FTP上传”为第三优先级2，保证带宽为2K（最大限制带宽为7K）“邮件上传（SMTP）”为最低优先级3，保证带宽为1K（最大限制带宽为7K）设置完成后界面如下图所示。
需要注意的是：子类的保证带宽之和不能大于父类的保证带宽。
每个类中的保证带宽不能大于限制带宽。
3）设置带宽管理策略。
点击“ICMP上传”所在行的“下级”图标，添加ICMP上传业务带宽规则（ICMP-rule）。
图中的“时间对象”用户可以通过资源管理>时间，并根据自己的需求进行设置。
点击“Web上传”所在行的“下级”图标，添加Web上传业务带宽规则（Web-rule）。
点击“FTP上传”所在行的“下级”图标，添加FTP上传业务带宽规则（FTP-rule）。
点击“邮件上传（SMTP）”所在行的“下级”图标，添加邮件上传业务带宽规则（SMTP-rule）。
4）设置完成后，单击“确定”按钮。
配置好QoS策略的界面如下图所示。
5）点击规则所在行的“修改”图标可以完成对已添加规则的修改。
6）对于已经添加的类，则：如果该类没有子类，可以直接点击“修改”图标进行修改。
如果该类有子类，则必须首先删除子类，然后才能点击“修改”图标进行修改。
7）删除一个接口或类时，必须先删除该接口或类的所有子类和规则。
注意事项1）Windows的文件共享服务首先通过TCP：139端口进行连接，如果连接不成功，会使用TCP：445端口，故针对Windows文件共享服务做QoS策略时，还需添加一条针对TCP：139端口的QoS策略，具体配置：先在自定义服务（选择资源管理>服务，选择“自定义服务”页签）中添加TCP：139端口这样一条服务，再在QoS策略中的设置一条针对该服务的带宽控制规则。
2）在设置带宽控制规则时，策略源、策略目的和服务均不可选择“任意”，最好选择“any”地址对象或者根据需要定义的地址范围、子网、或者用户组对象。
3）流量控制配置上传和下载的策略源和策略目的是相反的，如FTP，在控制上传配置时，策略源是FTP客户端，策略目的是FTP服务器；而在控制下载配置时，策略源则是FTP 服务器，策略目的是FTP客户端。
4）在修改了QoS策略后，需要在管理器右上角点击“刷新连接”，进行“刷新连接”操作，使修改的配置生效。
并且对于以前已经建立的连接如FTP、文件共享等，则需要重新连接后才能应用新的QoS策略。
下载带宽管理基本需求子网1（10.200.51.0/24）需要从网段10.200.2.0/24下载数据，防火墙为其分配7K（如果没有特殊说明单位均为字节/秒）的限制带宽，7K的保证带宽。
并对不同的应用设置不同的优先级控制以及带宽优化：1、ICMP为最高优先级，保证带宽为1K（最大限制带宽为7K）2、Web为第二优先级，保证带宽为2K（最大限制带宽为7K）3、FTP为第三优先级，保证带宽为2K（最大限制带宽为7K）4、SMTP为最低优先级，保证带宽为1K（最大限制带宽为7K）配置要点带宽策略的设置包括以下方面：1、设置采用QoS的物理接口。
2、在接口下设置一到多个类及其子类。
3、在类下设置数据流的匹配规则WEBUI配置步骤1）设置采用QoS的物理接口。
选择网络管理>流量管理，在“带宽控制”页面点击“添加接口”按钮，添加要应用下载带宽控制策略的物理接口eth1，接口的配置原则是以数据流流向为准，在数据流出防火墙的物理接口上配置才能生效。
本例中即eth1接口。
点击“确定”，则新添加的接口显示在右侧界面中。
2)点击接口eth1对应的“下级”，在物理接口eth1口下设置“下载类”及其四个子类：ICMP下载、Web下载、FTP下载、邮件下载。
a）添加下载带宽类“下载类”点击“确定”，则新添加的类显示在接口eth1下，如下图所示。
b）点击“下载类”所在行的“下级”图标，添加下载业务带宽子类，共分为4个优先级。
“ICMP下载”为最高优先级0，保证带宽为1K（最大限制带宽为7K）。