联想网御防火墙配置手册审批稿
网御星云(联想网御)PowerV防火墙 -OSPF配置实例资料
Power V 防火墙 OSPF 配置实例 (3.4.3.8
第 1页
第 2页
1.案例背景
Power V防火墙具有 OSPF 路由功能,并可以通过添加多个区域的方式与其他网络设备进行互联互通。
2.案例拓扑
3.配置步骤
3.1 FW1配置
1、网络接口配置,配置 fe3接口地址为 192.168.29.1,配置 fe4接口地址为10.0.2.246
2、策略配置,配置允许内网访问外网的包过滤规则。
3、 OSPF 路由配置
4.验证
以上操作之后就可以从防火墙上动态学习到路由器那边的路由, 在 OSPF 路由监控里可以看到学习到的路由。
第 3页
5.注意事项
在启动 OSPF 的时,如需修改网络配置,则须先停止 OSPF 功能。
防火墙如果有 4个以上的网口,则只有前 4个网口可以做 OSPF 接口。
防火墙做 HA 配置,主从墙切换后,从墙学习不到 OSPF 路由,要重新启动下OSPF 功能。
启动 OSPF ,一定不可以开启多播路由。
第 4页。
网御星云(联想网御)powerv防火墙-ospf配置实例
Power V防火墙OSPF 配置实例( 3.4.3.8 )1案例背景Power V 防火墙具有OSPF 路由功能，并可以通过添加多个区域的方式与其他网络设备 进行互联互通。
2 •案例拓扑3 •配置步骤FW1配置1、网络接口配置，配置 fe3接口地址为，配置 fe4接口地址为10.0.2.246諾任氏:■:irHL^/lERi W J £ £5< M5 S3 £550 工林/武聊吐■联■If^TIWl M.IT 氏带奩器書X•ft/£»3'392 】闘上日.HE9EL2SE .36MI1 51剖恭X *L 10.0 z M&<sa.rSi BEX 屮#站官息2宮磔丹.2禹2S?X w» ar{XX 1-.T7 聲由fl!式X険/X X *・IQ 】卩P5<骸阿0Xr2、策略配置，配置允许内网访问外网的包过滤规则。
加略配垃丫>:曲i 励M_ a maur~)Qff.rmNifig) b陶<r )3j a ❾~》51fl=WIJSFHMBIA*4r»iirm 1 pflfLfia 冲。
■ea ft** jv e o肯 r任昭L%- IAB.S9 tAllMl witL/ 4ft■j1.宦 l«.2V EV ftpnrtif[7 心■■■■frLK 偌•站.旳Lf (0 O &SWSM 曲刽E 皿际I_ ________ ___ ________ 「 _____________________ r ___________________ __i ■川 11 I |：』_叭臥 I u ■ ；l 不RF ： 2 wilBU i霹号MU SiAIIFKFHUV■嘔T> IWa<1awt]，曹IM 訊Dftn ftn.0 Mil*〕才心t3、OSPF 路由配置内内内内内fe410.02245/301 0.02246/30192.168.29.1/24 内内Area 0購羯覆HL加鑲渤EO P冷幻惟MS K«1t 1=E. LES. El O/ES5. SS. 2SS. IJ QO.O.D10 i 2 E临凶5 匪2® 25J OOO i\r AjjtllFWIf僅EE ifrtr ■ J?E LE4 刃rl I«3192 3E4i-£9. 1XrCCslm D.2 2ft M10 | 2 24fi noEic4 •验证以上操作之后就可以从防火墙上动态学习到路由器那边的路由，在OSPF路由监控里可以看到学习到的路由。
联想网御防火墙使用手册
资产
资产
风险
威胁
漏洞
基本的风险
RRIISKSK
风R险ISK
威胁 漏洞
采取措施后剩余的风险
什么是防火墙？
➢ 定义：防火墙（Firewall）是一种用来加强网络之间访问 控制的特殊网络互连设备，是一种非常有效的网络安全模 型。
➢ 核心思想：在不安全的网络环境中构造一个相对安全的子 网环境。
➢ 目的：都是为了在被保护的内部网与不安全的非信任网络 之间设立唯一的通道，以按照事先制定的策略控制信息的 流入和流出，监督和控制使用者的操作。
255.255.255.255 service-obj ftp • filter default accept • nat pcp net_1 snat interface g0/1/1 address-
pool out hash-mapping on • nat pcp dnat-jl- interface g0/1/1 address-
查看是 否生效
（会话 表）
SUPER V 典型应用方案
• SUPER V网络出口应用
1：SNAT+DNAT典型应用: A：内网用户通过SNAT+地址池
访问Internet B：外网用户通过DNAT访问内网
的服务器
NAT池： IP add 211.10.0.2/24 211.10.0.3/24-211.10.0.254/24
联想网御Power V防火墙 技术培训
1
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
2
什么是防火墙？
安全域的概念
什么是防火墙？
什么是防火墙？
联想网御防火墙PowerV Web界面操作手册_2开始
第2章如何开始本章包括联想网御防火墙PowerV硬件安装和随机附带的软件安装介绍，以及开机登录配置管理界面的方法。
这些有助于管理员完成防火墙软硬件的快速安装和启用。
如果您想尽快配置使用联想网御防火墙，可跳过概述部分，直接阅读2.5章（第12页）。
2.1 网御防火墙PowerV概述随着宽带网络的飞速发展、网络安全问题的突出和人们安全意识的提高，以防火墙为代表的网络安全设备已经成为不可或缺的设备。
网御防火墙PowerV在防火墙硬件板级设计、防火墙安全体系结构、配置管理操作系统、配套的管理软件等方面有重大创新。
可广泛应用于电信、金融、电力、交通、政府等行业的网络环境。
2.1.1 产品特点联想网御防火墙PowerV是联想防火墙的换代产品，该产品的特点是高安全性，高可用性和高性能的“三高”“管理者的”防火墙，是国内一流的防火墙。
●高安全●高可用性●高性能2.1.2 主要功能网御防火墙PowerV系统为了满足用户的复杂应用和多种需求，采用模块化设计，包括基本功能模块、可选功能模块（VPN模块需要许可证才能使用）。
主要具有以下功能：●状态检测和动态过滤采取主动过滤技术，在链路层截取并分析数据包以提高处理性能，对流经数据包进行基于IP地址、端口、用户、时间等的动态过滤，还可以结合定义好的策略，动态生成规则，这样既保证了安全，又满足应用服务动态端口变化的要求。
可支持多个动态应用，包括ftp、h323、pptp、rtsp、tns等。
●双向NAT地址转换在全透明模式下提供了双向地址转换（NAT）功能，能够有效地屏蔽整个子网的内部结构，使得黑客无从发现子网存在的缺陷，还可使企业能够通过共享IP地址的方法解决IP地址资源不足的问题。
支持静态NA T、动态NAT及IP映射（支持负载均衡功能）、端口映射。
●应用层透明代理支持透明代理功能，提供对HTTP、FTP（可限制GET、PUT命令）、TELNET、SMTP（邮件过滤）、POP3等标准应用服务的透明代理，同时提供在用户自定义服务下的透明代理，支持网络接口限定。
网御防火墙管理系统使用手册
2.5.1 控制台的安装要求.........................................................................................15 2.5.2 第一个控制台的安装过程.............................................................................15 2.5.3 其它控制台安装.............................................................................................16 2.5.4 控制台的修复.................................................................................................16 2.5.5 控制台卸载.....................................................................................................16 2.5.6 控制台的重新安装.........................................................................................16
2.3 数据库的安装和卸载...............................................................................8
网御防火墙初级配置
路由模式配置案例
配置步骤
配置路由网关
说明：本次示例只需要配置一个默认网关，实际网络环境中可能存在多出口和跨三层 网络环境，多出口时配置多条默认路由，需要启用默认路由均衡功能，配置静态路由时 metric值越小优先级越高 进入【路由管理】-【基本路由】-【默认路由】添加默认网关
路由模式配置案例
透明模式配置案例
配置步骤
配置安全过滤策略 进入【防火墙】-【策略】-选择需要添加的策略规则，根据实际网络需求添加对应 的允许或者禁止规则，规则从上往下依次匹配，防火墙规则没有的默认都是禁止的
01-进入【防火墙】-【地址】添加地址资源 02-新建地址资源 进入【防火墙】-【服务】-【基本服务】新建服务资源
配置步骤
按照《设备快速配置说明》登录WEB管理界面
路由模式配置案例
配置步骤
添加管理主机，配置管理方式
进入【系统管理】-【管理员设置】-【管理主机】添加管理主机
进入【系统管理】-【管理员设置】-【设置】配置设备管理方式
路由模式配置案例
配置步骤
配置接口工作模式，接口地址和接口管理服务
选择【网络管理】-【网络接口】-【物理设备】编辑网络接口工作模式，接口地址，和接口服务
网御星云网关类产品培训
基础配置
2015年3月
内容概要
透明模式配置案例
路由模式配置案例 端口映射配置案例
透明模式配置案例
应用场景
场景：某企业为增强网络安全， 购买了网御防火墙，但又不想改 变原有的网络结构，所以将防火 墙以透明模式接入用户网络中 要求： （1）防火墙配置为透明模式串接 在办公区和核心交换机之间 （2）通过配置防火墙安全策略， 允许主机A访问互联网，但是拒 绝主机A访问业务服务器；允许 主机B访问业务服务器的WEB服 务和ICMP协议，但是不允许主机 B访问互联网 （3）为方便管理配置桥接口地址 并启用管理： 172.16.19.201/24 （4）配置默认路由172.16.19.1
联想网御防火墙PowerVWeb界面操作手册_5策略配置
第5章策略配置本章是防火墙配置的重点。
符合安全规则的策略是保证防火墙真正起到“防火”作用的基础。
错误的安全规则不但有可能使得防火墙形同虚设，甚至有可能妨碍网络正常功能的使用。
5.1 安全选项安全选项提供防火墙可设置的一些全局安全策略，包括包过滤策略、抗攻击策略、IP/MAC 检查开关和是否允许除IP和ARP之外的其他二层协议通过。
这些参数对整个防火墙生效。
界面如下图所示：图 5-1 安全选项配置5.1.1 包过滤策略包过滤缺省允许策略：提供包过滤缺省策略的选项设置，选中为允许，不选为禁止。
包过滤缺省策略是当所有的用户添加的包过滤规则都没有被匹配时所使用的策略。
如果包过滤缺省策略是禁止，用户添加的包过滤规则应该是允许哪些连接可以通过；如果包过滤缺省策略是允许，用户添加的包过滤规则应该是禁止哪些连接不能通过。
严格的状态检测：选中为启用，不选为禁止。
仅针对TCP连接。
只有完成三次握手的TCP连接才创建状态，除此之外的任何TCP数据包都不创建状态。
启用严格的状态检测，是为了防止ACK扫描攻击。
因为如果没有严格的状态检测，那么如果收到ACK置位的包，防火墙就会创建相应的状态，使得此连接可以通过防火墙。
需要使用“策略配置>>安全规则>>包过滤规则”中的“长连接”属性，设置连接建立的时间时，就必须选中此项属性“策略配置>>安全规则>>包过滤规则”。
在某些特殊网络环境下，防火墙可能无法收到所有三次握手的数据包，此时就不能选中严格的状态检测。
包过滤策略中还包括两项高级设置：图 5-2 安全选项高级设置规则配置立即生效：启用后为规则优先（缺省是状态优先）。
如果不启用，当一个连接在防火墙上的建立起来后，设置了与原有的规则相反的规则，则此时数据包仍能够根据建立的状态表通过防火墙；如果启用，则此时数据包根据设定的规则将无法通过防火墙。
重新设置规则可能会造成已有连接中断。
建议不启用。
联想网御防火墙PowerVWeb界面操作手册网络配置
是否允许TRACEROUTE设备的IP
是否启用
是否启用设备
图49别名设备列表
图410别名设备可配置的属性
4.1.6
冗余设备的目的是将两个物理设备做为一个虚拟的设备，这两个物理设备同一时间只有一个处于启用状态，如果处于启用状态的设备失效，则另一个设备启用。冗余设备可以工作在全冗余模式下，在全冗余模式下，加入冗余设备的两个物理设备的IP地址，掩码，MAC地址（如果冗余设备设置了MAC地址）都将使用冗余设备的IP地址，掩码和MAC地址。如果不是工作在全冗余模式，这两个设备使用它自己的参数。冗余设备默认不工作在全冗余模式下。
4.1.1
物理设备初始情况下工作在路由模式，也就是说该设备上绑定有IP地址，可以与其它设备进行数据包的路由转发。其中第一个物理设备（fe1或某些型号是ge1）是默认的可管理设备。它的默认IP地址是10.1.5.254，子网掩码为255.255.255.0，这个地址允许管理，PING和TRACEROUTE（默认管理主机的IP地址是10.1.5.200，请参考系统配置>>管理配置>>管理主机）。物理设备也可以切换到透明模式。当桥接设备当中只有一个桥设备brg0时，切换到透明模式的物理设备会自动加入到桥接设备brg0中；如果把物理设备从透明模式切换到路由模式，系统自动将这个设备从桥接设备的设备列表中删除。
链路工作模式
设备的链路工作模式，有以下三种
1：自适应
2：全双工
3：半双工
链路速度
设备的链路速度，有以下三种
1：10
2：100
3：1000
MTU
设备的MTU（最大传输单位）。百兆网络设备可设置的范围是68到1504，千兆网络设备可设置的范围是64到16128。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
联想网御防火墙配置手
册
YKK standardization office【 YKK5AB- YKK08- YKK2C- YKK18】
联想网御防火墙配置手册（3213）
1、根据防火墙接口数量及业务系统需求规划防火墙各接口用途、
IP地址信息、及各接口的策略等。
2、防火墙设备安装，连接各种线缆。
3、安装防火墙管理密钥驱动。
4、插入管理密钥，运行防火墙管理认证程序。
默认管理IP地址
端口9999。
5、认证程序连接防火墙成功后，利用浏览器登陆防火墙，地址：
默认用户名：administrator密码：administrator。
6、设置各物理接口IP地址、工作模式等信息。
7、设置别名设备，绑定外网地址到外网的物理接口上，以备设置
端口或IP映射做准备。
8、设置管理主机，提高系统安全性，只有设置的管理主机范围才
有访问防火墙的权限。
9、按系统规划需求，定义所需地址列表及服务器地址等信息，以
备后期定义策略时使用。
10、根据系统规划需求，设置默认路由。
11、配置NAT规则。
12、配置IP或端口映射。
IP映射会对此映射IP的所有端口开放，
端口映射只开放相应映射的端口。
13、配置包过滤规则。
14、配置其它安全选项。
15、。