网御防火墙常用命令1101[可修改版ppt]
渠道培训之联想网御powerv安装调试培训教材.pptx
• 包流经规则的顺序：应用代理，端口映射，映 射，过滤规则，地址转换
• 增加源端口，源地址，过滤，网页关键字过滤， 入网口，出网口，时间调度，长连接等选项
2防火墙界面介绍
默认全通/全禁
安全选项
2防火墙界面介绍
包过滤规则
3防火墙的配置管理
包过滤
3防火墙的配置管理
端口映射
3防火墙的配置管理
证书认证 当防火墙与证书均导入成功后，我们在管理主 机打开浏览器并输入防火墙:8889出厂默认为 10.1.5.254,出现选择证书提示后点击“确定”
1.4登录防火墙 证书认证
出现安全警报后点击“是（Y)”就会出现防火墙 登录页面
系统请确认浏览器中选项->隐私选项->中的阻止弹出窗口选取去掉：如下图
1.2安装调试的准备工作
一、接通防火墙电源，开启防火墙(听到“滴滴滴) 后防火墙启动完成)
二、选用一台带接口、以太网卡和光驱的机作为防火 墙的管理主机，操作系统应为98/20002003(暂不支 持、)
三、使用随机提供的交叉线，连接管理主机和防火墙 的1网口10.1.5.254(出厂默认的地址),将管理主机的 地址改为10.1.5.200（防火墙出厂时默认指定的管理 主机）
1.4登录防火墙
证书认证
导入证书后选择生效选项
1.4登录防火墙
证书生效
证书认证
保存配置
最后在首页点击保存
1.4登录防火墙
证书认证 导入防火墙证书要导入相对应的浏览器证书.在 管理主机本地双击浏览器证书，按照提示进行安装， 需要输入密码时输入“”，当出现导入成功后点击确 定完成。
1.4登录防墙
登录防火墙管理页面
• 1.1 安装调试前的工作 • 1.2 安装调试的准备工作 • 1.3 管理方式简介 • 1.4 登录防火墙
联想网御防火墙Power V Web界面操作手册
FortiGate防火墙常用配置命令（可编辑修改word版）
FortiGate防火墙常用配置命令（可编辑修改word版）FortiGate 常用配置命令一、命令结构config Configure object. 对策略，对象等进行配置get Get dynamic and system information. 查看相关关对象的参数信息show Show configuration. 查看配置文件diagnose Diagnose facility. 诊断命令execute Execute static commands. 常用的工具命令，如ping exit Exit the CLI. 退出二、常用命令1、配置接口地址:FortiGate # config system interfaceFortiGate (interface) # edit lanFortiGate (lan) # set ip 192.168.100.99/24FortiGate (lan) # end2、配置静态路由FortiGate (static) # edit 1FortiGate (1) # set device wan1FortiGate (1) # set dst 10.0.0.0 255.0.0.0FortiGate (1) # set gateway 192.168.57.1FortiGate (1) # end3、配置默认路由FortiGate (1) # set gateway 192.168.57.1FortiGate (1) # set device wan1FortiGate (1) # end4、添加地址FortiGate # config firewall addressFortiGate (address) # edit clientnetnew entry 'clientnet' addedFortiGate (clientnet) # set subnet 192.168.1.0 255.255.255.0 FortiGate (clientnet) # end5、添加 ip 池FortiGate (ippool) # edit nat-poolnew entry 'nat-pool' addedFortiGate (nat-pool) # set startip 100.100.100.1FortiGate (nat-pool) # set endip 100.100.100.100FortiGate (nat-pool) # end6、添加虚拟 ipFortiGate # config firewall vipFortiGate (vip) # edit webservernew entry 'webserver' addedFortiGate (webserver) # set extip 202.0.0.167FortiGate (webserver) # set extintf wan1FortiGate (webserver) # set mappedip 192.168.0.168 FortiGate (webserver) # end7、配置上网策略FortiGate # config firewall policyFortiGate (policy) # edit 1FortiGate (1)#set srcintf internal //源接口FortiGate (1)#set dstintf wan1 //目的接口FortiGate (1)#set srcaddr all //源地址FortiGate (1)#set dstaddr all //目的地址FortiGate (1)#set action accept //动作FortiGate (1)#set schedule always //时间FortiGate (1)#set service ALL //服务FortiGate (1)#set logtraffic disable //日志开关FortiGate (1)#set nat enable //开启 natend8、配置映射策略FortiGate # config firewall policyFortiGate (policy) #edit 2FortiGate (2)#set srcintf wan1 //源接口FortiGate (2)#set dstintf internal //目的接口FortiGate (2)#set srcaddr all //源地址FortiGate (2)#set dstaddr FortiGate1 //目的地址，虚拟 ip 映射，事先添加好的FortiGate (2)#set action accept //动作FortiGate (2)#set schedule always //时间FortiGate (2)#set service ALL //服务FortiGate (2)#set logtraffic all //日志开关end9、把 internal 交换接口修改为路由口确保关于 internal 口的路由、dhcp、防火墙策略都删除FortiGate # config system globalFortiGate (global) # set internal-switch-mode interfaceFortiGate (global) #end重启1、查看主机名，管理端口FortiGate # show system global2、查看系统状态信息，当前资源信息FortiGate # get system performance status3、查看应用流量统计FortiGate # get system performance firewall statistics4、查看 arp 表FortiGate # get system arp5、查看 arp 丰富信息FortiGate # diagnose ip arp list6、清楚 arp 缓存FortiGate # execute clear system arp table7、查看当前会话表FortiGate # diagnose sys session stat 或 FortiGate # diagnose sys session full- stat；8、查看会话列表FortiGate # diagnose sys session list9、查看物理接口状态FortiGate # get system interface physical10、查看默认路由配置FortiGate # show router static11、查看路由表中的静态路由FortiGate # get router info routing-table static12、查看 ospf 相关配置FortiGate # show router ospf13、查看全局路由表FortiGate # get router info routing-table all1、查看 HA 状态FortiGate # get system ha status2、查看主备机是否同步FortiGate # diagnose sys ha showcsum3.诊断命令：FortiGate # diagnose debug application ike -1execute 命令：FortiGate #execute ping 8.8.8.8 //常规 ping 操作FortiGate #execute ping-options source 192.168.1.200 //指定ping 数据包的源地址 192.168.1.200FortiGate #execute ping 8.8.8.8 //继续输入 ping 的目标地址，即可通过 192.168.1.200 的源地址执行 ping 操作FortiGate #execute traceroute 8.8.8.8FortiGate #execute telnet 2.2.2.2 //进行 telnet 访问FortiGate #execute ssh 2.2.2.2 //进行ssh 访问FortiGate #execute factoryreset //恢复出厂设置FortiGate #execute reboot //重启设备FortiGate #execute shutdown //关闭设备。
网御神州F3防火墙命令配置
dust> sysip add fe1 10.1.1.1 255.255.255.0 admin on ping on traceroute on
dust> sysip del 192.168.100.1
dust> sysip disp
dust> anti icmpflood fe1 1000
dust> anti pingofdeath fe1 800
dust> anti udpflood fe1 1000
dust> anti disp
#系统信息 sysinfo
dust> sysinfo disp
dust> sysinfo disp if
dust> limitp2p set [kazaa { permit|deny|limit}] // kazaa 协议限制
dust> limitp2p set [soul{ permit|deny|limit}] // soul 协议限制
dust> limitp2p set [winmx{ permit|deny|limit}] // winmx 协议限制
mngmailbox clear
mngmailbox disp
# 管理方式 mngmode
dust> mngmode ssh on
dust> mngmode ssh off
dust> mngmode disp
dust> mnghost add 192.168.10.1 “This is my host”
联想网御防火墙使用手册
资产
资产
风险
威胁
漏洞
基本的风险
RRIISKSK
风R险ISK
威胁 漏洞
采取措施后剩余的风险
什么是防火墙？
➢ 定义：防火墙（Firewall）是一种用来加强网络之间访问 控制的特殊网络互连设备，是一种非常有效的网络安全模 型。
➢ 核心思想：在不安全的网络环境中构造一个相对安全的子 网环境。
➢ 目的：都是为了在被保护的内部网与不安全的非信任网络 之间设立唯一的通道，以按照事先制定的策略控制信息的 流入和流出，监督和控制使用者的操作。
255.255.255.255 service-obj ftp • filter default accept • nat pcp net_1 snat interface g0/1/1 address-
pool out hash-mapping on • nat pcp dnat-jl- interface g0/1/1 address-
查看是 否生效
（会话 表）
SUPER V 典型应用方案
• SUPER V网络出口应用
1：SNAT+DNAT典型应用: A：内网用户通过SNAT+地址池
访问Internet B：外网用户通过DNAT访问内网
的服务器
NAT池： IP add 211.10.0.2/24 211.10.0.3/24-211.10.0.254/24
联想网御Power V防火墙 技术培训
1
POWER V防火墙培训大纲
什么是防火墙 防火墙技术原理 防火墙配置案例
问题处理及日常维护
2
什么是防火墙？
安全域的概念
什么是防火墙？
什么是防火墙？
防火墙的使用课件
防火墙的使用
*
自定义IP规则
规则说明 列出了规则的详细说明。 规则编辑 点击“增加”按钮 或选择一条规则后按“修改”按钮 ，就会激活编辑窗口
防火墙的使用
*
防火墙的使用
*
自定义IP规则
1输入规则的“名称”和“说明”，以便于查找和阅读。 2选择该规则是对进入的数据包还是输出的数据包有效。 3“对方的IP地址”，用于确定选择数据包从那里来或是去哪里，这里有几点说明： “任何地址”是指数据包从任何地方来，都适合本规则 “局域网网络地址”是指数据包来自和发向局域网 “指定地址”是你可以自己输入一个地址 “指定的网络地址”是你可以自己输入一个网络和掩码
防火墙的使用
*
IP规则设置
缺省IP规则 自定义IP规则
防火墙的使用
*
缺省IP规则
IP规则是针对整个系统的网络层数据包监控而设置的。用户可针对个人不同的网络状态，设置自己的IP安全规则。 点“自定义IP规则”键进入IP规则设置界面。
防火墙的使用
*
缺省IP规则
防火墙的使用
*
缺省IP规则
防御ICMP攻击：选择时，即别人无法用PING的方法来确定你的存在。但不影响你去PING别人。 防御IGMP攻击：IGMP是用于组播的一种协议，现在也被用来作为蓝屏攻击的一种方法，建议选择此设置，不会对用户造成影响。 TCP数据包监视：通过这条规则，可以监视机器与外部之间的所有TCP连接请求。这条规则一定要是TCP协议规则的第一条。
2
PC
3
3
C
I
S
C
O
S
Y
S
T
E
M
S
C
I
S
防火墙基本功能教程ppt课件
操作 转发该报文 转发该报文，并创建会话表表 项 丢弃该报文
Page42
防火墙基本概念—多通道协议＆服务表 项
•多通道协议：应用在进行通讯或提供服务时需要建立
两个以上的会话（通道），其中有一个控制通道，其他 的通道是根据控制通道中双方协商的信息动态创建的， 一般我们称之为数据通道或子通道，这样的协议我们称 为多通道协议。
15
代理型防火墙(Application Gateway)
Page16
代理型防火墙(Application Gateway)-（续）
• 代理服务作用于网络的应用层，其实质是
把内部网络和外部网络用户之间直接进行 的业务由代理接管。代理检查来自用户的 请求。认证通过后，该防火墙将代表客户 与真正的服务器建立连接，转发客户请求， WWW、FTP、 Email……代理 并将真正服务器返回的响应回送给客户。 发送请求 转发请求
PC Untrust区
PC
服务器
内部网络 202.10.0.0/24 Eudemon（备）
服务器 202.10.0.0/24
31
目录
第一节 第二节 第三节 第四节 第五节 第六节 防火墙的定义 防火墙的主要功能 防火墙的分类 防火墙工作模式 防火墙处理流程 防火墙基本概念
32
路由器的基本工作流程
内部网络 服务器 10.110.1.0/24
29
透明模式（Mode）
PC Trust区 Eudemon 服务器 内部网络 202.10.0.0/24 服务器 外部网络（Internet ） PC PC Untrust区
30
混合模式（Mode）
Eudemon（主）
VRRP PC Trust区 HUB
防火墙配置中必备的六个主要命令
防⽕墙配置中必备的六个主要命令防⽕墙的基本功能，是通过六个命令来完成的。
⼀般情况下，除⾮有特殊的安全需求，这个六个命令基本上可以搞定防⽕墙的配置。
下⾯笔者就结合CISCO的防⽕墙，来谈谈防⽕墙的基本配置，希望能够给⼤家⼀点参考。
第⼀个命令：interfaceInterface是防⽕墙配置中最基本的命令之⼀，他主要的功能就是开启关闭接⼝、配置接⼝的速度、对接⼝进⾏命名等等。
在买来防⽕墙的时候，防⽕墙的各个端都都是关闭的，所以，防⽕墙买来后，若不进⾏任何的配置，防⽌在企业的⽹络上，则防⽕墙根本⽆法⼯作，⽽且，还会导致企业⽹络不同。
1、配置接⼝速度在防⽕墙中，配置接⼝速度的⽅法有两种，⼀种是⼿⼯配置，另外⼀种是⾃动配置。
⼿⼯配置就是需要⽤户⼿⼯的指定防⽕墙接⼝的通信速度;⽽⾃动配置的话，则是指防⽕墙接⼝会⾃动根据所连接的设备，来决定所需要的通信速度。
如：interface ethernet0 auto --为接⼝配置“⾃动设置连接速度”Interface ethernet2 100ful --为接⼝2⼿⼯指定连接速度，100MBIT/S。
这⾥，参数ethernet0或者etnernet2则表⽰防⽕墙的接⼝，⽽后⾯的参数表⽰具体的速度。
笔者建议在配置接⼝速度的时候，要注意两个问题。
⼀是若采⽤⼿⼯指定接⼝速度的话，则指定的速度必须跟他所连接的设备的速度相同，否则的话，会出现⼀些意外的错误。
如在防⽕墙上，若连接了⼀个交换机的话，则交换机的端⼝速度必须跟防⽕墙这⾥设置的速度相匹配。
⼆是虽然防⽕墙提供了⾃动设置接⼝速度的功能，不过，在实际⼯作中，作者还是不建议⼤家采⽤这个功能。
因为这个⾃动配置接⼝速度，会影响防⽕墙的性能。
⽽且，其有时候也会判断失误，给⽹络造成通信故障。
所以，在⼀般情况下，⽆论是笔者，还是思科的官⽅资料，都建议⼤家采⽤⼿⼯配置接⼝速度。
2、关闭与开启接⼝防⽕墙上有多个接⼝，为了安全起见，打开的接⼝不⽤的话，则需要及时的进⾏关闭。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Cli进程问题 kill all cli 杀掉所有cli进程 再打上 patch207-解决Cli命令导致cpu利用率百分之百升级包(3.4.X.X)
severadd进程问题 添加资源定义时报错导致 cpu100%,直接kill +进程id杀掉进程即可 3.4.5.0/1可打 Patch193-解决资源定义报错显示乱码和操作资源定义模块时CPU 占用率为100%问题升级包(3.4.5.0-1版本)
• RX packets 接受数据包的数量 收包丢弃量大
• TX packets 发送数据包的数量
• errors 错误包的数量
硬件信号错误
• dropped 丢弃的数据包数量
如果有丢弃的数据包说明流量大或者驱动有问题
• overruns 数据包溢出的数量
• frame 帧错误
• carrier 载波
• acsc on和acsc show top
– 开启连接管理功能 – 查看top 10的连接
以上命令主要是让工程师在 不打开页面的情况下可以更 好的分析那个主机IP大量进 行连接。
• config reset 是恢复出厂设置 • config save是保存配置
这些命令大家可能都知道， 我在这里重复只是希望大家真正 熟练掌握，并在现场第一时间使用
网御防火墙常用命 令1101
• admmode show 查看管理方式 显示管理方式 WEB/串口 SSH/PPP admmode on ssh
• Interface show all
查看防火墙的接口信息，包括接口数量，ip地址，子网掩码，开启状态 主要查看接口配置是否正常，配合周边设备查看网络是否通与不通。
# ifconfig eth0 192.168.4.1 netmask 255.255.255.0 up 示例2: 配置eth0别名设备 eth0:1 的IP
# ifconfig eth0:1 192.168.4.2 示例3:激活（禁用）设备
# ifconfig eth0:1 up(down) 示例4:查看所有（指定）网络接口配置
• ip route show
显示路由表信息，对于大型网络和复杂网络，路由表是非常重要的。 排错的时候40%的路由表的问题，20%的故障是跟路由表相关的其他 功能的问题。所以路由表是非常重要的。
• HA show config • HA show status
可以查看HA配置 和HA的协商情况 以及目前的主备 状态
• free 查看内存使用情况
这个命令可以清楚的知道设备的总共内存多大，使用多少，空闲多少 配合其他命令就可以整体把握设备的运行情况，
• 查看防火墙磁盘大小的一系列操作
首先，先运行mnt.boot /mnt，然后cd /mnt，再df查看各分区大小。磁盘 使用率显示的是/mnt资源占用的大小。
由图我们可以看出这个防火墙的磁盘大小为132M。（一般磁盘 32M,64M,128M等）
• 可以显示w命令的内容
• 可以显示free命令的内容
• 可以显示cpu实时的使用率大小
• 可以显示所有进程，并且可以显示进程使用cpu，内存的大小，并实 时动态变化。
• 我们经常可以看到cli进程占用CPU100%，pluto进程占用CPU大，或 者syslogd进程占用CPU大等等。这就说明防火墙的某个模块使用率 特别大，要注意优化。
# ifconfig (eth0) 备注：如果要对接口添加允许管理允许ping等相关参数的时候，则要使
用防火墙自身的命令interface set phy if fe0 ip 10.1.5.254 netmask 255.255.255.0 active on admin on ping on traceroute on
查看完以后千万千万不要忘记退出/mnt目录，然后umont /mnt。
• ps –aux 查看防火墙进程
• top命令是以上所有命令的集合，使用top命令可以很直观的查询到很 多防火墙的基本信息，但是由于top命令启用以后占用防火墙资源比 较大，如果你的设备在网络中处于超负荷运转的时候，这个命令则需 要谨慎使用。
2.遇到其他占用cpu利用率高蛤不常见的进程 ,可反到客服中心
• filterconfig state count 查看防火墙的并发连接数
• filterconfig state remove 清除防火墙上的连接（所有连接包括你的 web连接和SSH连接）
• filterconfig state list 查看防火墙的连接表(建议与grep参数配合使用) eg: filterconfig state list | grep 211.103.135.147
• Interface show if feX (X代表接口序号，例如fe1,fe2,fe3等)
可以捕获防火墙的MAC地址， 接口类型，链路模式，协商速度 最大传输单元，等等一些接口详 细信息。 最主要的是看看trunk，ip/mac 等参数是不是误开，接口是不是 允许ping等。
• 使用ifconfig命令配置并查看网络接口情况 示例1: 配置eth0的IP，同时激活设备:
• collision 冲突
长连接，慎用。作用是将连接的时间变短或者变长 不能加any到any的长连接 具体协议，服务不能使ANY 不然出问题。
• ethtool ethX 查看网口协商情况
从上图我们可以看出网口协商为100M全双工。由于很多设备都设置为 自适应，这样两个设备协商后速率和双工模式自动协商后到底是什么 从防火墙界面是看不出来的，所以就需要我们用ethtool命令查看，关 于网口不通的情况，很多时候使用ethtool排错是非常有用的。
• W（输入命令w）
非常简单的命令，但是很有用，应该说非常有用。 这个命令纪录了防火墙自正常启动以来，累计时长，可以清楚的知道 防火墙运行了多长时间。也可以知道防火墙是否出现频繁重启的问题 。 Load average后面的三组数字可以看出防火墙在使用资源（cpu，内 存，磁盘）的情况。这个数字大于1的时候，说明内核已经超负荷运 转。