山石网科Ipv6整体解决方案
山石网科安全审计平台版本说明说明书
Version2.11.0山石网科安全审计平台版本说明本文档包含了山石网科安全审计平台2.5.0到2.11.0版本的版本说明，主要介绍了各版本的新增功能和已知问题等内容。
l HSA2.11.0l HSA2.10.0l HSA2.9.0l HSA2.8.0l HSA2.7.1l HSA2.6.0l HSA2.5.0HSA2.11.0发布概述发布日期：2021年1月8日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能已知问题HSA2.10.0发布概述发布日期：2020年9月30日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能已知问题HSA2.9.0发布概述发布日期：2020年8月5日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能HSA2.8.0发布概述发布日期：2020年5月20日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
已知问题HSA2.7.1发布概述发布日期：2020年2月28日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能已知问题HSA2.6.0发布概述发布日期：2019年8月12日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能已知问题HSA2.5.0发布概述发布日期：2020年4月8日平台和系统文件适用StoneOS版本适用于StoneOS4.0R6及更高的版本，建议使用最新的StoneOS版本。
新增功能已知问题版本升级说明l当HSA2.0R3P3及以前版本升级到该版本时，需要首先升级过渡版本HSApro2.0R3P3_transition.bin。
山石网科 Hillstone山石网科 下一代防火墙 配置指南说明书
Hillstone山石网科下一代防火墙基础配置手册V5.5版本Hillstone Networks Inc.服务热线：400 828 6655内容提交人审核人更新内容日期陈天骄陈天骄初次编写2016/1/14目录1 设备管理 (3)1.1 终端console登录 (3)1.2 网页WebUI登录 (3)1.3 恢复出厂设置 (5)1.3.1 CLI命令行操作 (5)1.3.2 WebUI图形化界面操作 (5)1.3.3 硬件CLR操作 (6)1.4 设备系统（StoneOS）升级 (6)1.4.1 通过sysloader升级 (6)1.4.2 通过CLI升级 (9)1.4.3 通过WebUI升级 (9)1.5 许可证安装 (10)1.5.1 CLI命令行安装 (10)1.5.2 WebUI安装 (11)2 基础上网配置 (11)2.1 接口配置 (11)2.2 路由配置 (13)2.3 策略配置 (14)2.4 源地址转换配置（SNAT） (15)3 常用功能配置 (16)3.1 PPPoE拨号配置 (16)3.2 动态地址分配（DHCP）配置 (17)3.3 IP-MAC地址绑定配置 (20)3.4 端到端IPSec VPN配置 (21)3.4.1 配置第一阶段P1提议 (22)3.4.2 配置ISAKMP网关 (23)3.4.3 配置第二阶段P2提议 (24)3.4.4 配置隧道 (25)3.4.5 配置隧道接口 (26)3.4.6 配置隧道路由和策略 (28)3.4.7 查看VPN状态 (29)3.5 远程接入SCVPN配置 (30)3.6 目的地址转换DNAT配置 (38)3.6.1 IP映射 (39)3.6.2 端口映射 (41)1设备管理安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。
CLI同时支持Console、Telnet、SSH等主流通信管理协议。
“安全”的IPv6依然不安全
“安全”的IPv6依然不安全作者：孙杰贤来源：《中国信息化》2018年第10期截至2016年10月底，亚太、欧洲、拉美、北美等地区IPv4地址池已完全耗尽。
和最多提供约43亿个IP地址的IPv4 相比，IPv6理论可提供2的128次方个IP地址。
据说，就算给铺在地球表面上的每一粒沙子都分配一个IP地址，IPv6仍然是绰绰有余。
当然，相比IPv4，IPv6的优势不至海量这一点。
大概10多年前，就有“未来的互联网属于IPv6”的欢呼和论断。
但我们从来没有IPv4被吊打的深切感受，也没有见到IPv6的遍地开花。
然而5G来了，物联网来了，这一次，IPv6真的有了用武之地。
IPv6部署重回正轨去年11月26日，中共中央办公厅、国务院办公厅印发了《推进互联网协议第六版（IPv6）规模部署行动计划》，指出：“抓住全球网络信息技术加速创新变革、信息基础设施快速演进升级的历史机遇，加强统筹谋划，加快推进IPv6规模部署，构建高速率、广普及、全覆盖、智能化的下一代互联网，是加快网络强国建设、加速国家信息化进程、助力经济社会发展、赢得未来国际竞争新优势的紧迫要求。
”可以说，《行动计划》的推出让IPv6部署和应用重回正轨。
我国计划用5到10年时间，形成下一代互联网自主技术体系和产业生态，建成全球最大规模的IPv6商业应用网络，实现下一代互联网在经济社会各领域深度融合应用，成为全球下一代互联网发展的重要主导力量。
我国政府之所以大力推进IPv6的规模部署，一方面因为IPv6拥有更充沛的地址资源、更可靠的安全保障；更是顺应了因AI、大数据、云计算、5G、物联网等技术的出现和应用而蓬勃发展的万物互联智能世界的要求。
数字技术的创新，将进一步推动产业的发展，从而驱动数字经济的进一步增长。
此外，还有一个很重要的原因就是IPv6网络的安全性。
加快IPv6规模应用为解决网络安全问题提供了新平台，为提高网络安全管理效率和创新网络安全机制提供了新思路。
山石网科 IGAP 工业网闸 1.0 版本说明说明书
Version 1.0
1
版权所有，保留所有权利Copyright © 2022, Hillstone Networks
《版本说明_IGAP_工业网闸 1.0》包含了工业网闸1.0版本以及后续版本的版本说明，主要介绍了各版本的新增功能、已知问题等内容。
版本说明 IGAP 工业网闸 1.0
版本说明 IGAP 工业网闸 1.0
发布概述
发布日期：2022年09月07日
该版本是山石网科IGAP系列工业网闸的首次发布，主要内容为产品型号、产品功能列表、已知问题等。
平台和系统文件
产品功能列表
浏览器兼容性
以下浏览器通过了WebUI测试，推荐用户使用：✹Firefox
✹Microsoft Edge
✹Chrome
获得帮助
Hillstone IGAP系列工业网闸配有以下手册，请访问获取：✹《山石网科工业网闸IGAP_硬件参考指南》
✹《山石网科工业网闸IGAP_WebUI用户手册》
✹《山石网科工业网闸IGAP_日志信息参考指南》
✹《山石网科工业网闸IGAP_故障排查手册》
✹《山石网科工业网闸IGAP_新手入门指南》
✹《山石网科工业网闸IGAP_配置案例手册》
✹《山石网科工业网闸IGAP_RESTful API手册》
服务热线：400-828-6655
官方网址：。
山石网科 StoneOS 虚拟系统 命令行用户指南说明书
Version5.5R8Copyright2020Hillstone Networks.All rights reserved.Information in this document is subject to change without notice.The software described in this document is furnished under a license agreement or nondisclosure agreement.The software may be used or copied only in accordance with the terms of those agreements.No part of this publication may be reproduced,stored in a retrieval system,or transmitted in any form or any means electronic or mechanical,including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hill-stone Networks.Hillstone Networks本文档禁止用于任何商业用途。
联系信息北京苏州地址：北京市海淀区宝盛南路1号院20号楼5层地址：苏州高新区科技城景润路181号邮编：100192邮编：215000联系我们：/about/contact_Hillstone.html关于本手册本手册介绍山石网科的产品系统的使用方法。
获得更多的文档资料，请访问：https://针对本文档的反馈，请发送邮件到：*************************山石网科https://TWNO:TW-CUG-UNI-VSY-5.5R8-CN-V1.0-11/11/2020目录目录1关于本手册1手册约定1内容约定1CLI约定1命令行接口（CLI）2CLI介绍2命令模式和提示符2执行模式2全局配置模式2子模块配置模式3CLI命令模式切换3命令行错误信息提示3命令行的输入4命令行的缩写形式4自动列出命令关键字4自动补齐命令关键字4命令行的编辑4查看历史命令4快捷键5过滤CLI输出信息5分页显示CLI输出信息6设置终端属性7设置连接超时时间7重定向输出7诊断命令8虚拟系统9 VSYS对象9根VSYS和非根VSYS9管理员10 VRouter、VSwitch、安全域和接口12共享VRouter12共享VSwitch13共享域13共享接口13创建接口13配置VSYS13创建非根VSYS14配置非根VSYS的描述信息14创建VSYS Profile14设置资源配额15设置日志的缓存配额17配置URL过滤18配置入侵防御19配置病毒过滤19配置边界流量过滤20配置QoS20启用/禁用CPU资源配额21绑定Profile到VSYS21进入非根VSYS22配置共享属性22导入/导出物理接口23分配逻辑接口23绑定监测对象23监测指定VSYS状态24回退配置信息（非根VSYS）24退出配置回滚模式25配置退出配置回滚模式的动作26配置VSYS日志功能26配置跨VSYS转发功能27开启跨VSYS转发功能27配置Simple-Switch27创建Simple-Switch27绑定二层安全域到Simple-Switch28创建VWANIF接口28创建VPort接口29配置VWANIF接口29分配VWANIF接口29显示跨VSYS转发功能信息29显示VWANIF接口配置信息30显示VWANIF接口IPv6配置信息30显示VSYS信息30显示VSYS Profile信息30 VSYS配置举例30例1：VSYS在三层流量转发中的应用（通过单一VSYS）31组网需求31配置步骤31例2：VSYS在三层流量转发中的应用（通过共享VRouter）33组网需求33配置步骤34例3：VSYS在二层流量转发中的应用（通过共享VSwitch）37组网需求37配置步骤38例4：跨VSYS的流量转发（通过Simple-Switch）42组网需求42配置步骤43关于本手册手册约定为方便用户阅读与理解，本手册遵循以下约定：内容约定本手册内容约定如下：l提示：为用户提供相关参考信息。
山石网科集中安全管理平台（HSM）版本说明说明书
Version4.16.0版本说明本文档包含HSM4.2.0及以后各版本的新增功能、已知问题等内容。
l HSM4.16.0l HSM4.15.0l HSM4.14.0l HSM4.13.0l HSM4.11.0l HSM4.10.0l HSM4.8.0l HSM4.7.0l HSM4.6.0l HSM4.5.0l HSM4.4.0l HSM4.3.0l HSM4.2.0HSM4.16.0本节为HSM4.16.0的版本说明。
产品和版本信息产品名称：山石网科集中安全管理平台（HSM）产品型号：HSM-50、HSM-100-D4、HSM-200、HSM-500-D4、vHSM 软件名称：HSM pro4.16.0发布日期：2022年5月12日适用StoneOS版本：l StoneOS5.5R9和5.5R8支持除了IPS特征库下发以外的所有功能；l StoneOS5.5R7支持HSM的全部功能；l StoneOS5.0R3F5、5.0R4P6支持HSM除2.5R2及更高版本新增功能外的所有功能；l StoneOS4.5R4、5.0R3支持除配置管理和2.5R2及更高版本新增功能外的所有功能（监控功能为受限支持）；l StoneOS4.5R1至4.5R3版本支持注册以及查看设备信息。
适用产品型号：l SG-6000K系列、E系列、X系列、G系列、M系列、T系列、NIP(D)S、ADC、WAF、BDS产品l云•界CloudEdge产品系统文件版本升级说明l vHSM不支持从2.5R3升级到2.5R4P2，但支持从2.5R4升级到2.5R4P1和2.5R4P2。
兼容性山石网科集中安全管理平台的管理界面通过以下浏览器的测试：l IE11l Chrome新增功能HSM4.15.0本节为HSM4.15.0的版本说明。
产品和版本信息产品名称：山石网科集中安全管理平台（HSM）产品型号：HSM-50、HSM-100-D4、HSM-200、HSM-500-D4、vHSM 软件名称：HSM pro4.15.0发布日期：2022年3月4日适用StoneOS版本：l StoneOS5.5R9和5.5R8支持除了IPS特征库下发以外的所有功能；l StoneOS5.5R7支持HSM的全部功能；l StoneOS5.0R3F5、5.0R4P6支持HSM除2.5R2及更高版本新增功能外的所有功能；l StoneOS4.5R4、5.0R3支持除配置管理和2.5R2及更高版本新增功能外的所有功能（监控功能为受限支持）；l StoneOS4.5R1至4.5R3版本支持注册以及查看设备信息。
山石网科国产化信息安全方案
设备综合防护效果差
下一代互联网
高带宽、大流量
网络威胁泛滥
多运营商出口
各类日志审计
IPv4/IPv6
…
WEB
如何防御 IPv6 时代 安全威胁？
为什么需要国产化
国产化需求背景
•安全需求：棱镜门事件，网络监听，CPU等硬件后门问题日益突出。 •政策要求：网络安全即国家安全，国家及行业政策要求产品国产化，如军工，保密行业强制执行。 •芯片受控：中兴事件，华为禁售的反思，芯片大多数是国外进口，产品的生产、研发完全被国外公司控制。
网络安全上升到国家高度
Chart）；最终用户（Entity List）；最终用途（核武器、生化武器、火箭系统、军事等）；行为 （资金支持、货运代理，等）。 •
Entity List
• 在出口管制方面，美国已经形成一套由商务部、能源部和国务院 组成的清单管理制度，该制度也是美国实施出口管制最重要的执 法工具之一。美国商务部主管出口管制的机构是产业安全局 （Bureau ofIndustry and Security, BIS），其对两用物项实行的清 单管理制度，分为“实体清单”、“未经证实清单”以及“被拒绝 清 人 单”等。而实体清单是出口管制重要的手段之一。
•2014年2月27日网信领导小组第一次会议：习近平指出，没有网络安全就没有国家安全。 •2016年4月19日网信座谈会：互联网核心技术是最大的“命门”，核心技术受制于人是我们最大的隐患。 •2018年4月网信工作会议：自主创新推进网络强国建设，核心技术是国之重器。
Hillstone山石网科基础配置手册.
Hillstone山石网科多核安全网关基础配置手册version 5.0目录第1章设备管理 (1)设备管理介绍 (1)终端Console登录 (1)WebUI方式登录 (1)恢复出厂设置 (2)通过CLI方式 (2)通过WebUI方式 (2)通过CLR按键方式 (4)StoneOS版本升级 (4)通过网络迅速升级StoneOS（TFTP） (4)通过WebUI方式升级StoneOS (6)许可证安装 (8)通过CLI方式安装 (8)通过WebUI方式安装 (8)第2章基础上网配置 (10)基础上网配置介绍 (10)接口配置 (10)路由配置 (11)策略配置 (13)源NAT配置 (14)第3章常用功能配置 (16)常用配置介绍 (16)PPPoE配置 (16)DHCP配置 (18)IP-MAC绑定配置 (20)端到端IPsec VPN配置 (22)SCVPN配置 (29)DNAT配置 (36)一对一IP映射 (37)一对一端口映射 (39)多对多端口映射 (41)一对多映射（服务器负载均衡） (44)第4章链路负载均衡 (46)链路负载均衡介绍 (46)基于目的路由的负载均衡 (47)基于源路由的负载均衡 (48)智能链路负载均衡 (48)第5章QoS配置 (51)QoS介绍 (51)IP QoS配置 (51)应用QoS配置 (53)混合QoS配置 (56)QoS白名单配置 (57)第6章网络行为控制 (58)URL过滤（有URL许可证） (58)配置自定义URL库 (61)URL过滤（无URL许可证） (62)网页关键字过滤 (63)网络聊天控制 (67)第7章VPN高级配置 (70)基于USB Key的SCVPN配置 (70)新建PKI信任域 (70)配置SCVPN (75)制作USB Key (76)使用USB Key方式登录SCVPN (78)PnPVPN (80)用户配置 (81)IKE VPN配置 (82)隧道接口配置 (86)路由配置 (87)策略配置 (88)PnPVPN客户端配置 (89)第8章高可靠性 (91)高可靠性介绍 (91)高可靠性配置 (92)关于本手册手册内容本手册为Hillstone山石网科多核安全网关的基础配置手册，对Hillstone山石网科多核安全网关的主要功能模块配置进行介绍，帮助用户快速掌握安全网关的WebUI配置。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Ipv6整体解决方案Hillstone Networks Inc. 2016年03月10日内容提交人审核人更新内容日期V1 2016/3/10目录1需求分析 (3)2解决方案 (3)2.1设备信息 (3)2.2拓扑 (3)2.3主要配置 (4)2.3.1总部 (4)2.3.2分支1（模拟环境，不考虑上互联网问题） (6)2.3.3分支2 (8)3建设效果 (8)1需求分析某用户有100多个office，都采用电信光纤接入，需要逐步从IPv4演变为IPv6地址，在这种场景下，需要做到IPv4到IPv6内网的互通。
场景模拟如下：一个总部两个分支，总部内网采用IPv6地址，外网地址采用IPv4；分支1外网IPv4，内网IPv6；分支机构2内外网都为IPv4地址。
需求如下：A.总部的IPv6地址可以访问到互联网IPv4资源，总部的IPv6地址可以提供互联网用户访问。
B.总部和分支1的IPv6地址通过公网6in4隧道互相通信。
C.总部和分支2的IPv4地址互相通信。
2解决方案2.1设备信息2.2拓扑分支12005::2/96 2.3主要配置2.3.1总部A.接口interface ethernet0/1zone "untrust"ip address 200.0.0.2 255.255.255.0manage httpexitinterface ethernet0/2zone "trust"dns-proxyipv6 enableipv6 address 2005::1/96manage pingexitinterface tunnel1zone "trust"ipv6 enabletunnel ip6in4 "fenzhi1"exitB.Nat和路由ip vrouter "trust-vr"snatrule id 1 from "2005::/96" to "2003::/96" service "Any" eif ethernet0/1 trans-to eif-ip mode dynamicport #总部上网snatsnatrule id 2 from "2005::2/96" to "2004::2" service "Any" eif ethernet0/1 trans-to eif-ip mode dynamicport #与分支2通信snatsnatrule id 3 from "Any" to "200.0.0.2" service "Any" eif ethernet0/2 trans-to 2005::1 mode dynamicport #公网已知ip访问总部ipv6服务器snatdnatrule id 1 from "2005::/96" to "2003::/96" service "Any" v4-mapped #总部上网dnat dnatrule id 2 from "2005::2/96" to "2004::2" service "Any" trans-to "200.0.0.4" #与分支2通信dnatdnatrule id 3 from "Any" to "200.0.0.2" service "Any" trans-to "2005::2" #公网已知ip访问总部ipv6服务器dnatip route 0.0.0.0/0 200.0.0.1ipv6 route 2001::/96 tunnel1exitC.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exitrule id 2action permitsrc-ip 2005::/96dst-ip 2004::/96service "Any"exitrule id 3action permitsrc-ip 2005::/96dst-ip 2003::/96service "Any"exitrule id 4action permitsrc-ip 2005::/96dst-ip 2001::/96service "Any"exitrule id 5action permitsrc-ip 2001::/96dst-ip 2005::/96service "Any"exitrule id 6action permitsrc-addr "IPv6-any"dst-addr "IPv6-any"service "Any"exitD.其他配置tunnel ip6in4 "fenzhi1" manualinterface "ethernet0/1"destination 200.0.0.3exitip name-server 8.8.8.8 vrouter trust-vrip dns-proxy domain any name-server 8.8.8.8 vrouter trust-vripv6 dns64-proxy id 1 prefix 2003::/96 source 2005::/96 trans-mapped-ip any2.3.2分支1（模拟环境，不考虑上互联网问题）A.接口interface ethernet0/1zone "untrust"ip address 200.0.0.3 255.255.255.0manage pingexitinterface ethernet0/2zone "trust"ipv6 enableipv6 address 2001::1/96manage pinginterface tunnel1zone "trust"ipv6 enabletunnel ip6in4 "zongbu"exitB.Nat和路由ip vrouter "trust-vr"ip route 0.0.0.0/0 200.0.0.1 ipv6 route 2005::/96 tunnel1C.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exitrule id 33action permitsrc-ip 2001::/96dst-ip 2005::/96service "Any"exitrule id 34action permitsrc-ip 2005::/96dst-ip 2001::/96service "Any"exitrule id 35action permitsrc-addr "IPv6-any"dst-addr "IPv6-any" service "Any"exitD.其他配置tunnel ip6in4 "zongbu" manual interface "ethernet0/1" destination 200.0.0.2exit2.3.3分支2A.接口interface ethernet0/3zone "trust"ip address 192.168.2.1 255.255.255.0manage pingexitinterface ethernet0/4zone "untrust"ip address 200.0.0.4 255.255.255.0manage pingexitB.Nat和路由ip vrouter "trust-vr"snatrule id 1 from "Any" to "Any" service "Any" eif ethernet0/4 trans-to eif-ip mode dynamicport dnatrule id 1 from "200.0.0.2" to "200.0.0.4" service "Any" trans-to "192.168.2.254"ip route 0.0.0.0/0 200.0.0.1exitC.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exit3建设效果通过以上配置可以实现：A.总部访问公网IPv4域名；可以访问固定的公网ip；互联网用户可以访问总部内网服务器B.总部和分支1可以相互通信C.总部和分支2可以相互通信A.由于Nat64技术的限制，如果公网ip不固定且无法对应到域名，则总部端无法访问该ip（因为需要在FW上添加固定的转换规则）B.策略中调用IPv6的any地址簿时应该用“IPv6-any”这个地址簿C.总部PC的DNS需要指向总部FW的内网口ip，即2005::1。