Hillstone防火墙技术
山石网科：防火墙的那些性能指标,你了解吗？
山石网科：防火墙的那些性能指标,你了解吗？正如购买其他电子设备需要了解很多性能参数一样，选购一台防火墙也需要了解众多的的性能指标。
那么作为防火墙的四项基本性能指标——吞吐、时延、新建、并发，都意味着什么，如何测算得出，到底可以带给用户什么好处？有什么意义？山石网科Hillstone将为您解读防火墙四大指标的含义以及测试方法。
吞吐量(Throughput)吞吐量是衡量一款防火墙或者路由交换设备的最重要的指标，它是指网络设备在每一秒内处理数据包的最大能力。
吞吐量意味这台设备在每一秒以内所能够处理的最大流量或者说每一秒内能处理的数据包个数。
设备吞吐量越高，所能提供给用户使用的带宽越大，就像木桶原理所描述的，网络的最大吞吐取决于网络中的最低吞吐量设备，足够的吞吐量可以保证防火墙不会成为网络的瓶颈。
举一个形象的例子，一台防火墙下面有100个用户同时上网，每个用户分配的是10Mbps的带宽，那么这台防火墙如果想要保证所有用户全速的网络体验，必须要有至少1Gbps的吞吐量。
吞吐量的计量单位有两种方式：常见的就是带宽计量，单位是Mbps(Megabits per second)或者Gbps(Gigabits per second)，另外一种是数据包处理量计量，单位是pps(packets per second)，两种计量方式是可以相互换算的。
在进行对一款设备进行吞吐性能测试时，通常会记录一组从64字节到1518字节的测试数据，每一个测试结果均有相对应的pps数。
64字节的pps数最大，基本上可以反映出设备处理数据包的最大能力。
所以从64字节的这个数，基本上可以推算出系统最大能处理的吞吐量是多少。
很多路由设备的性能指标有一点就是标称xxMpps，所指的就是设备处理64字节的pps数。
比如64字节的pps为100000pps，吞吐量通过换算为100000×(64+20) ×8/1000000= 67.2Mbps，拿这个结果计算1518字节的数据为100000×(1518+20) ×8/100000=1230.4Mbps。
山石防火墙命令
表29-1：手动同步配置命令列表；HA同步信息show命令手动同步命令；配置信息showconfigurationexe；文件信息showfileexechasyncfi；ARP表项s howarpexechasyncrd；DNS配置信息showiphostsexecha；DHCP配置信息s howdhcpexechasy；MAC地址表showmacexecha表29-1：手动同步配置命令列表HA 同步信息show 命令手动同步命令配置信息show configuration exec ha sync configuration文件信息show file exec ha sync file file-nameARP 表项show arp exec ha sync rdo arpDNS 配置信息show ip hosts exec ha sync rdo dnsDHCP 配置信息show dhcp exec ha sync rdo dhcpMAC 地址表show mac exec ha sync rdo macshow pki keyPKI 配置信息show pki trust-domainexec ha sync rdo pki会话信息show session exec ha sync rdo session show ipsec saIPSec VPN 信息show isakmp saexec ha sync rdo vpnshow scvpn client testshow scvpnhost-check-profileshow scvpn poolshow scvpnuser-host-bindingshow scvpn sessionSCVPN 信息show auth-user scvpnexec ha sync rdo scvpnshow l2tp tunnelshow l2tp poolshow l2tp client{tunnel-name name [useruser-name]| tunnel-id ID}L2TP 信息show auth-user l2tp{interface interface-name| vrouter vrouter-name}exec ha sync rdo l2tpWeb 认证信息show auth-user webauth exec ha sync rdo webauth NTP 信息show ntp exec ha sync rdo ntpSCVPN 信息show scvpn exec ha sync rdo scvpn路由信息show ip route exec ha sync rdo route显示HA配置系统提供相应的show 命令，查看HA 配置信息。
山石网科 Hillstone山石网科 下一代防火墙 配置指南说明书
Hillstone山石网科下一代防火墙基础配置手册V5.5版本Hillstone Networks Inc.服务热线：400 828 6655内容提交人审核人更新内容日期陈天骄陈天骄初次编写2016/1/14目录1 设备管理 (3)1.1 终端console登录 (3)1.2 网页WebUI登录 (3)1.3 恢复出厂设置 (5)1.3.1 CLI命令行操作 (5)1.3.2 WebUI图形化界面操作 (5)1.3.3 硬件CLR操作 (6)1.4 设备系统（StoneOS）升级 (6)1.4.1 通过sysloader升级 (6)1.4.2 通过CLI升级 (9)1.4.3 通过WebUI升级 (9)1.5 许可证安装 (10)1.5.1 CLI命令行安装 (10)1.5.2 WebUI安装 (11)2 基础上网配置 (11)2.1 接口配置 (11)2.2 路由配置 (13)2.3 策略配置 (14)2.4 源地址转换配置（SNAT） (15)3 常用功能配置 (16)3.1 PPPoE拨号配置 (16)3.2 动态地址分配（DHCP）配置 (17)3.3 IP-MAC地址绑定配置 (20)3.4 端到端IPSec VPN配置 (21)3.4.1 配置第一阶段P1提议 (22)3.4.2 配置ISAKMP网关 (23)3.4.3 配置第二阶段P2提议 (24)3.4.4 配置隧道 (25)3.4.5 配置隧道接口 (26)3.4.6 配置隧道路由和策略 (28)3.4.7 查看VPN状态 (29)3.5 远程接入SCVPN配置 (30)3.6 目的地址转换DNAT配置 (38)3.6.1 IP映射 (39)3.6.2 端口映射 (41)1设备管理安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。
CLI同时支持Console、Telnet、SSH等主流通信管理协议。
【hillstone】2.关于山石防火墙端口映射的配置
【hillstone】2.关于⼭⽯防⽕墙端⼝映射的配置
关于⼭⽯防⽕墙端⼝映射的配置1．⾸先便是在“对象”中添加服务端⼝以及地址，以便⼀会调⽤先添加服务端⼝，在“服务簿”的“所有⾃定义服务”中添加
点击“新建”，添加服务端⼝的对象
接下来添加IP地址的对象
添加公⽹的IP对象
添加服务器的IP对象
PS：值得⼀提的是，在做映射的时候，⽆论公⽹还是内⽹地址，在创建对象的时候皆是使⽤32位主机位的掩码。
2．接下来，便是做端⼝的映射
在“防⽕墙”“NAT”的“⽬的NAT”中
“新建”⼀个“端⼝映射”或者“⾼级配置”，但建议配置不熟悉的初学者使⽤“端⼝映射”即可
配置如下
在“⽬的地址”中添加公⽹地址的对象，服务为服务端⼝，映射到的地址是内⽹的地址。
3．策略上的放⾏
防⽕墙离不开策略，所做的DNAT也同样需要在防⽕墙上做个放⾏的策略，如下
这样，从外⽹访问公⽹地址的80服务端⼝时，皆被放⾏。
端⼝映射的配置到此完毕！。
山石网科防火墙安全架构
L3-Zone
Zone与Interface应用案例
L2-Interface1
L2-Zone1 VSwitch1
L2-Interface2
L2-Zone2
Vswitchif1
L3-Zone1
VRouter
L3-Interface3
L2-Interface4
L2-Zone3 VSwitch2
L2-Interface5
Layer 2 Frame Forwarding (Bridging and Switching)
• 透明桥接功能: MAC学习功能 (通过源MAC) Forward, flood, and filter (通过目的MAC) Layer 2 frame forwarding
001d.7294.e5f6
1025
80
Address Pair 10.1.20.5 200.5.5.5
Protocol 6
Port Pair 1025 80
状态检测
状态检测:
• 基于选定类型检测IP包的内容来决定转发或丢弃包 • 基于IP包中多个字段来保持IP通讯的状态 – 通过检测的新通讯接着添加到状态表中 – 只有在IP包与先前建立的通讯相关联时，非初始包才会被 允许 • 比包过滤提供了更高的安全性 • 比应用代理要快得多
3、介绍StoneOS处理包的Flow过程？
Q/A
| Hillstone Confidential
[E0/1]
[E0/2]
001d.097f.9ad8
MAC Address Table Destination Address
001d.7294.e5f6
Port
E0/1
Hillstone虚拟防火墙技术解决方案白皮书
图1 使用虚拟防火墙进行业务灵活扩展在传统数据中心方案中，业务服务器与防火墙基本上是一对一配比。
因此，当业务增加时，用户需要购置新的防火墙；而当业务减少时，对应的防火墙就闲置下来，导致投资浪费。
虚拟防火墙技术以其灵活可扩展的特性帮助用户保护投资，用户可以随时根据业务增减相应的虚拟防火墙。
同时，通过使用虚拟防火墙的CPU资源虚拟化技术，数据中心还可以为客户定量出租虚拟防火墙，例如，可以向某些客户出租10M吞吐量的虚拟防火墙，而向另一些客户出租100M吞吐量的虚拟防火墙。
Hillstone 的虚拟防火墙功能简称为VSYS ，能够将一台物理防火墙在逻辑上划分成多个虚拟防火墙，每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备，拥有独立的系统资源，且能够实现防火墙的大部分功能。
每个虚拟防火墙系统之间相互独立，不可直接相互通信。
不同型号的Hillstone 物理防火墙设备支持的最大VSYS 个数不同，支持License 控制的VSYS 个数的扩展。
数据中心业务类型多种多样，需要使用的防火墙策略也不同。
例如，DNS 服务器需要进行DNS Query Flood 攻击防护，而HTTP 服务器则需要进行HTTP Get Flood 攻击防护。
虚拟防火墙的划分能够实现不同业务的专属防护策略配置。
同时，CPU 资源虚拟化可隔离虚拟防火墙之间的故障，当单个虚拟防火墙受到攻击或资源耗尽时，其它虚拟防火墙不会受到影响，这样就大大提升了各业务的综合可用性。
图2使用虚拟防火墙进行业务隔离Hillstone 虚拟防火墙功能包含以下特性：■ 每个VSYS 拥有独立的管理员■ 每个VSYS 拥有独立的安全域、地址簿、服务簿等■ 每个VSYS 可以拥有独立的物理接口或者逻辑接口■ 每个VSYS 拥有独立的安全策略■每个VSYS 拥有独立的日志1.2 业务隔离，互不影响3.2 专有对象与共享对象系统在没有配置任何虚拟防火墙时，只有一个逻辑的防火墙系统，称为根虚拟系统（根VSYS ），所有的系统资源都被根VSYS 所使用（不只是硬件资源）。
hillstone防火墙配置实例介绍
目录一．基本情况介绍 (2)1.车管所机房情况： (2)2.通璟检测站： (2)3.风顺、安运检测站： (2)4.关于防火墙的配置方式： (3)5.关于配置文件： (3)6.关于授权证书： (4)二．车管所防火墙配置说明 (5)1.第12行： (5)2.第90行，地址薄的设置： (5)3.第316行，接口的设置： (7)4.第371行，虚拟路由的配置： (9)5.第381行，策略的配置： (11)三．通璟检测站防火墙的配置： (13)1.第83行，地址薄的设置： (13)2.第290行，接口的配置： (14)3.第312行，虚拟路由的设置： (15)4.第317行，策略的配置： (16)四．风顺检测站防火墙的配置： (17)1.第86行，地址薄的配置： (17)2.第305行，接口的配置： (18)3.第328行，虚拟路由的配置： (19)4.第335行，策略的设置： (21)五．总结 (22)一．基本情况介绍本文档适用于HillStone SG-6000 M2105(车管所)和HillStone SG-6000 NA V20（检测站），网络连接方式为车管所与检测站防火墙用网线直连、车管所与检测站防火墙在同一公安网IP段内两种。
具体配置如下：1．车管所机房情况：数据服务器、应用/通讯服务器、hillstone防火墙、审核电脑1/2的IP分别10.137.186.78/62/68/36/37，系统管理员给的IP地址格式为：；防火墙配置完毕后，车管所服务器设置的IP格式为：webserviceIP:10.136.46.23。
2.通璟检测站：局域网IP地址为192.168.11.*段，网关192.168.11.1。
因为距离短，有一条一百多米网线直接通到车管所机房。
站点服务器、签证申请岗、查验岗、无线路由、PDA、检测线主控、登录机等都接在交换机上，然后交换机接网线到hillstone防火墙的0/1口，到车管所机房的网线接防火墙0/0口。
Hillstone山石网科防火墙日常运维操作手册
Hillstone⼭⽯⽹科防⽕墙⽇常运维操作⼿册⽬录⼀、设备基础管理 (1)1.1设备登录 (1)1.1.1 通过CLI管理设备 (1)1.1.2 通过WebUI管理设备 (2)1.2管理员帐号及权限设置 (4)1.2.1 新增管理员 (4)1.2.1 修改管理员密码 (5)1.3 License安装 (6)1.4设备软件升级 (7)1.5设备配置备份与恢复 (9)1.5.1 备份设备配置 (9)1.5.2 恢复设备配置 (12)1.6系统诊断⼯具的使⽤ (14)⼆、对象配置 (16)2.1 配置地址薄 (16)2.2 配置服务簿 (17)三、⽹络配置 (21)3.1 配置安全域 (21)3.2 配置接⼝ (22)3.3 配置路由 (23)3.4 配置DNS (24)四、防⽕墙配置 (26)4.1 配置防⽕墙策略 (26)4.1.1 新增防⽕墙安全策略 (26)4.1.2 编辑防⽕墙安全策略 (27)4.2 配置NAT (28)4.2.1 配置源NAT (28)4.2.2 配置⽬的NAT (31)4.3 防⽕墙配置举例 (35)五、QOS配置 (44)5.1 配置IP QOS (45)5.2 配置应⽤QOS (46)六、常⽤⽇志配置 (48)⼀、设备基础管理1.1设备登录安全⽹关⽀持本地与远程两种环境配置⽅法，可以通过CLI 和WebUI 两种⽅式进⾏配置。
CLI同时⽀持Console、telnet、SSH 等主流通信管理协议。
1.1.1 通过CLI管理设备通过Console ⼝配置安全⽹关时需要在计算机上运⾏终端仿真程序（系统的超级终端、SecureCRT等）建⽴与安全⽹关的连接，并按如下表所⽰设置参数（与连接Cisco设备的参数⼀致）：通过telnet或者SSH管理设备时，需要在相应接⼝下启⽤telnet或SSH 管理服务，然后允许相应⽹段的IP管理设备（可信主机）。
对接⼝启⽤telnet或SSH管理服务的⽅法如下：⾸先在⽹络—>⽹络连接模式下的页⾯下⽅勾选指定接⼝，点击图⽰为的编辑按钮，然后在弹出的接⼝配置窗⼝中对接⼝启⽤相应的管理服务，最后确认即可：1.1.2 通过WebUI管理设备WebUI同时⽀持http和https两种访问⽅式，⾸次登录设备可通过默认接⼝ethernet0/0 （默认IP 地址192.168.1.1/24，该接⼝的所有管理服务默认均已被启⽤）来进⾏，登录⽅法为：1. 将管理PC 的IP 地址设置为与192.168.1.1/24 同⽹段的IP 地址，并且⽤⽹线将管理PC与安全⽹关的ethernet0/0 接⼝进⾏连接。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Hi StoneOS安全模式
山石网科通信技术(北京)有限公司
Hillstone防火墙技术
StoneOS安全模式
1. 介绍
传统防火墙通常可以在两种模式下进行操作：NAT/路由模式和透明模式。
NAT/路由模式部署灵活，并且支持防火墙和路由器两种设备的功能。
尽管如此，许多希望通过最少的网络中断而实现安全保护的客户却会选择透明模式。
随着二层与三层转换的扩展，安全集成到网络中变成一个更加困难的选择。
那么，在哪里部署能够控制所有二层和三层的所有类型流量的安全功能呢？Hillstone的StoneOS提供了一个强大的安全平台，它为安全管理者提供了“集成安全控制和网络管理的底层网络结构”。
StoneOS通过将网络功能从安全功能中分离出来，扩展了NAT/路由模式。
这样，用户就可以在一个完全灵活的环境下使用NAT功能。
StoneOS通过引入专有的Virtual Switch（虚拟交换机）的概念极大地扩展了透明模式。
在二层，用户可以定义VLAN域，并且可以将不同的安全策略应用到每一个VLAN。
StoneOS还拥有重新标记VLAN tag功能，这种功能只有高端的交换机才能实现。
StoneOS混合模式将NAT/路由模式与透明模式结合到同一个设备上。
根据配置的安全策略，部分数据在二层进行处理，而其它数据进行三层处理。
这个强大的功能将路由器和交换机的功能进行完美结合，并且能够降低网络部署的复杂性。
2. NAT/路由模式路由
在NAT/路由模式下，设备被划分为多个三层域。
流量会在三层域之间进行转发，并且被转发的流量会被进行安全检查。
对于路由模式，IP地址不会被转换。
对于NAT模式，IP数据包在不同域间转发的过程中，其IP地址和端口号可以被转换。
Hillstone设备将安全管理从网络管理中分离出来。
Hillstone NAT策略是网络管理的一部分，用户可以基于特定接口或者五元组（IP地址、端口号和服务）进行灵活配置，或者将两者相结合。
Hillstone设备可以同时工作在路由模式和NAT模式下，即对一些数据做三层转发的同时，为另外一些数据做NAT转换。
`
` `
`
` 10.1.1.1
3.1 虚拟交换机（Virtual Switch ）
口则来控制流量的传输和执行流量的安全检查。
如果策略允许，标签为10的流量就能够在域之间传输。
一个VSwitch 中也可以包含具有不同VLAN 标签的子接口。
在这种情况下，StoneOS 除了在域之间传输流量（如果策略允许），还可以对VLAN 进行tag 的重新标记。
图2的VSwitch2显示了VLAN 重新标记tag 功能。
3.2 StoneOS 透明模式
StoneOS 的二层转发是在VSwitch 中完成的。
一个VSwitch 中包含了一个或者多个二层域，而这些二层安全域依次包含了VLAN 子接口。
二层域之间定义了策略规则来控制访问和过滤流量。
在透明模式下，主接口（无标签）和子接口都没有配置IP 地址。
StoneOS 有一个预定义的VSwitch ，即VSwitch1。
默认情况下，预定义二层域都被绑定到VSwitch1中，而且，如果策略允许，无标签流量会根据配置在二层域之间和内部进行交换。
StoneOS 在接口上执行MAC 学习，从而降低广播需求。
图2：StoneOS 透明模式和VSwitch
``
`
`
`
10.1.1.11
e1/1e1/2
VLAN switch
``
`
` 10.1.1.11
e1/2
VLAN switch
1.1.1.1
e1/1
`
1.1.1.11
Access switch。