天融信防火墙配置与维护
天融信防火墙NGFW4000快速配置手册
天融信防火墙NGFW4000快速配置手册一、防火墙的几种管理方式1．串口管理第一次使用网络卫士防火墙，管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。
通过 CONSOLE 口登录到网络卫士防火墙，可以对防火墙进行一些基本的设置。
用户在初次使用防火墙时，通常都会登录到防火墙更改出厂配置（接口、IP 地址等），使在不改变现有网络结构的情况下将防火墙接入网络中。
这里将详细介绍如何通过 CONSOLE口连接到网络卫士防火墙：1）使用一条串口线（包含在出厂配件中），分别连接计算机的串口（这里假设使用 com1）和防火墙的CONSOLE 口。
2）选择开始 > 程序 > 附件 > 通讯 > 超级终端，系统提示输入新建连接的名称。
3）输入名称，这里假设名称为“TOPSEC”，点击“确定”后，提示选择使用的接口（假设使用 com1）。
4）设置 com1 口的属性，按照以下参数进行设置。
/密码的提示，如下图。
6）输入系统默认的用户名：superman 和密码：talent，即可登录到网络卫士防火墙。
登录后，用户就可使用命令行方式对网络卫士防火墙进行配置管理。
2．TELNET管理TELNET管理也是命令行管理方式，要进行TELNET管理，必须进行以下设置：1)在串口下用“pf service add name telnet area area_eth0 addressname any”命令添加管理权限2)在串口下用“system telnetd start”命令启动TELNET管理服务3)知道管理IP地址，或者用“network interface eth0 ip add mask4)然后用各种命令行客户端(如WINDOWS CMD命令行)管理：TELNET5)最后输入用户名和密码进行管理命令行如图：3．SSH管理SSH管理和TELNET基本一至，只不过SSH是加密的，我们用如下步骤管理：1)在串口下用“pf service add name ssh area area_eth0 addressname any”命令添加管理权限2)在串口下用“system sshd start”命令启动TELNET管理服务3)知道管理IP地址，或者用“network interface eth0 ip add mask4)然后用各种命令行客户端(如putty命令行)管理：5)最后输入用户名和密码进行管理命令行如图：4．WEB管理1)防火墙在出厂时缺省已经配置有WEB界面管理权限，如果没有，可用“pf service add name webui area area_eth0 addressname any”命令添加。
天融信防火墙NGFW4000快速配置手册
天融信防火墙NGFW4000快速设置装备摆设手册一、防火墙的几种治理方法1．串口治理第一次运用收集卫士防火墙,治理员可以经由过程 CONSOLE 口以敕令行方法进行设置装备摆设和治理.经由过程 CONSOLE 口登录到收集卫士防火墙,可以对防火墙进行一些根本的设置.用户在初次运用防火墙时,平日都邑登录到防火墙更改出厂设置装备摆设（接口.IP 地址等）,使在不转变现有收集构造的情形下将防火墙接入收分散.这里将具体介绍若何经由过程 CONSOLE口衔接到收集卫士防火墙：1）运用一条串口线（包含在出厂配件中）,分离衔接盘算机的串口（这里假设运用 com1）和防火墙的 CONSOLE 口.2）选择开端 > 程序 > 附件 > 通信 > 超等终端,体系提醒输入新建衔接的名称.3）输入名称,这里假设名称为“TOPSEC”,点击“肯定”后,提醒选择运用的接口（假设运用 com1）.4）设置 com1 口的属性,按照以下参数进行设置.5）成功衔接到防火墙后,超等终端界面会消失输入用户名/暗码的提醒,如下图.6）输入体系默认的用户名：superman 和暗码：talent,即可登录到收集卫士防火墙.登录后,用户就可运用敕令行方法对收集卫士防火墙进行设置装备摆设治理.2．TELNET治理TELNET治理也是敕令行治理方法,要进行TELNET治理,必须进行以下设置：1)在串口下用“pf service add name telnet area area_eth0addressname any”敕令添加治理权限2)在串口下用“system telnetd start”敕令启动TELNET治理办事3)知道治理IP地址,或者用“network interface eth0 ip add192.168.1”敕令添加治理IP地址4)最后输入用户名和暗码进行治理敕令行如图：3．SSH治理SSH治理和TELNET根本一至,只不过SSH是加密的,我们用如下步调治理：1)在串口下用“pf service add name ssh area area_eth0 addressnameany”敕令添加治理权限2)在串口下用“system sshd start”敕令启动TELNET治理办事3)知道治理IP地址,或者用“network interface eth0 ip add192.168.1”敕令添加治理IP地址4)最后输入用户名和暗码进行治理敕令行如图：4．WEB治理1)防火墙在出厂时缺省已经设置装备摆设有WEB界面治理权限,假如没有,可用“pf service add name webui area area_eth0 addressname any”敕令添加.2)WEB治理办事缺省是启动的,假如没有启动,也可用“system httpd start”敕令打开,治理员在治理主机的阅读器上输入防火墙的治理 URL,例如：0,弹出如下的登录页面.输入用户名暗码后（收集卫士防火墙默认出厂用户名/暗码为：superman/talent）,点击“提交”,就可以进入治理页面.5．GUI治理GUI图形界面治理跟WEB界面一样,只是,在治理中间中集成了一些安然对象,如监控,抓包,跟踪等1)装配治理中间软件2)运行治理软件3)右击树形“TOPSEC治理中间”添加治理IP4)右击治理IP地址,选择“治理”,输入用户名和暗码进行治理5)也可右击治理IP地址,选择“安然对象”,进行及时监控选择：安然对象-衔接监控点击启动,在弹出的窗口中增长过滤前提,可用缺省值监控所有衔接.选中增长的过滤前提,点设置就可以看到及时的监控后果了,如下图：二、敕令行经常运用设置装备摆设(注：用串口.TELNET.SSH方法进入到敕令行治理界面,天融信防火墙敕令行治理可以完成所有图形界面治理功效,敕令行支撑TAB键补齐和TAB键帮忙,敕令支撑多级操纵,可以在体系级,也就是第一级直接输入完全的敕令;也可以进入响应的功效组件级,输入对应组件敕令.具体分级如下表：)体系级体系级为第一级,供给装备的根本治理敕令.CLI治理员登录后,直接进入该级,显示为：TopsecOS#.组件级组件级为第二级,供给每个安然组件（SE）所独有的治理敕令.在体系级下,TopsecOS #<tab> 按 tab键,则显示出安然组件级敕令见下表.1．体系治理敕令(SYSTEM)在敕令行下一般用SYSTEM敕令来治理和检讨体系设置装备摆设：2．收集设置装备摆设敕令(NETWORK)3．双机热备敕令(HA)HA LOCAL <ipaddress> 设置 HA接口的本机地址HA PEER <ipaddress> 设置 HA接口的对端地址HA PEER-SERIAL <string> 设置 HA接口的对端的 licence 序列号HA NO <local|peer|peer-serial> 复位 HA接口的本机地址/对端地址/对端 licence序列号HA PRIORITY <primary|backup> 设定 HA 优先级是主机优先照样备份机优先（默认为 backup,即假如同时启动主机成为活HA SHOW <cr> 检讨 HA的设置装备摆设信息HA ENABLE<cr> 启动 HAHA DISABLE<cr> 停用 HAHA CLEAN<cr> 消除 HA设置装备摆设信息HA SYNC <from-peer|to-peer> HA同步（从对端机上同步设置装备摆设/同步设置装备摆设到对端机上）4．界说对象敕令(DEFINE)5．包过滤敕令(PF)增长一条办事拜访规矩SERVICEADDname<gui|snmp|ssh|monitor|ping|telnet|tosids|pluto|auth |ntp|update|otp|dhcp|rip|l2tp|pptp|webui|vrc|vdc>area <string> <[addressid <number>]| [addressname <addr_name>]>6．显示运行设置装备摆设敕令(SHOW_RUNNING)SHOW_RUNNING7．保管设置装备摆设敕令(SAVE)SAVE三、WEB界面经常运用设置装备摆设用阅读器或者分散治理中间登录到WEB治理界面如下：1．体系治理设置装备摆设在“体系”下,可以显示或设置装备摆设体系相干设置A)体系 > 根本信息显示体系的型号.版本.功效模块.接口信息等等：B)体系 > 运行状况检讨体系的运行状况,包含CPU.内存运用情形和当前衔接数等C)体系 > 设置装备摆设保护上传或下载设置装备摆设文件D)体系 > 体系办事体系办事在本体系中主如果指监控办事.SSH 办事.Telnet办事和 HTTP办事.TOS体系供给了对这些办事的掌握（启动和停滞）功效,其具体的操纵如下：E)体系 > 凋谢办事添加或检讨体系权限,包含WEB治理.GUI治理.TELNET治理.SSH治理.监控等等F)体系 > 体系重启2．收集接口.路由设置装备摆设A)设置防火墙接口属性用户可以对收集卫士防火墙的物理接口的属性进行设置,具体步调如下：1）在治理界面左侧导航菜单中选择收集 > 物理接口 ,可以看到防火墙的所有物理接口,如下图所示,共有三个物理接口：Eth0.Eth1.Eth2.2）假如要将某端口设为路由模式,点击该端口后的路由修正图标“”,弹出“设定路由”对话框,如下图所示.可认为某个端口设置多个 IP 地址,点击“添加设置装备摆设”按钮,添加接口的 IP 地址.假如选择“ha-static”,暗示双机热备的两台装备在进行主从切换时,可以保管本来的地址不变,不然,从墙的地址将被主墙笼罩.收集卫士防火墙不支撑不合的物理接口设置装备摆设雷同的 IP地址或 IP 地址在统一子网内.3）假如要将某端口设交流模式,点击该端口后的交流修正图标“”,弹出“交流”设置窗口,如下图所示.起首,须要肯定该接口的类型是“Access”照样“Trunk”.假如是“Access”接口,则暗示该交流接口只属于一个 VLAN,须要指定所属的 VLID 号码,如上图所示.如是“Trunk”接口,则设置参数界面如下图所示.上图参数解释如下表所示：点击“提交设定”则完成接口从路由模式向交流模式的转换.4）点击“其他”按钮,可以设置接口的其他信息,如下图.B)设置路由用户可以在收集卫士防火墙上设置计谋路由及静态路由,具体步调如下：1）在左侧导航菜单中选择收集 > 静态路由,可以看到已经添加的计谋路由表以及体系主动添加的静态路由表,如下图所示.2）设置计谋路由,点击“添加计谋路由”,如下图所示.个中“网关”为下一跳路由器的进口地址,“端口”指定了从防火墙装备的哪一个接口（包含物理接口和 VLAN 虚接口）发送数据包.Metric 为接口跃点数,默认为 1.假如选择“NAT 后的源”为“是”,暗示计谋路由的源地址为 NAT 后的地址,计谋路由添加成功后的“标识表记标帜”一栏显示为“UGM”.默认为“否”,计谋路由添加成功后的“标识表记标帜”一栏显示为“U”.3）设置完成后,点击“提交设定”按钮,假如添加成功会弹出“添加成功”对话框.点击“撤消返回”则废弃添加,返回上一界面.若要删除某路由项,点击该路由项地点行的删除图标“”进行删除.4）移动计谋路由.因为计谋履行动第一匹配原则,则计谋的次序与计谋的逻辑相干,在此可以转变添加计谋时刻的缺省的履行次序（按照添加次序分列）.具体设置办法为：在计谋路由表中点击要移动的路由选项（例如要移动计谋路由 102）后的“移动”图标按钮 ,进入如下界面.在第一个下拉框中选择参考地位路由,第二个下拉框中则是选择将当前路由移动到参考路由之前照样之后.例如：要将路由 102 移动到路由 101 之前,则第一个下拉框选择 ID“101”,第二个下拉框选择“之前”,点击“提交设定”按钮,则弹出移动成功对话框.点击“肯定”返回路由界面,可以看到路由 102 已经移动到了 101 之前,如下图所示.3．对象设置装备摆设A)设置主机对象选择对象 > 地址对象 > 主机对象,右侧界面显示已有的主机对象,如下图所示.点击“添加设置装备摆设”,体系消失添加主机对象属性的页面,如下图所示.B)设置规模对象选择对象 > 地址对象 > 地址规模,右侧界面显示已有的地址规模对象,如下图所示.点击“添加设置装备摆设”,进入地址规模对象属性的页面,如下图所示.C)设置子网对象选择对象 > 地址对象 > 子网对象,在右侧页面内显示已有的子网地址对象,如下图所示.D)设置地址组不合的地址对象可以组合为一个地址组,用作界说计谋的目标或源.地址组的支撑加强了对象治理的层次性,使治理加倍灵巧.设置地址组对象的步调如下：1）选择对象 > 地址对象 > 地址组,在右侧页面内显示已有的地址组对象,如下图所示.2）选择“添加设置装备摆设”,体系消失如下图所示的页面.E)自界说办事当预界说的办事中找不到我们须要的办事端口时,我们可以本身界说办事端口：1）选择对象 > 办事对象 > 自界说办事,点击“添加设置装备摆设”,体系消失如下页面.2）输入对象名称后,设置协定类型及端标语规模.3）点击“提交设定”,完成设置.F)设置区域对象体系支撑区域的概念,用户可以依据现实情形,将收集划分为不合的安然域,并依据其不合的安然需求,界说响应的规矩进行区域鸿沟防护.假如不消失可匹配的拜访掌握规矩,收集卫士防火墙将依据目标接口地点区域的权限处理该报文.设置区域对象,具体操纵如下：1）选择对象 > 区域对象,显示已有的区域对象.防火墙出厂设置装备摆设中缺省区域对象为 AREA_ETH0,并已和缺省属性对象 eth0 绑定,而属性对象eth0 已和接口eth0 绑定,是以出厂设置装备摆设中防火墙的物理接口eth0 已属于区域 AREA_ETH0.2）点击“添加设置装备摆设”,增长一个区域对象,如下图所示.在“对象名称”部分输入区域对象名称;在“权限选择”部分设定和该区域所属属性绑定的接口的缺省属性（许可拜访或制止拜访）.在“选择属性”部分的左侧文本框中选择接口,然后点击添加该区域具有的属性,被选接口将出如今右侧的“被选属性”文本框中,可以同时选择一个或多个.3）设置完成后,点击“提交设定”按钮,假如添加成功会弹出“添加成功”对话框.4）点击“撤消返回”则废弃添加,返回上一界面.5）若要修正区域对象的设置,点击该区域对象地点行的修正图标“”进行修正.6）若要删除区域对象,点击该区域对象地点行的删除图标“”进行删除.G)设置时光对象用户可以设置时光对象,以便在拜访掌握规矩中引用,从而实现更细粒度的掌握.比方,用户愿望针对工作时光和非工作时光设置不合的拜访掌握规矩,引入时光对象的概念很轻易解决该类问题.设置时光对象,具体操纵如下：1）选择对象 > 时光对象,点击“添加设置装备摆设”,体系消失如下页面. 2）依次设置“对象名称”.“每周时段”和“每日时段”.3）最后点击“提交设定”,完成对象设置.新添加的对象将显示在时光对象列表中,如下图所示.4）对已经添加的时光对象,可以点击修正图标修正其属性,也可以点击删除图标删除该对象.4．拜访计谋设置装备摆设用户可以经由过程设置拜访掌握规矩实现灵巧.壮大的三到七层的拜访掌握.体系不单可以从区域.VLAN.地址.用户.衔接.时光等多个层面临数据报文进行判别和匹配,并且还可以针对多种运用层协定进行深度内容检测和过滤.与报文阻断计谋雷同,拜访掌握规矩也是次序匹配的,但与其不合,拜访掌握规矩没有默认规矩.也就是说,假如没有在拜访掌握规矩列表的末尾添加一条全体谢绝的规矩的话,体系将依据目标接口地点区域的缺省属性（许可拜访或制止拜访）处理该报文.界说拜访规矩,操纵步调如下：1）选择防火墙引擎 > 拜访掌握,点击“添加设置装备摆设”,进入拜访掌握规矩界说界面.表中“ID”为每项规矩的编号,在移动规矩次序时将会运用.“掌握”中的图标和 ,分离暗示该项规矩是否启用.2）界说是否启用该拜访掌握规矩（默认为启用该规矩）,以及拜访权限.拜访权限界说了是否许可拜访由规矩源到规矩目标所指定的办事.3）界说规矩的源规矩的源既可所以一个已经界说好的 VLAN 或区域,也可以细化到一个或多个地址对象以及用户组对象,如下图所示.图中“选择源”右侧的按钮为正序分列和倒序分列,用户可以便利的按序查找项目.别的,用户还可以选择响应的办事,即设置源端口,如下图所示.4）界说规矩的目标规矩的目标既可所以一个已经界说好的 VLAN 或区域,也可以细化到一个或多个地址对象以及用户组对象,如下图所示.别的,用户还可以设置进行地址转换前的目标地址,如下图所示.5）界说办事选择拜访规矩包含的办事,假如用户须要制订的办事没有包含在办事列表中,可以经由过程添加自界说办事添加所需办事.假如没有选择任何办事,则体系默认为选择全体办事.6）界说帮助选项各项参数解释如下：7）点击“提交设定”完成该条拜访掌握规矩的设定.8）用户可以点击“修正”按钮,对现有规矩进行编辑.可以点击“拔出”按钮,在现有规矩间拔出一条新规矩.8）点击“清空设置装备摆设”,可以消除所有的拜访掌握规矩,便于从新设置装备摆设.9）须要更改规矩的匹配次序时点击该规矩右侧“移动”按钮,如下图所示.用户可以选择响应 ID.地位,移动计谋.完成后点击“提交设定”保管或“撤消返回”废弃移动.5．高可用性设置装备摆设设置装备摆设收集卫士防火墙双机热备的步调如下：1）选择体系 > 高可用性,进入高可用性设置页面,如下图所示.2）设置主/从装备参数,参数解释请拜见下表.3）点击“提交设定”,完成双机热备设置.四、透明模式设置装备摆设示例拓补构造：1．用串口治理方法进入敕令行用WINDOWS自带的超等终端或者SecureCRT软件,运用9600的速度,用串口线衔接到防火墙,用户名是superman,暗码是talent.(具体办法见第一节),下面是具体设置装备摆设,加粗显示的为敕令行.2．设置装备摆设接口属性将ETH0口设置装备摆设为交流模式：network interface eth0 switchport设置装备摆设ETH0口的METRIC值,用于盘算双机热备的权值：network interface eth0 ha-metric 100将ETH1口设置装备摆设为交流模式：network interface eth1 switchport设置装备摆设ETH1口的METRIC值,用于盘算双机热备的权值：network interface eth1 ha-metric 100设置装备摆设ETH2口的METRIC值,用于盘算双机热备的权值：network interface eth2 ha-metric 100将没有运用的ETH2口封闭：network interface eth2 shutdown设置装备摆设同步接口ETH3的IP地址和HA标识表记标帜：network interface eth3 ip add 11.1.1.1 mask 255.255.255.252 ha-static label 0设置装备摆设ETH3口的METRIC值,用于盘算双机热备的权值：network interface eth3 ha-metric 1003．设置装备摆设VLAN添加VLAN1：network vlan add id 1为VLAN1添加IP地址：network interface vlan.0001 ip add 192.168.1.250 mask255.255.255.0 label 04．设置装备摆设区域属性将区域缺省拜访权限为制止define area add name area_eth0 attribute 'eth0 ' access off define area add name area_eth1 attribute 'eth1 ' access off5．界说对象界说主机地址对象define host add name 192.168.1.10 ipaddr '192.168.1.10 ' macaddr 00:19:21:50:15:1fdefine host add name 192.168.1.20 ipaddr '192.168.1.20 '界说时光对象define schedule add name 上班时光 week 12345 start 08:00 end 18:006．添加体系权限为ETH0口添加TELNET权限pf service add name telnet area area_eth0 addressname any7．设置装备摆设拜访计谋'上班时光 'PING FTP SSH TELNET SMTP DNS_Query TFTP HTTP POP3 NETBIOS-SSN(TCP) MICROSOFT-DS(TCP) MSTerminal这些办事：firewall policy add action accept srcarea 'area_eth0 ' dstarea'area_eth1 ' src '192.168.1.10 ' dst '192.168.1.20 ' service'PING FTP SSH TELNET SMTP DNS_Query TFTP HTTP POP3 NETBIOS-SSN(TCP) MICROSOFT-DS(TCP) MSTerminal ' schedule '上班时光 ' 8．设置装备摆设双机热备设置装备摆设本机同步IP设置装备摆设对端机械同步IP启动双机热备功效ha enable,完成设置装备摆设之后,我们先接恶意跳线,将两台防火墙的ETH3口衔接,然后接上其他接口的网线,到此透明模式的双机热备设置装备摆设完成.五、路由模式设置装备摆设示例拓补构造：1．用串口治理方法进入敕令行办法同上面的透明模式.2．设置装备摆设接口属性设置装备摆设ETH0口的IP地址：network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 label 0设置装备摆设ETH0口的METRIC值,用于盘算双机热备的权值：network interface eth0 ha-metric 100设置装备摆设ETH1口的IP地址：network interface eth1 ip add 192.168.2.250 mask 255.255.255.0 label 0设置装备摆设ETH1口的METRIC值,用于盘算双机热备的权值：network interface eth1 ha-metric 100设置装备摆设ETH2口的METRIC值,用于盘算双机热备的权值：network interface eth2 ha-metric 100将没有运用的ETH2口封闭：network interface eth2 shutdown设置装备摆设同步接口ETH3的IP地址和HA标识表记标帜：network interface eth3 ip add 11.1.1.1 mask 255.255.255.252 ha-static label 0设置装备摆设ETH3口的METRIC值,用于盘算双机热备的权值：network interface eth3 ha-metric 1003．设置装备摆设路由设置装备摆设到192.168.3.0/24网段的路由：设置装备摆设到192.168.4.0/24网段的路由：4．设置装备摆设区域属性将区域缺省拜访权限为制止define area add name area_eth0 attribute 'eth0 ' access offdefine area add name area_eth1 attribute 'eth1 ' access off5．设置装备摆设主机对象define host add name 192.168.1.10 ipaddr '192.168.1.10 ' macaddr 00:19:21:50:15:1fdefine host add name 192.168.1.20 ipaddr '192.168.1.20 '6．设置装备摆设拜访计谋PING FTP SSH TELNET SMTP DNS_Query TFTP HTTP POP3 NETBIOS-SSN(TCP) MICROSOFT-DS(TCP) MSTerminal这些办事：firewall policy add action accept srcarea 'area_eth0 ' dstarea'area_eth1 ' src '192.168.1.10 ' dst '192.168.1.20 ' service'PING FTP SSH TELNET SMTP DNS_Query TFTP HTTP POP3 NETBIOS-SSN(TCP) MICROSOFT-DS(TCP) MSTerminal '7．设置装备摆设双机热备设置装备摆设本机同步IP设置装备摆设对端机械同步IP启动双机热备功效ha enable注：设置装备摆设好一台防火墙后,我们要设置装备摆设另一台热备的防火墙,其设置装备摆设根本上与致,独一不合的只有两个地方,一个是同步接口ETH3的IP地址为11.1.1.2;另一个是双机热备设置装备摆设中的本机同步IP和对端机械同步IP相反,本机IP为11.1.1.2,对端机械IP为11.1.1.1,完成设置装备摆设之后,我们先接恶意跳线,将两台防火墙的ETH3口衔接,然后接上其他接口的网线,到此透明模式的双机热备设置装备摆设完成.。
天融信防火墙TOPSEC系统管理课件
随着网络安全威胁日益严重，未来系统管理将更加注重安全性 ，强化安全防护和漏洞修补能力。
为了适应多样化的应用场景，系统管理将更加注重跨平台兼容 性，支持多种操作系统和设备。
学习建议与拓展资源推荐
深入学习网络安全知识
建议学员继续深入学习网络安全相关知 识，提高自身安全意识和防范能力。
安全策略与配置
掌握了如何根据实际安全需求，制定 相应的安全策略和配置方法，确保防 火墙系统的高效运行。
系统运维与故障排除
学习了系统运维的基本方法和常见故 障排除技巧，提高了防火墙系统的稳 定性和可靠性。
系统管理未来发展趋势
智能化 云端化 安全性增强 跨平台兼容性
随着人工智能和机器学习技术的发展，未来系统管理将更加智 能化，实现自动化运维、智能故障预警等功能。
VPN配置
VPN管理
详细讲解如何在天融信防火墙TopSec系统 上进行VPN的配置，包括网络拓扑设计、 协议选择、加密认证等关键步骤。
说明如何对已配置的VPN进行管理和维护 ，涉及VPN连接状态监控、故障排除、策 略调整等方面。
内容过滤与应用识别
内容过滤
阐述内容过滤的作用和意义，介绍天融信防火墙TopSec系统的内容过滤功能，如关键字 过滤、文件类型过滤等。
天融信防火墙 TopSec系统管理课 件
contents
目录
• TopSec系统概述 • TopSec基础配置与管理 • 高级功能与策略配置 • 系统维护与故障排除 • 实际操作与案例演示 • 总结与展望
01
TopSec系统概述
系统简介与功能
系统简介：天融信防火墙TopSec系统是一款高效、安全 的网络安全防护系统，专为企业级用户提供全面、实时的 网络威胁防护。
天融信防火墙NGFW配置手册.doc
天融信防火墙 NGFW4000快速配置手册目录一、防火墙的几种管理方式 .........................................................................................................................................1． 串口管理 ............................................................................................................................................................. 2． TELNET 管理 ........................................................................................................................................................ 3． SSH 管理 .............................................................................................................................................................. 4． WEB 管理 ............................................................................................................................................................ 5． GUI 管理 .............................................................................................................................................................. 二、命令行常用配置.....................................................................................................................................................1．系统管理命令 (SYSTEM)......................................................................................................................................命令 .................................................................................................................................................................................. 功能 .................................................................................................................................................................................. WEBUI 界面操作位置 ..................................................................................................................................................... 二级命令名 ......................................................................................................................................................................V ERSION.............................................................................................................................................................................. 系统版本信息 ..................................................................................................................................................................系统 >基本信息 ................................................................................................................................................................INFORMATION.......................................................................................................................................................................当前设备状态信息 ..........................................................................................................................................................系统 >运行状态 ................................................................................................................................................................TIME ...................................................................................................................................................................................系统时钟管理 .................................................................................................................................................................. 系统 >系统时间 ................................................................................................................................................................CONFIG ...............................................................................................................................................................................系统配置管理 .................................................................................................................................................................. 管理器工具栏“保存设定”按钮..................................................................................................................................REBOOT...............................................................................................................................................................................重新启动 ..........................................................................................................................................................................系统 >系统重启 ................................................................................................................................................................SSHD...................................................................................................................................................................................SSH 服务管理命令 ...........................................................................................................................................................系统 >系统服务 ................................................................................................................................................................TELNETD ..............................................................................................................................................................................TELNET 服务管理 ............................................................................................................................................................. 系统 >系统服务命令 ........................................................................................................................................................HTTPD .................................................................................................................................................................................HTTP 服务管理命 ............................................................................................................................................................ 系统 >系统服务令 ............................................................................................................................................................MONITORD ...........................................................................................................................................................................服务管理命令无..............................................................................................................................................................2．网络配置命令 (NETWORK) ..................................................................................................................................3．双机热备命令 (HA) ..............................................................................................................................................4．定义对象命令 (DEFINE) .......................................................................................................................................5．包过滤命令 (PF)...................................................................................................................................................6．显示运行配置命令 (SHOW_RUNNING)...............................................................................................................7．保存配置命令 (SAVE)...........................................................................................................................................三、WEB 界面常用配置 .................................................................................................................................................1．系统管理配置 .....................................................................................................................................................A) 系统 > 基本信息 .............................................................................................................................................B) 系统 > 运行状态 .............................................................................................................................................C) 系统 > 配置维护 .............................................................................................................................................D) 系统 > 系统服务 .............................................................................................................................................E) 系统 > 开放服务 .............................................................................................................................................F) 系统 > 系统重启 ...............................................................................................................................................2．网络接口、路由配置 .........................................................................................................................................A) 设置防火墙接口属性 .........................................................................................................................................B) 设置路由.............................................................................................................................................................3．对象配置.............................................................................................................................................................A) 设置主机对象 .....................................................................................................................................................B) 设置范围对象 .....................................................................................................................................................C) 设置子网对象 .....................................................................................................................................................D) 设置地址组 .........................................................................................................................................................E) 自定义服务 .........................................................................................................................................................F) 设置区域对象 .....................................................................................................................................................G) 设置时间对象 .....................................................................................................................................................4．访问策略配置 .....................................................................................................................................................5．高可用性配置 .....................................................................................................................................................四、透明模式配置示例 .................................................................................................................................................拓补结构： ......................................................................................................................................................................1．用串口管理方式进入命令行.............................................................................................................................2．配置接口属性 .....................................................................................................................................................3．配置 VLAN ...........................................................................................................................................................4．配置区域属性 .....................................................................................................................................................5．定义对象.............................................................................................................................................................6．添加系统权限 .....................................................................................................................................................7．配置访问策略 .....................................................................................................................................................8．配置双机热备 .....................................................................................................................................................五、路由模式配置示例 .................................................................................................................................................拓补结构： ......................................................................................................................................................................1．用串口管理方式进入命令行.............................................................................................................................2．配置接口属性 .....................................................................................................................................................3．配置路由.............................................................................................................................................................4．配置区域属性 .....................................................................................................................................................6．配置访问策略.....................................................................................................................................................7．配置双机热备.....................................................................................................................................................一、防火墙的几种管理方式1．串口管理第一次使用网络卫士防火墙，管理员可以通过 CONSOLE口以命令行方式进行配置和管理。
天融信防火墙配置手册讲义
防火墙形态
类似于一台路由器设备，是一台特殊的计算机。
配置目标
以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各 区域的访问控制机制：
目标一： 了解访问策略的原理与作用。通过设置访问策略，测试Intranet（企
业内联网）,SSN（安全服务区，即DMZ（非军事区）,Internet（互联网） 区域之间访问控制机制。
1）把需要测试的目标主机操作系统中网关地址 (在网络属性中设置) 删 除。
2）在目标主机无网关情况下， 增加一个访问策略，允许本机（策略源） 访问该目标主机（策略目的），测试与该主机连接情况。
3) 进入‘高级管理’→‘通信策略’→ 增加本机（策略源）到该目标 主机（策略目的）的通讯策略，通信方式选择NAT方式。
（相当于二层交换） 而路由模式可以让不同网段在不同区域通过防火墙端口IP地址路由 进行通信。（三层交换作用）
了解防火墙的三种接入模式
1.透明模式（网络）
2.路由模式
• 路由模式
3.透明及路由的混合模式
透明网络结构
Web e-mail FTP
DMZ 区ຫໍສະໝຸດ 1.240192.168.1.110/120/130/140/150
4） 测试与该主机连通情况以及对方主机访问本机的连通情况。 5） 本机删除网关后，让对方主机增加网关，反过来再增加访问策略和 NAT进行测试。 说明：访问策略是权限的问题，通讯策略是路径的问题。 NAT都是单向访问，内网需要网关路由到外网，而外网不需路由到内网。 保护了内网的安全。 思考: NAT是作为源IP地址转换，NAT在整个转换过程中所起到的作用?
主机节点对象的建立
接下来在防火墙三个区域‘缺省权限’设为‘禁止访问’的情况下， 做以下步骤： STEP4: 主机节点对象建立
天融信防火墙安装配置手册
3.1 机房建筑要求 .......................................................................................................................8 3.2 机房室内环境要求 ...............................................................................................................9 3.3 供电要求.............................................................................................................................10 3.4 接地要求.............................................................................................................................10 3.5 其他配套设备 .....................................................................................................................10 3.6 工具仪表准备 .....................................................................................................................11 3.7 技术资料准备 .....................................................................................................................11
天融信防火墙常用命令
天融信防火墙常用命令天融信防火墙是一种网络安全设备，用于保护企业内部网络免受网络攻击和恶意软件的侵害。
在使用天融信防火墙时，我们需要掌握一些常用的命令，以便进行配置和管理。
下面将介绍几个常用的天融信防火墙命令。
一、show命令show命令用于查看防火墙的各种状态和配置信息。
例如，可以使用show running-config命令查看当前的配置文件内容。
show version命令则可以查看防火墙的硬件和软件版本信息。
通过使用show命令，管理员可以及时获取到防火墙的运行状态，以便进行故障排查和性能优化。
二、config命令config命令用于进入防火墙的配置模式，以便对防火墙进行各种配置操作。
例如，可以使用config system命令进入系统配置模式，然后使用config firewall命令进入防火墙策略配置模式。
在配置模式下，管理员可以对防火墙的各种功能进行详细的配置，如访问控制、NAT转换、VPN设置等。
三、set命令set命令用于设置防火墙的各种参数。
例如，可以使用set interface命令设置防火墙的接口参数，如IP地址、子网掩码、MTU等。
使用set policy命令可以设置防火墙的安全策略，如允许或禁止某个IP地址的访问。
通过使用set命令，管理员可以根据实际需求对防火墙进行个性化的配置。
四、get命令get命令用于获取防火墙的各种状态和配置信息。
例如，可以使用get system status命令获取防火墙的系统状态信息，如CPU利用率、内存使用情况等。
通过使用get命令，管理员可以实时监控防火墙的运行情况，以便及时发现和解决问题。
五、ping命令ping命令用于测试防火墙与其他设备之间的连通性。
例如，可以使用ping命令测试防火墙与某个服务器之间的网络延迟和丢包率。
通过使用ping命令，管理员可以快速判断网络连接是否正常，以便进行故障排查和网络优化。
六、diagnose命令diagnose命令用于进行防火墙的故障诊断。
天融信防火墙NGFW4000配置介绍材料
天融信防火墙NGFW4000快速配置手册目录一、防火墙的几种管理方式 (4)1．串口管理 (4)2．TELNET管理 (5)3．SSH管理 (5)4．WEB管理 (6)5．GUI管理 (7)二、命令行常用配置 (12)1．系统管理命令(SYSTEM) (12)命令 (12)功能 (12)WEBUI界面操作位置 (12)二级命令名 (12)V ERSION (12)系统版本信息 (12)系统>基本信息 (12)INFORMATION (12)当前设备状态信息 (12)系统>运行状态 (12)TIME (12)系统时钟管理 (12)系统>系统时间 (12)CONFIG (12)系统配置管理 (12)管理器工具栏“保存设定”按钮 (12)REBOOT (12)重新启动 (12)系统>系统重启 (12)SSHD (12)SSH服务管理命令 (12)系统>系统服务 (12)TELNETD (12)TELNET服务管理 (12)系统>系统服务命令 (12)HTTPD (12)HTTP服务管理命 (12)系统>系统服务令 (12)MONITORD (12)MONITOR (12)服务管理命令无 (12)2．网络配置命令(NETWORK) (13)3．双机热备命令(HA) (13)4．定义对象命令(DEFINE) (13)5．包过滤命令(PF) (13)6．显示运行配置命令(SHOW_RUNNING) (13)7．保存配置命令(SAVE) (13)三、WEB界面常用配置 (14)1．系统管理配置 (14)A)系统> 基本信息 (14)B)系统> 运行状态 (14)C)系统> 配置维护 (15)D)系统> 系统服务 (15)E)系统> 开放服务 (16)F)系统> 系统重启 (16)2．网络接口、路由配置 (16)A)设置防火墙接口属性 (16)B)设置路由 (18)3．对象配置 (20)A)设置主机对象 (20)B)设置范围对象 (21)C)设置子网对象 (21)D)设置地址组 (21)E)自定义服务 (22)F)设置区域对象 (22)G)设置时间对象 (23)4．访问策略配置 (23)5．高可用性配置 (26)四、透明模式配置示例 (28)拓补结构： (28)1．用串口管理方式进入命令行 (28)2．配置接口属性 (28)3．配置VLAN (28)4．配置区域属性 (28)5．定义对象 (28)6．添加系统权限 (29)7．配置访问策略 (29)8．配置双机热备 (29)五、路由模式配置示例 (30)拓补结构： (30)1．用串口管理方式进入命令行 (30)2．配置接口属性 (30)3．配置路由 (30)4．配置区域属性 (30)5．配置主机对象 (30)6．配置访问策略 (30)7．配置双机热备 (31)一、防火墙的几种管理方式1．串口管理第一次使用网络卫士防火墙，管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。
天融信防火墙NGFW4000配置手册[精品文档]
天融信防火墙NGFW4000快速配置手册目录一、防火墙的几种管理方式 (4)1．串口管理 (4)2．TELNET管理 (5)3．SSH管理 (6)4．WEB管理 (7)5．GUI管理 (8)二、命令行常用配置 (13)1．系统管理命令(SYSTEM) (13)命令 (13)功能 (13)WEBUI界面操作位置 (13)二级命令名 (13)V ERSION (13)系统版本信息 (13)系统>基本信息 (13)INFORMATION (13)当前设备状态信息 (13)系统>运行状态 (13)TIME (13)系统时钟管理 (13)系统>系统时间 (13)CONFIG (13)系统配置管理 (13)管理器工具栏“保存设定”按钮 (13)REBOOT (13)重新启动 (13)系统>系统重启 (13)SSHD (13)SSH服务管理命令 (13)系统>系统服务 (13)TELNETD (13)TELNET服务管理 (13)系统>系统服务命令 (13)HTTPD (13)HTTP服务管理命 (13)系统>系统服务令 (13)MONITORD (14)MONITOR (14)服务管理命令无 (14)3．双机热备命令(HA) (14)4．定义对象命令(DEFINE) (14)5．包过滤命令(PF) (14)6．显示运行配置命令(SHOW_RUNNING) (14)7．保存配置命令(SAVE) (14)三、WEB界面常用配置 (15)1．系统管理配置 (15)A)系统> 基本信息 (15)B)系统> 运行状态 (15)C)系统> 配置维护 (16)D)系统> 系统服务 (16)E)系统> 开放服务 (17)F)系统> 系统重启 (17)2．网络接口、路由配置 (17)A)设置防火墙接口属性 (17)B)设置路由 (19)3．对象配置 (21)A)设置主机对象 (21)B)设置范围对象 (22)C)设置子网对象 (22)D)设置地址组 (23)E)自定义服务 (23)F)设置区域对象 (24)G)设置时间对象 (24)4．访问策略配置 (25)5．高可用性配置 (28)四、透明模式配置示例 (30)拓补结构： (30)1．用串口管理方式进入命令行 (30)2．配置接口属性 (30)3．配置VLAN (30)4．配置区域属性 (30)5．定义对象 (30)6．添加系统权限 (30)7．配置访问策略 (31)8．配置双机热备 (31)五、路由模式配置示例 (32)拓补结构： (32)1．用串口管理方式进入命令行 (32)2．配置接口属性 (32)3．配置路由 (32)4．配置区域属性 (32)6．配置访问策略 (32)7．配置双机热备 (33)一、防火墙的几种管理方式1．串口管理第一次使用网络卫士防火墙，管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。
天融信防火墙nat和地址映射配置步骤
一、防火墙地址转换配置步骤（内网经过地址转换访问外网）
:
1，配置防火墙内网接口地址
3，配置防火墙默认网关：
4，在通讯策略里设置防火墙地址转换策略：
源：需要访问的网络目的：需要被访问网络通讯方式：NA T 5，在访问策略里设置允许内网地址访问外网：
策略源：内网（intranet）
策略目的：外网（internet）
策略服务：内网需要访问外网的什么服务端口（例如：网页80端口）
访问控制：允许
二、防火墙地址映射配置步骤（允许外网通过防火墙的地址映射访问内网的一台服务器）1，设置服务器内网地址对象：
2，设置服务器影射后的外网地址对象：
3，在通讯策略里设置地址映射策略：
源：外网（internet）目的：服务器映射外网地址通讯方式：MAP目标机器：服务器内部地址
4，在访问策略里设置允许外网访问内网服务器：
策略源：外网（internet）策略目的：服务器内网地址策略服务：服务端口策略动作：允许。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
路由模式的典型应用
Internet
202.99.88.1
ETH0：202.99.88.2
ETH1：202.99.88.3 ETH2：202.99.88.4 202.99.88.10/24 网段
外网、SSN、内网在同一个广
内部网 202.99.88.20/24 网段
播域，防火墙做透明设置。此 时防火墙为透明模式。
内容过滤
支持对HTTP、SMTP、POP3、IMAP、FTP等协议的深度内容过滤 支持URL过滤。 支持对移动代码如Java applet、Active-X、VBScript、Java script的过滤。 支持对邮件的收发邮件地址、文件名、文件类型过滤。 支持对邮件主题、正文、收发件人、附件名、附件内容等关键字匹配过滤。 支持GB2312、UTF-8等多种编码方式。可屏蔽受保护主机/服务器系统信息，如替换服 务器（FTP、SMTP、POP3、telnet,HTTP）的BANNER信息。
点选“高级”
选择源AREA－area_eth0
选择目的－“WEB服务器－MAP”
“服务”－“HTTP”
定义访问规则
定义好的两条访问策略
配置保存
点击防火墙管理页面右上角“保存”按钮，然后选择弹出对话框“确定”
即可保存当前配置
查看配置、导出配置
在“系统管理”－“维护”中进行防火墙当前配置的保存、下载、上传等操作
天融信防火墙产品 配置与维护
中国信息安全领导企业
May 21, 2013
防火墙基本应用
防火墙高级应用
防火墙常见问题与排除
综合实验案例介绍
防火墙简介
两个安全域之间通 信流的唯一通道
Internet
内部网 Sourc e Host A Host B Destinatio n Host C Permi t Pass Protoc ol TCP
策略路由
策略路由与静态路由都用于定义数据包转发规则，比传统路由控制能力更强，使用更灵活，根据 协议类型、应用、IP源地址或者其它的策略来选择转发路径。这种方式可以实现内部网络的指定对象 使用特定外部线路与外部网络通信，从而进一步增强了网络的通信安全。 需求1：电信和网通用户可以分别通过两个不同的 公网地址来访问企业内网的一台服务器；而且内 网服务器回复报文遵循电信用户使用电信出口， 网通用户使用网通出口的规则。
制定访问规则（1）
第一条规则定义“内网”可以访问互联网。源选择“内部子网_1”；目的可以选择目的区域 “AERA_ETH0”，也可以是“ANY[范围]”
制定访问规则（2）
定义访问规则（3）
第二条规则定义外网可以访问WEB服务器的映射地址，并只能访问TCP80端口。源选择 “AERA_ETH0”、目的选择”WEB服务器—MAP“地址。转换前目的选择”WEB服务器 “（服务器真实的IP地址）
防火墙高级应用－做DHCP客户端
网络卫士防火墙可以作为DHCP 客户端，接口可以自动获取某个IP 地址。在这种 情况下，网络卫士防火墙的某些接口或全部接口将由DHCP 服务器动态分配IP 地 址。
设置要自动获得IP 地址的接口，点击“运行”后该接口将从DHCP 服务器自 动获取IP 地址。 要禁止接口获得IP 地址，点击“停止”，该接口将停止从DHCP 服务器自动 获取IP 地址。
在这种模式下，网络卫士防火墙类似于一台路由器转发数据包，将接收到的数据包 的源MAC 地址替换为相应接口的MAC 地址，然后转发。该模式适用于每个区域都不在
同一个网段的情况。和路由器一样，网络卫士防火墙的每个接口均要根据区域规划配
置IP 地址。
综合模式(透明+路由功能)
顾名思义，这种模式是前两种模式的混合。也就是说某些区域（接口）工作在透明 模式下，而其他的区域（接口）工作在路由模式下。该模式适用于较复杂的网络环境
案例介绍-内容过滤
需求：
开启DPI过滤 禁止访问sina和sohu； 开启应用程序识别 每周一到周五上午9：00－17：00禁止使用QQ/BT; 其他时间可以使用QQ/MSN
案例介绍-URL过滤
URL过滤配置要点： DPI应用端口绑定 添加URL对象 添加HTTP过滤策略 引用到访问控制
防火墙的基本应用
配置防火墙接口IP及区域默认权限 设置路由表及默认网关
定义防火墙的路由模式
定义防火墙的透明模式 定义网络对象 制定访问控制策略 制定地址转换策略（通讯策略）
保存和导出配置
定义区域
在“对象”－”区域对象“中定义防火墙3个区域（接口）的默认权限为”禁止访问“
定义区域的服务
此时整个防火墙工作于透明+路由模式 ，我们称之为综合模式或者混合模式
192.168.7.0/24 网段
在配置防火墙之前的准备
1、路由走向(包括防火墙及其相关设备的路由调整)确定防火墙的工作模式：路由、透明、综合
2、IP地址的分配(包括防火墙及其相关设备的IP地址分配)根据确定好的防火墙的工作模式给防 火墙分配合理的IP地址
设置缺省网关时， 源和目的一般为全“0” 防火墙的缺省网关在静态 路由时，必须放到最后一条 路由
定义对象－主机对象
点击：”资源管理“－“地址”－“主机”，点击右上角“添加”
定义对象－主机对象
主机对象中可以定义多个IP地址
定义对象－地址对象和子网对象
定义地址转换（通信策略）
根据前面的需求如果内网要访问外网，则必须定义NAT策略；同样外网
3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型)
4、要达到的安全目的(即要做什么样的访问控制)
防火墙的工作状态
网络卫士防火墙的硬件设备安装完成之后，就可以上电了。在工作过程中，用户
可以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态，具体请见下 表：
防火墙的管理方式
需求2：内网服务器172.16.98.222访问外网使用电 信线路，其他使用网通。
策略路由
配置要点： 添加路由绑定属性 添加路由条目
应用程序识别
IM实现方式及功能
支持协议：QQ、MSN、SKYPE； 实现内容：禁止IM客户端登陆； 实现方式：根据登陆过程的协议特征进行判断； P2P实现方式及功能 支持协议：BT、eDonkey； 实现内容：禁止下载、QOS限制和连接数限制； 实现方式：根据数据开始特征进行判断
透明模式的典型应用
Internet
202.99.88.1
ETH0：202.99.88.2
ETH1：202.99.88.3 ETH2：202.99.88.4 202.99.88.10/24 网段
外网、SSN、内网在同一个广
内部网 202.99.88.20/24 网段
播域，防火墙做透明设置。此 时防火墙为透明模式。
串口(console)管理方式：
用户名superman，口令：talent,用passwd修改管理员密码，请牢记 修改后的密码。
WEBUI管理方式：
超级管理员:superman，口令:talent
TELNET管理方式：
模拟console管理方式，用户名superman，口令：talent
Host C
Block
UDP
根据访问控制规则决 定进出网络的行为
一种高级访问控制设备，是置于不同网络安全域之间的一系列部件的组合，它是不同网络安 全域间通信流的唯一通道，能根据企业有关的安全政策控制（允许、拒绝、监视、记录）进 出网络的访问行为。
防火墙提供的通讯模式
透明模式(提供桥接功能)
在这种模式下，网络卫士防火墙的所有接口均作为交换接口工作。也就是说， 对于同一VLAN 的数据包在转发时不作任何改动，包括IP 和MAC 地址，直接把包 转发出去。同时，网络卫士防火墙可以在设置了IP 的VLAN 之间进行路由转发。 路由模式(静态路由功能)
要访问WEB服务器的映射地址，也要定义MAP策略 定义NAT策略，选择源为已定义的内部子网，目的为“AERA_ETH0”区域
转换地址要选择”源地址转换为“ETH0”，也就是防火墙外网接口IP地址；
也可以选择定义好的“NAT地址池”（在“对象”－“地址范围中定义”）
配置MAP（映射）策略，源选择外网区域“area_eth0”
防火墙高级应用－链路备份
用户环境为双出口链路时，天融信防火墙实时监视整个链路的工作情况，一旦发现异常，就立 即启动“链路备份”功能自动切换到另一条备用链路，以确保网络的正常通信。
防火墙的TELNET管理方式
通过TELNET方式管理防火墙：
防火墙的配置思路
网络卫士防火墙配置思路：
一、配置网络连通
1.配置区域和接口 2.配置路由 3.配置地址转换
二、配置安全控制
1.规划好需要制定什么样的访问策略 2.配置访问控制 3.调整安全参数（管理员、密码等）
拓朴描述
原有网络
网络规划后
综合接入模式的典型应用
两接口在不同网段， 防火墙处于路由模式
202.11.22.1/24 网段
ETH0：202.11.22.2
ETH1：192.168.7.102 ETH2：192.168.7.2 192.168.1.100/24 网段
两接口在不同网段， 防火墙处于路由模式
两接口在同一网段， 防火墙处于透明模式
目的选择映射后的公网IP地址（也就是WEB服务器－MAP），目的地址转换为必须选择服务 器映射前的IP（也就是WEB服务器的真实IP地址），选择“WEB服务器”主机对象即可。
定义地址转换（通信策略）
设置好的地址转换策略（通信策略）
第一条为内网访问外网做NAT；（源转换）
第二条为外网访问WEB服务器的映射地址，防火墙把包转发给服 务器的真实IP；（目的转换）