天清汉马USG防火墙(P系列)Web界面操作手册
Web 界面操作手册
手册版本 产品版本 资料状态
V1.0 V2.6.3.3 发行
版权声明
启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。
本手册的版权归启明星辰公司所有。未得到启明星辰公司书面许可，任何人 不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传 播、翻译成其他语言、将其部分或全部用于商业用途。
天清汉马 USG 防火墙（P 系列）
Web 界面操作手册
天清汉马 USG 防火墙（P 系列）
Web 界面操作手册
北京启明星辰信息安全技术有限公司 Beijing Venus Information Security Inc.
二零一三年四月
天清汉马 USG 防火墙（P 系列）
Web 界面操作手册
天清汉马 USG 防火墙（P 系列）
免责声明
本手册依据现有信息制作，其内容如有更改，恕不另行通知。启明星辰公司 在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本 手册中的遗漏、不准确或错误导致的损失和损害承担责任。
User’s Manual Copyright and Disclaimer
Copyright
Copyright Venus Info Tech Inc. All rights reserved. The copyright of this document is owned by Venus Info Tech Inc. Without the prior written permission obtained from Venus Info Tech Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part.
User’s Manual Copyright and Disclaimer............................................................................. II
Copyright..................................................................................................................................... II Disclaimer................................................................................................................................... II 章节目录............................................................................................................................................I 图目录.......................................................................................................................................... VIII 表目录.......................................................................................................................................... XIX 第 1 章 前言...................................................................................................................................ument and the information contained herein is provided on an “AS IS ” basis. Venus Info Tech Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Tech Inc. shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.
天清汉马 USG 防火墙（P 系列）
Web 界面操作手册
章节目录
Web 界面操作手册........................................................................................................................ II
天清汉马USG-FW系列_快速安装指南
天清汉马USG防火墙快速安装指南北京启明星辰信息安全技术有限公司Beijing Venus Information Security Inc.二零零九年六月天清汉马USG防火墙快速安装指南手册版本V3.0产品版本V2.6.3.0资料状态发行版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。
本手册的版权归启明星辰公司所有。
未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。
免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。
启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。
User’s Manual Copyright and DisclaimerCopyrightCopyright Venus Info Security Inc. All rights reserved.The copyright of this document is owned by Venus Info Security Inc. Without the prior written permission obtained from Venus Info Security Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. DisclaimerThis document and the information contained herein is provided on an “AS IS”basis. Venus Info Security Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Security Inc. shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.副本发布声明启明星辰公司的USG产品正常运行时，包含3款GPL协议的软件（linux、zebra、OpenLDAP）。
20131028_天清汉马USG-FW-P系列防火墙技术白皮书_V6.0
... 天清汉马USG-FW- P系列防火墙技术白皮书二零一三年十月.目录1概述 (1)2天清汉马USG防火墙产品特点与技术优势 (7)2.1智能的VSP通用安全平台 (7)2.2高效的USE统一安全引擎 (8)2.3高可靠的MRP多重冗余协议 (9)2.4完备的关联安全标准 (17)2.5基于应用的内容识别控制 (15)2.5.1智能匹配技术 (15)2.5.2多线程扫描技术 (15)2.5.3应用感控技术 (16)2.6精确细致的WEB过滤技术 (16)2.7可信架构主动云防御技术................................................................................... 错误!未定义书签。
2.8IP V6包状态过滤技术 (18)3天清汉马USG防火墙产品主要功能 (22)4典型组网 (29)4.1政府行业 (29)4.1.1电子政务网 (29)4.1.2政府专网 (30)4.2教育行业 (31)4.2.1高教校园网 (31)4.2.2中/基教教育城域网 (32)4.3企业市场 (33)4.3.1中小企业 (33)4.3.2大型企业 (34).1概述诞生20多年来，网络已经在全球经济中扎根发芽，蓬勃成长为参天大树，对各个行业的发展起着举足轻重的作用。
随着时间的推移，网络的安全问题也日益严重，在开放的网络环境中，网络边界安全成为网络安全的重要组成部分。
在网络安全的术语里，有一个名词叫做“安全域”，其主要作用就是将网络按照业务、保护等级、行为等方面划分出不同的边界，定义出各自的安全领域。
举个简单的例子，在PC上安装了相关的杀毒软件，PC本身就是一个最简单的安全域。
对于单位用户，安全域往往由若干网络设备和用户主机构成，其边界安全主要在于与互联网的边界、与其他业务网络的边界等。
防火墙是解决网络边界安全的重要设备，它主要工作在网络层之下，通过对协议、地址和服务端口的识别和控制达到防范入侵的目的，可以有效的防范基于业务端口的攻击。
天清汉马USG防火墙
天清汉马USG防火墙
叶小铭 启明星辰产品经理
概述
随着时间的推移，网络的安全问题也日益严重， 在开放的网络环境中，网络边界安全成为网络安 全的重要组成部分 防火墙是解决网络边界安全的重要设备，它主要 工作在网络层之下，通过对协议、地址和服务端 口的识别和控制达到防范入侵的目的，可以有效 的防范基于业务端口的攻击。 天清汉马USG防火墙可通过软件升级的方式，获 得对完整的UTM特性的支持，包括防病毒（AV）、 入侵防御（IPS）、防垃圾邮件（Anti-Spam） 和内网安全功能。
谢谢
智能内容过滤技术
企业应用
署天清汉马USG防火墙让企业用户可以在一个统一的架构 上建立自己的安全基础设施：将天清汉马USG防火墙产品 部署在总部和分支机构网络Internet出口，同时可作为 VPN网关，各分支机构与总部之间开启VPN隧道，保证相 互间通信的保密性。SOHO员工和在外出差的员工可以在 任何时候通过VPN客户端与总部的天清汉马USG防火墙建 立VPN隧道，访问公司内部的资源，实现高效安全的网络 应用。 天清汉马USG防火墙提供统一管理平台，可以通过信息中 心统一管理所有的USG设备，并提供详尽直观的报表，能 够让管理员迅速了解到整个网络的存在的安全风险和趋势， 为决定如何制定安全策略提供依据。
产品特点
完美的防火墙特性 安全丰富的VPN使组网变得简单 通过集中管理与数据分析中心实现对多台 设备的统一管理、实时监控、集中升级和 拓扑展示 可软件升级为UTM
天清汉马USG防火墙(T系列)快速安装指南-v3
天清汉马USG防火墙－快速安装指南天清汉马USG防火墙（T系列）快速安装指南北京启明星辰信息安全技术有限公司Beijing Venus Information Security Inc.二零一六年11月天清汉马USG防火墙快速安装指南手册版本V1.0产品版本V2.0资料状态发行版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。
本手册的版权归启明星辰公司所有。
未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。
免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。
启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。
User’s Manual Copyright and DisclaimerCopyrightCopyright Venus networks Co.Ltd All rights reserved.The copyright of this document is owned by Venus networks Co.Ltd. Without the prior written permission obtained from Venus networks Co.Ltd., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. DisclaimerThis document and the information contained herein is provided on an “AS IS”basis. Venus networks Co.Ltd may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared Venus networks Co.Ltd with reasonable care and is believed to be accurate. However, Venus networks Co.Ltd shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.副本发布声明启明星辰公司的天清汉马USG防火墙产品正常运行时，包含2款GPL协议的软件（linux、zebra）。
天清汉马USG系列
天清汉马USG系列(适合软件版本V2.0)1.功能参数：四个千兆电口四个可扩展千兆光口SFP ；最大并发连接数不低于200万；每秒新建连接数不少于4万；最大吞吐量（Mbps）不低于2000M ；A V吞吐量400M；168位3DES加密（Mbps）不低于300M；VPN隧道数不少于2,000 ；无限制用户数2.防火墙特性：具有状态检测包过滤；完全的应用层检测；IP与MAC地址绑定；MAC 地址过滤；能与IDS联动；防拒绝服务攻击和防扫描（支持Jolt2/Land-base/ping of death/syn flag/Tear drop/winnuke/smurf/TCP flag/ARP攻击/TCP扫描/UDP扫描/ping扫描）；连接数限制；临时阻断；ARP主动探测3：接口管理：工作速率管理：可以设置接口为全双工、半双工、10/100/1000速率；MTU 管理；地址模式管理√（可以选择接口地址来源：静态输入、DHCP、PPPoE拨号）访问控制管理√（控制接口被访问方式：Ping,Https,Http,SSH,Telnet,集中管理）接入控制管理√（控制通过接口进行接入：SSL VPN 、L2TP、Web认证）辅IP √（用户可以对某具体物理接口定义多个辅IP）接入模式透明（桥）；路由；混合模式；智能接入模式判断√（用户无需进行接入模式的判断与选择，可以只需按照网络周边环境要求，配置设备网络信息，设备即可自行进行模式选择）NA T ；路由功能静态路由；策略路由；多W AN口链路支持；多W AN口链路互为备份；OSPF动态路由；RIP动态路由√(RIP V1/V2)NA T功能源地址转换（多对一/SNA T）；目的地址转换（一对一/DNA T）；目的端口转换（一对多/PA T）；地址池（多对多/IP POOL）；基于策略的NA T ；H.323协议NA T穿越；DHCP DHCP服务器；DHCP中继；DHCP客户端；地址排除；硬件地址绑定；DHCP服务器指定客户机网关及DNS、WINS服务器；VLAN（802.1q）VLAN路由终结；VLAN透传；高可用性（HA）双机热备√(支持主-主和主备模式)负载分担；支持透明模式下的HA ；链路监测；网关监测；配置自动同步；连接会话同步；入侵检测库同步；病毒库同步；支持ADSL拨号；用户认证本地认证支持本地建立用户和组RADIUS认证通过RADIUS服务器认证客户端WEB流量管理与带宽控制优先级高、中、低三级基于策略的流量控制；基于主机的流量控制；针对P2P的流量控制；带宽保证√(只通过命令行提供)VPN GRE ；SSL VPN ；IPSec 需要客户端软件L2TP 路由模式下加密算法DES、3DES、AES认证算法SHA-1、MD5完美向前保护（PFS）√（采用短暂的一次性密钥的系统）手动认证方式；IKE认证方式；对端状态检测（DPD）√失效同层检测(Dead Peer Detection DPD)功能,能够通过自动感应和重新建立失败的VPN连接,进而增加正常运行时间、确保接入以及减少用户的工作量全动态VPN ；VPN实时监控；双向NA T穿越；基于数字证书的VPN应用；VPN硬件加速√(USG-300B和D系列不支持)VPN加密卡（国密算法）√(USG-300B和D系列不支持)与第三方标准VPN产品兼容；基于Web的SSL VPN应用；基于Agent的SSL VPN应用√（支持服务端口固定的应用）Tunnel模式的SSL VPN应用；SSL VPN客户端准入控制检查；内容过滤支持URL过滤；URL免屏蔽列表；网页内容过滤；脚本、Cookie过滤；Web代理过滤√(禁止HTTP代理)邮件地址过滤；MIME邮件报头检查；邮件的附件屏蔽；邮件大小过滤；基于策略的内容过滤；反垃圾邮件IP地址黑白名单；发件人黑白名单；邮件主题过滤；网关病毒过滤过滤方式全面过滤病毒库分类启用√(流行库、高危库、普通库)信息替换对携带病毒的邮件以及HTTP协议进行信息替换，提醒用户该数据流携带病毒已经被阻断。
20080218_天清汉马USG系列_HA配置指南_V1.1
北京启明星辰信息技术有限公司
i
ห้องสมุดไป่ตู้清汉马 USG－HA 配置指南
1 2 3
目 录 版本信息................................................................................................................................... 1 技术简介................................................................................................................................... 1 常见组网方案及配置............................................................................................................... 3 3.1 HA 主备路由模式 .................................................................................................... 3 3.1.1 配置要求 ........................................................................................................... 3 3.1.2 配置过程 ........................................................................................................... 3 3.1.3 配置步骤 ........................................................................................................... 4 3.1.3.1. 相关说明 ........................................................................................... 4 3.1.3.2. 配置步骤 ........................................................................................... 4 3.1.4 注意事项 ........................................................................................................... 5 3.2 HA 主备 NAT 模式 .................................................................................................. 6 3.2.1 配置要求 ........................................................................................................... 6 3.2.2 配置过程 ........................................................................................................... 7 3.2.3 配置步骤 ........................................................................................................... 7 3.2.4 注意事项 ........................................................................................................... 8 3.3 HA 主备透明模式 .................................................................................................... 9 3.3.1 配置要求 ........................................................................................................... 9 3.3.2 配置过程 ........................................................................................................... 9 3.3.3 配置步骤 ......................................................................................................... 10 3.3.4 注意事项 ......................................................................................................... 12 3.4 HA 主备 IPSec 隧道............................................................................................... 12 3.4.1 配置要求 ......................................................................................................... 13 3.4.2 配置过程 ......................................................................................................... 13 3.4.3 配置步骤 ......................................................................................................... 13
天清汉马USG防火墙(P系列)测试方案
天清汉马USG防火墙（P系列）选型测试方案2013年11月目录一、前言 (6)二、选型原则 (6)2.1管理维护功能简单易用 (6)2.2入侵防护功能精准全面 (6)2.3病毒防护功能安全性高 (6)2.4上网行为管理可用实用 (6)2.5反垃圾邮件功能准确有效 (6)2.6主动防御安全防挂马 (7)2.7漏洞扫描监控主机安全 (7)2.8虚拟防火墙节省开销方便布局 (7)2.9日志呈现方式简洁易懂 (7)2.10性能满足发展要求 (7)2.11数据连续性保障方式多 (7)三、评测依据 (7)四、评测内容 (8)五、评测方法分类 (8)7.1第一类：一般项目 (8)7.2第二类：重要项目 (8)7.3第三类：关键项目 (9)六、测试环境及工具 (10)七、测试方案 (11)1.管理维护功能 (11)2.反垃圾邮件 (24)3.主动防御 (25)4.漏洞扫描功能 (26)5.虚拟防火墙 (26)6.日志与报表 (29)7.性能测试 (31)8.可靠性 (33)附件一：防火墙评测结果汇总表 (36)附件二：测试结论 (1)测试大纲测试项目测试分项目测试编号测试子项目管理维护功能系统管理1.1.1 系统管理1.1.2 WEB界面CLI控制台1.1.3 管理员账号划分权限配置文件管理 1.2.1 配置文件的备份和恢复接口管理1.3.1 路由接口1.3.2 桥接口1.3.3 Trunk接口1.3.4 单臂路由接口1.3.5 3G设备1.3.6 WIFI设备1.3.7 网口镜像路由功能1.4.1 静态路由1.4.2 默认路由（负载均衡）1.4.3 ISP路由1.4.4 OSPF动态路由1.4.5 RIP动态路由1.4.6 OSPFV3动态路由1.4.7 RIPNG动态路由工作模式1.5.1.透明模式1.5.2.路由模式1.5.3.混合模式1.5.4.旁路模式监控与排错1.6.1.排错1.6.2.设备监控反垃圾邮件功能垃圾邮件过滤2.1.1.邮件地址黑名单过滤2.1.2.主题关键字过滤主动防御主动防御挂马网站3.1.1.挂马网站拦截漏洞扫描功能服务探测 4.1.1.常见端口扫描虚拟防火墙虚拟墙的规则使用5.1.1.虚拟墙的独立规则5.1.2.虚拟墙的共享规则虚拟墙的管理权限5.2.1.虚拟墙独立用户管理5.2.2.系统管理员用户管理日志与报表日志功能6.1.1.内存日志6.1.2.Syslog日志6.1.3.日志查询报表 6.2.1.报表分析性能测试转发性能测试7.1.1.应用层吞吐量连接性能测试7.2.1.并发连接数7.2.2.新建连接速率可靠性Bypass 8.1.1.硬件Bypass HA功能8.2.1.负载均衡双系统管理8.3.1 双系统备份恢复一、前言本方案以业界防火墙产品的通用功能作为参考，提供公正、专业的测试方案，为企业选购防火墙提供参考。
20090905_天清汉马USG系列_NAT配置指南_V3.0
天清汉马 USG 一体化安全网关
NAT 配置指南
(V 3.0)
北京启明星辰信息安全技术有限公司 Beijing Venustech Cybervision Co.,Ltd. 二零零九年九月
北京启明星辰信息安全技术有限公司 i
北京启明星辰信息安全技术有限公司
ii
天清汉马 USG－NAT 配置指南
1 2 3
4
5
目 录 版本信息..................................................................................................................................... 1 技术简介..................................................................................................................................... 1 常见组网方案与配置.................................................................................................................2 3.1 源 NAT 转换.............................................................................................................. 2 3.1.1 多对一.................................................................................................................2 3.1.1.1. 建立内部地址对象............................................................................ 2 3.1.1.2. 建立 NAT 表项.................................................................................. 3 3.1.1.3. 建立相关安全策略............................................................................ 3 3.1.2 多对多.................................................................................................................4 3.1.2.1. 建立内部地址对象............................................................................ 4 3.1.2.2. 建立 NAT 地址池.............................................................................. 5 3.1.2.3. 建立 NAT 表项.................................................................................. 5 3.1.2.4. 建立相关安全策略............................................................................ 5 3.1.2.5. 注意事项............................................................................................ 6 3.2 目的地址转换.............................................................................................................6 3.2.1 目的端口转换.................................................................................................... 7 3.2.1.1. 建立地址对象.................................................................................... 7 3.2.1.2. 建立 NAT 地址池.............................................................................. 8 3.2.1.3. 建立 NAT 表项.................................................................................. 8 3.2.1.4. 建立相关安全策略............................................................................ 9 3.2.1.5. 注意事项.......................................................................................... 10 3.2.2 目的地址转换.................................................................................................. 10 3.2.2.1. 建立地址对象.................................................................................. 10 3.2.2.2. 建立 NAT 地址池............................................................................ 11 3.2.2.3. 建立 NAT 表项................................................................................ 11 3.2.2.4. 建立相关安全策略.......................................................................... 12 3.2.2.5. 注意事项.......................................................................................... 13 3.2.3 静态 NAT 转换................................................................................................ 13 3.2.3.1. 建立内部服务器地址...................................................................... 13 3.2.3.2. 建立 NAT 表项................................................................................ 13 3.2.3.3. 建立相关安全策略.......................................................................... 14 3.2.3.4. 注意事项.......................................................................................... 14 特殊网络拓扑解决方案...........................................................................................................15 4.1 常见 DNAT 应用方案一......................................................................................... 15 4.2 常见 DNAT 应用方案二......................................................................................... 16 与其他相关模块配合使用.......................................................................................................16 5.1 NAT 与 IPSEC 隧道共同使用................................................................................ 16 5.1.1 注意事项...........................................................................................................17 5.2 源 NAT 与 L2TP（L2TP+IPSEC）........................................................................17 5.2.1 注意事项...........................................................................................................17 5.3 目的 NAT 与 L2TP.................................................................................................. 18 5.3.1 注意事项...........................................................................................................18 5.4 目的 NAT 与 L2TP+IPSEC................................................................................南
天清汉马USG-FW系列_快速安装指南
天清汉马USG防火墙快速安装指南北京启明星辰信息安全技术有限公司Beijing Venus Information Security Inc.二零零九年六月天清汉马USG防火墙快速安装指南手册版本V3.0产品版本V2.6.3.0资料状态发行版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。
本手册的版权归启明星辰公司所有。
未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。
免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。
启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。
User’s Manual Copyright and DisclaimerCopyrightCopyright Venus Info Security Inc. All rights reserved.The copyright of this document is owned by Venus Info Security Inc. Without the prior written permission obtained from Venus Info Security Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. DisclaimerThis document and the information contained herein is provided on an “AS IS”basis. Venus Info Security Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Security Inc. shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.副本发布声明启明星辰公司的USG产品正常运行时，包含3款GPL协议的软件（linux、zebra、OpenLDAP）。
天清汉马USG一体化安全网关(P系列)产品介绍PPT-V6.0
80
65 16
中
4000EP系列
大
型
用
户
10G 38
12600GP系列
大于20G 46
1000DP系列
中
3.5G
小
型
用
户
2000DP系列
5G
1008DP
准千兆系列
部
门
2G
级
吞吐3G,并发200万 默认6个千兆电口
+12个千兆combo口 1U，接口不可再扩展
Th谢an谢ks！
洞的攻击防御能力
2004年
2009年
2014年
目
▉ 当前的安全态势
▉ 网关的需求发展
录
▉ 星辰网关新特性
大策略 大策略集
大地址 大地址对象
多服务映射 多服务对象
大策略管理智能
大地址管理智能
多服务管理智能
别名设备定义：支持 4000多条别名设备
链路聚合：支持 802.3ad、轮询、热 备、静态等多种模式。 其中802.3ad支持 MAC、MAC&IP、 IP&PORT.
网关与私有云检测中心协同防御
本地600W+病毒库
云端沙箱动态分析
本地3000+入侵特征库
云端亿级黑白名单库
关键数据保障病毒检出能力
黑白名单
黑名单：1.06亿 白名单：6300万
静态检测
覆盖16万个大的病 毒家族；
超过8000万个病毒 变种。
动态分析
超过180种典型恶 意行为组合识别；
涵盖格式溢出、自 删除、请求驱动加 载、镜像劫持等关
功能是基于同样的控制条件 在一条策略里面实现 防火墙控制与应用过滤是实时发生的