天融信防火墙NGFW4000配置手册

合集下载

天融信NGFW4000参数

防火墙技术附件一．背景目前，公司使用防火墙为CISCO PIX-525型防火墙，于2004年购买使用至今，已经使用了多年。

随着信息技术的迅猛发展，目前的防火墙从性能、功能、管理等方面的劣势逐渐显现出来。

二．目标为了更好提升公司网络安全和满足各种功能和性能的要求，需要更新现有防火墙系统。

对网络吞吐量、最大并发连接数、可扩展能力、访问控制能力、可靠性、抗攻击能力、日志审计功能、管理能力及VPN等功能提出了更高的要求。

三．功能要求（一）功能描述设备功能应包括以下几方面：接入方式、访问控制、地址转换、认证方式、链路备份、高可用性、抗攻击能力、日志审计功能、VPN功能、语音通讯功能。

（二）技术要求1.端口数量和扩展能力：满足4个光口和4个10/100/1000BASE-T接口。

2.网络吞吐量：不少于12Gbps3.最大并发连接数：不少于220万4.每秒最大新建连接数：不少于10万5.接入方式：可以提供对复杂环境的接入支持，包括路由、透明以及混合接入模式。

6.访问控制：a)支持基于源IP地址、目的IP地址、源端口、目的端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC地址等多种方式进行访问控制；b)能够支持HTTP、SMTP、POP3、FTP等协议的深度过滤；c)动态端口支持协议H.323、SIP、FTP、RTSP、SQL*NET、MMS、TFTP、RPC等；d)支持对MSN，QQ等IM应用通信的连接统计,支持对指定IP地址的IM应用通信的连接统计；e)可屏蔽受保护主机/服务器系统信息，可以替换服务器(FTP、SMTP、POP3、Telnet、HTTP)的BANNER信息；f)可限制BT、eMule、eDonkey、讯雷等多种P2P应用，可以统计P2P流量和连接数，可以控制P2P流量的带宽；g)具有IP/MAC绑定功能。

h)支持MSN、QQ、新浪UC、阿里旺旺、google talk等Instant Messenger通信，并可以对于这些应用进行登陆限制,支持根据登陆等帐号进行登陆限制；7. 网络地址转换：有完善的地址转换能力，可以支持正向、反向地址/端口转换、双向地址转换等，能够提供完整的地址转换解决方案。

天融信NGFW4000-uf参数

防火墙应符合以下功能要求1、防火墙应支持多种工作模式:透明、路由以及透明加路由的综合模式。

2、防火墙的访问控制策略能够基于源、目IP地址,源、目端口号和时间进行设置。

3、采用硬件及软件功能模块化技术;4、支持服务器的SYN代理功能;5、支持根据认证用户的名称进行匹配通信策略;6、防火墙支持在透明模式下nat/map的功能;7、防火墙支持web重定向功能;8、防火墙支持DHCP作为客户端和服务器;9、防火墙默认管理端口可以更改;10、支持TOPSEC协议,能够与第三方安全产品进行很好的联动,尤其是与IDS产品和URL产品的联动。

11、应支持802.1Q、Cisco ISL等VLAN协议,并能支持ISL的封装和解封的功能,支持STP(生成数协议)。

12、支持WATCH DOG电路,能够实现防火墙的自动检测和恢复。

13、支持基于服务器的负载均衡技术,支持基于数据库的长连接应用14、支持与RADIUS、CA、OTP服务器的联动15、防火墙应采用先进的状态检测技术与核检测技术。

16、可支持动态、静态、双向的网络地址转换(NAT)。

17、具备完善的日志功能,能够提供日志自动导出功能,支持向日志服务器导出日志,提供标准化的日志。

18、应支持常见的动态路由协议,如OSPF、RIP、RIPII。

19、防火墙应支持SNMP协议V3版本,同时提供相应的MIB库文件, 能通过第三方网管软件对防火墙进行监测和控制。

20、要求能够提供基于源地址和目的地址的路由功能。

满足的性能要求:1、最大并发连接数不低于1,200,000。

2、带宽管理、与IDS联动3、吞吐量不低于2G4、平均无故障时间MTBF:不低于60000小时。

5、三年免费软件升级及服务6、认证级别要达到EAL3。

天融信防火墙配置手册

止。 8）通过包过滤策略，禁止本机访问INTERNET,策略服务为
TCP:80(HTTP服务)，测试能否连入互联网。 9) PING 某一网站域名(网址），记住其IP地址，通过访问策略禁止本机
PING此IP地址。
下半部份
二、通过防火墙透明模式测试区域网络的访问控制：说明：防火墙透明模式可以让同一网段在不同区域的主机进行通信。
1）把需要测试的目标主机操作系统中网关地址 (在网络属性中设置) 删除。
2）在目标主机无网关情况下，增加一个访问策略，允许本机（策略源）访问该目标主机（策略目的），测试与该主机连接情况。
3) 进入‘高级管理’→‘通信策略’→ 增加本机（策略源）到该目标主机（策略目的）的通讯策略，通信方式选择NAT方式。
(6) 在‘网络’→‘区域’，设置所有区域缺省权限为允许，再建立一个访问策略，禁止PING对方某一主机的访问策略。测试与对方主机的连通性。
7）根据需要，自行定义策略，设置权限。说明：如果选择整个区域，如选择‘INTRANET区域”，则指包括连入INTRANET内的所有主机。
可以通过策略的优先级，把范围小的策略优先级设置为高于范围大的策略，能够有效控制不同区域之间的访问对象和策略服务。这样先满足范围小的策略，超过这个范围则再受到范围大的策略限制。
主机节点对象的建立
接下来在防火墙三个区域‘缺省权限’设为‘禁止访问’的情况下，做以下步骤： ➢STEP4: 主机节点对象建立
高级管理→网络对象→本主机所在区域→定义新对象→定义节点把本主机IP地址定义为一个节点。定义名称可任意，物理地址可不填。说明：定义对象应在该对象所在区域内设置。本机在哪个区域，则在那个区域内设置。定义节点针对一个主机定义，定义子网可定义一个网络地址段。定义对象没有任何权限的作用，只有通过访问策略（STEP5 设置）调用这些对象才能设置权限。

天融信NGFW安装手册

手册中涉及的其他公司的注册商标或是版权属各商标注册人所有，恕不逐一列明。

TOPSEC® 天融信公司信息反馈目录目录1前言 (1)1.1文档目的 (1)1.2读者对象 (1)1.3约定 (1)1.4相关文档 (3)1.5技术服务体系 (3)1.6文档意见反馈 (3)2安装NGFW (4)2.1系统组成 (4)2.1.1系统组成 (4)2.1.2产品外观 (4)2.1.3设备电源 (5)2.2安装前准备工作 (6)2.2.1随机附件 (6)2.2.2环境要求 (6)2.2.3防静电要求 (6)2.2.4检查机架 (7)2.3硬件设备安装 (7)2.3.1安置于平台上 (7)2.3.2安装到机柜中 (7)2.4安装后的检查 (8)3登录NGFW (10)3.1缺省出厂配置 (10)3.2通过C ONSOLE口登录 (11)3.3通过其他方式登录 (13)3.3.1登录前配置 (13)3.3.2通过浏览器登录 (14)3.3.3通过SSH方式登录 (14)4系统维护 (16)4.1系统升级 (16)4.2规则库升级 (19)5FAQ (22)1前言本安装手册主要介绍天融信下一代防火墙（Next Generation Firewall，本文档简称NGFW）的安装和使用。

通过阅读本文档，用户可以了解如何正确地在网络中安装NGFW，并进行简单配置。

本章内容主要包括：●文档目的●读者对象●约定●相关文档●技术服务体系●文档意见反馈1.1文档目的本文档主要介绍如何安装NGFW及其相关组件，包括天融信下一代防火墙安装和扩展模块安装等。

配置天融信NGFW4000防火墙双机热备策略

将此防火墙设置为从防火墙模式，且把防火墙的ID号设置为1。

e. 第三步是通过防火墙管理软件连接上防火墙，可按实际网络环境需要配置相应的访问策略（如有疑问请参看“防火墙4000访问策略和通信策略”相关文档或DEMO演示）；
f. 接下来在防火墙管理器中点击“工具”→“配置管理” 中的“同步”按钮，使得主从防火墙的状态保持一致；
g. 以上步骤完成以后，防火墙即进入双机热备状态：一旦主防火墙系统出现故障或主传输线路中断时，从防火墙便会立即接替工作。

h. 本操作暂无DEMO演示（以后版本中会加以补充）。

注意：
在双机热备的系统中，两台防火墙的软件版本必须相同，网络端口的数目和类型也要相同；必须将每个防火墙的最后一个接口作为热备口；心跳线必须选用交叉线连接；如果防火墙有多余的端口，必须将其DOWN掉，具体操作如下（进入串口模式）：
另外，两台防火墙的配置必须保持一致；管理员通过管理器只能对一台防火墙进行管理，配置完毕后，必须通过“同步”菜单将修改信息发送到另一台防火墙。

关键词：
状态传输开关：用于保护防火墙已经建立的连接在主从防火墙切换时不会导致丢失。

例如某个连接经过主防火墙，此时主墙发生故障，由从墙接替工作。

如果状态传输（STP）开关没有打开，则这个连接必须重新建立才能通信；如果开关打开，则连接不需要重新建立，两端的通信机器可以完全没有意识到故障的存在。

知识点：
双机热备：将两台网络设备并联在网络中，在任何时刻只有一台设备工作（称为主设备），另一台设备（称为从设备）监视主设备的工作状态；当主设备发生故障时，由从设备来接替工作。

网络卫士防火墙产品说明(4000-UF)

本手册没有任何形式的担保、立场倾向或其他暗示。

若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，天融信及其员工恕不承担任何责任。

本手册所提到的产品规格及资讯仅供参考，有关内容可能会随时更新，天融信恕不承担另行通知之义务。

TopSEC®天融信信息反馈NGFW 4000-UF系列产品说明目录1产品概述 (1)2产品特点 (1)3产品功能 (9)4运行环境与标准 (11)5产品规格 (12)6典型应用 (14)1产品概述网络卫士系列防火墙NGFW4000（NetGuard FireWall）系列产品，是天融信公司结合了多年来的网络安全产品开发与实践经验,在参考了天融信广大用户宝贵建议的基础上，开发的最新一代网络安全产品。

该产品以天融信公司具有自主知识产权的TOS（Topsec Operating System）为系统平台，采用开放性的系统架构及模块化的设计，融合了防火墙、入侵检测、VPN、身份认证等多种安全解决方案，构建的一个安全、高效、易于管理和扩展的网络安全产品。

NGFW4000-UF属于网络卫士系列防火墙的中高端产品，特别适用于网络结构复杂、应用丰富、高带宽、大流量的大中型企业骨干级网络环境。

NGFW4000-UF 图片2产品特点z自主安全操作系统平台采用自主知识产权的安全操作系统 — TOS（Topsec Operating System），既提高了产品性能，又提高了产品的灵活性、高效性和安全性。

天融信NGFW4000UF防火墙产品白皮书

天融信产品白皮书网络卫士防火墙NGFW 4000UF系列NGFW4000-UF是网络卫士防火墙系统的中高端产品，适用于网络结构复杂、应用丰富、政府、金融、学校、中小型企业等各种网络环境。

是国内应用最广、部署量最大的防火墙产品之一，也是国内率先支持防病毒和SSL VPN功能的防火墙产品。

此产品基于天融信自主设计的专用硬件平台，采用开放性的系统架构及模块化的设计思想，具备超强的接口扩展能力，极高的性价比。

安全高效的TOS操作系统具有完全自主知识产权的TOS(TopsecOperating System)安全操作系统，采用全模块化设计，使用中间层理念，减少了系统对硬件的依赖性，有效保障了防火墙、SSL VPN、IPSEC VPN、防病毒、内容过滤、抗攻击、带宽管理等功能模块的优异性能。

TOS良好的扩展性为未来迅速扩展更多特性提供了无限可能。

集成多种安全引擎：FIREWALL+IPSEC+SSL+ANTIVIRUS+IPS基于专有硬件平台的NGFW4000-UF产品采用TOS操作系统，集成了丰富的安全引擎，包括：防火墙引擎，IPSesVPN引擎，SSLVPN引擎，防病毒引擎，IPS引擎等。

这些引擎的紧密集成使得NGFW4000-UF成为了可以防范多种威胁、功能丰富的防火墙产品。

完全内容检测CCI技术网络卫士猎豹防火墙采用最新的CCI技术，提供对OSI网络模型所有层次上的网络威胁的实时保护。

网络卫士系列防火墙可对还原出来的应用层对象（如文件、网页、邮件等）进行病毒查杀，并可检查是否存在不良WEB内容、垃圾邮件、间谍软件和网络钓鱼欺骗等其他威胁，实现彻底防范。

超强的接口扩展能力最大配置为26个接口，包括3个可插拔的扩展槽和2个10/100/1000BASE-T接口（可作为HA口和管理口）；可支持8～24个千兆接口（光口或电口）。

集成多种安全功能NGFW4000-UF由于集成了多种安全引擎，使其具备了防火墙、IPSEC VPN、SSL VPN、防病毒、IPS等安全功能，成为了国内安全功能最丰富的防火墙产品。

天融信防火墙配置讲解

源为内网区域目的为公网区域内网访问公网时把内网地址转换为电信接入地址，从而实现访问互联网的目的
精品课件
防火墙配置体方法目的转换
源为any所有目的为公网地址所有访问公网地址的4000端口，把目的公网地址转换为服务器地址，目的端口4000转换为远程桌面的 3389端口，从而达到访问及隐藏源端口的目的
精品课件
防火墙配置具体方法
•3 地址转换和访问控制 •2）添加策略和控制规则
访问控制的匹配规则按照从上往下匹配
精品课件
防火墙配置具体方法桌面终端认证配置
HBKY_WebUser允许访问外网，前提是通过客户端认证
精品课件
防火墙配置具体方法
精品课件
源转换目的转换双向转换不做转换
防火墙配置具体方法源转换
精品课件
防火墙配置具体方法
双向转换
源为any所有地址目的为 183.166.34.235 任何地址访问235这个地址时，将访问的源地址转换为内网口地址，访问的目的235转换为安保地址，从而实现从互联网访问内网服务器的目的
精品课件
天融信防火墙基础配置
1
防火墙配置步骤
32
防注火意墙事配项置具体方法
天融信防火墙基础配置
安徽办事处肖乃刃
精品课件
天融信防火墙基础配置
防火墙的作用
防火连墙通作：为路内由部和网交与换外功部能网之间的一种访问控制设备，安装在内部网和外部网交界点上
控制：基于区域、IP、端口等，即网关处。
精品课件
天融信防火墙基础配置
1
防火墙配置步骤
2
防火墙配置具体方法
3
防火墙配置注意事项
·········· ··········

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

天融信防火墙NGFW4000快速配置手册目录一、防火墙的几种管理方式 ........................................................................................................................................ 4 1．串口管理............................................................................................................................................................ 4 2． TELNET管理 ...................................................................................................................................................... 5 3． SSH管理 ............................................................................................................................................................ 5 4． WEB管理 ........................................................................................................................................................... 6 5． GUI管理 ............................................................................................................................................................ 7

二、命令行常用配置 .................................................................................................................................................. 12 1．系统管理命令(SYSTEM) .................................................................................................................................. 12 命令 .............................................................................................................................................................................. 12 功能 .............................................................................................................................................................................. 12 WEBUI界面操作位置 .................................................................................................................................................. 12 二级命令名 .................................................................................................................................................................. 12 VERSION .......................................................................................................................................................................... 12 系统版本信息 .............................................................................................................................................................. 12 系统>基本信息 ............................................................................................................................................................ 12 INFORMATION ................................................................................................................................................................... 12 当前设备状态信息 ...................................................................................................................................................... 12 系统>运行状态 ............................................................................................................................................................ 12 TIME ............................................................................................................................................................................... 12 系统时钟管理 .............................................................................................................................................................. 12 系统>系统时间 ............................................................................................................................................................ 12 CONFIG ............................................................................................................................................................................ 12 系统配置管理 .............................................................................................................................................................. 12 管理器工具栏“保存设定”按钮 .............................................................................................................................. 12 REBOOT ........................................................................................................................................................................... 12 重新启动 ...................................................................................................................................................................... 12 系统>系统重启 ............................................................................................................................................................ 12 SSHD ............................................................................................................................................................................... 12 SSH服务管理命令 ....................................................................................................................................................... 12 系统>系统服务 ............................................................................................................................................................ 12 TELNETD .......................................................................................................................................................................... 12 TELNET服务管理 ......................................................................................................................................................... 12 系统>系统服务命令 .................................................................................................................................................... 12 HTTPD ............................................................................................................................................................................. 12 HTTP服务管理命 ......................................................................................................................................................... 12 系统>系统服务令 ........................................................................................................................................................ 12 MONITORD ....................................................................................................................................................................... 12 MONITOR ...................................................................................................................................................................... 12 服务管理命令无 .......................................................................................................................................................... 12 2．网络配置命令(NETWORK) .............................................................................................................................. 13 3．双机热备命令(HA) .......................................................................................................................................... 13 4．定义对象命令(DEFINE) ................................................................................................................................... 13