天融信防火墙日常维护及常见问题Word文件下载.docx
《天融信防火墙日常维护及常见问题Word文件下载.docx》由会员分享,可在线阅读,更多相关《天融信防火墙日常维护及常见问题Word文件下载.docx(16页珍藏版)》请在冰豆网上搜索。
![天融信防火墙日常维护及常见问题Word文件下载.docx](https://file1.bdocx.com/fileroot1/2022-10/12/1e251bd4-a673-42fe-b1f3-99cb122aa658/1e251bd4-a673-42fe-b1f3-99cb122aa6581.gif)
路由、透明、综合。
2、IP地址的分配(包括防火墙及其相关设备的IP地址分配)
根据确定好的防火墙的工作模式给防火墙分配合理的IP地址
3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型)
4、要达到的安全目的(即要做什么样的访问控制)
三、防火墙的管理及登录方式
Ø
串口(console)管理方式:
管理员为空,回车后直接输入口令即可,初始口令talent,用passwd修改管理员密码,请牢记修改后的密码。
WEBUI管理方式:
超级管理员:
superman,口令:
talent
TELNET管理方式:
模拟console管理方式,用户名superman,口令:
talent
SSH管理方式:
3-1防火墙的WEBUI管理方式
在浏览器输入:
HTTPS:
//192.168.1.254,看到下列提示,选择“是”
输入用户名和密码后,按“提交”按钮
3-2防火墙的CONSOLE管理方式
超级终端参数设置:
四、防火墙日常维护
防火墙辅助功能-查看防火墙基本信息
注:
如果链路状态是红色的话表示链路有问题,请查看设备物理连接;
查看防火墙运行状态
图1
通过系统状态的查看可以查看设备是否正常工作,以及CPU和内存的使用系统
图2
在当前连接里面能看到连接的话表示防火墙的通讯是正常的;
4-1如何修改防火墙口令
设备支持多级用户管理,不同类型的用户具有不同的操作权限。
用户权限基本
可分为三种:
超级管理员、管理用户与审计用户。
超级管理员是系统的内建帐
号,具有全部的功能权限;
管理用户可以设定和查看规则,但没有综合配置
(例如分配管理员、配置维护等)的权限。
审计用户权限最小,只可以查看已
有规则,没有添加和修改规则的权限。
五、天融信防火墙维护指南
5-1常规维护:
在防火墙的日常维护中,通过对防火墙进行健康检查,能够实时了解天融信防火墙运行状况,检测相关告警信息,提前发现并消除网络异常和潜在故障隐患,以确保设备始终处于正常工作状态。
1、日常维护过程中,需要重点检查以下几个关键信息:
连接数:
如当前的连接数达到或接近系统最大值,将导致新会话不能及时建立连接,此时已经建立连接的通讯虽不会造成影响;
但仅当现有的连接拆除后,释放出来的资源才可供新建连接使用。
维护建议:
当当前连接数正常使用至85%时,需要考虑设备容量限制并及时升级,以避免因设备容量不足影响业务拓展。
CPU:
天融信防火墙是高性能的防火墙,正常工作状态下防火墙CPU使用率应保持在10%以下,如出现CPU利用率过高情况需给予足够重视,应检查连接数使用情况和各类告警信息,并检查网络中是否存在攻击流量。
通常情况下CPU利用率过高往往与攻击有关,可通过正确设置系统参数、攻击防护的对应选项进行防范。
内存:
天融信防火墙对内存的使用把握得十分准确,正常情况下,内存的使用率应基本保持稳定,不会出现较大的浮动。
如果出现内存使用率过高(>
90%)时,可以查看连接数情况,或通过实时监控功能检查网络中是否存在异常流量和攻击流量。
2、在业务使用高峰时段检查防火墙关键资源(如:
Cpu、连接数、内存和接口流量)等使用情况,建立网络中业务流量对设备资源使用的基准指标,为今后确认网络是否处于正常运行状态提供参照依据。
当连接数数量超过平常基准指标20%时,需通过实时监控检查当前网络是否存在异常流量。
当Cpu占用超过平常基准指标20%时,需查看异常流量、定位异常主机、检查策略是否优化。
3、防火墙健康检查信息表:
设备型号
软件版本
序列号
设备用途
防火墙
设备状态
主用/备用
工作模式
透明/路由/混合
检查对象
相关信息
检查结果
备注
连接数
CPU
内存
Interface
路由表
HA状态
LED指示灯
设备运行
参考基线
Cpu
接口流量
业务类型
常规维护建议:
1、配置管理IP地址,指定专用终端管理防火墙;
2、更改默认账号和口令,不建议使用缺省的账号、密码管理防火墙;
严格按照实际使用需求开放防火墙的相应的管理权限,并且管理权限的开放控制粒度越细越安全;
设置两级管理员账号并定期变更口令;
仅容许使用SSH和SSL方式登陆防火墙进行管理维护。
3、深入理解网络中业务类型和流量特征,持续优化防火墙策略。
整理出完整网络环境视图(网络端口、互联地址、防护网段、网络流向、策略表、应用类型等),以便网络异常时快速定位故障。
4、整理一份上下行交换机配置备份文档(调整其中的端口地址和路由指向),提供备用网络连线。
防止防火墙发生硬件故障时能够快速旁路防火墙,保证业务正常使用。
5、在日常维护中建立防火墙资源使用参考基线,为判断网络异常提供参考依据。
6、重视并了解防火墙产生的每一个故障告警信息,在第一时间修复故障隐患。
7、建立设备运行档案,为配置变更、事件处理提供完整的维护记录,定期评估配置、策略和路由是否优化。
8、故障设想和故障处理演练:
日常维护工作中需考虑到网络各环节可能出现的问题和应对措施,条件允许情况下,可以结合网络环境演练发生各类故障时的处理流程,如:
设备出现故障,网线故障及交换机故障时的路径保护切换。
9、设备运行档案表
设备序列号
保修期限
供应商联系方式
配置变更
变更原因
变更内容
结果
负责人
事件处理
事件现象
处理过程
应急处理
当网络出现故障时,应迅速检查防火墙状态并判断是否存在攻击流量,定位故障是否与防火墙有关。
如果故障与防火墙有关,可首先检查防火墙的、地址转换策略、访问控制策略、路由等是否按照实际使用需求配置,检验策略配置是否存在问题。
一旦定位防火墙故障,可通过命令进行双机切换,单机环境下发生故障时利用备份的交换机/路由器配置,快速旁路防火墙。
在故障明确定位前不要关闭防火墙。
1、检查设备运行状态
网络出现故障时,应快速判断防火墙设备运行状态,通过管理器登陆到防火墙上,快速查看CPU、内存、连接数、Interface以及相应信息,初步排除防火墙硬件故障并判断是否存在攻击行为。
2、跟踪防火墙对数据包处理情况
如果出现部分网络无法正常访问,顺序检查接口状态、路由和策略配置是否有误,在确认上述配置无误后,通过tcpdump命令检查防火墙对特定网段数据报处理情况。
部分地址无法通过防火墙往往与策略配置有关。
3、检查是否存在攻击流量
通过实时监控确认是否有异常流量,同时在上行交换机中通过端口镜像捕获进出网络的数据包,据此确认异常流量和攻击类型,并在选项设置、入侵防护等项目中启用对应防护措施来屏蔽攻击流量。
4、防火墙发生故障时处理方法
如果出现以下情况可初步判断防火墙硬件或系统存在故障:
无法使用console口登陆防火墙,防火墙反复启动、无法建立ARP表、接口状态始终为Down、无法进行配置调整等现象。
为快速恢复业务,可通过调整上下行设备路由指向,快速将防火墙旁路,同时联系供应商进行故障诊断。
总结改进
故障处理后的总结与改进是进一步巩固网络可靠性的必要环节,有效的总结能够避免很多网络故障再次发生。
1、在故障解决后,需要进一步总结故障产生原因,并确认该故障已经得到修复,避免故障重复发生。
2、条件容许的情况下,构建防火墙业务测试环境,对所有需要调整的配置参数在上线前进行测试评估,避免因配置调整带来新的故障隐患。
3、分析网络可能存在的薄弱环节和潜在隐患,通过技术论证和测试验证来修复隐患。
5-2故障处理工具
天融信防火墙提供灵活多样的维护方式,其中故障处理时最有用的两个工具是实时监控功能和tcpdump,实时监控功能用于实时查看网络当前的连接情况,可以快速定位存在异常流量的IP主机或攻击源主机,tcpdump用于跟踪防火墙对指定包的处理。
下面简要介绍一下两个工具的使用方法。
Tcpdump:
捕获进出防火墙的数据包
1、TFW支持TCPDUMP命令;
2、直接在串口登陆界面下或telnet到防火墙界面下,即可使用tcpdump命令;
在串口登陆或telnet登陆后,先敲system回车,进入系统目录才可以使用tcpdump命令。
3、Tcpdump语法中存在三种主要的关键字:
第一种是关于类型的关键字,主要包括host,net,port,例如host210.27.48.2,指明210.27.48.2是一台主机,net202.0.0.0指明202.0.0.0是一个网络地址,port23指明端口号是23.如果没有指定类型,缺省的类型是host.
第二种是确定传输方向的关键字,主要包括src,dst,dstorsrc,dstandsrc,这些关键字指明了传输的方向。
举例说明,src210.27.48.2,指明ip包中源地址是210.27.48.2,dstnet202.0.0.0指明目的网络地址是202.0.0.0.如果没有指明方向关键字,则缺省是srcordst关键字。
第三种是协议的关键字,主要包括fddi,ip,arp,rarp,tcp,udp等类型。
Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议,实际上它是"
ether"
的别名,fddi和ether具有类似的源地址和目的地址,所以可以将fddi协议包当作ether的包进行处理和分析。
其他的几个关键字就是指明了监听的包的协议内容。
如果没有指定任何协议,则tcpdump将会监听所有协议的信息包。
4、逻辑运算
除了这三种类型的关键字之外,其他重要的关键字如下:
gateway,broadcast,less,greater,还有三种逻辑运算,取非运算是'
not'
'
!
'
,与运算是'
and'
,'
&
;
或运算是'
or'
,'
││'
这些关键字可以组合起来构成强大的组合条件来满足人们的需要,下面举几个例子来说明。
5、使用例子:
例1:
在eth1口抓包,只显示地址为10.1