解决方案CheckPoint防火墙热备实施方案Word下载.docx
《解决方案CheckPoint防火墙热备实施方案Word下载.docx》由会员分享,可在线阅读,更多相关《解决方案CheckPoint防火墙热备实施方案Word下载.docx(31页珍藏版)》请在冰豆网上搜索。
2.4.2初始化checkpoint..................................................................................16
第三章管理服务器的安装与配置...................................................................................17
3.1checkpointsmartcenter的安装..............................................................................18
3.1.1安装前的准备.........................................................................................18
3.1.2安装步骤................................................................................................18
3.2配置checkpoint对象和参数................................................................................20
3.2.1建立sic...................................................................................................20
3.2.2定义防火墙对象拓扑结构........................................................................21
3.2.3使用同样的步骤按照表1的参数建立IP380Bcheckpointgateway对象。
....21
3.3基于nokiavrrp或者cluster的设置......................................................................22
3.3.1基于NokiaVRRP的设置..........................................................................22
3.3.2为nokiavrrp定义策略..............................................................................22
3.3.3高可用性的检查.......................................................................................23
3.4nokiacluster的设置............................................................................................23
3.5暂时没有............................................................................................................23
第四章策略设定............................................................................................................24
4.1概述...................................................................................................................24
4.2netscreen的策略.................................................................................................24
4.3经过整理后转换成checkpoint的策略..................................................................24
4.4设定策略...........................................................................................................24
4.4.1定义主机对象..........................................................................................24
4.4.2定义网络对象..........................................................................................25
4.4.3定义组.....................................................................................................26
4.4.4定义服务.................................................................................................26
4.4.5添加标准策略..........................................................................................27
4.4.6添加NAT策略.........................................................................................27
第五章切换与测试........................................................................................................29
5.1切换...................................................................................................................29
5.2测试...................................................................................................................29
5.3回退...................................................................................................................30
第六章日常维护............................................................................................................31
6.1防火墙的备份与恢复..........................................................................................31
6.1.1nokia防火墙的备份与恢复方法................................................................31
6.1.2checkpointmanagement上的备份与恢复...................................................33
第一章
客户环境概述
1.1
概述XXXXXX公司因应企业内部的网络需求,对总部网络进行扩容改动,中心防火墙从原来的netscreen换成两台NokiaIP380,两台nokia互为热备。
维持原有的服务不变。
由于这次网络改动比较大,所以先离线进行安装和测试,最后再进行切换
北京集团
网管中心
1.2
网络拓扑与地址分配表
XXXXXX改造前网络拓扑如下
改动后,XXX将按照以下图进行实施
给个设备及端口的地址分配入下表所示
IP地址分配表(表1)
管理服务器参数
IP地址
防火墙各端口参数
端口
用途
Nokia380A
Nokia380B
虚拟地址
Eth1
外网口
Eth2
DMZ
172.16.100.5/30
172.16.100.6/30
172.16.100.1/30
Eth3
内网
10.101.1.101/24
10.101.1.102/24
10.101.1.1/24
Eth4?
同步口
192.168.11.1/24
192.168.11.2/24
gateway
静态路由
1.3安装前准备事宜1.管理服务器硬件平台
CPU奔腾3500以上
内存128以上
硬盘60M以上
操作系统,windows2000server+SP4补丁
2.网络连线
3.Checkpoint及nokia管理软件
CheckpointNGAIR55安装包forwindows
hotfix09或以上
4.NokiaIP380设备两台
内置IPSO3.8build39
内置checkpointNGAIR55安装包
第二章
NokiaIP380安装与配置
2.1概述首先我们可以对两台NokiaIP380进行安装与配置,由于Nokia防火墙将会替代Netscreen,所以Nokia防火墙可以进行离线配置。
配置步骤如下。
2.2初始化nokia3801.
使用nokiaconsole线,连接nokiaconsole口和管理pc的串行端口,并打开电源家电。
2.
打开windows超级终端按照下图设置
3.
NokiaIP380正常开机后填入防火墙的名字:
IP380A。
如下图
4.
输入默认管理员用户admin的密码并确认密码,这里密码填password,密码以后可以通过web界面进行修改。
如下图所示
5.
设定使用基于web的浏览器进行管理还是基于文本的浏览器进行管理,这里选择1
6.
设定初始网络参数,这里需要设定一块网卡的IP地址,以方便进行基于web的管理,如下图所示,分别填入网卡号和IP地址,暂时不设定defaultroute,并配置端口成100M全双工。
7.
确认以上信息正确,由于网络上并没有VLAN设置,所以并不需要进行Vlan配置。
2.3设置nokia基本信息
主要设定nokia底层基本参数,包括IP地址,路由,时间,VRRP设定
2.3.1Nokia端口IP地址设定1.使用网线连接管理机和nokia端口,打开IE浏览器,输入刚才定义的nokiaIP地址http:
//192.168.11.1,使用用户名admin,密码password登陆。
如下图所示。
2.登陆后点击config按钮,进入配置界面,如下图所示。
3.点击interface按钮后,进入interface配置界面。
点击逻辑端口Eth3c0配置Eth3的IP的,如下图所示。
在Active选项上选On,NewIPaddress框添上IP地址,NewMaskLength框填上子网掩码的长度,如下图所示。
Apply键。
配置网卡物理参数。
点击UP按钮,回到Interfaceconfiguration界面,点击物理端口号Eth3出现以下界面。
修改linkspeed的参数为100M,修改Duplex为Full。
6.Apply键和Save键,保存配置。
7.重复以上步骤,按照IP列表分配表(表1)中参数配置各个端口地址。
(图略)
2.3.2设置网关路由
完成IP地址的设定以后,需要做的是设定默认网关和静态路由
1.
进入配置界面,点击RoutingConfiguration->
StaticRoute,进入下图所示
在default项选择On,nexthoptype选normal,然后点击apply
在原来的参数下面会出现新一项参数GatewayType,这里选择address,点击APPLY如下图所示:
填上nokia的网关,然后点击apply后点击save,完成默认网关的设置。
这里网关地址填:
?
在newstaticroute填上要网段地址,在masklength填上网段掩码,nexthoptype选上normal,gatewaytype选上address,并点击apply,如下图所示
Apply后会出现gatewayaddress参数框,填入下一跳地址,点击apply,完成静态路由的添加。
6.重复步骤4、5添加更多的静态路由,完成后按save保存
这里需要设置的静态路由有?
2.3.3设置Nokia平台时间1.
进入配置界面后,点击systemconfiguration下的localtimesetup
在secectcity中选择China/HongKong,在manualsetdayandtime分别填上日期和时间,如下图,完成后点击apply,再点击save。
2.3.4设定Nokia高可用VRRP参数a.
设定时间同步
管理服务器与执行点之间必须做到时间同步,才可以成功建立安全连接(SIC),同时,再做VRRP时两个执行点之间的时间也必须做到同步,他们的状态表才能正常及时地交换。
所以,必须为设备设置NTP时间服务。
我们以IP380A作为时间的基准服务,IP380B作为作为客户段,进行参数配置。
在IP380A上点击RouterServices下的NTP,进入NTP配置界面,在EnableNBT上选yes
在NTPReferenceClock下的NTPMaster选yes,Stratum填上3(这项填写范围为1-15),点击APPLY,再点击SAVE,这样IP380A便成为时间服务器。
在IP380B配置页面上点击RouterServices下的NTP,进入NTP配置界面,在NTPGlobalSettings上选yes,点击APPLY,如下图:
在NTPservers下addnewserveraddress上添加IP380A的地址192.168.11.1。
点击APPLY,出现下图
点击save保存配置,时间同步配置完毕。
注意,第一次时间同步时间比较长。
b.
配置VRRP参数
同一设备的某一端口监控另一端口,当发现被监控端口出现问题时(例如,端口断开),按照预先设定的规则,监控端口更改自身的优先级。
属于同一VRRP组的成员共享一个虚拟IP地址,这个地址将作为终端设备的网关或者路由设备的下一跳地址使用。
一般来说,是高优先级的设备在本机故障的情况下降低自身的优先级,使得原来低优先级的设备接管工作,实现服务的高可用性。
本方案采用IP380A作为主防火墙。
配置步骤如下:
选择VRRPmonitoredCircuit模式
在IP380A,IP380B的配置页面上点击RouterService下的VRRP,进入VRRP配置界面,点击LegacyVRRPConfiguration,在需要做VRRP的端口下选择MonitoredCircuit,点击apply如下图,填上virtualrouter的数值。
注意,每个对应的子端口的virturalrouter值应该一样(例如IP380A的eth1c0的virtualrouter和IP380B的eth1c0的virtualrouter值相同),这样才能保证这对端口在同一个vrrp组里面。
VRRP协议主要可以防止网络中断造成的服务中断,提供接口方面的高可用性,因此需要选择VRRPMonitoredCircuit模式,点击APPLY然后在CreateVirtualRouter中填写一个自定义的编号,这个编号用于识别同一网络内的高可用设备成员所属的高可用分组,因此两个防火墙属于同一网段的接口必须使用同一VirtualRouterID。
在本例中,分别使用81,82,83作为三个网段的virtual值,由于同步口并不用参与数据传输,所以同步端口并不用配置vrrp属性。
IP380A
IP380B
配置虚拟IP地址,MAC地址,监控接口,优先级,认证。
IP380A作为主用机使用,因此优先级较高,填写以下参数:
外网:
eth1c0IP?
Priority:
254
Hellointerval:
2
BackupAddress:
IP?
(虚拟IP地址)
MonitorInterface:
eth2c0(这里选择的是要监控的端口,即DMZ)
PriorityDelta:
16
点击APPLY,完成设定第一个监控端口
eth3c0(这里选择要监控的端口,即内网)
点击APPLY,点击SAVE完成设定第二个监控端口
DMZ:
eth2c0IP?
(虚拟IP地址)
eth1c0(这里选择的是要监控的网口,即外网口)
内网:
eth3c0IP?
IP?
点击APPLY,点击SAV