H3C防火墙常见问题汇总.docx

H3C防火墙常见问题汇总.docx

《H3C防火墙常见问题汇总.docx》由会员分享，可在线阅读，更多相关《H3C防火墙常见问题汇总.docx（10页珍藏版）》请在冰豆网上搜索。

H3C防火墙常见问题汇总

ALG的作用是什么

地址转换会导致许多对NAT敏感的应用协议无法正常工作，必须针对该协议进行特殊的处理。

所谓对NAT敏感的协议是指该协议的某些报文的有效载荷中携带IP地址和（或）端口号，如果不进行特殊处理，将会严重影响后继的协议交互。

地址转换应用网关（NATApplicationLevelGateway，NATALG）是解决特殊协议穿越NAT的一种常用方式，该方法按照地址转换规则，对载荷中的IP地址和端口号进行替换，从而实现对该协议的透明中继。

目前VRP的NATALG支持PPTP、DNS、FTP、ILS、NBT、SIP、H.323等协议。

在SecPath上，当开启NAT功能后，系统会自动开启NATALG，无需手工设置。

防火墙的域（zone）是什么意思

区域（zone）是防火墙产品所引入的一个安全概念，是防火墙产品区别于路由器的主要特征。

一个安全区域包括一个或多个接口的组合，具有一个安全级别。

在设备内部，安全级别通过0～100的数字来表示，数字越大表示安全级别越高，不存在两个具有相同安全级别的区域。

SecPath缺省有trust、untrust、DMZ、local4个安全域，同时还可以自定义12个区域。

[SecPath]firewallzone?

DMZDMZsecurityzone

localLocalsecurityzone

nameSpecifyanewsecurityzonenameandcreateit

trustTrustsecurityzone

untrustUntrustsecurityzone

一般来讲，安全区域与各网络的关联遵循下面的原则：

内部网络应安排在安全级别较高的区域、外部网络应安排在安全级别最低的区域。

具体来说，Trust所属接口用于连接用户要保护的网络；Untrust所属接口连接外部网络；DMZ区所属接口连接用户向外部提供服务的部分网络；从防火墙设备本身发起的连接即是从Local区域发起的连接。

相应的所有对防火墙设备本身的访问都属于向Local区域发起访问连接。

SecPath防火墙中inbound和outbound的含义是什么呢

SecPath防火墙的ACL规则和路由器一样，是应用在接口上的，inbound指从接口进入防火墙的方向，outbound是从防火墙出接口的方向。

这点是与Eudemon和SecPath1800F不同的。

Eudemon和SecPath1800F的ACL是应用在域间的，inbound是指从低安全级别的域进入高安全级别域的流量，如从untrust进入trust，outbound的方向与此相反。

为什么我的接口配了IP地址和PC对连却ping不通

接口必须加入且只能加入一个域才能生效。

特别要注意的是，除了物理口要加入域外，virtual-template和tunnul也必须加入域。

如果不加入域，可能出现端口up但是却互相ping不通、SecPoint拨号接入却获取不到IP地址等情况。

这是刚接触防火墙常犯的错误，希望大家能够牢记。

命令为firewallzonetrust/untrust

同时，在3.4-0006版本后，缺省情况下，更改了包过滤的缺省规则，缺省规则由permit改为deny，缺省情况下，所有的接口都是不通的，需要在系统视图下配置firewallpacket-filterdefaultpermit才能访问。

Secpath系列产品如何查看flash中有哪些文件

dir/all

Directoryofflash:

/1-rw-Oct10200210:

10:

10system

2-rw-Oct10200210:

10:

10http.zip

3-rw-962Sep22201016:

42:

11config.cfg

4-rw-524288Aug09201009:

35:

41bootromfull

15621KBtotal（8439KBfree）

Secpath系列产品如何备份配置文件和VRP文件

1、使用TFTP方式（需要有TFTP服务器，如3CDaemon）

前提条件：

保证PC机和设备之间可以双向PING通

tftp1.1.1.1（TFTP服务器的地址）putsystem（VRP文件名）tftp1.1.1.1（TFTP服务器的地址）putconfig.cfg（VRP文件名）

2、使用FTP方式

前提条件：

保证PC机和设备之间可以双向PING通

[Quidway]ftpserverenable启动FTP服务

[Quidway]local-userhuawe创建FTP用户和密码及及登陆后的目录[Quidway]passwordsimplehuawei

[Quidway]service-typeftpftp-directoryflash:

/在PC“运行”键入CMD命令进入到DOS界面

ftp设备IP地址

用户名和密码都是huawei

Secpath产品BOOTROM升级说明

进入bootrom命令

Ctrl_D进入bootrom升级bootrom

Ctrl_B进入bootrom升级VRP

BOOTROM文件

1、bootromd的版本文件可能有2个，大小分别是100多K和512K。

2、bootrom升级时，从低版本到高版本使用100k的update，但是从高到低必须使用512k的重新down，建议都使用512K的bootrom文件

Secpath产品在线升级BOOTROM和VRP方法

BOOT在线升级：

【TFTP方式】

1、配置secpathF和PC地址，使之互通。

2、PC上启用TFTPserver程序，同时指定为升级的boot文件所在目录。

3、将boot文件拷入flash中。

在用户视图下，执行以下命令：

<>copyx.x.x.x/bootromfullbootromfull

这里，x.x.x.x为PC的地址，bootromfull为升级的boot文件名，注意：

只能为bootromfull。

如果只升级boot扩展段，则拷入的文件名应为bootrom。

如果无法确定需要升级boot扩展段还是整个boot，则建议直接升级整个boot文件。

4、将boot升级，执行：

<>upgradebootrombootromfull

这里，bootromfull为拷入的文件名称。

5、重启系统。

【FTP方式】

同中低端路由器版本。

版本软件在线升级：

【TFTP方式】

1、配置secpathF和PC地址，使之互通。

PC上启用TFTPserver程序，同时指定为升级文件所在目录。

2、在用户视图下，执行以下命令：

copyx.x.x.x/systemsystem

这里，x.x.x.x为PC的地址，system为升级的系统文件名，注意：

只能为system。

3、重启系统。

【FTP方式】

同中低端路由器版本。

说明：

防火墙应用程序缺省名称为system，配置文件缺省名称为config.cfg，BootROM扩展段文件缺省名称为bootrom，整个BootROM文件缺省名称为

bootromfull。

Secpath在BOOT中升级VRP版本时，下载完文件提示“WritingintoFlashFails.”该如何处理

一般是由于Flash出了问题。

可以把Flash先格式化再下载。

格式化flash可以在进入BOOT菜单后按“ctrl+b”再按“CTRL+F”执行。

为什么从系统下升级VRP版本重启设备后未生效

SecPath产品默认的系统文件为system，如果是在Bootrom下TFTP升级，系统将自动覆盖以前的system文件。

如果在用户视图下FTP下载系统文件，需要手动更改下载的文件名为system。

在BootRom模式下TFTP升级VRP版本时，为什么从有些接口上下载不了版本

SecPath系列防火墙在bootrom下TFTP升级版本时，有一个默认的eth0口用于下载，该接口是不能更改的。

各系列产品所对应于eth0的接口如下：

Secpath100F:

WAN2

删除FLASH里面的VRP系统文件，从BootRom模式下TFTP升级VRP版时，系统却提示FLASH空间不足，版本无法下载，系统启动不了怎么办

删除文件时一定要/u才能完全删除，假如在用户视图直接delsystem，该系统文件将放入回收站，同样占用FLASH的空间。

这时，如果重启，老系统文件不生效，新系统文件又无空间写入。

这时的杀手锏就是在进入boot菜单时CTRL+F格式化FLASH了。

VRP系统损坏了怎么办

进入boot菜单时CTRL+F格式化FLASH，通过bootrom方式升级。

Secpath产品是否支持WEB管理

目前支持WEB管理的设备有：

secpath10f、100f、1000f。

但FLASH中一定得有“http.zip”文件，如果没有就采用detach命令来解压软件版本。

例：

detachsystem

Systemfilelengthbytes,httpfilelength834724bytes.dir

Directoryofflash:

/0-rw-Jun16200906:

46:

36system

1-rw-1830Jun17200907:

47:

16config.cfg

2-rw-834724Jun18200902:

22:

39http.zip

注：

如果不能通过WEB方式连到SecPath防火墙上，请按照下面的步骤进行排查：

检查Flash中是否有“http.zip”文件；如果没有该文件，请使用命令：

detachsystem来释放出“http.zip”文件；

如果有“http.zip”文件，说明此文件是以前VRP程序里面的，请先删除该文件，再使用命令：

detachsystem来释放出“http.zip”文件；

如果在VRP下通过FTP、TFTP方式进行升级后，那么需要先删除

“http.zip”，再使用命令：

detachsystem来释放出“http.zip”文件；如果在BootRom下进行升级，升级成功，则正常。

为什么WEB管理操作时从设备读取页面很慢

首先查看你的IE设置：

第一次Web访问某个页面时，要从FLASH里面读取大量数据，页面显示会相对较慢。

以后系统缓存后，访问已访问过的页面会比较快。

当你做了上述设置之后，发现读取页面还是异常慢，不妨换台PC试试，有时会碰到有的PC机访问页面异常慢的情况，原因不明。

在3.4-0006版本中，对WEB的访问流程进行了优化，访问速度较以前的版本快。

如果客户反映WEB访问很慢，请升级到最新版本。

注意，如果在使用过程中单独升级http.zip文件，需要重启设备才能生效。

如果只在用户模式下，FTP上传新版本到FLASH，必须手动在用户模式下用detachsystem命令来解压出新的HTTP.ZIP文件。

LNS位于NAT网关之后如何处理

有两种方式：

1、NAT上做静态NAT映射，将LNS的私网地址映射为一个公网地址。

2、NAT上做1701/UDP的NATserver，将LNS的1701端口映射为公网的1701端口。

在Secpath10f/100f/1000f上配置为LNS，但出现连接到“验证用户名和密码时”出现“错误619：

„„„„”是什么原因

将防火墙攻击防范中“IP欺骗攻击”关闭即可解决此问题。

IPSEC网关也位于NAT网关之后，如何处理

1、NAT上做静态NAT映射，将VPN网关的私网地址映射为一个公网地址。

同时，双方启用NAT穿越。

2、NAT上做500/UDP的NATserver，将VPN网关的500端口映射为公网的500端口。

同时，双方启用NAT穿越，且IPSEC使用AH和ESP协议，协议号分别为

51、50，也需要放开。

配置GRE时tunnel口协议层已经UP，但是却无法ping通对端tunnel口地址

请确认interfacetunnel已经加入了安全域。

Tunnel如果不加入安全域时防火墙是不进行处理和转发的；同时检查grekey是否一致。

GRE的TUNNEL中定义的ipaddress、source和destination这三个地址的作用

GRE的TUNNEL中，ipaddr是作路由用的。

即，当查找路由表时，发现所要发送的数据包的下一跳是和自己tunnel口ipaddr同一网段的对端GRE的地址，则从tunnel口转发数据，进行GRE的封装。

当数据进行GRE封装时，外层封装的IP地址即为tunnel口定义的source和destination定义的地址。

Secpath系列产品如何根据版本来区分支持DVPN1.0和2.0

secpath网关产品（secpath100N/100V/1000）

只有VRP3.40-E1604版本才支持DVPN2.0,其它以前的所有版本都只支持DVPN1.0

secpath防火墙产品（secpath10f/100f/500f/1000f）

可以通过VRBD去查看

vrbd

RoutingPlatformSoftware

VersionSecPath100F8042V100R002B01D020（COMWAREV300R002B40D003）,RELEASESOFTWARE

CompiledJun22200615:

44:

28byxiedong

若release为002和006,则表示此版本支持DVPN2.0,若release为001则表示此版本支持DVPN1.0

Eudemon系列产品目前所有版本都不支持DVPN

注意：

DVPN1.0版本和DVPN2.0不能互通

DVPN已经建立，tunnel已经UP，为何ping不通对方tunnel地址通常是由于没有把inttunnel加入untrust安全域引起的。

防火墙除了loopback口外，所有的物理接口、逻辑接口都必须加入安全域中。

DVPN已经建立，tunnel已经UP，PC能ping通对方tunnel地址，为何ping不通对方私网地址

通常是由于路由不正确的原因。

假设用户拓扑和地址如下：

私网1――――DVPN网关1―――――DVPN网关2―――――私网2私网1地址为，DVPN隧道口地址为Tunnel0:

。

私网2地址为，DVPN隧道口地址为Tunnel0:

。

不少人会按习惯在网关1上加如下路由：

iproute-static10.1.2.024tunnel0

由于DVPN隧道为P2MP类型，一个隧道地址可以与多个对端建立隧道，因此设备无法通过Tunnel口找到对端，还必须指定对端隧道的地址才可以，正确的路由设置如下：

iproute-static10.1.2.024192.168.1.2

网关2同样。

Secpath系列产品中如何知道设备是否带IPSec加密卡

用displayinterface可以看到，如果看到encrypt接口，说明设备时带了加密卡的。

SecPath100V、SecPath

1000、SecPath100F-

E、SecPath

500F、SecPath1000F内置硬件加密卡，其它设备可以选配加密插卡。

如何开启IPSecxx卡的快转

在系统试图下执行命令：

encrypt-cardfast-switch即可。