dptechfw1000系列防火墙系统操作手册.docx

dptechfw1000系列防火墙系统操作手册.docx

《dptechfw1000系列防火墙系统操作手册.docx》由会员分享，可在线阅读，更多相关《dptechfw1000系列防火墙系统操作手册.docx（23页珍藏版）》请在冰豆网上搜索。

dptechfw1000系列防火墙系统操作手册

DPtechFW1000操作手册

杭州迪普科技有限公司

2011年10月

第1章组网模式

1.1组网模式1-透明模式

组网应用场景

需要二层交换机功能做二层转发

在既有的网络中，不改变网络拓扑，而且需要安全业务

防火墙的不同网口所接的局域网都位于同一网段

特点

对用户是透明的，即用户意识不到防火墙的存在

部署简单，不改变现有的网络拓扑，无需更改其他网络设备的配置

支持各类安全特性：

攻击防护、包过滤、应用识别及应用访问控制等

配置要点

接口添加到相应的域

接口为二层接口，根据需要，配置接口类型为ACCESS或TRUNK

接口配置VLAN属性

必须配置一个vlan-ifxxx的管理地址，用于设备管理

1.2组网模式2-路由模式

组网应用场景

需要路由功能做三层转发

需要共享Internet接入

需要对外提供应用服务

需要使用虚拟专用网

特点

提供丰富的路由功能，静态路由、RIP、OSPF等

提供源NAT支持共享Internet接入

提供目的NAT支持对外提供各种服务

支持各类安全特性：

攻击防护、包过滤、应用识别及应用访问控制等

需要使用WEB认证功能

配置要点

接口添加到相应的域

接口工作于三层接口，并配置接口类型

配置地址分配形式静态IP、DHCP、PPPoE

1.3组网模式3-混合模式

组网应用场景

需结合透明模式及路由模式

特点

在VLAN内做二层转发

在VLAN间做三层转发

支持各类安全特性：

攻击防护、包过滤、应用识别及应用访问控制等

配置要点

接口添加到相应的域

接口为二层接口，根据需要，配置接口类型为ACCESS或TRUNK

接口配置VLAN属性

添加三层接口，用于三层转发

配置一个vlan-ifxxx的地址，用于三层转发

第2章

基本网络配置

2.1实现功能

内网（/24）可访问外网（/24）

内网地址为DHCP获得

内网对外提供HTTP服务（安装web服务器）

2.2网络拓扑

2.3配置步骤

【网络管理】->【接口管理】下，配置接口参数

在【网络管理】->【网络对象】下，将接口添加到安全域

在【网络管理】->【单播IPv4路由】下，添加出口路由

在【网络管理】->【DHCP配置】下，启动DHCPServer

在【防火墙】->【NAT】下，添加源NAT

在【防火墙】->【NAT】下，添加目的NAT

在【防火墙】->【包过滤策略】下，添加Untrust到Trust包过滤策略

第3章

深度检测功能配置

3.1实现功能

采用第1章——基本网络配置

内网（Trust）到外网（Untrust）方向匹配DPI策略（包括应用限速、每IP限速、访问控制、URL过滤、行为审计等）

备注：

本次功能配置以应用限速为例

3.2网络拓扑

3.3配置步骤

在【访问控制】->【网络应用带宽限速】下，配置限速策略

在【防火墙】->【包过滤策略】下，添加包过滤策略，并引用应用限速策略

部分DPI功能配置举例

第4章

VPN

4.1IPSecVPN

4.1.1客户端接入模式

4.1.1.1实现功能

采用第1章——基本网络配置

外网（）可通过IPSecVPN客户端方式连接到内网，共享内网资源

4.1.1.2网络拓扑

4.1.1.3配置步骤

在【VPN】->【IPSec】下，启动IPSec，配置客户端接入模式

在客户端安装IPSecVPN客户端程序

4.1.2网关—网关模式

4.1.2.1实现功能

两端配置采用第1章——基本网络配置（相关IP不同）

PC（）可通过IPSecVPN访问PC（），并可共享两端资源

4.1.2.2网络拓扑

4.1.2.3配置步骤

在【VPN】->【IPSec】下，进行网关—网关模式配置

4.2L2TPVPN

4.2.1实现功能

采用第1章——基本网络配置

外网（）可通过L2TPVPN连接到内网，共享内网资源

4.2.2网络拓扑

4.2.3配置步骤

在【网络管理】->【网络对象】下，将L2TP使用接口添加到安全域中

在【VPN】->【L2TP】下，启动L2TP，配置LNS和用户信息

在客户端上添加注册表键值（windows默认的l2tp/ipsec是只支持用证书认证的，对于用pre-share的认证方式或者不使用ipsec的l2tp连接，必须修改注册表），需重启客户端PC，键值如下：

#

WindowsRegistryEditorVersion

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters]

"ProhibitIPSec"=dword:

00000001

#

新建L2TP客户端，在【网上邻居】中创建新连接

需要修改的参数如下

4.3GREVPN

4.3.1实现功能

两端配置采用第1章——基本网络配置（相关IP不同）

PC（）可通过GREVPN访问PC（），并可共享两端资源

4.3.2网络拓扑

4.3.3配置步骤

在【网络管理】->【单播IPv4路由】下，添加静态路由

在【VPN】->【GRE】下，创建GREVPN策略

4.4SSLVPN

4.4.1实现功能

采用第1章——基本网络配置

外网（）可通过SSLVPN连接到内网，共享分配相应权限的内网资源

4.4.2网络拓扑

4.4.3配置步骤

在【VPN】->【SSLVPN】下，启动SSLVPN，并导入相应证书（新版本自带证书，老版本需搭建服务器获得）

在【VPN】->【SSLVPN】下，配置资源（IP资源、web资源等）

在【VPN】->【SSLVPN】下，添加用户

第5章

VRRP双机热备

5.1实现功能

内网PC（）可访问Internet资源

当FW1（，主）与FW2（，备）为主备模式下，断开FW1与SW1的连接，流量自动切换至FW2，PC应用无影响

重新连接FW1与SW1的连接，流量自动切换回FW1，PC应用无影响

5.2网络拓扑

5.3配置步骤

在【网络管理】->【接口管理】下，配置接口参数（eth_4为双机热备心跳线，eth_5连接内网，eth_6连接外网）

在【网络管理】->【网络对象】下，将接口添加到安全域中

在【网络管理】->【单播IPv4路由】下，添加出口默认路由

在【防火墙】->【NAT】下，配置源NAT策略

在【高可靠性】->【VRRP】下，配置VRRP备份组（内网PC网关指向备份组虚拟IP）

在【高可靠性】->【双机热备】下，进行双机热备配置（心跳线），此功能将同步配置、会话等参数

在【高可靠性】->【接口状态同步组】下，进行端口同步组配置（可选）；此功能作用为，如下行接口（eth0_5）down掉，则相同接口同步组下的其他接口，也将down掉，如需重新up，则需重新打开接口的管理状态

第6章

日志输出UMC

6.1业务日志输出

在【日志管理】->【业务日志】下，配置业务日志输出

FW中，业务日志主要包括行为审计日志

6.2会话日志输出

在【防火墙】->【会话管理】下，配置会话日志输出

FW中，会话日志主要包括NAT日志

6.3流量分析输出

在【上网行为管理】->【流量分析】下，配置流量分析输出

FW中，流量分析主要包括流量分析日志