H3C防火墙常见问题汇总.docx

1、H3C防火墙常见问题汇总ALG的作用是什么地址转换会导致许多对NAT敏感的应用协议无法正常工作，必须针对该协议进行特殊的处理。所谓对NAT敏感的协议是指该协议的某些报文的有效载荷中携带IP地址和（或）端口号，如果不进行特殊处理，将会严重影响后继的协议交互。地址转换应用网关（NAT Application Level Gateway，NAT ALG）是解决特殊协议穿越NAT的一种常用方式，该方法按照地址转换规则，对载荷中的IP地址和端口号进行替换，从而实现对该协议的透明中继。目前VRP的NAT ALG支持PPTP、DNS、FTP、ILS、NBT、SIP、H.323等协议。在SecPath上，当开

2、启NAT功能后，系统会自动开启NAT ALG，无需手工设置。防火墙的域（zone）是什么意思区域（zone）是防火墙产品所引入的一个安全概念，是防火墙产品区别于路由器的主要特征。一个安全区域包括一个或多个接口的组合，具有一个安全级别。在设备内部，安全级别通过0100的数字来表示，数字越大表示安全级别越高，不存在两个具有相同安全级别的区域。SecPath缺省有trust、untrust、DMZ、local 4个安全域，同时还可以自定义12个区域。SecPathfirewall zone ? DMZ DMZ security zone local Local security zone name

3、Specify a new security zone name and create it trust Trust security zone untrust Untrust security zone 一般来讲，安全区域与各网络的关联遵循下面的原则：内部网络应安排在安全级别较高的区域、外部网络应安排在安全级别最低的区域。具体来说，Trust所属接口用于连接用户要保护的网络；Untrust所属接口连接外部网络；DMZ区所属接口连接用户向外部提供服务的部分网络；从防火墙设备本身发起的连接即是从Local区域发起的连接。相应的所有对防火墙设备本身的访问都属于向Local区域发起访问连接。SecP

4、ath防火墙中inbound和outbound的含义是什么呢SecPath防火墙的ACL规则和路由器一样，是应用在接口上的，inbound指从接口进入防火墙的方向，outbound是从防火墙出接口的方向。这点是与Eudemon和SecPath1800F不同的。Eudemon和SecPath1800F的ACL是应用在域间的，inbound是指从低安全级别的域进入高安全级别域的流量，如从untrust进入trust，outbound的方向与此相反。为什么我的接口配了IP地址和PC对连却ping不通接口必须加入且只能加入一个域才能生效。特别要注意的是，除了物理口要加入域外，virtual-templ

5、ate和tunnul也必须加入域。如果不加入域，可能出现端口up但是却互相ping不通、SecPoint拨号接入却获取不到IP地址等情况。这是刚接触防火墙常犯的错误，希望大家能够牢记。命令为firewall zone trust/untrust 同时，在3.4-0006版本后，缺省情况下，更改了包过滤的缺省规则，缺省规则由permit改为deny，缺省情况下，所有的接口都是不通的，需要在系统视图下配置firewall packet-filter default permit才能访问。Secpath系列产品如何查看flash中有哪些文件dir/all Directory of flash:/1

6、-rw- Oct 10 2002 10:10:10 system2 -rw- Oct 10 2002 10:10:10 http.zip3 -rw- 962 Sep 22 2010 16:42:11 config.cfg4 -rw- 524288 Aug 09 2010 09:35:41 bootromfull15621 KB total (8439 KB free)Secpath系列产品如何备份配置文件和VRP文件1、使用TFTP方式（需要有TFTP服务器，如3CDaemon）前提条件：保证PC机和设备之间可以双向PING通tftp 1.1.1.1（TFTP服务器的地址） put syste

7、m （VRP文件名）tftp 1.1.1.1（TFTP服务器的地址） put config.cfg （VRP文件名）2、使用FTP方式前提条件：保证PC机和设备之间可以双向PING通Quidwayftp server enable启动FTP服务Quidway local-user huawe创建FTP用户和密码及及登陆后的目录Quidway password simple huaweiQuidwayservice-type ftp ftp-directory flash:/在PC“运行”键入CMD命令进入到DOS界面ftp 设备IP地址用户名和密码都是huawei Secpath产品BOOTR

8、OM升级说明进入bootrom命令Ctrl_D 进入bootrom升级bootrom Ctrl_B 进入bootrom升级VRP BOOTROM文件1、bootromd的版本文件可能有2个，大小分别是100多K和512K。2、bootrom升级时，从低版本到高版本使用100k的update，但是从高到低必须使用512k的重新down，建议都使用512K的bootrom文件Secpath产品在线升级BOOTROM和VRP方法BOOT在线升级：【TFTP方式】1、配置secpath F和PC地址，使之互通。2、 PC上启用TFTP server程序，同时指定为升级的boot文件所在目录。3、将bo

9、ot文件拷入flash中。在用户视图下，执行以下命令：copy x.x.x.x/bootromfull bootromfull这里，x.x.x.x为PC的地址，bootromfull为升级的boot文件名，注意：只能为bootromfull。如果只升级boot扩展段，则拷入的文件名应为bootrom。如果无法确定需要升级boot扩展段还是整个boot，则建议直接升级整个boot文件。4、将boot升级，执行：upgrade bootrom bootromfull这里，bootromfull为拷入的文件名称。5、重启系统。【FTP方式】同中低端路由器版本。版本软件在线升级：【TFTP方式】1、配

10、置secpath F和PC地址，使之互通。PC上启用TFTP server程序，同时指定为升级文件所在目录。2、在用户视图下，执行以下命令：copy x.x.x.x/system system 这里，x.x.x.x为PC的地址，system为升级的系统文件名，注意：只能为system。3、重启系统。【FTP方式】同中低端路由器版本。说明：防火墙应用程序缺省名称为system，配置文件缺省名称为config.cfg，Boot ROM扩展段文件缺省名称为bootrom，整个Boot ROM文件缺省名称为bootromfull。Secpath在BOOT中升级VRP版本时，下载完文件提示“Writin

11、ginto Flash Fails.”该如何处理一般是由于Flash出了问题。可以把Flash先格式化再下载。格式化flash可以在进入BOOT菜单后按“ctrl+b”再按“CTRL+F”执行。为什么从系统下升级VRP版本重启设备后未生效SecPath产品默认的系统文件为system，如果是在Bootrom下TFTP升级，系统将自动覆盖以前的system文件。如果在用户视图下FTP下载系统文件，需要手动更改下载的文件名为system。在BootRom模式下TFTP升级VRP版本时，为什么从有些接口上下载不了版本SecPath系列防火墙在bootrom下TFTP升级版本时，有一个默认的eth0口

12、用于下载，该接口是不能更改的。各系列产品所对应于eth0的接口如下：Secpath100F: WAN2删除FLASH里面的VRP系统文件，从BootRom模式下TFTP升级VRP版时，系统却提示FLASH空间不足，版本无法下载，系统启动不了怎么办删除文件时一定要/u才能完全删除，假如在用户视图直接del system，该系统文件将放入回收站，同样占用FLASH的空间。这时，如果重启，老系统文件不生效，新系统文件又无空间写入。这时的杀手锏就是在进入boot菜单时CTRL+F格式化FLASH了。VRP系统损坏了怎么办进入boot菜单时CTRL+F格式化FLASH，通过bootrom方式升级。Sec

13、path产品是否支持WEB管理目前支持WEB管理的设备有：secpath10f、100f、1000f。但FLASH中一定得有“http.zip”文件，如果没有就采用detach命令来解压软件版本。例：detach system System file length bytes, http file length 834724 bytes.dir Directory of flash:/0 -rw- Jun 16 2009 06:46:36 system1 -rw- 1830 Jun 17 2009 07:47:16 config.cfg2 -rw- 834724 Jun 18 2009 02:

14、22:39 http.zip注：如果不能通过WEB方式连到SecPath防火墙上，请按照下面的步骤进行排查：检查Flash中是否有“http.zip”文件；如果没有该文件，请使用命令：detach system来释放出“http.zip”文件；如果有“http.zip”文件，说明此文件是以前VRP程序里面的，请先删除该文件，再使用命令：detach system来释放出“http.zip”文件；如果在VRP下通过FTP、TFTP方式进行升级后，那么需要先删除“http.zip”，再使用命令：detach system来释放出“http.zip”文件；如果在Boot Rom下进行升级，升级成功，

15、则正常。为什么WEB管理操作时从设备读取页面很慢首先查看你的IE设置： 第一次Web访问某个页面时，要从FLASH里面读取大量数据，页面显示会相对较慢。以后系统缓存后，访问已访问过的页面会比较快。当你做了上述设置之后，发现读取页面还是异常慢，不妨换台PC试试，有时会碰到有的PC机访问页面异常慢的情况，原因不明。在3.4-0006版本中，对WEB的访问流程进行了优化，访问速度较以前的版本快。如果客户反映WEB访问很慢，请升级到最新版本。注意，如果在使用过程中单独升级http.zip文件，需要重启设备才能生效。如果只在用户模式下，FTP上传新版本到FLASH，必须手动在用户模式下用detach s

16、ystem命令来解压出新的HTTP.ZIP文件。LNS位于NAT网关之后如何处理有两种方式：1、NAT上做静态NAT映射，将LNS的私网地址映射为一个公网地址。2、NAT上做1701/UDP的NAT server，将LNS的1701端口映射为公网的1701端口。在Secpath10f/100f/1000f上配置为LNS，但出现连接到“验证用户名和密码时”出现“错误619：”是什么原因将防火墙攻击防范中“IP欺骗攻击”关闭即可解决此问题。IPSEC网关也位于NAT网关之后，如何处理1、NAT上做静态NAT映射，将VPN网关的私网地址映射为一个公网地址。同时，双方启用NAT穿越。2、NAT上做50

17、0/UDP的NAT server，将VPN网关的500端口映射为公网的500端口。同时，双方启用NAT穿越，且IPSEC使用AH和ESP协议，协议号分别为51、50，也需要放开。配置GRE时tunnel口协议层已经UP，但是却无法ping通对端tunnel口地址请确认 interface tunnel已经加入了安全域。Tunnel如果不加入安全域时防火墙是不进行处理和转发的；同时检查gre key是否一致。GRE的TUNNEL中定义的ip address、source 和destination这三个地址的作用GRE的TUNNEL中，ip addr 是作路由用的。即，当查找路由表时，发现所要发送

18、的数据包的下一跳是和自己tunnel口ip addr同一网段的对端GRE的地址，则从tunnel口转发数据，进行GRE的封装。当数据进行GRE封装时，外层封装的IP地址即为tunnel口定义的source和destination定义的地址。Secpath系列产品如何根据版本来区分支持DVPN1.0和2.0secpath网关产品(secpath100N/100V/1000)只有VRP3.40-E1604版本才支持DVPN2.0,其它以前的所有版本都只支持DVPN1.0 secpath防火墙产品(secpath10f/100f/500f/1000f)可以通过VRBD去查看vrbd Routing

19、Platform Software Version SecPath 100F 8042V100R002B01D020 (COMWAREV300R002B40D003),RELEASE SOFTWARE Compiled Jun 22 2006 15:44:28 by xiedong 若release为002和006,则表示此版本支持DVPN2.0,若release为001则表示此版本支持DVPN1.0Eudemon系列产品目前所有版本都不支持DVPN 注意：DVPN1.0版本和DVPN2.0不能互通DVPN已经建立，tunnel已经UP，为何ping不通对方tunnel地址通常是由于没有把in

20、t tunnel加入untrust安全域引起的。防火墙除了loopback口外，所有的物理接口、逻辑接口都必须加入安全域中。DVPN已经建立，tunnel已经UP，PC 能ping通对方tunnel地址，为何ping不通对方私网地址通常是由于路由不正确的原因。假设用户拓扑和地址如下：私网1DVPN网关1DVPN网关2私网2私网1地址为，DVPN隧道口地址为Tunnel 0:。私网2地址为，DVPN隧道口地址为Tunnel 0:。不少人会按习惯在网关1上加如下路由：ip route-static 10.1.2.0 24 tunnel 0由于DVPN隧道为P2MP类型，一个隧道地址可以与多个对端建

21、立隧道，因此设备无法通过Tunnel口找到对端，还必须指定对端隧道的地址才可以，正确的路由设置如下：ip route-static 10.1.2.0 24 192.168.1.2网关2同样。Secpath系列产品中如何知道设备是否带IPSec加密卡用display interface可以看到，如果看到encrypt接口，说明设备时带了加密卡的。SecPath100V、SecPath1000、SecPath100F-E、SecPath500F、SecPath1000F内置硬件加密卡，其它设备可以选配加密插卡。如何开启IPSecxx卡的快转在系统试图下执行命令：encrypt-card fast-switch即可。