DPtech FW1000系列防火墙系统操作手册.docx
《DPtech FW1000系列防火墙系统操作手册.docx》由会员分享，可在线阅读，更多相关《DPtech FW1000系列防火墙系统操作手册.docx（23页珍藏版）》请在冰点文库上搜索。
DPtechFW1000系列防火墙系统操作手册
DPtechFW1000操作手册
杭州迪普科技有限公司
2011年10月
第1章组网模式
1.1组网模式1-透明模式
组网应用场景
Ø需要二层交换机功能做二层转发
Ø在既有的网络中，不改变网络拓扑，而且需要安全业务
Ø防火墙的不同网口所接的局域网都位于同一网段
特点
Ø对用户是透明的，即用户意识不到防火墙的存在
Ø部署简单，不改变现有的网络拓扑，无需更改其他网络设备的配置
Ø支持各类安全特性：
攻击防护、包过滤、应用识别及应用访问控制等
配置要点
Ø接口添加到相应的域
Ø接口为二层接口，根据需要，配置接口类型为ACCESS或TRUNK
Ø接口配置VLAN属性
Ø必须配置一个vlan-ifxxx的管理地址，用于设备管理
1.2组网模式2-路由模式
组网应用场景
Ø需要路由功能做三层转发
Ø需要共享Internet接入
Ø需要对外提供应用服务
Ø需要使用虚拟专用网
特点
Ø提供丰富的路由功能，静态路由、RIP、OSPF等
Ø提供源NAT支持共享Internet接入
Ø提供目的NAT支持对外提供各种服务
Ø支持各类安全特性：
攻击防护、包过滤、应用识别及应用访问控制等
Ø需要使用WEB认证功能
配置要点
Ø接口添加到相应的域
Ø接口工作于三层接口，并配置接口类型
Ø配置地址分配形式静态IP、DHCP、PPPoE
1.3组网模式3-混合模式
组网应用场景
Ø需结合透明模式及路由模式
特点
Ø在VLAN内做二层转发
Ø在VLAN间做三层转发
Ø支持各类安全特性：
攻击防护、包过滤、应用识别及应用访问控制等
配置要点
Ø接口添加到相应的域
Ø接口为二层接口，根据需要，配置接口类型为ACCESS或TRUNK
Ø接口配置VLAN属性
Ø添加三层接口，用于三层转发
Ø配置一个vlan-ifxxx的地址，用于三层转发
第2章
基本网络配置
2.1实现功能
Ø内网（3.3.3.2/24）可访问外网（10.99.0.1/24）
Ø内网地址为DHCP获得
Ø内网对外提供HTTP服务（安装web服务器）
2.2网络拓扑
2.3配置步骤
Ø【网络管理】->【接口管理】下，配置接口参数
Ø在【网络管理】->【网络对象】下，将接口添加到安全域
Ø在【网络管理】->【单播IPv4路由】下，添加出口路由
Ø在【网络管理】->【DHCP配置】下，启动DHCPServer
Ø在【防火墙】->【NAT】下，添加源NAT
Ø在【防火墙】->【NAT】下，添加目的NAT
Ø在【防火墙】->【包过滤策略】下，添加Untrust到Trust包过滤策略
第3章
深度检测功能配置
3.1实现功能
Ø采用第1章——基本网络配置
Ø内网（Trust）到外网（Untrust）方向匹配DPI策略（包括应用限速、每IP限速、访问控制、URL过滤、行为审计等）
Ø备注：
本次功能配置以应用限速为例
3.2网络拓扑
3.3配置步骤
Ø在【访问控制】->【网络应用带宽限速】下，配置限速策略
Ø在【防火墙】->【包过滤策略】下，添加包过滤策略，并引用应用限速策略
Ø部分DPI功能配置举例
第4章
VPN
4.1IPSecVPN
4.1.1客户端接入模式
4.1.1.1实现功能
Ø采用第1章——基本网络配置
Ø外网（10.99.0.4）可通过IPSecVPN客户端方式连接到内网，共享内网资源
4.1.1.2网络拓扑
4.1.1.3配置步骤
Ø在【VPN】->【IPSec】下，启动IPSec，配置客户端接入模式
Ø在客户端安装IPSecVPN客户端程序
4.1.2网关—网关模式
4.1.2.1实现功能
Ø两端配置采用第1章——基本网络配置（相关IP不同）
ØPC（3.3.3.2）可通过IPSecVPN访问PC（4.4.4.2），并可共享两端资源
4.1.2.2网络拓扑
4.1.2.3配置步骤
Ø在【VPN】->【IPSec】下，进行网关—网关模式配置
4.2L2TPVPN
4.2.1实现功能
Ø采用第1章——基本网络配置
Ø外网（10.99.0.4）可通过L2TPVPN连接到内网，共享内网资源
4.2.2网络拓扑
4.2.3配置步骤
Ø在【网络管理】->【网络对象】下，将L2TP使用接口添加到安全域中
Ø在【VPN】->【L2TP】下，启动L2TP，配置LNS和用户信息
Ø在客户端上添加注册表键值（windows默认的l2tp/ipsec是只支持用证书认证的，对于用pre-share的认证方式或者不使用ipsec的l2tp连接，必须修改注册表），需重启客户端PC，键值如下：
#
WindowsRegistryEditorVersion5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters]
"ProhibitIPSec"=dword:
00000001
#
Ø新建L2TP客户端，在【网上邻居】中创建新连接
Ø需要修改的参数如下
4.3GREVPN
4.3.1实现功能
Ø两端配置采用第1章——基本网络配置（相关IP不同）
ØPC（3.3.3.2）可通过GREVPN访问PC（4.4.4.2），并可共享两端资源
4.3.2网络拓扑
4.3.3配置步骤
Ø在【网络管理】->【单播IPv4路由】下，添加静态路由
Ø在【VPN】->【GRE】下，创建GREVPN策略
4.4SSLVPN
4.4.1实现功能
Ø采用第1章——基本网络配置
Ø外网（10.99.0.4）可通过SSLVPN连接到内网，共享分配相应权限的内网资源
4.4.2网络拓扑
4.4.3配置步骤
Ø在【VPN】->【SSLVPN】下，启动SSLVPN，并导入相应证书（新版本自带证书，老版本需搭建服务器获得）
Ø在【VPN】->【SSLVPN】下，配置资源（IP资源、web资源等）
Ø在【VPN】->【SSLVPN】下，添加用户
第5章
VRRP双机热备
5.1实现功能
Ø内网PC（3.3.3.3）可访问Internet资源
Ø当FW1（10.99.0.192，主）与FW2（10.99.0.193，备）为主备模式下，断开FW1与SW1的连接，流量自动切换至FW2，PC应用无影响
Ø重新连接FW1与SW1的连接，流量自动切换回FW1，PC应用无影响
5.2网络拓扑
5.3配置步骤
Ø在【网络管理】->【接口管理】下，配置接口参数（eth_4为双机热备心跳线，eth_5连接内网，eth_6连接外网）
Ø在【网络管理】->【网络对象】下，将接口添加到安全域中
Ø在【网络管理】->【单播IPv4路由】下，添加出口默认路由
Ø在【防火墙】->【NAT】下，配置源NAT策略
Ø在【高可靠性】->【VRRP】下，配置VRRP备份组（内网PC网关指向备份组虚拟IP）
Ø在【高可靠性】->【双机热备】下，进行双机热备配置（心跳线），此功能将同步配置、会话等参数
Ø在【高可靠性】->【接口状态同步组】下，进行端口同步组配置（可选）；此功能作用为，如下行接口（eth0_5）down掉，则相同接口同步组下的其他接口，也将down掉，如需重新up，则需重新打开接口的管理状态
第6章
日志输出UMC
6.1业务日志输出
Ø在【日志管理】->【业务日志】下，配置业务日志输出
ØFW中，业务日志主要包括行为审计日志
6.2会话日志输出
Ø在【防火墙】->【会话管理】下，配置会话日志输出
ØFW中，会话日志主要包括NAT日志
6.3流量分析输出
Ø在【上网行为管理】->【流量分析】下，配置流量分析输出
ØFW中，流量分析主要包括流量分析日志
升级会员 