天清漢馬USG防火墻（T系列）快速安裝指南v3

《天清漢馬USG防火墻（T系列）快速安裝指南v3》由會員分享，可在線閱讀，更多相關《天清漢馬USG防火墻（T系列）快速安裝指南v3（26頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、 天清漢馬USG防火墻（T系列） 快速安裝指南 啟明星辰信息安全技術某 Beijing Venus Information Security Inc. 二零一六年11月 天清漢馬USG防火墻 快速安裝指南 手冊版本V1.0 產(chǎn)品版本V2.0 資料狀態(tài) 發(fā)行 聲明 啟明星辰公司所有，并保留對本手冊及本聲明的最終解釋權和修改權。 本手冊的歸啟明星辰公司所有。未得到啟明星辰公司書面許可，任何人不得以任何方式或形式對本手冊內(nèi)的任何部分進行復制、摘錄、備份、修改、傳播、翻譯成其他

2、語言、將其部分或全部用于商業(yè)用途。 免責聲明 本手冊依據(jù)現(xiàn)有信息制作，其內(nèi)容如有更改，恕不另行通知。啟明星辰公司在編寫該手冊的時候已盡最大努力保證其內(nèi)容準確可靠，但啟明星辰公司不對本手冊中的遺漏、不準確或錯誤導致的損失和損害承擔責任。 User’s Manual Copyright and Disclaimer Copyright Copyright Venus networks Co.LtdAll rights reserved. The copyright of this document is owned by Venus networks Co.Ltd. Without t

3、he prior written permissionobtained from Venus networks Co.Ltd., this document shall not be reproduced and excerpted in anyform or by any means, stored in a retrieval system, modified,distributed and translated into otherlanguages,applied for a mercial purpose in whole or in part. Disclaimer This

4、document and the information contained herein is provided on an “AS IS”basis.Venus networks Co.Ltdmay make improvement or changes in this document,at any time and without notice andas it sees fit.The information in this document was prepared Venus networks Co.Ltdwith reasonablecare and is believed t

5、o be accurate.However,Venusnetworks Co.Ltdshall not assume responsibility forlosses or damages resulting from any omissions,inaccuracies, or errors contained herein. 副本發(fā)布聲明 啟明星辰公司的天清漢馬USG防火墻產(chǎn)品正常運行時，包含2款GPL協(xié)議的軟件（linux、zebra）。啟明星辰公司愿意將GPL軟件提供給已經(jīng)購買產(chǎn)品的且愿意遵守GPL協(xié)議的客戶，請需要GPL軟件的客戶提供（1）已經(jīng)購買的產(chǎn)品的序列號，（2）有效送

6、達GPL軟件地址和聯(lián)系人，包括但不限于某、公司、、電子、地址、郵編等。 目錄 快速安裝指南2 User’s Manual Copyright and Disclaimer2 Copyright2 Disclaimer2 第1章 硬件安裝5 1.1 安裝前準備工作5 1.1.1 安裝環(huán)境要求5 1.1.2 安裝工具準備5 1.2 設備面板標識說明5 1.3 設備安裝6 1.3.1 設備接口卡的安裝6 1.3.2 將設備安裝到機柜6 第2章 快速配置7 2.1 設備默認配置

7、7 2.1.1 管理口的默認配置7 2.1.2 默認管理員用戶7 2.2 Web快速配置7 2.2.1 登錄設備7 2.2.2 配置VLAN8 2.2.3 配置IP地址9 2.2.4 透明橋模式案例110 2.2.5 透明橋模式案例212 2.2.6 路由綜合案例14 2.2.7 攻擊防護案例20 2.2.8 應用控制案例23 第3章 軟件升級27 3.1 通過Web升級27 第1章 硬件安裝 在這部分里主要介紹的是硬件的安裝、設置以及必要的配置操作。 1.1 安裝前準備工作 1.1.1 安裝環(huán)境要求 工作溫度 0～40℃ 存儲溫度 -40～70℃

8、相對濕度 0～95%非凝結 電磁兼容性 滿足GB9254-1998 A級以上及GB17618-1998電磁兼容要求 電源適應性 220V 拉偏電： 198V~242V，頻率：49～51Hz 1.1.2 安裝工具準備 請安裝前準備好以下安裝工具： 終端：配置終端，可以是普通PC機、筆記本電腦 工具：十字螺絲刀和防靜電護腕 電纜：電源電纜、串口電纜、網(wǎng)線 1.2 設備面板標識說明 ：超級終端的RJ45連接端口 :2×USB連接接口 ：管理接口 ：10/100/1000M自適應以太網(wǎng)電接口 業(yè)務口 ：GE SFP光接口 業(yè)務口 ：機箱后部電源插座和電

9、源開關 ：接口卡 1.3 設備安裝 1.3.1 設備接口卡的安裝 設備接口卡安裝步驟如下： 1) 設備斷電； 2) 取下接口槽位上的擋板，插入接口卡； 3) 安裝完畢。 設備的接口卡不支持熱插拔，設備必須在斷電情況下才能進行接口卡的安裝和卸載，否則會造成設備的損壞！ 1.3.2 將設備安裝到機柜 1)設備斷電 2)將設備放置在機柜托盤上 3)將設備固定在機柜上 4)接通電源 5)管理口接上網(wǎng)線 第2章 快速配置 本設備可通過Web方式來進行配置。 2.1 設備默認配置 出廠的防火墻設備自帶默認的配置。這些默認配置可

10、以在出廠的情況下，允許用戶通過Web進行配置。 2.1.1 管理口的默認配置 標記有“MGT”的接口為設備的管理口；如果沒有“MGT”接口，則主板上從左側數(shù)第一個以太網(wǎng)接口為設備的管理口。 管理口的默認IP地址為192.168.1.250/24。允許對該接口的Ping，HTTPS操作。 2.1.2 默認管理員用戶 系統(tǒng)默認的管理員用戶為admin，密碼為fw.admin。任何地址都可以使用該用戶登錄設備。并且可以使用設備的所有功能。 2.2 Web快速配置 2.2.1 登錄設備 配置本機IP地址為192.168.1.2/24, 通過網(wǎng)線將本機和設備管理口連接。打開瀏覽器,輸入h

11、ttps://192.168.1.250, 連接設備。 輸入用戶名（缺省用戶名：admin）、密碼（缺省密碼：fw.admin）和驗證碼（隨機生成）登錄。 2.2.2 配置VLAN u 案例描述 FW設備使用VLAN提供轉發(fā)業(yè)務，在配置其他業(yè)務前，需要根據(jù)網(wǎng)絡環(huán)境創(chuàng)建VLAN并在其中加入物理接口成員。 u 配置步驟： 進入網(wǎng)絡>接口>VLAN，點擊新建， 如下圖： 1、 配置參數(shù) 名稱：vlan的名稱，這里配置為vlan1。 Tag：vlan的tag號，這里配置為1。 管理狀態(tài)：vlan接口的狀態(tài)，設置為UP。 MTU ：vlan接口的MTU值，保持

12、默認的1500即可。 接口選擇：在可選的接口中點擊加入到Untagged或者Tagged接口中，這里將ge0/1以Untagged方式加入到vlan 1中，將ge0/2以Tagged方式加入到vlan 1中。 2、 點擊提交完成創(chuàng)建VLAN。 2.2.3 配置IP地址 防火墻設備在做網(wǎng)絡層以上業(yè)務處理時，需要在VLAN上配置IP地址。 u 配置步驟： 1.進入網(wǎng)絡>接口>VLAN，點擊列表中的需要配置的vlan接口，如下圖所示（以vlan10為例）： IP地址/掩碼：vlan 接口的IP地址/掩碼，這里設置為1.1.1.1/24。 這里不選擇浮動IP與單元ID

13、。 點擊“添加”按鈕。 2.點擊“更新”添加VLAN IP成功，如下圖所示： 2.2.4 透明橋模式案例1 u 案例描述： 防火墻設備透明部署，通過FW設備的報文不帶vlan tag，內(nèi)網(wǎng)用戶需要通過防火墻訪問外網(wǎng)。 案例拓撲 u 配置步驟： 1、 進入網(wǎng)絡>接口>VLAN，新建vlan10，tag為10，將接口ge0/0和ge0/1UnTagged方式加入到vlan10中，點擊提交使配置生效。 2、 進入對象>地址對象>地址節(jié)點，創(chuàng)建IPV4類型的地址對象內(nèi)網(wǎng)用戶,并將內(nèi)網(wǎng)網(wǎng)段192.168.10.0/24加入到地址對象中。 3、

14、進入策略>防火墻>策略，點擊新建，地址類型選擇IPv4，入接口配置為vlan10，出接口也配置為vlan10，源地址配置為內(nèi)網(wǎng)用戶，目的地址配置為any，服務為any，時間為always，動作為permit，點擊提交使配置生效。 4、 進入策略>防火墻>策略，查看策略，勾選策略啟用開關，使得配置啟用。 5、 進入策略>防火墻>策略配置，查看策略匹配開關開啟，默認動作為deny。 2.2.5 透明橋模式案例2 u 案例描述： 防火墻透明部署在trunk鏈路下，通過FW設備的報文帶vlan tag10和vlan tag20，F(xiàn)W設備需要透傳帶vlan tag的報文，并且內(nèi)

15、網(wǎng)用戶需要通過防火墻訪問外網(wǎng)。 案例拓撲 u 配置步驟： 1、 進入網(wǎng)絡>接口>VLAN，新建vlan10，tag為10，將接口ge0/0和ge0/1UnTagged加入到vlan10中，點擊提交使配置生效。 2、 配置設備管理接口允許SSH或telnet方式訪問設備，并使用SSH或telnet方式登陸到設備管理終端，在配置視圖下，輸入如下命令。該命令會使得該vlan的接口下允許所有的vlan tag 或untag透傳，故配置后不再受步驟1中vlan接口配置的UnTagged或者tagged方式的約束。 FW(config)# vlan 10 FW(config-vlan)

16、# vlan-transparent enable 提示：此配置命令適用于FW需要透傳大量vlan時使用，若橋下只需要允許單個VLAN帶tag通過，在配置vlan時，將接口tagged方式加入到該vlan中即可。 3、 進入對象>地址對象>地址節(jié)點，創(chuàng)建IPV4類型的地址對象內(nèi)網(wǎng)用戶,并將內(nèi)網(wǎng)網(wǎng)段192.168.10.0/24和192.168.11.0/24加入到地址對象中。 4、 進入策略>防火墻>策略，點擊新建，地址類型選擇IPv4，入接口配置為vlan10，出接口也配置為vlan10，源地址配置為內(nèi)網(wǎng)用戶，目的地址配置為any，服務為any，時間為always，動作為permi

17、t，點擊提交使配置生效。 5、 進入策略>防火墻>策略，查看策略，勾選策略啟用開關，使得配置啟用。 6、 進入策略>防火墻>策略配置，查看策略匹配開關開啟，默認動作為deny。 2.2.6 路由綜合案例 u 案例描述： 企業(yè)需要通過FW設備進行互聯(lián)網(wǎng)訪問，內(nèi)網(wǎng)地址網(wǎng)段為192.168.1.0/24，服務器網(wǎng)段為192.168.2.0/24。企業(yè)有兩條條出口鏈路分別屬于電信、網(wǎng)通，電信的公網(wǎng)地址為13.1.1.1，網(wǎng)關為13.1.1.2；網(wǎng)通的公網(wǎng)地址為14.1.1.1，網(wǎng)關為14.1.1.2。用戶具體需求如下： 1、 內(nèi)網(wǎng)地址訪問外網(wǎng)需要進行源NAT轉換。 2

18、、 外網(wǎng)地址訪問內(nèi)網(wǎng)服務器需要進行目的NAT轉換。 3、 依據(jù)組網(wǎng)劃分不同的區(qū)域，內(nèi)網(wǎng)屬于trust區(qū)域，外網(wǎng)屬于untrust區(qū)域，內(nèi)網(wǎng)服務器屬于DMZ區(qū)域。配置策略允許trust區(qū)域訪問untrust區(qū)域，允許trust和untrust區(qū)域訪問DMZ區(qū)域的http服務，其他訪問流量默認拒絕。 4、 若訪問的目的地址為電信IP地址，選擇電信的鏈路作為出鏈路，當電信鏈路故障以后，選擇網(wǎng)通的鏈路作為出鏈路。 5、 若訪問的目的地址為網(wǎng)通IP地址，選擇網(wǎng)通的鏈路作為出鏈路，當網(wǎng)通鏈路故障以后，選擇電信的鏈路作為出鏈路。 6、 若訪問的目的地址不屬于電信、網(wǎng)通，可以輪詢選擇出鏈路，但是內(nèi)網(wǎng)訪

19、問服務器的流量都不受策略路由控制。 案例拓撲 u 案例配置分析： 1、 設備配置源NAT實現(xiàn)內(nèi)網(wǎng)訪問外網(wǎng)的NAT轉換。 2、 設備配置目的NAT實現(xiàn)外網(wǎng)到內(nèi)網(wǎng)服務器的訪問。 3、 配置添加兩條默認路由使得內(nèi)網(wǎng)可以通過路由成功訪問到外網(wǎng)。 4、 配置接口加入到不同的安全域，通過配置防火墻策略實現(xiàn)區(qū)域之間的互訪控制。 5、 配置策略路由實現(xiàn)基于ISP的選路。 6、 地址對象配置添加排除IP，使得內(nèi)網(wǎng)訪問服務器不受策略控制。 u 配置步驟： 1、 照上述拓撲進行組網(wǎng)，并作基本網(wǎng)絡配置，包括VLAN劃分，以及IP地址配置。 2、 進入對象>地址對象>地址節(jié)點，創(chuàng)建電信地址對象

20、，ISP地址庫選擇ISP_CT.dat（中國電信），配置提交。 3、 按照上述方法，分別創(chuàng)建如下地址對象： 電信：包含電信ISP地址庫 網(wǎng)通：包含網(wǎng)通ISP地址庫 內(nèi)網(wǎng)地址：成員為所有內(nèi)網(wǎng)網(wǎng)段：192.168.1.0/24和192.168.2.0/24 外網(wǎng)地址：成員為0.0.0.0/0，同時將內(nèi)網(wǎng)用戶192.168.1.0/24和服務器網(wǎng)段192.168.2.0/24添加到排除地址中。 DNAT電信：成員為內(nèi)網(wǎng)服務器對外映射的公網(wǎng)地址：13.1.1.10。 4、 進入網(wǎng)絡>NAT>NAT規(guī)則>源地址轉換，點擊新建，轉換類型為IPV4 to IPV4，源地址選擇內(nèi)網(wǎng)地址，

21、目標地址為any，服務為any，出接口選擇VLAN3，轉換后地址為出接口地址，點擊提交。 5、 按照上述方法，創(chuàng)建出接口為VLAN4的源NAT策略。 6、 進入網(wǎng)絡>NAT>NAT地址池，點擊新建，名稱為dnat-pool，地址池配置為內(nèi)網(wǎng)服務器地址192.168.2.10，點擊提交使配置生效。 7、 進入網(wǎng)絡>NAT>NAT規(guī)則>目的地址轉換，點擊新建，源地址選擇any，目標地址為DNAT電信，服務為any，入接口選擇VLAN3，轉換后地址引用地址池dnat-pool，點擊提交。 8、 進入網(wǎng)絡>路由>靜態(tài)路由:IPv4:配置添加兩條默認路由，點擊提交使得路由配置生效

22、。 9、 進入網(wǎng)絡>安全域，配置添加trust安全域，將內(nèi)網(wǎng)接口vlan1加入安全域中。 10、 按照上述方法，創(chuàng)建untrust和DMZ安全域，untrust安全域加入vlan3和vlan4接口，DMZ安全域加入vlan2接口。 11、 進入策略>防火墻>策略，點擊新建，地址類型選擇IPV4，入接口選擇安全域trust，出接口選擇安全域untrust，源地址選擇內(nèi)網(wǎng)地址，目的地址選擇any，服務選擇any，應用選擇any，時間選擇always，動作選擇permit，點擊提交使得配置生效。 12、 按照上述方法，創(chuàng)建允許trust和untrust區(qū)域到DMZ區(qū)域的htt

23、p服務訪問，勾選啟用使得策略生效。 13、 進入策略>防火墻>策略配置，查看策略匹配開關是否開啟，默認動作為deny。 14、 進入對象>健康檢查，創(chuàng)建icmp健康檢查模板。 提示：源IP和覆蓋IP若不填寫，健康檢查會使用策略路由的下一跳作為目的IP進行檢查，源IP會自動選擇下一跳對應出接口的IP。 15、 進入網(wǎng)絡>路由>策略路由，分別創(chuàng)建電信策略路由、網(wǎng)通策略路由和默認策略路由。 u 電信策略路由 源地址選擇內(nèi)網(wǎng)地址，目標地址選擇電信地址對象，網(wǎng)關添加電信鏈路和網(wǎng)通鏈路，電信鏈路優(yōu)先級高于網(wǎng)通鏈路，并引用icmp健康檢查模板。 u 網(wǎng)通策略路由

24、源地址選擇內(nèi)網(wǎng)地址，目標地址選擇網(wǎng)通地址對象，網(wǎng)關添加電信鏈路和網(wǎng)通鏈路，網(wǎng)通鏈路優(yōu)先級高于電信鏈路，并引用icmp健康檢查模板。 u 默認策略路由 源地址選擇內(nèi)網(wǎng)地址，目標地址選擇外網(wǎng)地址對象，由于外網(wǎng)地址添加了內(nèi)網(wǎng)網(wǎng)段192.168.1.0/24和192.168.2.0/24的排除地址，故內(nèi)網(wǎng)訪問服務器的流量不會匹配策略路由。網(wǎng)關添加電信鏈路和網(wǎng)通鏈路，網(wǎng)通鏈路優(yōu)先級和電信鏈路優(yōu)先級相同，使其輪詢轉發(fā)，并引用icmp健康檢查模板。 16、 配置完成后網(wǎng)絡>路由>策略路由下查看策略，依據(jù)命中數(shù)可以查看到匹配策略路由調(diào)度的情況。 2.2.7 攻擊防護案例 u 案例描述

25、： 企業(yè)要求對內(nèi)部網(wǎng)絡進行防護，抵御外部網(wǎng)絡的攻擊，具體需求如下： 1、 若外網(wǎng)的每源IP向內(nèi)網(wǎng)發(fā)出的TCP連接請求速率超過100，設備主動驗證連接請求方是否為攻擊源，若是攻擊源，設備將連接請求報文丟棄。 2、 若外網(wǎng)某一源地址1秒內(nèi)向內(nèi)網(wǎng)服務器超過1000個不同端口發(fā)送了TCP連接請求報文（或UDP連接請求報文），則設備在接下來的20秒內(nèi)，此源地址的所有TCP請求報文（或UDP請求報文）被阻斷。 3、 對常見的Dos攻擊類型進行主動防御。 4、 對內(nèi)部服務器192.168.11.11配置ARP防護，防止遭受ARP欺騙攻擊，引起服務器訪問失敗。 案例拓撲 u 配置步驟： 1

26、、 照上述拓撲進行組網(wǎng)，并作基本網(wǎng)絡配置，包括VLAN劃分，以及IP地址配置，配置路由、防火墻等策略等保證網(wǎng)絡可正常通信。 2、 進入對象->地址對象->地址節(jié)點，創(chuàng)建IPv4類型的地址對象“內(nèi)網(wǎng)地址”，將內(nèi)網(wǎng)網(wǎng)段192.168.10.0/24和192.168.11.0/24加入到地址對象中。 3、 進入策略>安全防護>攻擊防護>安全防護表，點擊新建，勾選啟用Anti-Flood Attack，TCP flood每主機報文速率限制（源IP）配置為100/S，動作選擇syn cookie；勾選啟用防掃描，啟用TCP協(xié)議掃描和UDP協(xié)議掃描，掃描識別閾值為1000，主機抑制時長為20s，配

27、置提交。 4、 進入策略>安全防護>攻擊防護：策略，地址類型選擇IPV4，入接口選擇vlan20，源地址選擇any，目的地址選擇內(nèi)網(wǎng)地址，服務選擇any，時間表選擇always，安全防護選擇配置的攻擊防護表scan-flood。 5、 進入策略>安全防護>Dos防護，Dos防護下勾選需要防護的攻擊類型，點擊確定使得配置生效。 6、 進入策略>安全防護>ARP攻擊防護：ARP表，找到設備學習到的服務器192.168.11.11的ARP表，點擊按鈕，將IP和MAC的關系進行綁定。（若已知服務器的MAC也可以在IP-MAC綁定配置界面手動添加綁定關系） 7、 進入策略>安全防

28、護>ARP攻擊防護：主動保護列表，接口選擇vlan10，啟用接口保護，將服務器的IP和MAC填入保護列表中，點擊提交。 8、 進入策略>安全防護>ARP攻擊防護：配置，勾選啟用防ARP欺騙，并啟用主動保護。 2.2.8 應用控制案例 u 案例描述： 某企業(yè)出口帶寬為10Mbps，要求對應用及用戶上網(wǎng)行為進行精細控制，具體要求如下： 1、 為了使公司出口帶寬合理利用，給各個部門分配一定的帶寬：研發(fā)-2M，測試-5M，行政-3M，同時，根據(jù)業(yè)務類型對流量進行限制和保證，在研發(fā)部，電子應用保證1 M，P2P下載應用限制為0.5 M。 2、 上班時間拒絕內(nèi)網(wǎng)用戶登錄QQ應用。 3

29、、 若用戶發(fā)帖關鍵字包含“暴力、反動”則阻斷此次發(fā)帖行為。 案例拓撲 u 配置步驟： 1、 照上述拓撲進行組網(wǎng)，并作基本網(wǎng)絡配置，包括VLAN劃分，以及IP地址配置，配置路由、防火墻等策略保證網(wǎng)絡可正常通信。 2、 進入對象>地址對象>地址節(jié)點，配置創(chuàng)建研發(fā)部地址對象，地址配置為192.168.10.0/24，配置提交。 3、 按照上述方法配置添加如下地址對象： 研發(fā)部：成員包含192.168.10.0/24網(wǎng)段 測試部：成員包含192.168.11.0/24網(wǎng)段 行政部：成員包含192.168.12.0/24網(wǎng)段 內(nèi)網(wǎng)用戶：成員包含192.168.10.0/24、1

30、92.168.11.0/24和192.168.12.0/24網(wǎng)段 4、 進入策略>流量控制>線路設置，點擊新建，接口配置為vlan20，配置帶寬入和出都為10000Kbps 5、 進入策略>流量控制>流控策略，在線路策略公司下，點擊新建，源地址配置為研發(fā)部，目的地址為any，應用為any，服務為any，時間為always，帶寬配置為2000Kbps。 6、 按照上述方法，分別添加測試部、行政部的流控策略，測試部帶寬配置為5000Kbps，行政部帶寬配置為3000Kbps。 7、 進入策略>流量控制>流控策略，在流控策略研發(fā)部下，點擊新建，源地址配置為研發(fā)部，目的地址為a

31、ny，應用選擇電子，帶寬保證配置為1000Kbps。 8、 按照上述方法，創(chuàng)建P2P下載策略，對P2P下載帶寬限制到500Kbps 9、 進入對象>時間對象>周期時間，點擊新建，添加循環(huán)日期，點擊提交新建一條工作時間對象。 10、 進入策略>應用控制>應用控制策略，地址對象配置為內(nèi)網(wǎng)用戶，應用選擇QQ，應用行為配置為登錄，其他參數(shù)配置為any，時間配置為工作時間，處理動作為拒絕，點擊提交。 11、 進入策略>應用控制>關鍵字，配置添加暴力、反動到關鍵字列表中。 12、 進入策略>應用控制>應用控制策略，地址對象為內(nèi)網(wǎng)用戶，應用選擇社交網(wǎng)絡，關鍵字選擇前面配置的關鍵字，處理動作配置為拒絕，勾選啟用，提交配置。 第3章 軟件升級 3.1 通過Web升級 當設備已經(jīng)在運行時，可通過Web頁面來升級軟件版本。 u 配置步驟： 1．進入系統(tǒng)->版本管理->軟件版本， 2．點擊“選擇…”， 3．瀏覽當?shù)匚募⑦x中軟件版本文件， 4． 點擊“升級”。 5．重啟設備 進入系統(tǒng)->配置->設備重啟 點擊“提交”重啟設備，新版本在啟動后加載。 26 / 26