天清漢馬USG防火墻_命令行用戶手冊.doc

《天清漢馬USG防火墻_命令行用戶手冊.doc》由會員分享，可在線閱讀，更多相關《天清漢馬USG防火墻_命令行用戶手冊.doc（490頁珍藏版）》請在裝配圖網上搜索。

天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 I 天清漢馬 USG 防火墻 命令行用戶手冊 北京啟明星辰信息安全技術有限公司 Beijing Venus Information Security Inc. 二零一一年九月 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 II 天清漢馬 USG 命令行用戶手冊 手冊版本 V4.0 產品版本 V2.6.4.0 資料狀態(tài) 發(fā)行 版權聲明 啟明星辰公司版權所有，并保留對本手冊及本聲明的最終解釋權和修改權。 本手冊的版權歸啟明星辰公司所有。未得到啟明星辰公司書面許可，任何 人不得以任何方式或形式對本手冊內的任何部分進行復制、摘錄、備份、修改、 傳播、翻譯成其他語言、將其部分或全部用于商業(yè)用途。 免責聲明 本手冊依據(jù)現(xiàn)有信息制作，其內容如有更改，恕不另行通知。啟明星辰公 司在編寫該手冊的時候已盡最大努力保證其內容準確可靠，但啟明星辰公司不 對本手冊中的遺漏、不準確或錯誤導致的損失和損害承擔責任。 Users Manual Copyright and Disclaimer Copyright Copyright Venus Info Security Inc. All rights reserved. The copyright of this document is owned by Venus Info Security Inc. Without the prior written permission obtained from Venus Info Security Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. Disclaimer This document and the information contained herein is provided on an “AS IS”basis. Venus Info Security Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Security Inc. shall not assume responsibility for losses or damages resulting from any 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 III omissions, inaccuracies, or errors contained herein. 副本發(fā)布聲明 啟明星辰公司的 USG 產品正常運行時，包含 3 款 GPL 協(xié)議的軟件 （linux、zebra、OpenLDAP）。啟明星辰公司愿意將 GPL 軟件提供給已經購買 產品的且愿意遵守 GPL 協(xié)議的客戶，請需要 GPL 軟件的客戶提供（1）已經購 買的產品的序列號，（2）有效送達 GPL 軟件地址和聯(lián)系人，包括但不限于姓 名、公司、電話、電子郵箱、地址、郵編等；（3）人民幣 100 元的光盤費和快 遞費，客戶即可獲得產品所包含的 GPL 軟件。 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 IV 目錄 第 1 章 系統(tǒng)管理27 1.1 VSOS 操作系統(tǒng)概述 27 1.1.1 命令行特性 .27 1.1.2 語法幫助 .27 1.1.3 使用語法幫助補齊命令 .28 1.1.4 命令中的符號 .28 1.1.5 命令簡寫 .28 1.1.6 命令模式 .29 1.1.7 常用命令介紹 .29 1.2 實現(xiàn)系統(tǒng)配置的途徑 29 1.2.1 通過串口實現(xiàn)系統(tǒng)配置 .29 1.2.2 通過 Telnet 實現(xiàn)系統(tǒng)配置 30 1.2.3 通過 SSH 方式實現(xiàn)系統(tǒng)配置 .30 1.3 系統(tǒng)文件管理 30 1.3.1 copy 命令使用 30 1.3.2 保存配置文件 .31 1.3.3 多配置文件 .31 1.3.4 配置文件的上傳與下載 .31 1.3.5 系統(tǒng)升級 .32 1.4 常用系統(tǒng)管理命令 32 1.4.1 開啟、關閉 Telnet 服務 32 1.4.2 開啟、關閉 SSH 服務 .32 1.4.3 查看誰在系統(tǒng)上 .32 1.4.4 清除登錄用戶 .32 1.4.5 查看系統(tǒng)的版本 .32 第 2 章 系統(tǒng)的引導34 2.1 bootLoader 概述 34 2.2 配置 bootLoader.34 2.2.1 進入 bootLoader .34 2.2.2 bootLoader 功能 1 配置網絡參數(shù) .35 2.2.3 bootLoader 功能 2 網絡下載版本 .36 2.2.4 bootLoader 功能 3 網絡啟動版本 .36 2.2.5 bootLoader 功能 4 串口下載版本 .36 2.2.6 bootLoader 功能 5 串口啟動版本 .37 2.2.7 bootLoader 功能 6 USB 下載版本 37 2.2.8 bootLoader 功能 7 USB 啟動版本 37 2.2.9 bootLoader 功能 8 雜項功能 .37 2.2.10 bootLoader 功能 9 重啟設備 38 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 V 第 3 章 配置會話管理39 3.1 會話管理概述 39 3.2 配置會話管理 39 3.2.1 缺省配置信息 .39 3.2.2 關閉/啟動會話管理服務 40 3.2.3 配置會話管理連接限制 .41 3.2.4 配置會話管理老化時間 .42 3.2.5 配置協(xié)議管理 .44 3.3 會話監(jiān)控與維護 44 3.3.1 查看會話限制值 .44 3.3.2 查看會話計數(shù)值 .45 3.3.3 查看會話默認老化時間 .45 3.3.4 查看設備當前連接 .46 3.3.5 刪除設備當前連接 .47 3.3.6 統(tǒng)計設備當前連接 .47 3.4 常見故障分析 48 3.4.1 故障現(xiàn)象 1：限制值配置不起作用 48 3.4.2 故障現(xiàn)象 2：不能建流 48 第 4 章 配置管理員用戶49 4.1 配置管理員 49 4.1.1 配置用戶權限表 .49 4.1.2 配置本地用戶 .49 4.1.3 配置 RADIUS 管理員用戶 .50 4.1.4 配置 LDAP 管理員用戶 50 4.1.5 配置管理員用戶的管理地址 .50 4.1.6 配置管理員最短口令長度 .50 4.2 配置用戶組 51 4.3 配置信息顯示命令 51 4.4 配置案例 51 4.4.1 配置管理員用戶的權限表功能 .51 4.5 故障分析 53 4.5.1 用戶無法登錄 .53 4.5.2 命令無法執(zhí)行 .53 第 5 章 系統(tǒng)維護54 5.1 系統(tǒng)時間設置 54 5.1.1 查看系統(tǒng)連續(xù)運行的時間 .54 5.1.2 查看系統(tǒng)當前的日期和時間 .54 5.1.3 查看系統(tǒng)當前的時區(qū) .54 5.1.4 配置系統(tǒng)當前的時區(qū) .54 5.1.5 手動設置系統(tǒng)當前的日期和時間 .56 5.1.6 使用 ntp 設置系統(tǒng)當前的時間 .57 5.1.7 使用 ntp 立即更新系統(tǒng)時間 .57 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 VI 5.2 系統(tǒng)升級和相關配置備份恢復 57 5.2.1 手動升級及配置恢復 .57 5.2.2 自動升級 .58 5.3 系統(tǒng)診斷 58 5.3.1 Ping 命令的使用 .58 5.3.2 Traceroute 命令的使用 59 5.3.3 TCPSYN 命令的使用 .59 5.4 E-mail 設置 60 5.4.1 配置 SMTP 服務器名稱或者地址 60 5.4.2 配置郵件發(fā)送者郵件地址 .60 5.4.3 配置郵件接收者郵件地址 .61 5.4.4 配置發(fā)送郵件時是否需要認證 .61 5.4.5 配置發(fā)送郵件時認證使用的用戶名 .61 5.4.6 配置發(fā)送郵件時認證使用的密碼 .61 5.4.7 配置 SSL 加密 61 第 6 章 雙系統(tǒng)62 6.1 雙系統(tǒng)概述 62 6.2 配置雙系統(tǒng) 62 6.3 配置案例 63 6.4 監(jiān)控與維護 64 6.4.1 查看雙系統(tǒng)配置 .64 6.5 故障分析 64 6.5.1 故障現(xiàn)象 1： 64 第 7 章 系統(tǒng)監(jiān)控65 7.1 概述 65 7.2 系統(tǒng)基線監(jiān)控 65 7.2.1 配置監(jiān)控 CPU 利用率 65 7.2.2 配置監(jiān)控內存利用率 .65 7.2.3 配置監(jiān)控系統(tǒng)連接數(shù) .66 7.3 網絡監(jiān)控 66 7.3.1 監(jiān)控網絡地址 .66 7.3.2 監(jiān)控網絡設備端口 .66 7.4 WAN 接口流量 67 7.4.1 配置 WAN 接口流量 67 7.5 系統(tǒng)監(jiān)控告警方式 67 7.5.1 配置系統(tǒng)監(jiān)控告警方式 .67 7.6 顯示系統(tǒng)監(jiān)控配置信息 67 7.6.1 顯示系統(tǒng)監(jiān)控配置信息 .67 7.7 配置案例 68 7.7.1 告警配置 .68 第 8 章 接口69 8.1 配置以太網端口 69 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 VII 8.1.1 以太網端口概述 .69 8.1.2 配置以太網端口 .69 8.1.3 配置案例 .74 8.1.4 以太網端口監(jiān)控與維護 .74 8.1.5 故障分析 .75 8.2 配置 VLAN 接口 76 8.2.1 VLAN 概述 .76 8.2.2 配置接口封裝的鏈路層協(xié)議為 VLAN76 8.2.3 配置信息的顯示 .76 8.2.4 配置案例 .76 8.2.5 故障分析 .77 8.3 配置透明網橋 78 8.3.1 透明網橋概述 .78 8.3.2 配置透明網橋 .78 8.3.3 配置網橋 STP.78 8.3.4 配置 IGMP Snooping .80 8.3.5 配置案例 .82 8.3.6 透明網橋監(jiān)控與維護 .83 8.3.7 常見故障分析 .84 8.4 配置 GRE 接口 84 8.4.1 GRE 概述 .84 8.4.2 配置 GRE84 8.4.3 配置案例 .87 8.4.4 GRE 監(jiān)控與調試 .88 8.4.5 常見故障分析 .88 8.5 配置鏈路聚合 Trunk 接口 .88 8.5.1 鏈路聚合 Trunk 概述 88 8.5.2 配置鏈路聚合 Trunk 接口 89 8.5.3 配置案例 .90 8.5.4 常見故障分析 .91 第 9 章 二三層鏈路狀態(tài)聯(lián)動92 9.1 二三層鏈路狀態(tài)聯(lián)動概述 92 9.2 配置二三層鏈路狀態(tài)聯(lián)動 92 9.3 配置案例 93 9.4 監(jiān)控與維護 93 9.4.1 查看二三層聯(lián)動配置 .93 9.5 故障分析 94 9.5.1 故障現(xiàn)象 1： 94 第 10 章 配置 DDNS 95 10.1 DDNS 概述 95 10.2 配置 DDNS .95 10.2.1 缺省配置 .95 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 VIII 10.2.2 配置 DDNS 服務提供商 .95 10.2.3 配置 DDNS 注冊域名 .96 10.2.4 配置 DDNS 注冊用戶名 .96 10.2.5 配置 DDNS 注冊密碼 .96 10.2.6 啟用 DDNS 功能 .96 10.3 DDNS 的監(jiān)控與維護 96 10.3.1 查看配置信息 .96 10.3.2 查看接口 DDNS 狀態(tài) .97 10.3.3 調試 DDNS 97 10.4 常見故障分析 97 10.4.1 接口 DDNS 配置失效 .97 第 11 章 配置安全域98 11.1 安全域概述 98 11.2 配置向域中添加接口 98 11.3 配置區(qū)域內接口互訪 98 11.4 配置案例 98 11.4.1 配置案例: 添加接口到域中 98 11.5 安全域監(jiān)控與維護 99 11.5.1 查看域信息 .99 11.6 常見故障分析 99 11.6.1 故障現(xiàn)象： .99 第 12 章 配置 IPv6 101 12.1 IPv6 概述 101 12.1.1 IPv6 協(xié)議特點 .101 12.1.2 IPv6 地址介紹 .102 12.1.3 IPv6 鄰居發(fā)現(xiàn)協(xié)議介紹 .2 12.1.4 IPv6 PMTU 發(fā)現(xiàn) 4 12.1.5 IPv6 過渡技術簡介 .5 12.1.6 IPv6 隧道技術簡介 .6 12.2 配置 IPv6 .3 12.2.1 使能IPv6 功能 3 12.2.2 配置 IPv6 單播地址 .3 12.2.3 配置 IPv6 鄰居發(fā)現(xiàn)協(xié)議 .4 12.2.4 配置 IPv6 靜 態(tài) 路 由 12-2 12.2.5 配置 IPv4/IPv6 雙協(xié)議棧 .12-2 12.2.6 配置 IPv6 手動隧道 .12-3 12.2.7 配置 IPv6 6to4 隧道 12-4 12.2.8 配置 IPv6 ISATAP 隧道 .12-5 12.3 配置案例 .12-6 12.3.1 配置案例 1：基本 IPv6 手動隧道 12-6 12.4 IPv6 監(jiān)控與維護 .12-7 12.4.1 查看 IPv6 隧道 .12-7 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 IX 12.4.2 常見故障分析 .12-8 第 13 章 DNS .13-9 13.1 DNS 概述 13-9 13.2 配置 DNS .13-9 13.2.1 缺省配置信息 .13-9 13.2.2 配置主 DNS 服務器 .13-9 13.2.3 配置從 DNS 服務器 .13-9 13.2.4 DNS 查詢 .13-10 13.3 DNS 監(jiān)控與調試 13-10 13.3.1 查看 DNS 調試信息 .13-10 13.4 配置案例 .13-11 13.4.1 配置案例: 13-11 13.5 常見故障分析 .13-12 13.5.1 故障現(xiàn)象 1：DNS 解析失敗 .13-12 第 14 章 配置 SNMP.14-13 14.1 SNMP 協(xié)議概述 .14-13 14.2 配置 SNMP 14-13 14.2.1 缺省配置信息 .14-13 14.2.2 配置啟用 SNMP 代理 14-13 14.2.3 配置設備物理地址 .14-14 14.2.4 配置 trap 地址 14-15 14.2.5 配置 community14-16 14.2.6 配置 SNMP 版本 14-17 14.2.7 配置 SNMP USM 用戶 14-17 14.3 配置案例 .14-18 14.3.1 配置案例 1：通過 MIB Browser 訪問設備 MIB 庫 14-19 14.4 RIP 監(jiān)控與維護 14-20 14.4.1 查看 usm 用戶 14-20 14.4.2 查看調試信息 .14-21 14.5 常見故障分析 .14-21 14.5.1 故障現(xiàn)象 1：管理站不能訪問代理站 MIB 庫 .14-21 第 15 章 配置 NAT 15-23 15.1 NAT 概述 15-23 15.2 配置 NAT.15-24 15.2.1 配置地址池(NAT POOL) 15-24 15.2.2 配置 static NAT .15-24 15.2.3 配置 source NAT.15-25 15.2.4 配置 destination NAT.15-25 15.2.5 配置 destination NAT 自動映射 15-26 15.3 端口管理 .15-27 15.3.1 設置服務端口號 .15-27 15.4 配置案例 .15-28 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 X 15.4.1 配置 source NAT.15-28 圖 15-1 Source NAT 配置案例組網圖 .15-28 15.4.2 配置 static NAT .15-29 15.4.3 配置 destination NAT服務器地址、端口映射 .15-29 15.4.4 配置 destination NAT服務器業(yè)務分流 .15-30 15.4.5 配置 destination NAT服務器負載分擔 .15-31 15.4.6 配置 destination NAT接口映射 .15-32 15.4.7 配置 destination NAT 自動映射 15-33 15.4.8 配置服務端口 .15-35 15.5 NAT 監(jiān)控與維護 15-35 15.5.1 查看 NAT 配置信息 .15-35 15.5.2 查看 NAT 轉換信息 .15-36 15.5.3 清除 NAT 轉換條目 .15-36 15.5.4 查看 NAT 轉化過程信息 .15-36 15.5.5 查看端口管理 .15-36 15.6 常見故障分析 .15-36 15.6.1 連接時通時斷 .15-36 第 16 章 配置 DHCP 服務器 16-38 16.1 DHCP 服務概述 .16-38 16.1.1 DHCP 服務器概述 .16-38 16.1.2 DHCP Relay 概述 .16-39 16.2 配置 DHCP Server16-39 16.2.2 在接口上指定 DHCP Server 服務 .16-40 16.2.3 配置 DHCP Server 服務子網 .16-41 16.2.4 配置 DHCP Server 地址池及其租約 .16-41 16.2.5 配置 DHCP 子網缺省網關 .16-41 16.2.6 配置 DHCP 子網 DNS 服務器 16-41 16.2.7 配置 DHCP 子網 WINS 服務器 16-42 16.2.8 配置 DHCP 子網域名 .16-42 16.2.9 配置 DHCP 地址綁定 .16-42 16.2.10 配置 DHCP 地址排除 .16-42 16.3 DHCP 服務監(jiān)控 .16-42 16.3.1 DHCP Debug16-42 16.3.2 顯示 DHCP Server 配置信息 .16-43 16.3.3 顯示 DHCP Server 地址分配信息 .16-43 16.4 配置案例 .16-44 第 17 章 配置 HA.17-46 17.1 HA 概述 17-46 17.2 配置 HA .17-46 17.2.1 配置 HA 接口 .17-46 17.2.2 配置配置模式 .17-47 17.2.3 配置監(jiān)控接口 .17-47 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XI 17.2.4 配置監(jiān)控接口組 .17-48 17.2.5 配置搶占模式 .17-48 17.2.6 配置工作模式并啟動 HA 功能 .17-49 17.2.7 配置停止/激活 HA 功能 .17-49 17.2.8 配置 HA 狀態(tài)倒換功能 .17-50 17.2.9 配置 HA 外部地址監(jiān)控功能 .17-50 17.3 配置案例 .17-51 17.3.1 配置案例 1：配置主備模式 17-51 17.3.2 配置案例 2：配置主主模式 17-53 17.4 HA 監(jiān)控與調試 17-54 17.4.1 查看 HA 配置 17-54 17.4.2 查看 HA 狀態(tài) 17-54 17.4.3 查看 HA 內核信息 17-55 17.4.4 debug ha recv .17-55 17.4.5 debug ha send 17-56 17.4.6 debug ha kernel17-57 17.5 故障分析 .17-57 17.5.1 HA 無法與對端通信 .17-57 第 18 章 VRRP.18-58 18.1 VRRP 概述 18-58 18.2 配置 VRRP .18-58 18.3 配置案例 .18-64 18.4 監(jiān)控與維護 .18-65 18.4.1 查看 VRRP 配置 .18-65 18.5 故障分析 .18-65 18.5.1 故障現(xiàn)象 1： 18-65 第 19 章 配置絕對時間和周期時間 19-67 19.1 絕對時間和周期時間概述 .19-67 19.1.1 配置在絕對時間中配置有效時間范圍 .19-67 19.1.2 配置在周期時間中配置有效時間范圍 .19-68 19.1.3 配置在周期時間中配置有效時間段 .19-68 19.2 配置案例 .19-70 19.2.1 配置案例:配置時間表 19-70 19.3 絕對時間與周期時間監(jiān)控與維護 .19-70 19.3.1 查看周期表與絕對時間的步驟： .19-70 19.4 常見故障分析 .19-71 19.4.1 故障現(xiàn)象 1： 19-71 第 20 章 配置服務對象和服務對象組 20-72 20.1 服務對象和服務對象組概述 .20-72 20.2 配置服務對象和服務對象組 .20-72 20.2.1 配置向服務對象中添加 TCP|UDP 服務 .20-72 20.2.2 配置向服務對象中添加 ICMP 服務 .20-73 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XII 20.2.3 配置向服務對象組中添加服務對象 .20-73 20.3 配置案例 .20-74 20.3.1 配置案例 1: 添加服務對象與服務對象組 .20-74 20.3.2 配置案例 2:配置服務對象 .20-75 20.4 服務對象與服務對象組監(jiān)控與維護 .20-75 20.4.1 查看服務對象 .20-75 20.4.2 查看服務對象組 .20-76 20.5 常見故障分析 .20-76 20.5.1 故障現(xiàn)象 1： 20-76 第 21 章 配置地址對象和地址對象組 21-77 21.1 地址對象和地址對象組概述 .21-77 21.2 配置地址對象和地址對象組 .21-77 21.2.1 配置向地址對象中添加單個地址 .21-77 21.2.2 配置向地址對象中添加網絡掩碼 .21-78 21.2.3 配置向對象地址中添加地址范圍 .21-78 21.2.4 配置向地址對象組中添加地址對象 .21-79 21.3 配置案例 .21-79 21.3.1 配置案例: 添加地址對象與地址對象組 21-79 21.4 地址對象與地址對象組監(jiān)控與維護 .21-80 21.4.1 查看地址對象 .21-80 21.4.2 查看地址對象組 .21-80 21.5 常見故障分析 .21-81 21.5.1 故障現(xiàn)象 1： 21-81 第 22 章 地址監(jiān)控對象及網絡探測 22-82 22.1 地址監(jiān)控概述 .22-82 22.2 配置地址監(jiān)控對象 .22-82 22.3 網絡探測告警配置 .22-83 22.4 配置案例 .22-83 22.4.1 配置案例 1 22-83 22.4.2 配置案例 2 22-83 第 23 章 配置認證用戶 23-85 23.1 認證用戶設置概述 .23-85 23.2 配置認證用戶 .23-86 23.2.1 配置本地管理員用戶 .23-86 23.2.2 配置 RADIUS 管理員用戶 23-86 23.2.3 配置 LDAP 管理員用戶 23-87 23.2.4 配置本地接入用戶 .23-87 23.2.5 配置 RADIUS 接入用戶 23-88 23.2.6 配置 LDAP 接入用戶 23-88 23.3 配置 RADIUS 服務器支持 .23-89 23.3.1 配置 RADIUS 服務器 23-89 23.4 配置 LDAP 服務器支持 23-89 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XIII 23.4.1 配置 LDAP 服務器 23-90 23.5 配置用戶組 .23-90 23.5.1 配置用戶組 .23-91 23.5.2 配置用戶加入用戶組 .23-91 23.5.3 配置 RADIUS 服務器加入用戶組 23-91 23.5.4 配置 LDAP 服務器加入用戶組 23-92 23.6 配置 AD 域同步策略模板 .23-92 23.6.1 配置 AD 域同步策略模板 .23-92 23.7 配置案例 .23-92 23.7.1 配置案例 1：本地用戶認證 23-92 23.7.2 配置案例 2：非本地用戶 RADIUS 認證 .23-94 23.7.3 配置案例 2：非本地用戶 LDAP 認證 .23-95 23.8 認證用戶監(jiān)控與維護 .23-97 23.8.1 查看接入用戶信息 .23-97 23.8.2 查看用戶組信息 .23-97 23.8.3 查看 RADIUS 服務器信息 23-98 23.8.4 查看 LDAP 服務器信息 23-98 23.8.5 查看用戶驗證和登陸的過程 .23-99 23.9 常見故障分析 .23-99 23.9.1 故障現(xiàn)象 1：認證用戶認證失敗 23-99 第 24 章 配置 QoS .24-101 24.1 QoS 概述 .24-101 24.2 QoS 配置 .24-101 24.2.1 QoS 優(yōu)先級配置 24-101 24.2.2 QoS 帶寬配置 24-101 24.2.3 QoS 最小保證帶寬配置 24-102 24.2.4 QoS 主機帶寬配置 24-103 24.2.5 QoS DSCP 配置 24-103 第 25 章 配置安全防護表 25-105 25.1 安全防護表概述 .25-105 25.2 配置安全防護表 .25-105 25.2.1 缺省配置 .25-105 25.2.2 創(chuàng)建安全防護表 .25-105 25.2.3 配置安全防護表的描述 .25-105 25.2.4 配置 WEB 過濾 .25-106 25.2.5 配置郵件過濾 .25-106 25.2.6 配置防 FLOOD 攻擊 .25-107 25.2.7 配置上網行為管理 .25-107 25.2.8 VoIP25-107 25.2.9 配置日志過濾 .25-108 25.2.10 在安全策略中引用安全防護表 .25-108 第 26 章 配置防 ARP 攻擊 26-109 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XIV 26.1 ARP 攻擊防御概述 .26-109 26.2 配置 ARP 攻擊防御 .26-109 26.2.1 缺省配置信息 .26-109 26.2.2 配置啟用 ARP 攻擊防御功能 .26-109 26.2.3 配置啟用主動保護發(fā)包 .26-110 26.2.4 配置關閉 ARP 學習 .26-111 26.2.5 配置防 ARP flood 攻擊 .26-112 26.3 配置案例 .26-112 26.3.1 配置案例：配置防 ARP 欺騙 .26-112 26.4 監(jiān)控與維護 .26-113 26.4.1 查看 ARP Monitor.26-113 26.4.2 查看 DEBUG 信息 .26-114 26.5 常見故障分析 .26-114 26.5.1 故障現(xiàn)象：PC 無法上網 .26-114 第 27 章 配置防 DOS 攻擊 .27-115 27.1 防 DOS 攻擊概述 27-115 27.2 配置防 DOS 攻擊 27-115 27.2.1 缺省配置 .27-115 27.2.2 配置防 ping-of-death 攻擊功能 .27-115 27.2.3 配置防 tear-drop 攻擊功能 .27-116 27.2.4 配置防 jolt2 攻擊功能 27-116 27.2.5 配置防 land-base 攻擊功能 27-116 27.2.6 配置防 winnuke 攻擊功能 27-116 27.2.7 配置防 syn-flag 攻擊功能 .27-117 27.2.8 配置防 smurf 攻擊 .27-117 27.2.9 配置智能 TCP Flood 防御 27-117 27.3 防 DOS 攻擊的監(jiān)控與維護 27-118 27.3.1 查看配置信息 .27-118 27.3.2 查看系統(tǒng)當前的 TCP 半連接數(shù) 27-118 27.3.3 查看防 DOS 攻擊的 debug 信息 27-119 27.4 常見故障分析 .27-119 27.4.1 TCP Flood 攻擊防御失效 27-119 27.5 配置防掃描 .27-120 27.6 防掃描概述 .27-120 27.7 配置防掃描 .27-120 27.7.1 缺省配置信息 .27-120 27.7.2 配置防 TCP Scan .27-120 27.7.3 配置防 UDP Scan.27-121 27.7.4 配置防 Ping sweep27-121 27.7.5 配置掃描識別門限 .27-122 27.7.6 配置對源主機的阻斷時間 .27-122 27.8 配置案例 .27-122 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XV 27.8.1 配置防掃描 .27-122 27.9 防掃描監(jiān)控與維護 .27-123 27.9.1 查看防掃描配置 .27-123 27.10 常見故障分析 .27-124 27.10.1 配置防掃描后沒有報警，沒有拒包 .27-124 第 28 章 配置防掃描 28-125 28.1 防掃描概述 .28-125 28.2 配置防掃描 .28-125 28.2.1 缺省配置信息 .28-125 28.2.2 配置防 TCP Scan .28-125 28.2.3 配置防 UDP Scan.28-126 28.2.4 配置防 Ping sweep28-126 28.2.5 配置掃描識別門限 .28-127 28.2.6 配置對源主機的阻斷時間 .28-127 28.3 配置案例 .28-127 28.3.1 配置防掃描 .28-127 28.4 防掃描監(jiān)控與維護 .28-128 28.4.1 查看防掃描配置 .28-128 28.5 常見故障分析 .28-129 28.5.1 配置防掃描后沒有報警，沒有拒包 .28-129 第 29 章 配置 IP-MAC 綁定 .29-130 29.1 IP-MAC 綁定概述 29-130 29.2 配置 IP-MAC 綁定 29-130 29.2.1 配置 IP-MAC 綁定 .29-130 29.2.2 查看 ARP 列表 .29-131 29.2.3 清除 ARP 列表 .29-131 29.2.4 ARP 探測 .29-131 29.3 配置案例 .29-131 29.4 常見故障分析 .29-132 29.4.1 網關無法上網 .29-132 第 30 章 配置用戶認證 30-133 30.1 用戶認證概述 .30-133 30.2 配置用戶認證 .30-133 30.2.1 缺省配置信息 .30-133 30.2.2 配置超時時間 .30-133 30.2.3 配置用戶唯一性限制 .30-134 30.2.4 配置 Portal Server 工作模式 30-134 30.2.5 配置虛擬主機 IP.30-134 30.2.6 配置虛擬端口 .30-135 30.2.7 配置客戶端證書認證 .30-135 30.2.8 配置用戶認證用戶組和用戶 .30-135 30.2.9 配置用戶認證的安全策略 .30-136 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XVI 30.3 配置案例 .30-136 30.3.1 配置案例 1：虛擬端口認證模式 30-136 30.3.2 配置案例 2：虛擬主機 IP 認證模式 .30-138 30.4 用戶認證監(jiān)控與維護 .30-139 30.4.1 查看用戶認證配置信息 .30-139 30.4.2 查看和清除在線的認證用戶 .30-140 30.4.3 查看用戶驗證和登錄的過程 .30-140 30.5 常見故障分析 .30-141 30.5.1 故障現(xiàn)象 1：Portal Server 連接失敗 30-141 30.5.2 故障現(xiàn)象 2：認證用戶認證失敗 30-141 第 31 章 配置 MAC 過濾 31-143 31.1 MAC 過濾概述 .31-143 31.2 配置 MAC 過濾 .31-143 31.2.1 配置 MAC 地址過濾 31-143 31.2.2 配置組播過濾 .31-144 31.2.3 配置非 IP 協(xié)議過濾 31-144 31.3 配置案例 .31-145 31.3.1 配置案例 1：過濾特定 MAC 地址 .31-145 31.4 MAC 過濾監(jiān)控與維護 .31-146 31.4.1 查看 MAC 過濾配置信息 31-146 31.4.2 MAC 過濾的調試 31-146 第 32 章 配置 IDS 聯(lián)動 .32-148 32.1 IDS 聯(lián)動概述 32-148 32.2 配置 IDS 聯(lián)動 32-148 32.2.1 缺省配置信息 .32-148 32.2.2 配置 IDS 聯(lián)動 .32-148 32.3 配置案例 .32-149 32.3.1 低流量網絡的 USG 與 IDS 實施方案 .32-149 32.3.2 高流量網絡的 USG 與 IDS 實施方案 .32-150 32.4 IDS 聯(lián)動的監(jiān)控與維護 32-151 32.4.1 查看 IDS 聯(lián)動的配置 .32-151 32.5 常見故障分析 .32-152 32.5.1 IDS 發(fā)出動態(tài)規(guī)則，但 USG 未阻斷 .32-152 第 33 章 配置天珣聯(lián)動 33-153 33.1 天珣聯(lián)動概述 .33-153 33.2 配置天珣聯(lián)動 .33-153 33.2.1 缺省配置信息 .33-153 33.2.2 配置天珣聯(lián)動 .33-153 33.2.3 配置天珣聯(lián)動白名單 .33-154 33.3 配置案例 .33-155 33.4 天珣聯(lián)動的監(jiān)控與維護 .33-156 33.4.1 查看天珣聯(lián)動的配置 .33-156 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XVII 33.5 常見故障分析 .33-157 33.5.1 USG 上沒有管理網段 .33-157 第 34 章 配置靜態(tài)路由 34-159 34.1 靜態(tài)路由概述 .34-159 34.2 配置靜態(tài)路由 .34-159 34.3 置缺省路由 .34-160 34.4 配置信息顯示命令 .34-160 34.5 配置案例 .34-160 34.5.1 配置缺省路由 .34-160 34.6 常見故障 .34-161 34.6.1 數(shù)據(jù)包轉發(fā)不正常 .34-161 第 35 章 配置策略路由 35-162 35.1 策略路由概述 .35-162 35.2 配置策略路由 .35-162 35.2.1 策略路由配置 .35-162 35.2.2 調整策略路由的順序 .35-162 35.2.3 插入一條策略路由 .35-163 35.3 配置案例 .35-163 35.3.1 配置策略路由 .35-163 35.4 常見故障分析 .35-164 35.4.1 故障現(xiàn)象： .35-164 第 36 章 配置 RIP 36-165 36.1 RIP 協(xié)議概述 36-165 36.2 配置 RIP .36-165 36.2.1 缺省配置信息 .36-165 36.2.2 配置啟用 RIP 路由協(xié)議功能 .36-165 36.2.3 配置 RIP 版本 .36-166 36.2.4 配置 RIP 發(fā)布的網絡 .36-167 36.2.5 配置 RIP 發(fā)布缺省路由 .36-168 36.2.6 配置 RIP 默認的重發(fā)布度量 .36-168 36.2.7 配置 RIP 定時器觸發(fā)時間 .36-169 36.2.8 配置 RIP 定時器觸發(fā)時間 .36-170 36.2.9 配置 RIP 接口收發(fā)報文版本 .36-171 36.2.10 配置 RIP 接口的認證類型 .36-172 36.3 配置案例 .36-173 36.3.1 配置案例：兩臺 USG 設備通過 RIP 路由協(xié)議互通 .36-173 36.4 RIP 監(jiān)控與維護 36-175 36.4.1 查看 RIP 路由表 36-175 36.4.2 查看 RIP 配置 36-176 36.4.3 查看調試信息 .36-176 36.5 常見故障分析 .36-178 36.5.1 故障現(xiàn)象：兩臺設備不能正常通信 .36-178 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XVIII 第 37 章 配置 OSPF.37-179 37.1 OSPF 協(xié)議概述 .37-179 37.2 配置 OSPF37-179 37.2.1 缺省配置信息 .37-179 37.2.2 配置啟用 OSPF 路由協(xié)議功能 37-180 37.2.3 配置 OSPF 路由器 Router-ID.37-180 37.2.4 配置運行 OSPF 的接口 37-181 37.2.5 配置 OSPF 區(qū)域認證方式 37-182 37.2.6 配置 OSPF NSSA.37-183 37.2.7 配置 OSPF 區(qū)域間路由聚合 37-184 37.2.8 配置 OSPF 路由重分布 37-185 37.2.9 配置 OSPF 重發(fā)布路由缺省 Metric.37-187 37.2.10 配置 OSPF 重發(fā)布默認路由 37-188 37.2.11 配置 OSPF 協(xié)議優(yōu)先級 37-189 37.2.12 配置 OSPF 兼容 RFC1583.37-190 37.2.13 配置 OSPF 路由計算定時器 37-190 37.2.14 配置 OSPF 接口認證方式 37-191 37.2.15 配置 OSPF 接口明文認證密鑰 37-191 37.2.16 配置 OSPF 接口密文認證密鑰 37-192 37.2.17 配置 OSPF 接口的優(yōu)先級 37-192 37.2.18 配置 OSPF 接口發(fā)送報文的開銷 37-193 37.2.19 配置 OSPF 接口 LSA 重傳間隔 37-193 37.2.20 配置 OSPF 接口 LSA 發(fā)送延遲 37-194 37.2.21 配置 OSPF 接口 Hello 報文定時器 37-195 37.2.22 配置 OSPF 接口鄰居失效定時器 37-195 37.2.23 配置接口的 OSPF 網絡類型 37-196 37.3 配置案例 .37-197 37.3.1 配置案例：兩臺 USG 設備通過 OSPF 路由協(xié)議互通 .37-197 37.4 OSPF 監(jiān)控與維護 .37-198 37.4.1 查看 OSPF 路由表 .37-198 37.4.2 查看 OSPF 信息 37-199 37.4.3 查看 OSPF 鄰居信息 37-199 37.4.4 查看 OSPF LSA 數(shù)據(jù)庫 .37-200 37.4.5 查看 OSPF 接口信息 37-200 37.4.6 查看調試信息 .37-200 37.5 常見故障分析 .37-203 37.5.1 故障現(xiàn)象 1：兩臺設備不能建立鄰接關系 37-203 第 38 章 配置 BGP.38-204 38.1 BGP 協(xié)議概述 .38-204 38.2 配置 BGP38-205 38.2.1 缺省配置信息 .38-205 38.2.2 配置啟用 BGP 路由協(xié)議功能 .38-206 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XIX 38.2.3 配置 BGP 路由器 Router-ID.38-207 38.2.4 配置指定 BGP 對等體 .38-208 38.2.5 配置 BGP 對等體組 .38-209 38.2.6 配置回環(huán)接口作為 BGP 鄰居 .38-209 38.2.7 EBGP 多跳配置 .38-210 38.2.8 配置與指定對等體（組）建立連接的 keepalive 和 holdtime 值 38-211 38.2.9 配置路由更新的時間間隔 .38-212 38.2.10 配置朝 BGP 對等體發(fā)送缺省路由 .38-213 38.2.11 配置更改路由下一跳為自己 .38-214 38.2.12 配置刪除私有 AS 號 38-215 38.2.13 配置允許發(fā)送團體屬性 .38-216 38.2.14 配置限制接收的路由數(shù)量 .38-216 38.2.15 配置保留對等體路由信息 .38-217 38.2.16 配置關閉對等體 .38-218 38.2.17 配置 IGP 和 BGP 路由交互 .38-219 38.2.18 配置重發(fā)布 IGP 路由到 BGP38-220 38.2.19 配置 BGP 的定時器 .38-221 38.2.20 配置 BGP 的軟復位 .38-222 38.2.21 配置 BGP 路由策略 .38-223 38.2.22 配置 AS-PATH 屬性 38-224 38.2.23 配置 MED 屬性 38-226 38.2.24 配置 LOCAL_PREF 屬性 38-227 38.2.25 配置 COMMUNITY Attribute.38-228 38.2.26 配置比較 router-id 38-229 38.2.27 配置 BGP 聚合路由 .38-230 38.2.28 配置 BGP 路由反射器 .38-231 38.2.29 配置 BGP 聯(lián)盟 .38-233 38.2.30 配置 BGP 的管理距離 .38-234 38.2.31 BGP 掃描時間配置 .38-235 38.2.32 配置 BGP 的路由衰減 .38-236 38.2.33 BGP 的維護和監(jiān)控 .38-237 38.3 配置案例 .38-238 38.3.1 配置案例 1：兩臺 USG 設備通過 BGP 路由協(xié)議互通 38-238 38.4 BGP 監(jiān)控與維護 .38-240 38.4.1 查看 BGP 路由表 38-240 38.4.2 查看信息 .38-241 38.4.3 查看 bgp 鄰居信息 .38-241 38.4.4 查看 bgp 內存使用情況 38-243 38.5 常見故障分析 .38-243 38.5.1 故障現(xiàn)象 1：兩臺設備不能建立鄰接關系 38-243 第 39 章 配置多播路由 39-244 39.1 多播路由概述 .39-244 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XX 39.2 配置多播路由 .39-244 39.3 配置缺省多播路由 .39-245 39.4 配置信息顯示命令 .39-245 39.5 配置案例 .39-245 39.5.1 配置多播路由 .39-245 39.6 常見故障 .39-246 39.6.1 報文轉發(fā)不正常 .39-246 第 40 章 配置 ISP 路由 40-247 40.1 ISP 路由概述 .40-247 40.2 配置 ISP 路由 .40-247 40.3 配置信息顯示命令 .40-248 40.4 路由信息顯示命令 .40-248 40.5 配置案例 .40-248 40.5.1 配置 ISP 路由 .40-248 40.6 常見故障 .40-249 40.6.1 數(shù)據(jù)包沒有根據(jù) ISP 路由選路 40-249 第 41 章 配置 PKI 41-250 41.1 PKI 協(xié)議概述 41-250 41.2 配置 PKI .41-250 41.2.1 本地證書請求 .41-250 41.2.2 配置證書請求信息位置 .41-251 41.2.3 配置證書請求信息國家或地區(qū) .41-251 41.2.4 配置證書請求信息組織 .41-252 41.2.5 配置證書請求信息州/省 .41-252 41.2.6 配置證書請求信息部門 .41-252 41.2.7 配置證書請求信息EMAIL 41-253 41.2.8 本地證書的導出 .41-253 41.2.9 本地生成證書請求的證書導入 .41-254 41.2.10 PKCS12 格式證書的導入 .41-254 41.2.11 證書私鑰文件的導入 .41-255 41.2.12 CA 證書的導出 .41-256 41.2.13 CA 證書的導入 .41-256 41.2.14 CRL 的導出 .41-257 41.2.15 CRL 導入 .41-257 41.2.16 OCSP 配置 .41-258 41.2.17 自動獲得 CRL 配置 .41-258 41.3 配置案例 .41-259 41.3.1 配置案例 1：導入本地證書 41-259 41.4 PKI 監(jiān)控與維護 41-262 41.4.1 查看本地證書信息 .41-262 41.4.2 查看 CA 證書信息 .41-263 41.4.3 查看 CRL 信息 .41-265 天清漢馬 USG命令行用戶手冊 北京啟明星辰信息安全技術有限公司 XXI 41.5 常見故障分析 .41-266 41.5.1 故障現(xiàn)象 1：導入 USBKEY 的證書無法通過驗證 .41-266 第 42 章 配置 PKI CA .42-268 42.1 PKI 協(xié)議概述 42-268 42.2 配置 PKI CA 42-268 42.2.1 生成 CA 證書 .42-268 42.2.2 配置證書請求信息位置 .42-269 42.2.3 配置證書請求信息國家或地區(qū) .42-269 42.2.4 配置證書請求信息組織 .42-269 42.2.5 配置證書請求信息州/省 .42-270 42.2.6 配置證書請求信息部門 .42-270 42.2.7 配置證書請求信息EMAIL 42-271 42.2.8 配置證書請求信息密鑰長度 .42-271 42.2.9 配置證書請求信息有效期 .42-271 42.2.10 CA 證書的導出 .42-272 42.2.11 CA 證書導入 .42-272 42.2.12 CRL 配置 .42-274 42.2.13 CRL 的更新 .42-274 42.2.14 CRL 的導出 .42-274 42.2.15 生成用戶證書請求信息 .42-275 42.2.16 簽發(fā)用戶證書請求 .42-275 42.2.17 撤銷用戶證書 .42-276 42.2.18 導出用戶證書 .42-276 42.3 配置案例 .42-277 42.3.1 生成用戶證書 .42-277 42.3.2 撤銷用戶證書 .42-278 42.4 常見故障分析 .42-278 第 43 章 配置 IPSec VPN .43-279 43.1 IPSec VPN 概述 43-279 43.2 配置 IPSec VPN.43-280 43.2.1 缺省配置信息 .43-280 43.2.2 配置 IKE 階段 143-281 43.2.3 配置 IKE 階段 243-285 43.2.4 手工配置 IPsec