dptechfw1000系列防火墻系統(tǒng)操作手冊

1、DPtech FW1000操作手冊杭州迪普科技有限公司2011年10月錯誤!未定義書經(jīng)錯誤!未定義書簽錯誤！未定義書簽 錯誤！未定義書簽 錯誤！未定義書簽錯誤!未定義書簽錯誤！未定義書簽 錯誤！未定義書簽 錯誤！未定義書簽錯誤!未定義書簽錯誤！未定義書簽 錯誤！未定義書簽 錯誤！未定義書簽錯誤!未定義書簽錯誤！未定義書簽 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤！未定義書簽 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤！未定義書簽 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤！未定義書簽 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng) 錯誤!未定義書經(jīng)錯誤!未定義書簽錯誤！未定

2、義書簽 錯誤！未定義書簽 錯誤！未定義書簽錯誤!未定義書簽錯誤！未定義書簽 錯誤！未定義書簽DPtech FW1000操作手冊第1章組網(wǎng)模式組網(wǎng)本K式1-透明模式組網(wǎng)本II式2-路由模式組網(wǎng)本K式3-混合模式第2章基本網(wǎng)絡(luò)配置實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟E第3章 深度檢測功能配置 實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟E第4章VPNIPSECVPN客戶端接入模式網(wǎng)關(guān)一網(wǎng)關(guān)模式L2TP VPN實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟EGREVPN實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟ESSL VPN實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟E第5章VRRP雙機熱備 實現(xiàn)功能網(wǎng)絡(luò)拓?fù)渑渲貌襟E第6章 日志輸出 UMC業(yè)務(wù)日志輸出 會話日志輸出 流量分析輸出 錯誤！未定義書簽

3、第1章組網(wǎng)模式組網(wǎng)模式1-透明模式組網(wǎng)應(yīng)用場景需要二層交換機功能做二層轉(zhuǎn)發(fā)在既有的網(wǎng)絡(luò)中，不改變網(wǎng)絡(luò)拓?fù)?，而且需要安全業(yè)務(wù)防火墻的不同網(wǎng)口所接的局域網(wǎng)都位于同一網(wǎng)段特點對用戶是透明的，即用戶意識不到防火墻的存在部署簡單，不改變現(xiàn)有的網(wǎng)絡(luò)拓?fù)?，無需更改其他網(wǎng)絡(luò)設(shè)備的配置支持各類安全特性：攻擊防護、包過濾、應(yīng)用識別及應(yīng)用訪問控制等 配置要點接口添加到相應(yīng)的域接口為二層接口，根據(jù)需要，配置接口類型為ACCES或TRUNK接口配置VLANS性必須配置一個vlan-ifxxx 的管理地址，用于設(shè)備管理組網(wǎng)模式2-路由模式組網(wǎng)應(yīng)用場景需要路由功能做三層轉(zhuǎn)發(fā)需要共享Internet 接入需要對外提供應(yīng)用服務(wù)

4、需要使用虛擬專用網(wǎng) 特點提供豐富的路由功能，靜態(tài)路由、RIP、OSP若提供源NATi持共享Internet接入提供目的NATJ持對外提供各種服務(wù)支持各類安全特性：攻擊防護、包過濾、應(yīng)用識別及應(yīng)用訪問控制等需要使用WEB!證功能配置要點接口添加到相應(yīng)的域接口工作于三層接口，并配置接口類型配置地址分配形式靜態(tài)IP、DHCP PPPoE組網(wǎng)模式3-混合模式組網(wǎng)應(yīng)用場景需結(jié)合透明模式及路由模式特點在VLAN內(nèi)做二層轉(zhuǎn)發(fā)在VLAN同做三層轉(zhuǎn)發(fā)支持各類安全特性：攻擊防護、包過濾、應(yīng)用識別及應(yīng)用訪問控制等 配置要點接口添加到相應(yīng)的域接口為二層接口，根據(jù)需要，配置接口類型為 ACCES或TRUNK接口配置VL

5、ANS性添加三層接口，用于三層轉(zhuǎn)發(fā)配置一個vlan-ifxxx 的地址，用于三層轉(zhuǎn)發(fā)第2章基本網(wǎng)絡(luò)配置實現(xiàn)功能內(nèi)網(wǎng)（）可訪問外網(wǎng)（）內(nèi)網(wǎng)地址為DHCPI得內(nèi)網(wǎng)對外提供HTTPW務(wù)（安裝web服務(wù)器）網(wǎng)絡(luò)拓?fù)渑渲貌襟E【網(wǎng)絡(luò)管理】-【接口管理】下，配置接口參數(shù)在【網(wǎng)絡(luò)管理】-【網(wǎng)絡(luò)對象】下，將接口添加到安全域在【網(wǎng)絡(luò)管理】-【單播IPv4路由】下，添加出口路由在【網(wǎng)絡(luò)管理】-【DHC用己置】下，啟動DHCP Server在【防火墻】-【NAF下，添加源NAT在【防火墻】-【NAF下，添加目的NAT在【防火墻】-【包過濾策略】下，添加 Untrust到Trust包過濾策略第3章深度檢測功能配置實現(xiàn)功

6、能采用第1 基本網(wǎng)絡(luò)配置IP限速、內(nèi)網(wǎng)（Trust ）到外網(wǎng)（Untrust ）方向匹配DPI策略（包括應(yīng)用限速、每 訪問控制、URLM濾、行為審計等）備注：本次功能配置以應(yīng)用限速為例網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【訪問控制】-【網(wǎng)絡(luò)應(yīng)用帶寬限速】下，配置限速策略在【防火墻】-【包過濾策略】下，添加包過濾策略，并引用應(yīng)用限速策略部分DPI功能配置舉例第4章 VPNIPSec VPN客戶端接入模式實現(xiàn)功能采用第1 基本網(wǎng)絡(luò)配置外網(wǎng)()可通過IPSec VPN客戶端方式連接到內(nèi)網(wǎng)，共享內(nèi)網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN - IPSec1下，啟動IPSec,配置客戶端接入模式在客戶端安裝IPSec VPN客戶端

7、程序網(wǎng)關(guān)一網(wǎng)關(guān)模式實現(xiàn)功能兩端配置采用第1 基本網(wǎng)絡(luò)配置(相關(guān)IP不同)PC()可通過IPSec VPN訪問PC(),并可共享兩端資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN - IPSec!下，進行網(wǎng)關(guān)一網(wǎng)關(guān)模式配置L2TP VPN實現(xiàn)功能采用第1 基本網(wǎng)絡(luò)配置外網(wǎng)（）可通過L2TP VPN1接到內(nèi)網(wǎng)，共享內(nèi)網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】-【網(wǎng)絡(luò)對象】下，將L2TP使用接口添加到安全域中在【VPN -【L2TPI下，啟動L2TP,配置LNS和用戶信息在客戶端上添加注冊表鍵值（windows默認(rèn)的l2tp/ipsec 是只支持用證書認(rèn)證的， 對于用pre-share的認(rèn)證方式或者不使用ipsec的l2

8、tp連接，必須修改注冊表）， 需重啟客戶端PG鍵值如下：#Windows Registry Editor VersionHKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRasManParameters ProhibitIPSec=dword:00000001#新建L2TP客戶端，在【網(wǎng)上鄰居】中創(chuàng)建新連接需要修改的參數(shù)如下GRE VPN實現(xiàn)功能兩端配置采用第1 基本網(wǎng)絡(luò)配置(相關(guān)IP不同)PC()可通過GRE VPN&問PC(),并可共享兩端資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】-【單播IPv4路由】下，添加靜態(tài)路由在【VPN -【GRE下，創(chuàng)建G

9、RE VPNft略SSL VPN實現(xiàn)功能采用第1 基本網(wǎng)絡(luò)配置外網(wǎng)()可通過SSL VPN接到內(nèi)網(wǎng)，共享分配相應(yīng)權(quán)限的內(nèi)網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN -【SSL VPN下，啟動SSL VPN并導(dǎo)入相應(yīng)證書（新版本自帶證書，老 版本需搭建服務(wù)器獲得）在【VPN -【SSL VPN下，配置資源（IP資源、web資源等）在【VPN -【SSL VPN下，添加用戶第5章 VRRF機熱備實現(xiàn)功能內(nèi)網(wǎng)PC（）可訪問Internet資源當(dāng)FW1（,主）與FW2（,備）為主備模式下，斷開 FWW SW1的連接，流量自動切 換至FW2 PC應(yīng)用無影響重新連接FWKSW酌連接，流量自動切換回FW1 PC應(yīng)用無

10、影響網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】-【接口管理】下，配置接口參數(shù)（eth_4為雙機熱備心跳線，eth_5 連接內(nèi)網(wǎng)，eth_6連接外網(wǎng)）在【網(wǎng)絡(luò)管理】-【網(wǎng)絡(luò)對象】下，將接口添加到安全域中在【網(wǎng)絡(luò)管理】-【單播IPv4路由】下，添加出口默認(rèn)路由在【防火墻】-【NAF下，配置源NAT策略在【高可靠性】-【VRRP下，配置VRR咯份組（內(nèi)網(wǎng)PC網(wǎng)關(guān)指向備份組虛擬IP）在【高可靠性】-【雙機熱備】下，進行雙機熱備配置（心跳線），此功能將同步配 置、會話等參數(shù)在【高可靠性】-【接口狀態(tài)同步組】下，進行端口同步組配置（可選）；此功能作 用為，如下行接口（ eth0_5） down掉，則相同接口同步組下的其他接口，也將 down 掉，如需重新up,則需重新打開接