山石防火墙图文讲解简单配置步骤.docx
- 文档编号:9042604
- 上传时间:2023-05-16
- 格式:DOCX
- 页数:14
- 大小:2.99MB
山石防火墙图文讲解简单配置步骤.docx
《山石防火墙图文讲解简单配置步骤.docx》由会员分享,可在线阅读,更多相关《山石防火墙图文讲解简单配置步骤.docx(14页珍藏版)》请在冰点文库上搜索。
山石防火墙图文讲解简单配置步骤山石防火墙图文讲解简单配置步骤hillstone防火墙配置步骤(以hillstoneSA5040为例讲解)厦门领航立华科技有限公司目录1需要从客户方获取的基本信息32配置步骤32.1配置安全域32.2配置接口地址42.3配置路由42.4配置NAT62.4.1源地址NAT62.4.2目的地址NAT63配置策略83.1配置安全域之间的允许策略83.1.1配置trust到Untrust的允许所有的策略83.1.2配置DMZ到Untrust的允许所有的策略93.1.3配置trust到DMZ的允许策略93.1.4配置Untrust到DMZ服务器的允许策略103.1.5配置Untrust到Trust服务器的允许策略103.1.6配置详细策略114配置QOS125配置SCVPN131需要从客户方获取的基本信息需要从客户方获取的基本信息部署位置:
互联网出口位置,还是其他,如部署在出口路由器之后等部署方式:
三层接入(需要做NAT,大部分都是这种接入方式),二层透明接入(透明接入不影响客户网络架构),混合接入模式(有几个接口需要配置成透明接口模式,可以支持这种方式)外网出口信息:
几个出口,电信Or网通,外网IP地址资源(多少个),外网网关(防火墙默认路由设置)安全域划分:
一般正常3个安全域,Untrust(外网)、Trust(内网)、Dmz(服务器网段),也可以自定义多个外网接口IP地址:
由客户提供内网口IP地址:
如果客户内网有多个网段,建议在客户中心交换机配置独立的VLAN网段,不要与客户内部网段相同。
如果客户内网只有1个网段,没有中心交换机,则把防火墙内网口地址设置为客户内网地址段,并作为客户内网网关(适用于中小型网络)DMZ口IP地址:
由客户提供,建议配置成服务器网段的网关;2配置步骤配置步骤2.1配置安全域配置安全域默认就有常用的3个安全域了,Trust,Untrust,DMZ2.2配置接口地址配置接口地址2.3配置路由配置路由默认路由:
其中指定的接口:
Untrust(外网)接口,如果有多个出口,可以在这选择不同的接口。
其中网关为跟FW互联设备接口的地址,比如59.60.12.33是电信给的出口网关地址。
静态路由:
网关地址为下一跳地址,客户内部有多个VLAN,需要在这配置静态路由,比如客户内部网有172.16.2.0/24,172.168.3.0/24等多网段,可以指定一条静态路由,Iproute172.16.0.0/16内部核心交换机地址2.4配置配置NAT2.4.1源地址源地址NAT内部网络访问互联网NAT,选择互联网出口接口为eth0/1,配置接口地址就为NAT地址,并配置动态端口,启用Sticky(启用这个会更好的利用接口的资源)。
(只有配置了源地址NAT,内部网络才能上互联网)2.4.2目的地址目的地址NATIP映射,把外网一个IP地址完全映射到内部一台服务器,具体如下,创建IP映射端口映射,把访问外网某个地址的指定端口映射到内部服务器的指定端口,具体配置如下:
新建选择端口映射3配置策略配置策略3.1配置安全域之间的允许策略配置安全域之间的允许策略配置初始允许策略(在做测试,或者部署前,首先配置允许策略,让策略先全部允许;测试联通性没问题了,如路由,NAT都没问题了,才来做策略的优化,比如限制允许的服务等)3.1.1配置配置trust到到Untrust的允许所有的策略的允许所有的策略3.1.2配置配置DMZ到到Untrust的允许所有的策略的允许所有的策略3.1.3配置配置trust到到DMZ的允许策略的允许策略3.1.4配置配置Untrust到到DMZ服务器的允许策略服务器的允许策略3.1.5配置配置Untrust到到Trust服务器的允许策略服务器的允许策略(有时候我们的客户有需要从Untrust访问Trust内部地址的需求,同样要先做目的NAT,然后配置从Untrust到Trust的允许策略)3.1.6配置详细策略配置详细策略配置地址簿配置服务组,可以自己新建服务组,服务组可以选择预定义好的服务4配配置置QOS在外网接口,即Untrust口,配置对P2P的下载限制,注意上行带宽要设置为小一点,这样效果会更好5配置配置SCVPN先建立一个IPpool不能和内网同一网段配置SSLvpnhttp端口注意,接口:
untrust隧道路由内网网段,AAA加local添加SSL登陆用户Aaa建立一个SSLvpn的zone建立一个隧道接口配置隧道接口安全zone选择刚建立的zoneSSLip地址是和pool一个网段但不能用pool里面的地址,scvpntunnel选择建立的SCVPN名字建立fromssl域(zone)toanyserviceanypermit的安全策略Web登陆FWuntrusthttps:
/192.168.1.2:
8888端口匹配
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 山石 防火墙 图文 讲解 简单 配置 步骤