最新天融信防火墙使用培训75PPT课件.ppt
( 4.5 )《最新天融信防火墙使用培训75PPT课件.ppt》由会员分享，可在线阅读，更多相关《最新天融信防火墙使用培训75PPT课件.ppt（75页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、天融信防火墙使用培训天融信防火墙使用培训7575InternetInternetInternetInternet一种高级访问控制设备，置于不同一种高级访问控制设备，置于不同一种高级访问控制设备，置于不同一种高级访问控制设备，置于不同网络安全域网络安全域网络安全域网络安全域之间的一系列部件的组合，它是不同之间的一系列部件的组合，它是不同之间的一系列部件的组合，它是不同之间的一系列部件的组合，它是不同网络安全域间通信流的网络安全域间通信流的网络安全域间通信流的网络安全域间通信流的唯一通道唯一通道唯一通道唯一通道，能根据企业有关的安全政策，能根据企业有关的安全政策，能根据企业有关的安全政策，能根据企
2、业有关的安全政策控制控制控制控制（允许、拒绝、（允许、拒绝、（允许、拒绝、（允许、拒绝、监视、记录）进出网络的访问行为。监视、记录）进出网络的访问行为。监视、记录）进出网络的访问行为。监视、记录）进出网络的访问行为。两个安全域之间通信两个安全域之间通信流的唯一通道流的唯一通道UDPBlockHost CHost BTCPPassHost CHost ADestinationProtocolPermitSource根据访问控制规则决定根据访问控制规则决定进出网络的行为进出网络的行为防火墙定义防火墙定义内部网内部网内部网内部网网络卫士防火墙的硬件设备安装完成之后，就可以上电了。在工作过程中，用户可
3、以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态，具体请见下表：防火墙的工作状态防火墙的工作状态在安装配置防火墙之前必须弄清楚的几个问题：在安装配置防火墙之前必须弄清楚的几个问题：1、路由走向(包括防火墙及其相关设备的路由调整)确定防火墙的工作模式：路由、透明、综合。2、IP地址的分配(包括防火墙及其相关设备的IP地址分配)根据确定好的防火墙的工作模式给防火墙分配合理的IP地址3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型)4、要达到的安全目的(即要做什么样的访问控制)11安装了防火墙后，可以为网络起到如下安全保障作用：o1、在互联网接口处提供安全保护措施，
4、防止外部入侵。o2、对服务器进行保护，不仅防止来自互联网的攻击，也可以防止内部员工利用内网对服务器进行攻击。o3、构建VPN，解决总部和分支机构间的互联互通和移动办公需求，合作伙伴、在家办公的员工、出差在外的员工可以在企业之外访问公司的内部网络资源。o4、通过安全检查，过滤包含非法内容的网页，邮件，FTPo5、带宽管理，确保即使在网络出现拥堵时，企业老总、中层领导、重要部门也能够快速、便捷、顺畅、优先上网12安装了防火墙后，可以为企业起到如下安全保障作用：o6、对员工上网进行管理，防止他们在上班时间利用网络做与工作无关的事，而且控制策略多种多样。例如：-只能访问与工作有关的网站-不能进入QQ聊
5、天室-不能玩网络游戏-不能用BT、电驴等P2P工具下载电影o7、控制策略可以做到基于人而不是基于电脑。例如对员工张三限制上网，对员工李四允许上网，假如张三企图用李四的电脑上网，也一样不能得逞。o8、控制策略还可以基于时间。例如可以限制张三只能在下午七点到十点之间上网，在这个时间段以外就不能。o9、可以限制每台主机，每个网段的并发连接数。天融信防火墙天融信防火墙安装配置安装配置 硬件一台硬件一台 NGFW TG-1507 外形：外形：1919寸寸1U1U标准机箱标准机箱（产品参考外形）（产品参考外形）接接COM口口管理机管理机直通直通线线交叉交叉线线串口串口线线PCRouteSwich、Hub直
6、通直通线线CONSOLECONSOLE线缆线缆（RJ45RJ45线缆加线缆加DB9DB9口转口转CONSOLECONSOLE接口头接口头）UTP5UTP5双绞线双绞线 -直通直通(1(1条，颜色条，颜色:白色白色)-交叉交叉(1(1条，颜色条，颜色:红色红色)使用使用:直通直通:与与HUB/SWITCHHUB/SWITCH交叉交叉:与路由器与路由器/主机主机（一些高端交换机也可以通过交叉线与一些高端交换机也可以通过交叉线与 防火墙连接防火墙连接）软件光盘软件光盘上架附件上架附件产品提供的附件及线缆使用方式产品提供的附件及线缆使用方式串口串口(console)(console)管理方式：管理方式
7、：用户名superman ，初始口令talent,用passwd命令可修改管理员密码WEBUIWEBUI管理方式（管理方式（httpshttps协议协议）：）：超级管理员:superman，口令:talent 可在“系统管理”“管理员”中修改密码，要求密码大于8位。TELNETTELNET管理方式：管理方式：模拟console管理方式，用户名superman，口令：talentSSHSSH管理方式：管理方式：模拟console管理方式，用户名superman，口令：talent出于安全性的考虑，强烈建议修改初始密码！但请牢记修改后的密码！忘记密码必须返厂收费维修！防火墙配置防火墙配置-管理方式
8、管理方式防火墙的防火墙的CONSOLE管理方式管理方式超级终端参数设置：防火墙的防火墙的CONSOLE管理方式管理方式输入helpmode chinese命令可以看到中文化菜单防火墙的防火墙的WEBUI管理方式管理方式在浏览器输入：HTTPS:/192.168.1.254，看到下列提示，选择“是”防火墙的防火墙的WEBUI管理方式管理方式输入用户名和密码后，按“提交”按钮.用户名:superman 密码:talent防火墙的防火墙的WEBUI管理方式管理方式在浏览器输入：HTTPS:/192.168.1.254，看到下列提示，选择“是”防火墙的防火墙的WEBUI管理方式管理方式输入用户名和密码
9、后，按“提交”按钮.用户名:superman 密码:talent防火墙的防火墙的WEBUI管理方式管理方式防火墙的管理方式打开防火墙防火墙的管理方式打开防火墙管理端口管理端口注意：要想通过TELNET、SSH方式管理防火墙，必须首先打开防火墙 的服务端口，系统默认打开“HTTP”方式。在“系统管理”“配置”“开放服务”中选择“启动”即可防火墙的防火墙的TELNET管理方式管理方式通过TELNET方式管理防火墙：防火墙建议配置步骤：防火墙建议配置步骤：1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式）2、配置防火墙接口IP3、配置区域和默认访问权限4、设置路由表5、定义对象6、制
10、定地址转换策略（包括源地址转换、目的地址转换、双向转换、不做转换）7、制定访问控制策略8、其他特殊应用配置9、配置保存10、配置文件备份提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络中断。当造成网络中断。INTERNET111.111.111.254111.111.111.230172.16.1.25410.1.1.110.1.1.254172.16.1.0/24应用需求：内网可以访问互联网服务器对外网做映射 映射地址为111.111.111.230外网禁止访问内网WEB服务器防火墙接口分配如下
11、：ETH0接内网ETH1接Internet（外网）ETH2接服务器区1 1、接口配置、接口配置进入防火墙管理界面，点击”网络管理“接口”物理接口“可以看到物理接口定义结果：点击每个接口的”设置”按钮可以修改每个接口的描述和接口IP地址注意：防火墙每个接口的默认状态均为注意：防火墙每个接口的默认状态均为“路由路由”模式模式2 2、区域和缺省访问权限配置、区域和缺省访问权限配置在“资产管理”区域“中定义防火墙区域及默认权限为”禁止访问“防火墙管理权限设置防火墙管理权限设置系统默认只能从ETH0对防火墙进行管理 添加ETH0接口为“内网”区域；ETH1接口为“外网”区域“内网”区域添加对防火墙的管理
12、权限（当然也可以对“外网”区域添加），点击“系统管理”“配置”“开放服务”，点击添加定义你希望从哪个接口（区域）管理防火墙3 3、路由表配置、路由表配置添加静态路由添加静态路由在“网络管理”“路由”“静态路由”添加静态路由设置默认路由时，源和目的全为“0”3 3、定义对象、定义对象添加单个主机对象添加单个主机对象点击：”资源管理“地址”“主机”，点击右上角“添加配置”3 3、定义对象、定义对象添加地址范围添加地址范围点击：”资源管理“地址”“范围”，点击右上角“添加配置”3 3、定义对象、定义对象添加地址组添加地址组点击：”资源管理“地址”“地址组”，点击右上角“添加配置”3 3、定义对象、定
13、义对象添加自定义服务：添加自定义服务：防火墙内置一些标准服务端口，用户在端口引用时，但有时用户的系统没有使用某些服务的标准端口，这时我们通过自定义方式加以定义。点击：”资源管理“服务”“自定义服务”，点击“添加”，可以添加单个端口或范围，单个端口只填起始端口 3 3、定义对象、定义对象添加时间添加时间点击：”资源管理“时间”，点击“添加”，可以设置单次和多次注意注意：防火墙所有需要引用对象的配置，请先定义对象，才能引用。InternetInternet202.102.93.54Host A受保护网络Host C Host D 172.16.1.21172.16.1.25防火墙Eth0：172.
14、16.1.254Eth1：111.111.111.230数据IP报头数据IP报头源：172.16.1.21:1080目地：202.102.93.54:80源：111.111.111.230:1120目地：202.102.93.54:80111.111.111.254v 隐藏了内部网络的结构v 内部网络可以使用私有IP地址v 公开地址不足的网络可以使用这种方式提供IP复用功能4 4、NATNAT地址转换策略地址转换策略源地址转换源地址转换4 4、地址转换策略配置、地址转换策略配置内网可以访问互联网，需要配置源转换内网可以访问互联网，需要配置源转换源选择源区域“内网区域”，目的选择目的区域“外网区
15、域”，源转换为Eth1接口（即转换为Eth1接口IP地址）或者转换111.111.111.230注意注意：如果需要源地址转换为一段地址，则首先需要创建一段地址范围，且该地址范围不能设置排除IP地址Internetv 公开服务器可以使用私有地址v 隐藏内部网络的结构WWW 10.1.1.1FTP 10.1.1.3MAIL 10.1.1.4DNS 10.1.1.510.1.1.254222.222.2.2111.111.111.230MAP 10.1.1.1：80 TO 111.111.111.230：80MAP 10.1.1.3：21 TO 111.111.111.230：21MAP 10.1.
16、1.4：53 TO 111.111.111.230：53MAP 10.1.1.5：25 TO 111.111.111.230：25http:/111.111.111.230MAP(目的地址目的地址转换转换也叫映射也叫映射)4 4、地址转换策略配置、地址转换策略配置互联网用户可以访问内部服务器资源，需要配置目的地址转换互联网用户可以访问内部服务器资源，需要配置目的地址转换源选择“互联网区域”，目的选择“111.111.111.230（合法IP）”，服务选择“http”，目的转换为服务器真实地址10.1.1.1，目的端口转换为选择“http”第一条为内网访问外网做NAT；第二条为外网访问WEB服务
17、器的映射地址，防火墙把包转发给服 务器的真实IPHost C Host D 5、访问访问控制控制Access list 192.168.1.3 to 202.2.33.2Access nat 192.168.3.0 to any pass Access 202.1.2.3 to 192.168.1.3 blockAccess default pass1010010101规则匹配成功规则匹配成功v 基于源IP地址v 基于目的IP地址v 基于源端口v 基于目的端口v 基于时间v基于用户v 基于流量v 基于文件v 基于网址v 基于MAC地址v基于应用层过滤5、配置访问控制、配置访问控制第一条规则定义
- 配套讲稿：
如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制：
部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词：
- 最新 天融信 防火墙 使用 培训 75 PPT 课件
淘文阁 - 分享文档赚钱的网站所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。
限制150内