《onicwall防火墙中文教程.ppt》由会员分享，可在线阅读，更多相关《onicwall防火墙中文教程.ppt（55页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、SonicWALL 典型配置和问题诊断目的：1.熟悉典型客户网络环境下防火墙的配置方法2.分析LOG及借助工具软件诊断并解决问题的方法3.参加培训的要求：4.掌握SonicWALL标准版和增强版的基本配置5.熟悉TCP/IP协议及基本网络通信协议通过此次培训，使参加培训的工程师能够掌握典型客户的防护墙配置，并在发生问题时及时解决问题。2023/1/281典型配置案例:1、PRO5060 在高校的应用，双WAN和策略路由2、标准版和增强版的透明模式3、静态ARP的应用，第二个网段4、带宽管理，TCP Session数管理故障诊断:1.点到点VPN 隧道故障建立，一、二阶段协商参数2.VPN隧道
2、TCP 超时时间的设置3.GVC NAT 穿越,何时需要分配IP地址4.防火墙不能升级签名的诊断步骤5.ARP 表更新，IP和MAC绑定，上游路由器ARP表不刷新问题6.Ethereal 软件的使用，诊断问题。7.ViewPoint配置及绑定到其它的网卡地址时如何更正2023/1/282PRO5060 PRO5060 双双WANWAN链路应用和策略路由链路应用和策略路由2023/1/283PRO5060 PRO5060 在高校的典型应用，双在高校的典型应用，双WANWAN链路链路+策略路由策略路由如条件允许，还可以配置如条件允许，还可以配置OSPFOSPF路由两个校园出口互为备份路由两个校园出
3、口互为备份2023/1/284学校一共有两个校区，东校区通过一台防火墙经电信出口上Internet，南校区有两个出口，一个是经电信出口接入Internet，另一个出口接入教育网。两个校区之间由专线把两个三层交换机连通，如果在三层交换和两台防火墙上启动OSPF路由协议，两台防火墙设备可以互为对方的备份，一台防火墙宕机，所有到互联网的出口流量可以经过专线由另外一个校园网的防火墙访问Internet。本例主要讲解南校区的网络配置。其中PRO 5060 LAN口连接一台华为的三层交换机S8505，DMZ连接一组服务器，为教育网提供服务。所有到服务器的流量都走教育网出口。S8505 三层交换机下连接4个
4、私有IP的网段，7个公有IP网段。4个私有网段只通过电信出口访问Internet，NAT到一个公有IP的地址池，7个公有IP网段只通过教育网出口访问教育网和互联网。本例的策略路由相对简单。注:有些高校教育网包月不计流量,有些高校只针对指定的教育网服务器不计流量,其它到教育网的访问要按流量收费,所以策略路由的配置要视客户具体需求进行调整,是按照源IP地址设置策略路由还是按目的地址设置策略路由,在教育网访问按流量收费的时候一定注意设置正确的默认路由,以尽量降低数据流量产生的费用.2023/1/2852023/1/286静态路由静态路由策略路由策略路由默认路由默认路由2023/1/287公有公有IP
5、路由出去路由出去私有私有IP NAT到公有到公有IP地址池地址池2023/1/288PRO5060 PRO5060 可以修改默认的可以修改默认的WANWAN口，这将影响默认口，这将影响默认的路由，使没有明确指定策略路由的访问均走默认的路由，使没有明确指定策略路由的访问均走默认路由。路由。错误的默认路由设置可能造成不必要的计错误的默认路由设置可能造成不必要的计费损失，因为有些高校只针对特定的教育网服务器费损失，因为有些高校只针对特定的教育网服务器不按流量计费，到其它教育网的服务器按流量计费，不按流量计费，到其它教育网的服务器按流量计费，还有的高校教育网和电信出口一样包月，不按流量还有的高校教育网
6、和电信出口一样包月，不按流量计费，针对客户不同的具体需求，配置相应的策略计费，针对客户不同的具体需求，配置相应的策略路由并选择正确的默认路由。路由并选择正确的默认路由。2023/1/2891.1.透明模式实现方法透明模式实现方法2.2.二层桥透明和二层桥透明和ARPARP代理透明代理透明2.2.SonicOSSonicOS 标准版透明标准版透明3.3.SonicOSSonicOS 增强版透明增强版透明2023/1/2810二层透明二层透明设备工作在二层透明方式，设备本身不需要任何设备工作在二层透明方式，设备本身不需要任何IPIP地址配置，地址配置，防火墙规则照常工作，检测数据流。如果需要，也可
7、以配置防火墙规则照常工作，检测数据流。如果需要，也可以配置管理管理IPIP地址对设备进行管理。地址对设备进行管理。ARPARP代理透明代理透明设备工作在设备工作在3 3层，设备的两个端口处于同一个网段，但两个端层，设备的两个端口处于同一个网段，但两个端口占用同一个口占用同一个IPIP地址，需要管理员指定哪些网络范围的地址，需要管理员指定哪些网络范围的IPIP地地址在设备的某一个端口，使设备能正确转发数据包到正确的址在设备的某一个端口，使设备能正确转发数据包到正确的端口。端口。SonicWALLSonicWALL的的UTMUTM设备透明方式是设备透明方式是ARPARP代理透明，需要在代理透明，需
8、要在WANWAN口和口和LANLAN口（或口（或DMZDMZ口）占用一个口）占用一个IPIP地址。地址。2023/1/2811SonicOS SonicOS 标准版标准版防火墙防火墙LANLAN口和口和WANWAN口透明口透明2023/1/28122023/1/28132023/1/28142023/1/2815注：透明模式并不意味着所有的业务端注：透明模式并不意味着所有的业务端口都口都“透明透明”，必须设置必要的防火必须设置必要的防火墙规则以允许墙规则以允许WANWAN到到LANLAN或或WANWAN到到DMZDMZ服服务器的访问。务器的访问。2023/1/2816SonicOS Sonic
9、OS 标准版标准版防火墙防火墙DMZDMZ口和口和WANWAN口透明口透明（TZ170 OPTTZ170 OPT口默认相当于口默认相当于DMZDMZ口）口）DMZDMZ口可以工作在透明模式或口可以工作在透明模式或NATNAT模式模式2023/1/28172023/1/28182023/1/28192023/1/2820SonicOS SonicOS 增强版增强版透明模式配置透明模式配置任意端口和任意端口和WANWAN口之间都可以配置成透明模式，需要口之间都可以配置成透明模式，需要指定透明范围以使防火墙能正确转发数据包到正指定透明范围以使防火墙能正确转发数据包到正确的端口确的端口2023/1/2
10、8212023/1/28222023/1/28232023/1/2824SonicOS标准版一个端口支持多个网段的两种方式在Network-Settings LAN Interface 采用静态ARP，在一个端口增加第二个IP2023/1/2825增加第二个网关，支持第二个网段方法一方法一2023/1/2826配置静态ARP和静态路由，在一个端口支持第二个网段，视访问需求可在Firewall-Access Rules里添加允许到第二个网段的访问规则Network-ARPNetwork-Routing方法二方法二2023/1/2827SonicOS增强版一个端口支持多个网段采用静态ARP，配置过
11、程与标准版采用静态ARP支持第二个网段完全相同,不过注意静态路由的配置是在策略路由的界面配置的。详见下页。注：在一个物理端口如LAN上设置两个网段，则两个网段之间由防火墙路由，访问规则不影响两个网段的通信，但是LAN到DMZ第二个网段的通信可由防火墙规则控制。2023/1/2828配置静态ARP和静态路由，在一个端口支持第二个网段，视访问需求可在Firewall-Access Rules里添加允许到第二个网段的访问规则Network-ARPNetwork-Routing2023/1/2829带宽管理和TCP Session 数限制2023/1/2830必须在WAN口设置进出的带宽参数，否则在防
12、火墙的规则里不会出现带宽管理的界面2023/1/28312023/1/28322023/1/28332023/1/2834故障诊断2023/1/2835点到点VPN 隧道故障建立，一、二阶段协商参数PRO4060 VPN Policy2023/1/2836TZ150W VPN Policy，故意设置与对端不同2023/1/2837NO_PROPOSAL_CHOSEN 是指参数不匹配2023/1/2838NO_PROPOSAL_CHOSEN 是指参数不匹配2023/1/2839PRO4060 Shared Secret2023/1/2840PRO4060 Log PAYLOAD_MALFORME
13、D表示共享密钥不匹配，网络故障导致VPN隧道断开，如果隧道两端VPN设备采用的DPD不是一个标准，重新协商时也可能出现此错误 2023/1/2841TCP 超时时间的设置，TCP Setting和防火墙规则设置此参数只影响新创建的防火墙规则，修改此参数之前创建的规则的TCP 超时参数不受此参数影响。2023/1/2842有些应用如Oracle客户端，ERP系统等通过VPN隧道访问服务器，默认的TCP超时时间一定要修改，否则这些系统可能会产生问题，如有的ERP系统在有中间设备断开TCP连接后，会延迟30分钟才允许客户端再次建立连接2023/1/2843有些应用如Oracle客户端，ERP系统等通
14、过VPN隧道访问服务器，默认的TCP超时时间一定要修改，否则这些系统可能会产生问题，如有的ERP系统在有中间设备断开TCP连接后，会延迟30分钟才允许客户端再次建立连接2023/1/2844GVC NAT 穿越,何时需要分配IP地址当服务器的默认网关指向另外一个路由器，通过专线联接互联网，而不指向SonicWALL防火墙设备时，一定要分配IP地址给GVC，以免除路由问题。由于各个网络设备厂家的NAT设备在对IPSec VPN的支持不尽相同，有些支持IPSec Pass Through,有些不支持。经过不支持IPSec Pass Through的NAT设备建立IPSec VPN隧道，必须采用NA
15、T穿越技术。SonicWALL GVC自动检测沿途设备是否支持IPSec，如果需要，自动启动NAT穿越，但是有些设备的IPSec pass throug不稳定，有些支持IPSec的NAT设备反而不能正确处理NAT穿越数据，需要在SonicWALL GVC上禁止NAT穿越参数。2023/1/2845有些支持IPSec的NAT设备不能正确处理NAT穿越数据，需要在SonicWALL GVC上禁止NAT穿越参数，常见的问题是客户端不能从防火墙通过DHCP获取IP地址，GVC LOG 提示信号灯超时(semaphore Timeout),修改此参数大部分情况可解决问题。2023/1/2846防火墙不能
16、升级签名的诊断步骤1.确认LAN PC能通过防火墙WAN口访问互联网2.确认防火墙System-Diagnostics里的DNS解析能解析 3.防火墙通过HTTPS直接访问 ，不能经过代理服务器.4.确认没有防火墙规则禁止LAN Primary IP访问Internet.5.确认防护墙里的系统时间正确。如果系统时间不正确，可导致访问Licensemanager超时.6.如果还有问题，可以在WAN口上抓包，以帮助诊断问题。2023/1/28471.IP和MAC绑定SonicWALL SonicOS 3.0 以上操作系统支持IP到MAC地址的绑定gon功能。在Network-ARP 界面配置所有设
17、备支持300个IP地址到MAC地址的绑定。2023/1/2848ARP 表更新，上游路由器ARP表不刷新问题SonicWALL设备在加电后会广播ARP信息，包括其WAN口IP，一对一映射的公网IP，IP地址池的IP等等，使上游路由器更新其ARP表，正确转发数据到防火墙WAN口的MAC地址，有些情况下，上游路由器不刷新其ARP表，导致问题，要电话联系电信网管强行刷新上游路由器的ARP表，因为SonicWALL已经广播了ARP信息。有些VDSL/ADSL运营商会自动绑定第一次上网的设备的MAC地址，更换ADSL/VDSL设备是要运营商更新ARP表。2023/1/2849Ethereal 软件的使用
18、，诊断问题。在 Capture 菜单选择 Start2023/1/2850选择要抓包的网卡选择时时更新和自动滚屏2023/1/2851察看各层详细信息直至某一个Bit,诊断问题很有帮助2023/1/2852ViewPoint配置及绑定到其它的网卡地址时如何更正安装ViewPoint软件时，如果计算机上有多块物理网卡或者有VPN虚拟网卡，可能导致ViewPoint服务绑定道错误的网卡上，其表现是防火墙把ViewPoint数据送到ViewPoint服务器的IP地址，但是ViewPoint软件始终收不到任何数据。2023/1/2853解决方法：修改c:sgmsConfig.xml文件中的Scheduler.ipAddress参数，设置正确的IP地址，然后重启ViewPoint服务2023/1/2854在系统控制面板里找到服务，重启以SNWL ViewPoint开始的四个ViewPoint服务2023/1/2855