《山石防火墙配置364.pdf》由会员分享，可在线阅读，更多相关《山石防火墙配置364.pdf（23页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、 山石防火墙配置 hillstone防火墙配置步骤(以 hillstone SA5040 为例讲解)TECH2009-8-24 厦门领航立华科技有限公司 目录页 厦门领航立华科技有限公司 目 录 1 需要从客户方获取的基本信息.5 2 配置步骤.5 2.1配置安全域 5 2.2配置接口地址 6 2.3配置路由 7 2.4配置NAT 8 TECH2009-8-24 厦门领航立华科技有限公司 目录页 2.4.1源地址NAT 8 2.4.2目的地址NAT 9 3 配置策略.11 3.1配 置 安 全 域 之 间 的 允 许 策 略 11 3.1.1配置trust到Untrust的允许所有的策略.12
2、 3.1.2配置 DMZ 到 Untrust 的允许所有的策略.12 3.1.3配置 trust 到 DMZ 的允许策略 13 3.1.4配置 Untrust 到 DMZ 服务器的允许策略.14 3.1.5配置 Untrust 到 Trust 服务器的允许策略.14 3.1.6配置详细策略 15 4 配置 QOS.16 5 配置 SCVPN.18 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第5页 1 需要从客户方获取的基本信息 部署位置：互联网出口位置，还是其他，如部署在出口路由器之后等 部署方式：三层接入（需要做 NAT，大部分都是这种接入方式），二层透明接入（透明接入
3、不影响客户网络架构），混合接入模式（有几个接口需要配置成透明接口模式，可以支持这种方式）外网出口信息：几个出口，电信 Or 网通，外网 IP 地址资源（多少个），外网网关（防火墙默认路由设置）安全域划分：一般正常 3 个安全域，Untrust（外网）、Trust（内网）、Dmz（服务器网段），也可以自定义多个 外网接口 IP 地址：由客户提供 内网口 IP 地址：如果客户内网有多个网段，建议在客户中心交换机配置独立的 VLAN网段，不要与客户内部网段相同。如果客户内网只有 1 个网段，没有中心交换机，则把防火墙内网口地址设置为客户内网地址段，并作为客户内网网关（适用于中小型网络）DMZ 口 I
4、P 地址：由客户提供，建议配置成服务器网段的网关；2 配置步骤 2.1 配置安全域 默认就有常用的 3 个安全域了，Trust，Untrust，DMZ TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第6页 2.2 配置接口地址 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第7页 2.3 配置路由 默认路由：其中指定的接口：Untrust（外网）接口，如果有多个出口，可以在这选择不同的接口。其中网关为跟 FW 互联设备接口的地址，比如59.60.12.33 是电信给的出口网关地址。静态路由：网关地址为下一跳地址，客户内部有多个 VLAN，需要在这配置静态路由
5、，比如客户内部网有 172.16.2.0/24，172.168.3.0/24 等多网段，可以指定一条静态路由，Ip route 172.16.0.0/16 内部核心交换机地址 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第8页 2.4 配置 NAT 2.4.1 源地址 NAT 内部网络访问互联网 NAT，选择互联网出口接口为 eth0/1，配置接口地址就为 NAT 地址，并配置动态端口，启用 Sticky（启用这个会更好的利用接口的资源）。TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第9页 （只有配置了源地址 NAT，内部网络才能上互联网）2.4.2 目
6、的地址 NAT IP 映射，把外网一个 IP 地址完全映射到内部一台服务器，具体如下，创建 IP 映射 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第10页 端口映射，把访问外网某个地址的指定端口映射到内部服务器的指定端口，具体配置如下：新建选择端口映射 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第11页 3 配置策略 3.1 配置安全域之间的允许策略 配置初始允许策略（在做测试，或者部署前，首先配置允许策略，让策略先全部允许；测试联通性没问题了，如路由，NAT 都没问题了，才来做策略的优化，比如限制允许的服务等）TECH2009-8-24 厦门领航立
7、华科技有限公司 技术方案 第12页 3.1.1 配置 trust 到 Untrust 的允许所有的策略 3.1.2 配置 DMZ 到 Untrust 的允许所有的策略 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第13页 3.1.3 配置 trust 到 DMZ 的允许策略 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第14页 3.1.4 配置 Untrust 到 DMZ 服务器的允许策略 3.1.5 配置 Untrust 到 Trust 服务器的允许策略（有时候我们的客户有需要从 Untrust 访问Trust 内部地址的需求，同样要先做目的 NAT，
8、然后配置从 Untrust 到 Trust 的允许策略）TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第15页 3.1.6 配置详细策略 配置地址簿 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第16页 配置服务组，可以自己新建服务组，服务组可以选择预定义好的服务 4 配置 QOS 在外网接口，即 Untrust 口，配置对 P2P 的下载限制，注意上行带宽要设置为小一点，这样效果会更好 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第17页 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第18页 5 配置 SCVPN
9、先建立一个 IP pool 不能和内网 同一网段 配置 SSL vpn http 端口注意，接口：untrust 隧道路由内网网段，AAA 加 local TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第19页 添加 SSL 登陆用户 Aaa TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第20页 建立一个 SSL vpn 的 zone TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第21页 建立一个隧道接口 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第22页 配置隧道接口 安全 zone 选择 刚建立的zoneSSL ip 地址是和 pool 一个网段但不能用pool 里面的地址，scvpn tunnel 选择 建立的 SCVPN 名字 建立 from ssl 域(zone)to any service any permit 的安全策略 TECH2009-8-24 厦门领航立华科技有限公司 技术方案 第23页 Web 登陆 FW untrust https:/192.168.1.2:8888 端口匹配