1-2-09《信息安全產(chǎn)品配置與應(yīng)用》課程-防火墻篇-天融信課件

1、云安全產(chǎn)品配置與應(yīng)用之防火墻篇（2/3）防火墻操作實(shí)踐云安全產(chǎn)品配置與應(yīng)用之防火墻篇（2/3）任務(wù)目標(biāo)任務(wù)1：了解 防火墻配置流程及管理方式任務(wù)2：了解配置防火墻前需要弄清的幾個(gè)問題任務(wù)3：學(xué)習(xí)天融信防火墻基本功能應(yīng)用任務(wù)4：學(xué)習(xí)天融信防火墻特殊功能應(yīng)用任務(wù)5：學(xué)習(xí)天融信防火墻高級(jí)應(yīng)用任務(wù)6：學(xué)習(xí)天融信防火墻輔助功能學(xué)習(xí)目標(biāo)掌握防火墻的配置準(zhǔn)備工作及注意事項(xiàng)掌握天融信防火墻的主要配置方法掌握一般防火墻的故障處理過程本講任務(wù)與學(xué)習(xí)目標(biāo)任務(wù)目標(biāo)本講任務(wù)與學(xué)習(xí)目標(biāo)防火墻輔助功能防火墻基本信息防火墻輔助功能防火墻基本信息防火墻輔助功能查看/修改防火墻系統(tǒng)時(shí)間防火墻輔助功能查看/修改防火墻系統(tǒng)時(shí)間防火墻

2、輔助功能查看防火墻運(yùn)行狀態(tài)防火墻輔助功能查看防火墻運(yùn)行狀態(tài)防火墻輔助功能查看防火墻運(yùn)行狀態(tài)防火墻輔助功能查看防火墻運(yùn)行狀態(tài)防火墻輔助功能查看系統(tǒng)參數(shù)防火墻輔助功能查看系統(tǒng)參數(shù)防火墻輔助功能日志設(shè)置防火墻本身不存儲(chǔ)日志信息，如果要保留相關(guān)日志，請(qǐng)安裝隨機(jī)光盤的日志服務(wù)器軟件。然后設(shè)置日志服務(wù)器地址，防火墻就會(huì)把日志信息發(fā)送到日志服務(wù)器上防火墻輔助功能日志設(shè)置防火墻本身不存儲(chǔ)日志信息，如果要保留防火墻輔助功能報(bào)警設(shè)置設(shè)置觸發(fā)報(bào)警的安全事件管理管理員登陸或離線。重要配置發(fā)生變化。系統(tǒng)資源不足（如內(nèi)存不足等等）。系統(tǒng)硬件故障（如網(wǎng)卡、加密卡損壞等等）。系統(tǒng)狀態(tài)異常（除資源不足和硬件損壞）。系統(tǒng)進(jìn)行升級(jí)

3、以及其他對(duì)外關(guān)鍵通信事件出現(xiàn)故障。系統(tǒng)監(jiān)測(cè)到攻擊發(fā)生、違反了某條訪問策略，并且此條訪問策略還規(guī)定了違反時(shí)必須報(bào)警等。分為：郵件報(bào)警、聲音報(bào)警、SNMP、NETBIOS、控制臺(tái)報(bào)警防火墻輔助功能報(bào)警設(shè)置設(shè)置觸發(fā)報(bào)警的安全事件管理管理員登陸防火墻輔助功能開放服務(wù)防火墻輔助功能開放服務(wù)防火墻輔助功能健康記錄管理員可以定期生成、下載設(shè)備的健康記錄，以便當(dāng)設(shè)備出現(xiàn)異常時(shí)，可以幫助天融信的技術(shù)支持人員快速地定位并解決故障。防火墻輔助功能健康記錄管理員可以定期生成、下載設(shè)備的健康記防火墻輔助功能恢復(fù)出廠設(shè)置系統(tǒng)除了提供上節(jié)所述的設(shè)備配置維護(hù)功能外，還提供了恢復(fù)出廠默認(rèn)配置的功能，以方便用戶重新配置設(shè)備。恢復(fù)

4、出廠配置后，設(shè)備的網(wǎng)絡(luò)接口地址可能會(huì)改變，配置信息會(huì)被清除，進(jìn)而導(dǎo)致失去連接，請(qǐng)用戶提前做好準(zhǔn)備。防火墻輔助功能恢復(fù)出廠設(shè)置系統(tǒng)除了提供上節(jié)所述的設(shè)備配置維防火墻輔助功能系統(tǒng)升級(jí)設(shè)備支持基于TFTP 協(xié)議的升級(jí)方式和專用升級(jí)工具注意：請(qǐng)?jiān)谏?jí)前進(jìn)行系統(tǒng)備份！請(qǐng)確認(rèn)開放服務(wù)里是否有升級(jí)權(quán)限！防火墻輔助功能系統(tǒng)升級(jí)設(shè)備支持基于TFTP 協(xié)議的升級(jí)方式防火墻輔助功能添加管理用戶及修改管理員口令設(shè)備支持多級(jí)用戶管理，不同類型的用戶具有不同的操作權(quán)限。用戶權(quán)限基本可分為三種：超級(jí)管理員、管理用戶與審計(jì)用戶。超級(jí)管理員是系統(tǒng)的內(nèi)建帳號(hào)，具有全部的功能權(quán)限；管理用戶可以設(shè)定和查看規(guī)則，但沒有綜合配置（例如分

5、配管理員、配置維護(hù)等）的權(quán)限。審計(jì)用戶權(quán)限最小，只可以查看已有規(guī)則，沒有添加和修改規(guī)則的權(quán)限。防火墻輔助功能添加管理用戶及修改管理員口令設(shè)備支持多級(jí)用防火墻輔助功能查看CDP 鄰居信息網(wǎng)絡(luò)衛(wèi)士防火墻可以接受CDP（Cisco Discovery Protocol）消息，并識(shí)別出相應(yīng)的思科設(shè)備。使用CDP 功能的具體方法是選擇 網(wǎng)絡(luò) CDP，網(wǎng)絡(luò)衛(wèi)士防火墻即可自動(dòng)發(fā)現(xiàn)并識(shí)別出相鄰的思科設(shè)備。防火墻輔助功能查看CDP 鄰居信息網(wǎng)絡(luò)衛(wèi)士防火墻可以接受C防火墻輔助功能ARP及MAC地址網(wǎng)絡(luò)衛(wèi)士防火墻內(nèi)部維護(hù)了一張ARP 表，維護(hù)了網(wǎng)絡(luò)衛(wèi)士防火墻所學(xué)習(xí)到的主機(jī)IP 和MAC 地址的對(duì)應(yīng)關(guān)系條目。當(dāng)網(wǎng)絡(luò)衛(wèi)

6、士防火墻轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)文時(shí)，會(huì)首先查看ARP表，如目的IP 已經(jīng)在ARP 表中，網(wǎng)絡(luò)衛(wèi)士防火墻則不必再發(fā)送ARP 廣播就獲取了目的設(shè)備的MAC 地址。防火墻輔助功能ARP及MAC地址網(wǎng)絡(luò)衛(wèi)士防火墻內(nèi)部維護(hù)了一防火墻輔助功能ARP及MAC地址設(shè)置ARP 代理網(wǎng)絡(luò)衛(wèi)士防火墻提供ARP 代理功能。也就是說，當(dāng)一個(gè)ARP 請(qǐng)求是發(fā)往一個(gè)不同子網(wǎng)的主機(jī)地址的時(shí)候，如果該目的主機(jī)位于被代理的區(qū)域，網(wǎng)絡(luò)衛(wèi)士防火墻作為中間設(shè)備，可以代為回答該ARP 請(qǐng)求。這樣ARP 請(qǐng)求端會(huì)把網(wǎng)絡(luò)衛(wèi)士防火墻的物理接口的MAC地址當(dāng)成目的主機(jī)的MAC 地址，使它認(rèn)為網(wǎng)絡(luò)衛(wèi)士防火墻就是目的主機(jī)，從而達(dá)到保護(hù)目的主機(jī)的作用如果選擇代理

7、類型為靜態(tài)，則設(shè)置的ARP 代理將被保存；如果設(shè)置為動(dòng)態(tài)，設(shè)備重啟后，需要重新配置ARP 代理防火墻輔助功能ARP及MAC地址設(shè)置ARP 代理網(wǎng)絡(luò)衛(wèi)士防防火墻輔助功能ARP及MAC地址MAC地址表網(wǎng)絡(luò)衛(wèi)士防火墻內(nèi)部維護(hù)了一張VLAN 虛接口的MAC 地址表，保存了網(wǎng)絡(luò)衛(wèi)士防火墻所學(xué)習(xí)到的物理接口及該接口所在區(qū)域主機(jī)MAC 地址的對(duì)應(yīng)表。當(dāng)網(wǎng)絡(luò)衛(wèi)士防火墻轉(zhuǎn)發(fā)數(shù)據(jù)幀時(shí)，會(huì)查看虛接口MAC 地址表，如果該目的MAC 在網(wǎng)絡(luò)衛(wèi)士防火墻的MAC 地址表中，網(wǎng)絡(luò)衛(wèi)士防火墻將直接通過該MAC 地址所對(duì)應(yīng)的接口發(fā)送數(shù)據(jù)幀。也可以自行添加MAC地址防火墻輔助功能ARP及MAC地址MAC地址表網(wǎng)絡(luò)衛(wèi)士防火墻網(wǎng)絡(luò)衛(wèi)

8、士防火墻允許IP 多點(diǎn)廣播數(shù)據(jù)報(bào)文穿越網(wǎng)絡(luò)衛(wèi)士防火墻。對(duì)于多播協(xié)議，網(wǎng)絡(luò)衛(wèi)士防火墻支持IGMP V1 及IGMP V2。當(dāng)防火墻工作在路由模式下，如果需要轉(zhuǎn)發(fā)多播數(shù)據(jù)包，管理員必須定義多播路由，源地址”是多播服務(wù)器所在的地址或地址段?！岸嗖サ刂贰笔嵌嗖ソM的IP 地址，“源接口”是多播流量的來源接口。如果選擇“加入”項(xiàng)，網(wǎng)絡(luò)衛(wèi)士防火墻可以在目的接口有下游多播路由器的情況下，由防火墻設(shè)備定時(shí)地向上游多播路由器發(fā)送加入報(bào)告（joining report），以保證多播報(bào)文順利地轉(zhuǎn)發(fā)給下游多播路由設(shè)備，維護(hù)多播樹結(jié)構(gòu)。防火墻輔助功能多播路由網(wǎng)絡(luò)衛(wèi)士防火墻允許IP 多點(diǎn)廣播數(shù)據(jù)報(bào)文穿越網(wǎng)絡(luò)衛(wèi)士防火墻。防火

9、墻輔助工具-TCPDUMP抓包工具TCPDUMP -c count -i interface expression | SENDLOG-c count參數(shù)為設(shè)置抓包的個(gè)數(shù)，滿足該條件后自動(dòng)停止；如果省略，則一直捕獲，直到手動(dòng)中斷。 -i interface參數(shù)設(shè)置捕獲通過防火墻某一接口的數(shù)據(jù)包，可以設(shè)置為捕獲防火墻某一接口的數(shù)據(jù)包，如-i eth1；也可以省略，則捕獲通過防火墻所有接口的數(shù)據(jù)包。 | sendlog參數(shù)設(shè)置將捕獲的數(shù)據(jù)包以日志形式存儲(chǔ)在防火墻中，而不顯示在命令行界面上。可以在防火墻GUI界面上通過查看管理日志來顯示捕獲的數(shù)據(jù)包。如省略該項(xiàng)參數(shù)的話，則捕獲的數(shù)據(jù)包默認(rèn)顯示在命令行界面上。 expression參數(shù)有很多表達(dá)式可選，這里只以實(shí)例介紹幾個(gè)常用的參數(shù)，詳細(xì)信息請(qǐng)參見tcpdump技術(shù)資料。 防火墻輔助工具-TCPDUMP抓包工具TCPDUMP -c防火墻輔助工具-TCPDUMP抓包工具通過CONSOLE或TELNET、SSH方式進(jìn)入到SYSTEM菜單下，輸入TCPDUMP命令進(jìn)行抓包防火墻輔助工具-TCPDUMP抓包工具通過CONSOLE或T任務(wù)目標(biāo)任務(wù)1：了解 防火墻配置流程和局限性任務(wù)2：了解配置防火墻前需要