SonicWALL防火墻配置手冊(cè)

網(wǎng)絡(luò)安全專業(yè)分eiweilao@SonicWALL防火墻標(biāo)準(zhǔn)版配置SonicWall標(biāo)準(zhǔn)版網(wǎng)絡(luò)向?qū)渲?1SonicWall標(biāo)準(zhǔn)版規(guī)則向?qū)渲?7SonicWall標(biāo)準(zhǔn)版一般規(guī)則向?qū)渲?7SonicWall標(biāo)準(zhǔn)版服務(wù)器規(guī)則向?qū)渲?12SonicWall標(biāo)準(zhǔn)版一般規(guī)則直接配置 15SonicWall標(biāo)準(zhǔn)版服務(wù)器1對(duì)1NAT配置 18SonicWall標(biāo)準(zhǔn)版透明模式配置 19SonicWall標(biāo)準(zhǔn)版網(wǎng)絡(luò)向?qū)渲檬状谓佑|SonicWALL防火墻設(shè)備，我們將電源接上，并開啟電源開關(guān)，將X0口和你的電腦相連（注：請(qǐng)用交叉線），SonicWALL防火墻默認(rèn)的IP地址為68，我們也可以通過setuptool.exe這個(gè)小工具探知SonicWALL防火墻的IP地址。如圖所示：當(dāng)網(wǎng)線和電源等都連接好之后，我們?cè)O(shè)置一下本機(jī)的IP地址，以便和SonicWALL防火墻處于同一個(gè)網(wǎng)段。如圖所示：設(shè)置好IP地址后，我們?cè)贗E瀏覽器的地址欄輸入SonicWALL防火墻的IP地址，點(diǎn)next，提示我們是否修改管理員密碼，暫時(shí)不修改，點(diǎn)next，提示我們修改防火墻的時(shí)區(qū)，我們選擇中國(guó)的時(shí)區(qū)。點(diǎn)next，提示我們?cè)O(shè)置WAN口的地址獲取類型，這時(shí)候，我們需要和ISP相聯(lián)系，并選擇相關(guān)的類型，這里以靜態(tài)地址為例：我們點(diǎn)next，輸入相關(guān)的信息，IP地址、掩碼、網(wǎng)關(guān)、DNS服務(wù)器等，如果不知道此處該如何設(shè)置，請(qǐng)和你的ISP聯(lián)系。點(diǎn)next，提示我們?cè)O(shè)置LAN口的IP和掩碼，我們根據(jù)自己的規(guī)劃和網(wǎng)絡(luò)的實(shí)際情況設(shè)置，此處我沒有修改。點(diǎn)next，防火墻詢問我們?cè)贚AN口是否開啟DHCPserver的功能，并是否是默認(rèn)的網(wǎng)段，我們可根據(jù)實(shí)際情況做調(diào)整，決定開始或關(guān)閉，以及網(wǎng)段地址等，如下圖：點(diǎn)next，防火墻將把前面做的設(shè)置做一個(gè)摘要，以便我們?cè)僖淮未_認(rèn)是否設(shè)置正確，如果有和實(shí)際不符的地方，可以點(diǎn)back返回進(jìn)行修改。按照我們前面的設(shè)置，防火墻開啟了NAT模式——即在LAN內(nèi)的PC訪問WAN外的互連網(wǎng)時(shí)，將轉(zhuǎn)換其IP地址為WAN口地址。點(diǎn)apply，設(shè)置生效。并需要重起防火墻，點(diǎn)restart重起。當(dāng)把配置做好以后，我們將防火墻的X1口接到ISP進(jìn)來的網(wǎng)線上，將X0口接到內(nèi)網(wǎng)交換機(jī)上。這時(shí)，我們可以找一個(gè)內(nèi)網(wǎng)的機(jī)器，測(cè)試是否可以訪問外網(wǎng)：SonicWall標(biāo)準(zhǔn)版規(guī)則向?qū)渲肧onicWall標(biāo)準(zhǔn)版一般規(guī)則向?qū)渲卯?dāng)我們做如上的配置后，此時(shí)的策略是默認(rèn)允許內(nèi)網(wǎng)的所有機(jī)器可以任意的訪問外網(wǎng)，為了符合公司的安全策略，我們?nèi)绻嚓P(guān)的安全策略，限制一些訪問的協(xié)議。通常有兩種做法：一種是先限制所有的協(xié)議，在逐步開放需要訪問的協(xié)議；另一種是先開放所有的協(xié)議，在逐步禁止不能訪問的協(xié)議。我們以第二種方式為例。選擇firewall，我們可以點(diǎn)右上角的rulewizard，也可以直接點(diǎn)add，以使用規(guī)則向?qū)槔狐c(diǎn)next，我們選擇規(guī)則類型，publicserverrule我們?cè)贒MZ或者LAN有服務(wù)器，需要對(duì)外發(fā)布，——即允許來自WAN口的PC可以訪問我們的服務(wù)器而做的端口映射。而generalrule則是前面強(qiáng)調(diào)的針對(duì)LAN或DMZ區(qū)訪問外網(wǎng)的權(quán)限控制。我們以此為例，選擇generalrule。點(diǎn)next，選擇我們需要控制的協(xié)議和服務(wù)，此處我們選擇web，點(diǎn)next，選擇針對(duì)的web的執(zhí)行的動(dòng)作，由于默認(rèn)已經(jīng)有一條規(guī)則允許內(nèi)網(wǎng)可以任意的訪問外網(wǎng)，我們?yōu)榭刂苾?nèi)網(wǎng)的訪問權(quán)限，選擇deny，同時(shí)還有TCP連接超時(shí)的時(shí)間，默認(rèn)是15分鐘，可根據(jù)需要做修改。如無特殊要求，可使用默認(rèn)設(shè)置。點(diǎn)next，此處設(shè)置此規(guī)則的源接口和源IP地址，根據(jù)需要做一配置，我們此處選擇LAN的2做規(guī)則控制。點(diǎn)next，此處選擇規(guī)則生效的目的接口和目的IP地址，*表示任意的地址。點(diǎn)next，此處設(shè)置規(guī)則生效的時(shí)間，默認(rèn)是一直生效，可根據(jù)需要修改時(shí)間。點(diǎn)next，相關(guān)的規(guī)則設(shè)置的選項(xiàng)已經(jīng)設(shè)置好了。點(diǎn)apply，規(guī)則生效，在規(guī)則列表的最上面一條，即是我們剛才通過規(guī)則向?qū)гO(shè)置的規(guī)則。SonicWall標(biāo)準(zhǔn)版服務(wù)器規(guī)則向?qū)渲眉偃缥覀冊(cè)贒MZ區(qū)或者LAN區(qū)還有一些服務(wù)器需要對(duì)外發(fā)布，那么，我們也需要添加相關(guān)的規(guī)則，以允許來自外網(wǎng)的訪問。以web服務(wù)為例，通過規(guī)則向?qū)砼渲茫缦拢狐c(diǎn)rulewizard，點(diǎn)next，選擇publicserverrule點(diǎn)next，我們選擇需要對(duì)外發(fā)布的服務(wù)類型，此處選擇web，輸入服務(wù)器的IP地址，并選擇其所處的接口，此處選擇LAN口，點(diǎn)next，點(diǎn)apply，規(guī)則生效我們可以看到，在規(guī)則列表中的第4條即為我們添加的規(guī)則。在我們添加這條規(guī)則的背后，服務(wù)器的IP地址被映射成了WAN口的地址，并自動(dòng)添加了相關(guān)的NAT配置。SonicWall標(biāo)準(zhǔn)版一般規(guī)則直接配置通過前面的向?qū)渲?，我們可以發(fā)現(xiàn)，添加一般規(guī)則時(shí)，其配置過程相對(duì)復(fù)雜，因?yàn)椋覀兛梢灾苯犹砑硬呗?，而不用通過向?qū)渲谩Ｈ缦?，在firewall界面，的accessrules下，直接點(diǎn)add：我們以禁止內(nèi)網(wǎng)IP為2的PC不允許訪問外網(wǎng)的ftp服務(wù)為例，在action處，選擇deny，在service處選擇ftp，source處選擇LAN口的，在地址段處添寫IP，2，在destination處選擇WAN口，地址保留*號(hào)，表示任意地址。如果我們不需要做進(jìn)一步的設(shè)置，如規(guī)則生效時(shí)間，帶寬等，可直接點(diǎn)OK生效，如果需要做進(jìn)一步設(shè)置，選advanced，修改我們需要設(shè)置的時(shí)間，如果要做帶寬限制，選擇bandwidth，將enable勾選，并輸入相關(guān)的帶寬控制要求。（注：由于本條規(guī)則deny，所以帶寬控制不可用）點(diǎn)OK，規(guī)則生效。規(guī)則列表中的第2條即為我們添加的規(guī)則。SonicWall標(biāo)準(zhǔn)版服務(wù)器1對(duì)1NAT配置如果我們有多余的公網(wǎng)IP地址，并且希望服務(wù)器可以單獨(dú)擁有一個(gè)公網(wǎng)IP地址，即我們需要對(duì)服務(wù)器做1對(duì)1的NAT時(shí)，我們需要通過如下的配置來實(shí)現(xiàn)：點(diǎn)network，選擇one-to-oneNAT，我們勾選enableone-to-oneNAT點(diǎn)add，在彈出的界面中，我們輸入相關(guān)的服務(wù)器IP和公網(wǎng)IP，在rangelength處，我們可以添入相關(guān)的數(shù)字，如果只有1個(gè)服務(wù)器，添1，如果添入的數(shù)字為其他數(shù)字如5，則，私網(wǎng)地址處，將從我們添入的地址開始，公網(wǎng)地址處，也將從我們添入的公網(wǎng)地址開始，一一對(duì)應(yīng)，并遞增直到段的長(zhǎng)度結(jié)束。點(diǎn)OK后，NAT生效。如下圖。在做完1對(duì)1的NAT后，我們選擇到firewall界面，選擇accessrules，來添加相關(guān)的規(guī)則，同樣可通過rulewizard來做向?qū)渲茫浣缑嫒缜八?。SonicWall標(biāo)準(zhǔn)版透明模式配置如果需要將防火墻部署成透明模式，在我們登陸防火墻時(shí)，在彈出的向?qū)гO(shè)置頁(yè)面選擇cancel，輸入默認(rèn)的帳號(hào)密碼點(diǎn)login，然后選擇networks我們點(diǎn)LAN對(duì)應(yīng)的編輯條，并在IP地址處輸入給予防火墻的IP地址，并把掩碼做相應(yīng)的修改，以符合實(shí)際情況。點(diǎn)OK，配置生效。此時(shí)，我們選擇WAN口的模式，選擇透明模式，選擇后生效，點(diǎn)WAN口的編輯圖標(biāo)，修改WAN口的網(wǎng)關(guān)地址，以便可以和其他網(wǎng)絡(luò)進(jìn)行通訊。點(diǎn)intranet，在這里，如果我們選擇第二個(gè)選項(xiàng)，點(diǎn)add后，添加的IP將屬于LAN，其于的IP屬于W