曙光安全產(chǎn)品安裝調(diào)試培訓(xùn)

課程時(shí)間：30分鐘更新日期：2009年2月曙光安全產(chǎn)品安裝調(diào)試培訓(xùn)掌握TCP/IP協(xié)議，IP地址及子網(wǎng)掩碼等基本知識(shí)掌握路由和交換技術(shù)，Internet通訊原理了解防火墻概念，初步的網(wǎng)絡(luò)安全知識(shí)具備網(wǎng)絡(luò)管理員經(jīng)驗(yàn)更佳知識(shí)背景要求網(wǎng)絡(luò)拓?fù)鋱D示例安全產(chǎn)品的安裝與調(diào)試步驟第一步：必須掌握用戶的網(wǎng)絡(luò)拓?fù)鋱D第二步：進(jìn)行防火墻與其他設(shè)備的連接規(guī)劃第三步：確定防火墻的工作模式網(wǎng)橋、路由、NAT、混合模式第四步：了解IP地址、網(wǎng)絡(luò)規(guī)劃，確定IP地址、端口等過濾規(guī)則控制規(guī)劃第五步：閱讀防火墻用戶操作手冊(cè)，掌握設(shè)置細(xì)節(jié)防火墻的簡(jiǎn)單安全方案

DMZIntranetDMZInternet防火墻測(cè)試連接狀態(tài)在管理主機(jī)上打開Windows命令提示符界面，輸入命令“ping15”并回車，確保能夠ping通防火墻管理口eth1。防火墻配置連接防火墻Web管理界面使用IE（建議用戶使用6.0以上的版本）在地址欄輸入15并回車出現(xiàn)如圖所示的彈出框，點(diǎn)擊“是”按鈕；防火墻配置防火墻管理界面：防火墻配置默認(rèn)系統(tǒng)管理員帳號(hào)：admin；初始密碼：dawning默認(rèn)超級(jí)管理員帳號(hào)：administrator；初始密碼同上系統(tǒng)管理員具備系統(tǒng)管理，安全策略、日志審計(jì)等基本操作權(quán)限，超級(jí)管理員僅具備賬戶管理權(quán)限。防火墻有7個(gè)功能模塊：系統(tǒng)管理、安全策略、日志管理、安全檢測(cè)、網(wǎng)絡(luò)計(jì)費(fèi)、虛擬專網(wǎng)、在線幫助。請(qǐng)注意：防火墻型號(hào)的不同，可能不具備全部功能模塊。如何配置網(wǎng)橋1.新建網(wǎng)橋選擇系統(tǒng)管理-網(wǎng)絡(luò)配置-接口配置：點(diǎn)擊增加按鈕配置網(wǎng)橋2.設(shè)置網(wǎng)橋?qū)⒕W(wǎng)橋的IP地址與子網(wǎng)掩碼設(shè)置為空，選擇網(wǎng)橋名稱，例如網(wǎng)橋4，點(diǎn)擊提交配置網(wǎng)橋3.選擇網(wǎng)橋接口 將可用接口添加到網(wǎng)橋中，選擇已經(jīng)規(guī)劃到的內(nèi)網(wǎng)口與外網(wǎng)口的接口。配置網(wǎng)橋4.修改接口工作模式點(diǎn)擊進(jìn)入接口配置后，選擇接口的工作模式，更改為網(wǎng)橋模式（注意：只有新建網(wǎng)橋后，網(wǎng)口的工作模式里才會(huì)顯示新建的網(wǎng)橋）配置網(wǎng)橋5.網(wǎng)橋創(chuàng)建完成將內(nèi)網(wǎng)口與外網(wǎng)口的工作模式都修改完成。如何配置管理口點(diǎn)擊規(guī)劃的防火墻管理口，這里為ETH4口。修改IP地址子網(wǎng)掩碼為防火墻管理口地址，選擇控制選項(xiàng)，選擇ping響應(yīng)選項(xiàng)，點(diǎn)擊提交。如何配置缺省網(wǎng)關(guān)選擇網(wǎng)絡(luò)配置-缺省網(wǎng)關(guān)，輸入IP地址，提交（由于管理地址是通過路由回指到三層交換機(jī)上，所以網(wǎng)關(guān)地址為上層交換機(jī)地址，即服務(wù)器網(wǎng)關(guān)地址）配置安全策略1.添加用戶組選擇安全策略-用戶組配置，點(diǎn)擊增加如何配置安全策略2.輸入用戶組輸入用戶組名稱，用戶IP地址或網(wǎng)段，點(diǎn)擊確定（例如用戶組名稱：company，用戶IP地址：/24）配置安全策略3.設(shè)置安全策略選擇安全策略-規(guī)則配置-過濾規(guī)則，點(diǎn)擊增加配置安全策略4.規(guī)則信息的填寫根據(jù)規(guī)劃好的規(guī)則信息進(jìn)行填寫防火墻常見問題解答1、開關(guān)機(jī)問題，如果防火墻開機(jī)后電源指示燈不亮，可能是因?yàn)椋篴.電源線沒有連接好，請(qǐng)檢查供電線路是否良好；b.電源電壓不符合要求，請(qǐng)檢查電源電壓是否符合規(guī)定范圍。2、無法登錄WEB管理界面a.輸入防火墻內(nèi)部IP地址不正確；b.網(wǎng)線有問題；c.登錄方式?jīng)]有采用“HTTPS”；d.防火墻內(nèi)部IP地址與本主機(jī)IP地址不在同一網(wǎng)段上。如以上仍不能進(jìn)入，那么就要根據(jù)你的身份來尋求以下解決方案：如果你不是管理員，根本就沒有權(quán)限進(jìn)入防火墻系統(tǒng)管理主界面；如果你是系統(tǒng)管理員，有可能該管理主機(jī)在防火墻的黑名單中，或者由于登錄錯(cuò)誤而被防火墻鎖定。防火墻常見問題解答3、無法訪問外網(wǎng)a.網(wǎng)線有問題。請(qǐng)仔細(xì)檢查網(wǎng)線是否正常導(dǎo)通，以確認(rèn)是否更換網(wǎng)線；b.與防火墻連接的集線器或交換機(jī)、路由器連接不正確。首先檢查防火墻及其連接集線器或交換機(jī)、路由器上的連接指示燈是否亮。否則，可能是集線器、路由器本身有問題；c.防火墻的IP地址和子網(wǎng)掩碼配置錯(cuò)誤、防火墻網(wǎng)關(guān)沒有正確設(shè)置。請(qǐng)檢查防火墻“網(wǎng)絡(luò)配置”界面中各配置選項(xiàng)的正確性，注意網(wǎng)絡(luò)IP地址與網(wǎng)絡(luò)掩碼必須匹配；d.DNS不能解析或解析錯(cuò)誤；e.防火墻規(guī)則設(shè)置有問題，請(qǐng)檢查規(guī)則是否開通允許訪問。4、如何處理日志因?yàn)榉阑饓Φ拇鎯?chǔ)空間有限以及為了保持防火墻高效的工作性能，防火墻只保存最新的30M日志，如果想保留所有的防火墻日志，請(qǐng)用防火墻遠(yuǎn)程日志系統(tǒng)，把防火墻的日志傳到遠(yuǎn)程日志服務(wù)器上。防火墻常見問題解答5、網(wǎng)絡(luò)接口連接指示燈不亮a.網(wǎng)絡(luò)連接出了問題；b.集線器或交換機(jī)運(yùn)行可能不正常，請(qǐng)?jiān)囍丫W(wǎng)線插到集線器的其它位置，或者插到另一臺(tái)集線器上。6、主機(jī)不能PING到防火墻a.網(wǎng)絡(luò)接口配置不正確，請(qǐng)仔細(xì)檢查防火墻“網(wǎng)絡(luò)配置”界面中配置選項(xiàng)的正確性；b.網(wǎng)絡(luò)接口屬性設(shè)置不允許PING；c.防火墻包過濾是否允許執(zhí)行ICMP規(guī)則。7、關(guān)于Web管理無法登錄（賬號(hào)鎖定）如何解除a.用超級(jí)管理員登錄防火墻，把鎖定的管理員帳號(hào)刪除；b.通過串口登錄防火墻，把鎖定的管理員帳號(hào)刪除；c.等待鎖定時(shí)間過期。防火墻常見問題解答8、不能增加一目標(biāo)網(wǎng)絡(luò)的路由a.檢查目標(biāo)網(wǎng)絡(luò)地址和網(wǎng)絡(luò)掩碼是否匹配；b.檢查防火墻是否能解析該網(wǎng)關(guān)的MAC。9、IP地址綁定未起作用檢查綁定IP是否經(jīng)過其它路由設(shè)備才到達(dá)防火墻。10、增加一個(gè)禁止指定主機(jī)的規(guī)則，但該主機(jī)仍能通過防火墻a.檢查該主機(jī)與通信目標(biāo)主機(jī)間的通信通道是否經(jīng)過防火墻；b.檢查是否已有規(guī)則許可該主機(jī)通過防火墻；c.檢查測(cè)試源主機(jī)是否為雙穴主機(jī)，是否網(wǎng)卡配有多個(gè)IP地址。11、用戶規(guī)則許可但不能通過防火墻a.檢查該用戶登錄主機(jī)的IP是否需要防火墻做NAT或者需要設(shè)置網(wǎng)橋、路由等；b.檢查用戶機(jī)的網(wǎng)關(guān)和代理設(shè)置是否正確。防火墻常見問題解答12、禁止主機(jī)但是禁止無效a.檢查該用戶登錄主機(jī)是否有旁路，是否有兩塊以上網(wǎng)卡；b.檢測(cè)規(guī)則，是否還有其它規(guī)則對(duì)此主機(jī)放行。13、用戶口令丟失，無法登錄防火墻使用串口登錄，增加新用戶。設(shè)置新用戶的權(quán)限，密碼。14、防火墻不定期無故死機(jī)a.檢查防火墻所在的工作環(huán)境；b.檢查防火墻日志文件是否超載，建議刪除舊有備份文件或者將其導(dǎo)入日志備份