渠道培训联想网御owerv安装调试培训教材

1

联想网御强五防火墙

安装调试培训目录1防火墙登录管理2防火墙的功能模块的配置使用3防火墙常用串口命令4防火墙产品的典型应用5防火墙产品的日常管理及故障处理目录1防火墙登录管理2防火墙的功能模块的配置使用3防火墙常用串口命令4防火墙产品的典型应用5防火墙产品的日常管理及故障处理登录防火墙管理页面1.1安装调试前的工作1.2安装调试的准备工作1.3管理方式简介1.4登录防火墙1.1安装调试前的工作拆箱检查

请安照装箱单的提示进行检查机箱内所有的配件：

防火墙主机、USB电子钥匙、随机光盘(电子钥匙驱动、电子钥匙初始化程序、管理员登录认证程序)、电源线、网线(交叉线）、串口线、安装支架、保修卡*注：如发现有问题，请及时与你的供货商进行沟通解决。1.1安装调试前的工作

一、接通防火墙电源，开启防火墙(听到“滴滴滴)后防火墙启动完成)二、选用一台带USB接口、以太网卡和光驱的PC机作为防火墙的管理主机，操作系统应为Window98/2000/XP/2003(暂不支持linux、unix)三、使用随机提供的交叉线，连接管理主机和防火墙的FE1网口54(出厂默认的地址),将管理主机的IP地址改为00（防火墙出厂时默认指定的管理主机IP）1.2安装调试的准备工作1.3管理方式介绍支持多种管理方式:

串口命令行管理-常用于灾难的恢复工作

Web页面管理-常用于正常管理

ssh远程管理-常用于管理调试集中管理-方便管理

PPP远程拨号接入-专线远程拨入1.4登录防火墙

A.电子钥匙认证

需要安装电子钥匙驱动程序和防火墙管理员登录认证程序。

B.证书认证

需要导入IE证书，和防火墙证书(IE证书与防火墙证书要一一对应，防火墙证书支持页面与串口两种方式。认证方式安装电子钥匙驱动程序将随机光盘放入管理主机的光驱，进入随机附带的光盘的key目录，执行该目录下的INSTDRV，提示“退出请重新插锁”。则表示已正确安装完网御电子钥匙的驱动程序。*注意：安装驱动程序过程中，请不要先将网御电子钥匙插入管理主机的USB口。1.4登录防火墙电子钥匙认证1.4登录防防火墙墙点击““退出出请重重新插插锁””后装装电子子钥匙匙插入入管理理主机机USB接口中中，XP/2000/2003系统提提示自自动搜搜索电电子钥钥匙驱驱动程程序,自动安安装即即可。。*注意：：安装装驱动动程序序过程程中，，请不不要先先将网网御电电子钥钥匙插插入管管理主主机的的USB口电子钥钥匙认认证在管理理主机机上，，运行行随机机光盘盘administrator目录下下的ikeyc程序,程序将将提示示用户户输入入PIN口令首次使使用默默认PIN为“12345678”，1.4登录防防火墙墙电子钥钥匙认认证通过后后弹出出管理理员身身份认认证对对话框框,首次登登录点点击““连接接”成成功后后,会显示示“通通过认认证””对话话框。。退出出防火火墙管管理之之前请请不要要关闭闭此页页面*注：在在管理理防火火墙过过程中中，本本程序序每5秒将向向防火火墙提提交一一次认认证信信息，，因此此，不不能拔拔出电电子钥钥匙，，或者者关闭闭认证证程序序，否否则将将导致致对防防火墙墙的管管理被被立即即中断断。1.4登录防火火墙电子钥匙匙认证通过认证证程序后后，在IE中输入https://防火墙IP:8888出厂默认认地址54，默认的的用户密密码administrator1.4登录防火火墙电子钥匙匙认证1.4登录防火火墙电子钥匙匙认证一、使用防火火墙证书书管理之之前需要要先把防防火墙的的证书导导入到防防火墙上上并启用用。二、导导入IE浏览器证证书。1.4登录防火火墙证书认证证首先以电电子钥匙匙方式登登录到防防火墙，，进入““系统配配置”—“管理配置置”—“管理员证证书”--管理员证证书模块块中选择择浏览，，在本地地计算机机文件夹夹中选择择ca.pem、fw.pem、fwkey.pem分别对应应防火墙墙的中的的CA中心证书书、安全全网关证证书、安安全网关关密钥。。点击““导入””。然后后在本地地计算机机文件夹夹中再选选择administrator.pem对应防火火墙的中中的管理理员证书书，点击击“导入入”1.4登录防火火墙证书认证证1.4登录防火火墙证书认证证导入证书书后选择择生效选选项保存配置置证书生效效1.4登录防火火墙证书认证证最后在首首页点击击保存导入防火火墙证书书要导入入相对应应的IE浏览器证证书.在管理主主机本地地双击IE浏览器证证书，按按照提示示进行安安装，需需要输入入密码时时输入““hhhhhh”，当出现现导入成成功后点点击确定定完成。。证书认证证1.4登录防火火墙当防火墙墙与IE证书均导导入成功功后，我我们在管管理主机机打开IE浏览器并并输入https://防火墙ip:8889出厂默认认IP为54,出现选择择证书提提示后点点击“确确定”1.4登录防火火墙证书认证证1.4登录防火火墙证书认证证出现安全全警报后后点击“是（Y)”就会出现现防火墙墙登录页页面XP系统请确确认IE浏览器中中internet选项->隐私选项项->中的阻止止弹出窗窗口选取取去掉：：如下图图1.4登录防火火墙证书认证证用户名密密码为:administrator/administrator目录1防火墙登登录管理理2防火墙的的功能模模块的配配置使用用防火墙的的常用串串口命令令防火墙产产品的典典型应用用5防火墙产产品的日日常管理理及故障障处理2防火墙界界面介绍绍管理首页页各级子菜菜单2防火墙界界面介绍绍管理配置置-管理主机机2防火墙界界面介绍绍管理方式式设定2防火墙界界面介绍绍网络配置置2防火墙界界面介绍绍物理设备备2防火墙界界面介绍绍网桥设备备2防火墙界界面介绍绍网桥设备备2防火墙界界面介绍绍域名服务务器2防火墙界界面介绍绍静态路由由2防火墙界界面介绍绍HA双机热备备2防火墙界界面介绍绍HA探测网口口2防火墙界界面介绍绍连接管理理2防火墙界界面介绍绍连接规则则2防火墙界界面介绍绍连接状态态2防火墙界界面介绍绍连接排行行2防火墙界界面介绍绍安全规则则包流经规规则的顺顺序：应应用代理理，端口口映射，，IP映射，过过滤规则则，地址址转换增加源端端口，源源MAC地址，URL过滤，网网页关键键字过滤滤，入网网口，出出网口，，时间调调度，长长连接等等选项3防火墙的的配置管管理安全选项项2防火墙界界面介绍绍默认全通通/全禁包过滤规规则2防火墙界界面介绍绍包过滤3防火墙的的配置管管理端口映射射3防火墙的的配置管管理IP映射3防火墙的的配置管管理注意：如如果源地地址包含含管理主主机，公公开地址址是防火火墙的管管理IP，该管理理主机将将不能管管理防火火墙。如果取消消选中，，既能通通过公开开地址和和端口访访问内部部服务器器，也可可以直接接访问服服务器；；如果选选中，只只能通过过公开地地址和端端口访问问内部服服务器。。源端口口可以用用英文逗逗号分割割表示多多个端口口，或用用英文冒冒号分割割表示端端口段注意：下下一条IP映射规则则，如果果没有选选择“包包过滤缺缺省策略略通过””，还必必须再下下一条相相应的包包过滤规规则才能能生效。。方法如如下：包包过滤规规则的源源地址是是IP映射规则则的源地地址，包包过滤规规则的目目的地址址是IP映射规则则的内部部地址。。端口映射射3防火墙的的配置管管理NAT3防火墙的的配置管管理注意：设设置一条条NAT规则，必必须再设设置一条条相应的的包过滤滤规则才才能生效效。NAT规则2防火墙界界面介绍绍代理服务务2防火墙界界面介绍绍地址列表表定义2防火墙界界面介绍绍定义域名名地址2防火墙界界面介绍绍定义地址址组2防火墙界界面介绍绍定义地址址池2防火墙界界面介绍绍定义服务务器地址址2防火墙界界面介绍绍定义服务务2防火墙界界面介绍绍定义动态态服务2防火墙界界面介绍绍定义基本本服务2防火墙界界面介绍绍定义服务务组2防火墙界界面介绍绍系统监控控2防火墙界界面介绍绍系统监控控2防火墙界界面介绍绍多默认路路由均衡衡多默认路路由均衡衡功能主主要是对对各路由由网关的的可连通通性进行行实时监监测，并并提供给给内核路路由表，，以供系系统作出出合理的的路由选选择。对对每个路路由可以以设定权权重，设设置可以以依据该该由的处处理能力力或路由由的繁忙忙程度等等。当新建连连接与已已建立连连接的源源IP或目的IP不同时，，将设计计所权重重选择默默认路由由。亮点功能能2防火墙界界面介绍绍多默认路路由均衡衡亮点功能能2防火墙界界面介绍绍更多协议议支持集中管理理支持SnmpV3及需要填填写参数数。亮点功能能2防火墙界界面介绍绍SnmpV1/V2C/V3设置亮点功能能2防火墙界界面介绍绍SIP协议SIP（SessionInitiationProtocol）是由IETF定义，基基于IP的一个应应用层控控制协议议。常常用于视视频会议议、语音音能话、、共享白白板、游游戏会话话、应用用共享、、桌面共共享、文文件传输输等应用用的协议议族。它它与H.323协议族类类似。它它有两种种工作模模式，我我们建议议用户使使用代理理模式。。本版防防火墙支支持对SIP协议的源源地址转转换，端端口/IP映射。亮点功能能2防火墙界界面介绍绍蠕虫过滤滤系统预先先定义好好NIMDA（或者其其他防火火墙支持持的蠕虫虫）的攻攻击特征征。在用用户操作作界面上上，用户户可以先先择或停停用过滤滤NIDMA（或者其其他防火火墙支持持的蠕虫虫）蠕虫虫攻击包包的功能能。系统统根据蠕蠕虫特征征模式，，检测网网络数据据包。一一旦发现现符合特特征的数数据包，，则禁止止该网络络数据包包通过。。亮点功能能2防火墙界界面介绍绍P2P过滤P2P，英文Peer-to-Peer的缩写，，中译为为对等互互联或点点对点技技术。P2P技术可以以让用户户可以直直接连接接到其他他用户的的计算机机，进行行文件共共享与交交换，同同时P2P在深度搜搜索、分分布计算算、协同同工作等等方面也也大有用用途。简简单地说说，P2P就是一种种用于不不同PC用户之间间，不经经过中继继设备直直接交换换数据或或服务的的技术，，它允许许Internet用户直接接使用对对方的文文件。每每个人可可以直接接连接到到其他用用户的计计算机，，并进行行文件的的交换，，而不需需要连接接到服务务器上再再进行浏浏览与下下载。软件有BT、Edonkey、emule亮点功能能2防火墙界界面介绍绍命令批处处理将原有的的界面调调用后台台命令行行的日志志记录，，按一定定的格式式显示在在界面上上，用户户可以拷拷贝这些些命令行行，在此此基础上上修改添添加，可可加入用用时延时时、注释释、生成成自己的的命令行行批处理理文件，，交提交交后以批批处理执执行。常常用于多多台防火火墙重复复配置工工作。亮点功能能2防火墙界界面介绍绍命令批处处理目录1防火墙登登录管理理2防火墙的的功能模模块的配配置使用用3防火墙的的常用串串口命令令4防火墙产产品的典典型应用用5防火墙产产品的日日常管理理及故障障处理使用随机机所附的的串口线线(兰)，将防火火墙的console与一台装装有超级级终端的的个人计计算机的的串口连连接起来来。设置超级级终端的的波特率率：9600；数据位位：8；奇偶校校验：无无；停止止位：1；流量控控制：硬硬件/无登录用户户名密码码：administrator串口命令令行命令令介绍登登录介绍绍ac>systemshow(显示系统统信息防防火墙序序列号、、版本号号)ac>interfaceshowall(显示所有有网络端端口的ip)ac>interfacesetphyiffe3ipnetmaskactiveonadminonpingon(设定fe3的ip为,网口启用用允许web管理、ping）ac>admhostshow(查看管理理主机ip)ac>admhostaddip(添加一个个地为为的管理主主机)ac>configsave(防火墙配配置保存存)串口命令令行命令令介绍用户名：：dump；密码：：dump；通过““?”命令查看看可用命命令Tcpdump命令使用用参数如如下：tcpdump[-Cfile_size][-Ffile][-iinterface][-rfile][-Ttype][-wfile][-Ealgo:secret][expression]串口命令令行抓包包命令介介绍参数介绍绍-ieth2表示在fe3口上抓包包host表示抓发发往或源源自主机的包包tcp(udp)表示抓tcp包或udp包port80表示抓80端口的包包and表示“与”or表示“或”not表示“非”一个例子子tcpdump–ieth2hostandtcpandport80andvlan表示从fe3口上抓源源自或发发往主机的TCP80端口的，，还未解解vlan标志的包包注：凡从从交换机机trunk进入墙的的包，均均使用vlan参数抓包包，从墙墙出去进进入交换换机trunk口的包，，均使用用notvlan参数tcpdump(hostorhost)andnotudp表示抓源源自或发发往或且不是udp的数据包包目录1防火墙登登录管理理2防火墙的的功能模模块的配配置使用用3防火墙的的配置管管理4防火墙产产品的典典型应用用5防火墙产产品的日日常管理理及故障障处理让合法用用户合理理利用网网络资源源使网络免免受已知知风险防火墙配配置的基基本原则则与连线线安全与方方便之间间选择一一个平衡衡点防火墙产产品的典典型应用用防火墙----交换机、、HUB：直连线线（普通通网线））防火墙----PC、笔记本本、路由由器：交交叉线防火墙的的引入InternetHTTP/FTP/SMTPServerFileServerDataBaseProxyServerUserClient边界点安安全威胁胁防火墙防火墙产产品的典典型应用用典型应用用环境拓朴图三三网口路路由典型应用用环境一、需求求描述典型应用用环境二、网络络设备配配置网络配置置>网络设备备>编辑物理理设备fe1，将它的的IP地址配置置为，掩码是是。编辑物理理设备fe3，将IP地址配置置为，掩码是是。编辑物理理设备fe4，将IP地址配置置为，掩码是是。网络配置置>静态路由由>：添加下一一跳地址址是的默认路路由。目目的地址址，掩码都是是，接口选选择fe4。典型应用用环境三、策略略配置添加源地地址是/24，目的地地址是any，服务是是http，动作是是允许的的包过滤滤规则。。添加源地地址是/24，目的地地址是any，服务是是smtp，动作是是允许的的包过率率规则。。添加源地地址是/24，目的地地址是any，服务是是pop3，动作是是允许的的包过滤滤规则。。添加源地地址是/24，目的地地址是any，服务是是ftp，动作是是允许的的包过滤滤规则。。添加源地址址是/24，目的地址址是any，服务是any的NAT规则。添加源地址址是any，目的地址址0，服务是http，动作是允允许的包过过滤规则。。添加源地址址是any，目的地址址1，服务是smtp，动作是允允许的包过过滤规则。。添加源地址址是any，目的地址址1，服务是pop3，动作是允允许的包过过滤规则。。添加源地址址是any，目的地址址2，服务是ftp，动作是允允许的包过过滤规则。。添加公开地地址是，对外服务务是http，内部地址址是0，内部服务务是http的端口映射射规则。添加公开地地址是，对外服务务是smtp，内部地址址是1，内部服务务是smtp的端口映射射规则。添加公开地地址是，对外服务务是pop3，内部地址址是1，内部服务务是pop3的端口映射射规则。添加公开地地址是，对外服务务是ftp，内内部部地地址址是是2，内内部部服服务务是是ftp的端口口映映射射规规则则。。典型型应应环环境境三网网口口混混合合模模式式典型型应应环环境境一、、需需求求描描述述fe1工作作在在透透明明模模式式，，fe3工作作在在透透明明模模式式，，fe4工作作在在路路由由模模式式，，IP地址址是是，掩掩码码是是。桥桥接接设设备备brg0的IP地址址是是，掩掩码码时时。内内网网网网络络区区段段的的缺缺省省网网关关是是，DMZ网络络区区段段的的缺缺省省网网关关是是。防防火火墙墙的的缺缺省省网网关关是是。防火火墙墙的的缺缺省省安安全全策策略略是是禁禁止止。。区区段段间间的的安安全全策策略略是是：：允允许许内内网网网网络络区区段段访访问问Internet和DMZ，允允许许Internet访问问DMZ，其其他他的的访访问问都都禁禁止止。。典型型应应环环境境二、、网网络络设设备备配配置置编辑辑桥桥接接设设备备brg0，配配置置它它的的IP地址址是是，掩掩码码是是，选选择择可可管管理理。。编辑辑物物理理设设备备fe1，选选择择它它的的工工作作模模式式是是““透透明明模模式式””。。编辑辑物物理理设设备备fe3，选选择择它它的的工工作作模模式式是是““透透明明模模式式””。。编辑辑物物理理设设备备fe4，配配置置它它的的IP地址址为为，掩掩码码是是。静态态路路由由>：添添加加网网关关是是的缺缺省省路路由由。。典型型应应环环境境典型型应应环环境境典型型应应环环境境三网网口口透透明明模模式式典型型应应环环境境一、、需需求求描描述述fe1工作作在在透透明明模模式式，，fe3工作作在在透透明明模模式式，，fe4工作作在在透透明明模模式式。。桥桥接接设设备备brg0的IP地址址是是，允允许许管管理理。。防火火墙墙的的缺缺省省安安全全策策略略是是禁禁止止。。区区段段间间的的安安全全策策略略是是：：允允许许内内部部网网络络区区段段访访问问DMZ区段段和和INTERNET的http，smtp，pop3，ftp服务务，，允允许许INTERNET区段段访访问问DMZ网络络的的http，smtp，pop3，ftp服务务。。其其他他的的访访问问都都禁禁止止。。典型型应应环环境境二、、网网络络设设备备配配置置编辑辑桥桥接接设设备备brg0，将将它它的的IP地址址配配置置为为，掩掩码码是是，允允许许管管理理，，确确定定。。编辑辑物物理理设设备备fe1，选选择择工工作作模模式式为为““透透明明””，，确确定定。。编辑辑物物理理设设备备fe3，选选择择工工作作模模式式为为““透透明明””，，确确定定。。编辑辑物物理理设设备备fe4，选选择择工工作作模模式式为为““透透明明””，，确确定定。。典型型应应环环境境典型型应应环环境境目录录1防火火墙墙登登录录管管理理2防火火墙墙的的功功能能模模块块的的配配置置使使用用3防火火墙墙的的配配置置管管理理4防火火墙墙产产品品的的典典型型应应用用5防火火墙墙产产品品的的日日常常管管理理及及故故障障处处理理防火火墙墙在在配配置置与与使使用用过过程程中中，，如如果果配配置置不不当当往往往往会会造造成成防防火火墙墙无无法法管管理理，，网网络络中中断断等等现现场场。。为为了了有有效效的的避避免免这这些些故故障障的的发发生生，，我我们们在在配配置置过过程程中中应应该该注注意意以以下下的的问问题题。。5防火火墙墙产产品品的的日日常常管管理理及及故故障障处处理理电子子钥钥匙匙认认证证问问题题电子子钥钥匙匙连连接接防防火火墙墙时时提提示示““认认证证失失败败，，请请检检查查IP地址址及及网网络络””.处理理方方法法:防火火墙墙设设置置的的管管理理主主机机的的IP地址址和和目目前前正正在在使使用用的的管管理理主主机机地地址址不不一一致致造造成成,更改管理主机机ip.5防火墙产品的的日常管理及及故障处理防火墙策略配配置问题防火墙中配置置了端口映射射或IP映射规则后，，为什么外网网和内网用户户还是无法访访问DMZ区服务器？处理方法：在在配置了映射射规则后，还还需要配置相相应的包过滤滤规则才可以以。5防火墙产品的的日常管理及及故障处理管理主机配置置问题为什么我们更更改了防火墙墙的fe1口的地址后,却管理不上了了?当我们更改防防火墙的网络络接口的同时时，要确认你你已经添加了了此接口网段段的管理主机机，否则你将将无法管理防防火墙。没有有用的管理主主机址尽量删删除，因为管管理主机的IP地址是做为管管理防火墙的的一个很重要要的条件。5防火墙产品的的日常管理及及故障处理网络设备配置置问题当不同的设备备地址进行工工作模式的转转换时候，注注意它的附加加选项。如拨拨号设备要先先关闭管理属属性才能删除除。当墙连接接的对端的设设备工作速率率不支持自适适应的时候，，要注意设定定墙接口的工工作方式与速速率。5防火墙产品的的日常管理及及故障处理防火墙名称命命名问题防火墙的名称称可以用中文文名吗?在防火墙的内内部程序中，，有很多程序序处理不了中中文名字。所所以在资源定定义，导入导导出，规则名名称等地方尽尽量或不使用用中文名字。。5防火墙产品的的日常管理及及故障处理安全规则生效效顺序防火墙规则根根据作用顺序序分为代理、、端口映射、、IP映射、包过滤滤、NAT规则五类。其其中代理规则则是最优先生生效的规则，，最后为NAT，这几类规则则在界面上排排列的顺序也也体现了这一一顺序.我们的规则要要尽量精简，，目的是为了了让墙处理的的更快。5防火墙产品的的日常管理及及故障处理资源定义引用用问题为什么有一个个被引用的安安全规则不能能被删除？处理方法:资源被规则使使用,或被组引用时时,不进行删除，，必须从规则则中或引用组组中删掉后，，才可以进行行删除.5防火墙产品的的日常管理及及故障处理防火墙资源状状态问题为什么刚刚登登陆到防火墙墙的界面后CPU利用率有时会会变得很高？？这是正常的，，因为登陆时时占用资源比比较多，造成成了瞬时CPU利用率增高。。5防火墙产品的的日常管理及及故障处理防火墙配置保保存问题为什么防火墙墙配置完毕,重启后配置却却丢失了?配置过程中防防火墙的规则则生效的，这这样就会造成成一个错觉，，认为配置已已经保存下来来了，实际上上只是生效并并没有保存下下来，因此需需要我们手工工的保护才能能在防火墙重重启以后保留留你的配置。。5防火墙产品的的日常管理及及故障处理配置导入导出出问题配置的导入导导出分析配置置与解决问题题的好方法。。当使用防火火墙的过程中中我们要经常常的备份防火火墙的配置文文件，以便于于我们对于处处理故障更有有效。5防火墙产品的的日常管理及及故障处理防火墙页面超超时问题为什么有时登登陆防火墙时时会弹出超时时界面呢?退出防火墙操操作时尽量点点击界面上的的“退出”按钮，而不要要直接关闭浏浏览器。按“退出”按钮，则防火火墙可以判定定这个会话结结束了。如果果直接关闭防防火墙界面,会话就会一直直保持到超超时,所以登陆时会会弹出超时界界面.5防火墙产品的的日常管理及及故障处理5防火墙产品的的日常管理及及故障处理107问题交流??9、静夜夜四无无邻，，荒居居旧业业贫。。。1月-231月-23Thursday,January5,202310、雨雨中中黄黄叶叶树树，，灯灯下下白白头头人人。。。。02:29:3502:29:3502:291/5/20232:29:35AM11、以我独独沈久，，愧君相相见频。。。1月-2302:29:3502:29Jan-2305-Jan-2312、故人江海海别，几度度隔山川。。。02:29:3502:29:3502:29Thursday,January5,202313、乍见翻疑疑梦，相悲悲各问年。。。1月-231月-2302:29:3502:29:35January5,202314、他他乡乡生生白白发发，，旧旧国国见见青青山山。。。。05一一月月20232:29:35上上午午02:29:351月月-2315、比比不不了了得得就就不不比比，，得得不不到到的的就就不不要要。。。。。一月月232:29上上午午1月月-2302:29January5,202316、行动动出成成果，，工作作出财财富。。。2023/1/52:29:3502:29:3505January202317、做前前，能能够环环视四四周；；做时时，你你只能能或者者最好好沿着着以脚脚为起起点的的射线线向前前。。。2:29:35上上午2:29上上午午02:29:351月-239、没有失败，，只有暂时停停止成功！。。1月-231月-23Thursday,January5,202310、很多事情情努力了未未必有结果果，但是不不努力却什什么改变也也没有。。。02: