H3C防火墙常见问题汇总

ALG的作用是什么地址转换会导致许多对NAT敏感的应用协议无法正常工作，必须针对该协议进行特殊的处理。所谓对NAT敏感的协议是指该协议的某些报文的有效载荷中携带IP地址和（或）端口号，如果不进行特殊处理，将会严重影响后继的协议交互。地址转换应用网关（NATApplicationLevelGatewayNATALG是解决特殊协议穿越NAT的一种常用方式，该方法按照地址转换规则，对载荷中的IP地址和端口号进行替换，从而实现对该协议的透明中继。目前VRP的NATALG支持PPTP、DNS、FTP、ILS、NBT、SIP、H.323等协议。在SecPath上，当开启NAT功能后，系统会自动开启NATALG无需手工设置。防火墙的域（zone）是什么意思区域（zone）是防火墙产品所引入的一个安全概念，是防火墙产品区别于路由器的主要特征。一个安全区域包括一个或多个接口的组合，具有一个安全级别。在设备内部，安全级别通过0~100的数字来表示，数字越大表示安全级别越高，不存在两个具有相同安全级别的区域。SecPath缺省有trust、untrust、DMZ、local4个安全域，同时还可以自定义12个区域。[SecPath]firewallzone?DMZDMZsecurityzonelocalLocalsecurityzonenameSpecifyanewsecurityzonenameandcreateittrustTrustsecurityzoneuntrustUntrustsecurityzone一般来讲，安全区域与各网络的关联遵循下面的原则：内部网络应安排在安全级别较高的区域、外部网络应安排在安全级别最低的区域。具体来说，Trust所属接口用于连接用户要保护的网络； Untrust所属接口连接外部网络；DMZ区所属接口连接用户向外部提供服务的部分网络；从防火墙设备本身发起的连接即是从Local区域发起的连接。相应的所有对防火墙设备本身的访问都属于向Local区域发起访问连接。SecPath防火墙中inbound和outbound的含义是什么呢SecPath防火墙的ACL规则和路由器一样，是应用在接口上的，inbound指从接口进入防火墙的方向，outbound是从防火墙出接口的方向。这点是与Eudemon和SecPath1800F不同的。Eudemon和SecPath1800F的ACL是应用在域间的，inbound是指从低安全级别的域进入高安全级别域的流量，如从untrust进入trust，outbound的方向与此相反。为什么我的接口配了IP地址和PC对连却ping不通接口必须加入且只能加入一个域才能生效。特别要注意的是，除了物理口要加入域外，virtual-template和tunnul也必须加入域。如果不加入域，可能出现端口up但是却互相ping不通、SecPoint拨号接入却获取不到IP地址等情况。这是刚接触防火墙常犯的错误，希望大家能够牢记。命令为firewallzonetrust/untrust同时，在3.4-0006版本后，缺省情况下，更改了包过滤的缺省规则，缺省规则由permit改为deny，缺省情况下，所有的接口都是不通的，需要在系统视图下配置firewallpacket-filterdefaultpermit才能访问。Secpath系列产品如何查看flash中有哪些文件dir/allDirectoryofflash:/1-rw-Oct10200210:10:10system-rw-Oct10200210:10:10http.zip-rw-962Sep22201016:42:11config.cfg-rw-524288Aug09201009:35:41bootromfull15621KBtotal（8439KBfree）Secpath系列产品如何备份配置文件和VRP文件1、 使用TFTP方式（需要有TFTP服务器，女口3CDaemon）前提条件：保证PC机和设备之间可以双向PING通tftp（TFTP服务器的地址） putsystem（VRP文件名）tftp（TFTP服务器的地址） putconfig.cfg（VRP文件名）2、 使用FTP方式前提条件：保证PC机和设备之间可以双向PING通[Quidway]ftpserverenable启动FTP服务[Quidway]local-userhuawe创建FTP用户和密码及及登陆后的目录[Quidway]passwordsimplehuawei[Quidway]service-typeftpftp-directoryflash:/在PC运行”键入CMD命令进入到DOS界面ftp设备IP地址用户名和密码都是huaweiSecpath产品BOOTROM升级说明进入bootrom命令Ctrl_D进入bootrom升级bootromCtrl_B进入bootrom升级VRPBOOTROM文件1、 bootromd的版本文件可能有2个，大小分别是100多K和512K。2、bootrom升级时，从低版本到高版本使用100k的update，但是从高到低必须使用512k的重新down，建议都使用512K的bootrom文件Secpath产品在线升级BOOTROM和VRP方法BOOT在线升级：【TFTP方式】1、 配置secpathF和PC地址，使之互通。2、PC上启用TFTPserve程序，同时指定为升级的boot文件所在目录。3、 将boot文件拷入flash中。在用户视图下，执行以下命令：<>copyx.x.x.x/bootromfullbootromfull这里，xxx.x为PC的地址，bootromfull为升级的boot文件名，注意：只能为bootromfull。如果只升级boot扩展段，则拷入的文件名应为bootrom。如果无法确定需要升级boot扩展段还是整个boot，则建议直接升级整个boot文件。4、 将boot升级，执行：<>upgradebootrombootromfull这里，bootromfull为拷入的文件名称。5、 重启系统。【FTP方式】同中低端路由器版本。版本软件在线升级：【TFTP方式】1、 配置secpathF和PC地址，使之互通。PC上启用TFTPserve程序，同时指定为升级文件所在目录。2、 在用户视图下，执行以下命令：copyx.x.x.x/systemsystem这里，xxx.x为PC的地址，system为升级的系统文件名，注意：只能为system。3、 重启系统。【FTP方式】同中低端路由器版本。说明：防火墙应用程序缺省名称为system，配置文件缺省名称为config.cfg.BootROM扩展段文件缺省名称为bootrom，整个BootROM文件缺省名称为bootromfull。Secpath在BOOT中升级VRP版本时，下载完文件提示“WritingintoFlashFails.该”如何处理一般是由于Flash出了问题。可以把Flash先格式化再下载。格式化flash可以在进入BOOT菜单后按“ctrl+b再按“CTRL+”行。为什么从系统下升级VRP版本重启设备后未生效SecPath产品默认的系统文件为system,如果是在Bootrom下TFTP升级，系统将自动覆盖以前的system文件。如果在用户视图下FTP下载系统文件，需要手动更改下载的文件名为system。在BootRom模式下TFTP升级VRP版本时，为什么从有些接口上下载不了版本SecPath系列防火墙在bootrom下TFTP升级版本时，有一个默认的ethO口用于下载，该接口是不能更改的。各系列产品所对应于eth0的接口如下：Secpath1OOF:WAN2删除FLASH里面的VRP系统文件，从BootRom模式下TFTP升级VRP版时，系统却提示FLASH空间不足，版本无法下载，系统启动不了怎么办删除文件时一定要/u才能完全删除，假如在用户视图直接delsystem,该系统文件将放入回收站，同样占用FLASH的空间。这时，如果重启，老系统文件不生效,新系统文件又无空间写入。这时的杀手锏就是在进入boot菜单时CTRL+格式化FLASHT。VRP系统损坏了怎么办进入boot菜单时CTRL+格式化FLASH通过bootrom方式升级。Secpath产品是否支持WEB管理目前支持WEB管理的设备有：secpath10f、100f、1000f。但FLASH中一定得有“http.zip文件，如果没有就采用detach命令来解压软件版本。例：detachsystemSystemfilelengthbytes,httpfilelength834724bytes.dirDirectoryofflash:/O-rw-Jun162OO9O6:46:36system1-rw-1830Jun17200907:47:16config.cfg2-rw-834724Jun18200902:22:39http.zip注：如果不能通过WEB方式连到SecPath防火墙上，请按照下面的步骤进行排查：检查Flash中是否有“http.zip文件；如果没有该文件，请使用命令：detachsystem来释放出“http.zip文件;如果有“http.zip文件，说明此文件是以前VRP程序里面的，请先删除该文件，再使用命令：detachsystem来释放出“http.zip文件;如果在VRP下通过FTPTFTP方式进行升级后，那么需要先删除“http.zip,再使用命令：detachsystem来释放出“http.zip文件；如果在BootRom下进行升级，升级成功,则正常。为什么WEB管理操作时从设备读取页面很慢首先查看你的IE设置：第一次Web访问某个页面时，要从FLASH里面读取大量数据，页面显示会相对较慢。以后系统缓存后,访问已访问过的页面会比较快。当你做了上述设置之后，发现读取页面还是异常慢，不妨换台 PC试试，有时会碰到有的PC机访问页面异常慢的情况,原因不明。在3.4-0006版本中，对WEB的访问流程进行了优化，访问速度较以前的版本快。如果客户反映WEB访问很慢，请升级到最新版本。注意，如果在使用过程中单独升级http.zip文件,需要重启设备才能生效。如果只在用户模式下,FTP上传新版本到FLASH必须手动在用户模式下用detachsystem命令来解压出新的HTTP.ZIP文件。LNS位于NAT网关之后如何处理有两种方式：1、 NAT上做静态NAT映射，将LNS的私网地址映射为一个公网地址。2、 NAT上做1701/UDP的NATserve，将LNS的1701端口映射为公网的1701端口。在Secpath10f/100f/1000f上配置为LNS但出现连接到验证用户名和密码时”出现“错误619：,,,,”是什么原因将防火墙攻击防范中“I欺骗攻击”关闭即可解决此问题。IPSEC网关也位于NAT网关之后，如何处理1、 NAT上做静态NAT映射，将VPN网关的私网地址映射为一个公网地址。同时，双方启用NAT穿越。2、 NAT上做500/UDP的NATserver,将VPN网关的500端口映射为公网的500端口。同时，双方启用NAT穿越，且IPSEC使用AH和ESP协议，协议号分别为51、50,也需要放开。配置GRE时tunnel口协议层已经UP,但是却无法ping通对端tunnel口地址请确认interfacetunnel已经加入了安全域。Tunnel如果不加入安全域时防火墙是不进行处理和转发的；同时检查grekey是否一致。GRE的TUNNEL中定义的ipaddress、source和destination这三个地址的作GRE的TUNNEL中，ipaddr是作路由用的。即，当查找路由表时，发现所

要发送的数据包的下一跳是和自己tunnel口ipaddr同一网段的对端GRE的地址，则从tunnel口转发数据，进行GRE的封装。当数据进行GRE封装时，外层圭寸装的IP地址即为tunnel口定义的source和destination定义的地址。Secpath系列产品如何根据版本来区分支持DVPN1.0和2.0secpath网关产品(secpath100N/100V/1000)只有VRP3.40-E1604版本才支持DVPN2.0其它以前的所有版本都只支持DVPN1.0secpath防火墙产品(secpath10f/100f/500f/1000f)可以通过VRBD去查看vrbdRoutingPlatformSoftwareVersionSecPath100F8042V100R002B01D020(COMWAREV300R002B40D003),RELEASESOFTWARECompiledJun22200615:44:28byxiedong若release为002和006,则表示此版本支持DVPN2.0若release为001则表示此版本支持DVPN1.0Eudemon系列产品目前所有版本都不支持DVPNDVPN1.0版本和DVPN2.0不能互通DVPN已经