迈普内网安全管理系统V0.6

第1章系统基础本章主要讲述迈普路由器中MYPOWER-R系统的基本知识，包括MYPOWER-R系统模式、配置环境的准备及命令行接口的有关知识等。

本章主要内容：●路由器配置方式●命令运行模式●搭建配置环境●命令行接口●路由器WEB配置1.1路由器配置方式迈普路由器为用户提供了四种典型的配置方式，分别是：●通过console口，采用shell命令进行配置●通过336modem模块LINE口进行配置●通过Telnet远程登录到路由器上配置●通过SNMP网管系统对路由器进行配置其中最后一种配置方式提供中英文的用户界面，主要用于用户监控网络的工作状态及收集系统统计信息。

本用户手册主要描述通过console口配置路由器的方法，通过336modem模块LINE口、Telnet远程登录配置路由器的方法与之类似，通过SNMP网管系统对路由器进行配置的细节详见路由器网管系统说明书。

1.2命令运行模式迈普路由器MYPOWER-R 为系统命令的管理及执行专门提供了一个命令处理子系统，称之为shell，其主要功能包括：●系统命令的注册●系统配置命令的用户编辑●用户输入命令（通过Console口或Telnet连接）的语法分析●系统命令的执行用户通过shell命令配置路由器时，系统为命令的执行提供了多种运行模式，每种命令模式分别支持特定的MYPOWER-R 配置命令，从而达到分级保护系统的目的，确保系统不受未经授权的访问。

Shell子系统当前为配置命令的运行提供以下多种模式，不同的模式对应于不同的系统提示符，用以提示用户当前所处的系统模式。

可能的一些模式如下：●普通用户模式（user EXEC）●特权用户模式（privileged EXEC）●全局配置模式（global configuration）●接口配置模式（interface configuration）●路由配置模式（router configuration）●文件系统模式（file system configuration）●访问列表配置模式（access list configuration）●语音口配置模式（voice-port configuration）●拨号端配置模式（dial-peer configuration）●加密变换配置模式（crypto transform-set configuration）●加密映射配置模式（crypto map configuration）●IKE策略配置模式（isakmp configuration）●公钥系列配置模式（pubkey-chain configuration）●公钥配置模式（pubkey-key configuration）●DHCP配置模式（dhcp configuration）其他配置模式在相关章节中进行介绍，表1-1描述了各种命令模式的进入方法及模式间的切换方法。

迈普普教无线网络解决方案迈普普教无线网络解决方案（内部资料，注意保密）目录1方案背景 (4)2普教应用场景和需求分析 (5)3迈普普教无线网络解决方案 (6)3.1迈普普教无线网络解决方案的建设目标 (6)3.2迈普普教无线网络解决方案 (7)3.2.1客户需求搜集 (7)3.2.2XXX学校无线网络方案的设计与实施 (7)3.3迈普普教网络解决方案架构 (8)3.4迈普普教无线网络设计亮点 (9)3.4.1AC+Fit AP组网 (10)3.4.2校园安全部署 (11)3.4.3认证及审计系统部署 (13)4迈普普教无线网络解决方案产品 (20)4.1无线AP接入点介绍 (20)4.1.1产品概述 (20)4.1.2产品特征 (22)4.2无线控制器（Controller）介绍 (25)4.2.1产品概述 (25)4.2.2产品特征 (26)4.3安全网关产品 (28)4.3.1产品概述 (28)4.3.2产品特征 (29)4.4交换机产品 (31)4.4.1产品概述 (31)4.4.2产品特征 (32)5迈普在教育领域部分成功案例 (34)5.1迈普在教育领域承接的部分项目 (34)5.2迈普在教育领域的客户 (35)5.2.1部分高校客户列表 (35)5.2.1部分普教客户列表 (36)1方案背景（学校简介）海门市海南中学创建于1994年，是海门市教育局直属学校。

学校占地面积60000平方米，已有48个班级，2770名学生，185名教职工。

几年来，在一流的教学气氛的熏陶下，学校师资队伍得到了进一步优化。

该校现有研究生学历6人，中级以上职称71多名，获国家、省级荣誉约15人，省特级教师1名，南通市学科带头人3人，南通市骨干教师1人，海门市学科带头人14人，海门市骨干教师15人，海门市教坛新秀22人，有10多人次在省级优课评比中获奖，20多人次在南通市级优课评比中获等级奖，200多人次在海门市级优课评比中获等级奖。

MPSec FM3000系列安全网关产品介绍目录1产品概述 (1)2产品特征 (2)3产品规格 (4)4典型应用 (6)4.1典型应用一：地市/区县政府网络出口 (6)4.2典型应用二：中小企业安全防护 (7)5订购信息 (8)1 产品概述图一 FM3000-4GET-AC外观图MPSec FM3000系列产品是迈普通信技术股份有限公司（以下简称“迈普”）推出的基于状态流控制及应用层检测的高性能安全网关产品，该系列产品广泛适用于政府、金融、保险、企业、教育等行业的网络环境，既可以为园区网提供高性能、安全防护的出口解决方案，也可以为局域网内部提供区域隔离、应用控制的高性能安全解决方案。

MPSec FM3000系列产品支持深度状态检测、外部攻击防范、内网安全、流量监控、邮件过滤、网页过滤、应用层过滤等功能，能够有效的保证网络的安全；支持路由、透明、混合模式接入，实现了3层数据的高速转发，兼容数据库、视频语音等高级应用控制；支持PPTP、L2TP、IPsec和SSL等多种全面的VPN业务，可以构建多种形式的VPN；提供强大的路由能力，支持静态/RIP/OSPF/路由策略及策略路由；支持双机状态热备，支持Active/Active和Active/Standby两种工作模式以及丰富的QoS特性，充分满足客户对网络高可靠性的要求；提供多种智能分析和管理手段，支持邮件告警，支持多种日志，提供网络管理监控，协助网络管理员完成网络的安全管理。

MPSec FM3000系列产品规格如下：MPSec FM3000-4GET：千兆安全网关，标配4个千兆电口，1个Console口，1个AUX口，2个USB接口，单交流电源，标准1U设备。

2 产品特征●独立安全协议栈，杜绝系统应用漏洞迈普安全网关采用自主研发的MPSec-OS系统，摆脱了通用操作系统束缚，无通用操作系统漏洞，不用被动地追随通用操作系统的升级而升级。

充分发挥专业硬件网络处理器的优势，实现管理平面与业务平面的分离，实现高性能和多业务的完美融合。

北信源内网安全管理系统V1.2用户手册北信源Beijing VRV Software Corporation Limited2021年9月版权声明北京北信源软件股份有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。

本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京北信源软件股份有限公司。

未经北京北信源软件股份有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。

免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。

北京北信源软件股份有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京北信源软件股份有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。

信息反馈如有任何宝贵意见，请反馈：信箱：邮编：电话：传真：目录第一章产品部署 (5)一、服务端系统搭建 (6)二、服务端安装 (6)第二章系统初始化管理 (7)一、系统初始化 (7)1．组织机构及管理范围配置 (7)2．客户端注册参数配置 (7)二、客户端发布安装 (8)1．麒麟客户端发布 (8)2．UOS客户端发布 (11)3．客户端下载安装 (12)第三章策略中心 (15)一、资产管理策略 (16)1．终端信息采集策略 (16)2．重新注册设备策略 (18)二、设备安全策略 (22)1．硬件控制策略 (22)三、系统安全策略 (25)1．桌面配置策略 (25)2．操作系统密码策略 (27)3．操作系统用户策略 (31)4．杀毒软件监控策略 (34)四、应用安全策略 (37)1．进程监控策略 (37)2．服务监控策略 (41)3．软件安装监控策略 (46)4．运行资源监控策略 (50)五、数据安全策略 (54)1．文件变化监视策略 (54)2．打印监控策略 (57)六、行为安全策略 (66)1．开关机配置策略 (66)2．上网行为审计策略 (70)七、网域安全策略 (73)1．违规外联检测策略 (73)2．协议防火墙策略 (77)3．端口检查策略 (81)4．违规边界检查策略 (86)八、辅助运维策略 (89)1．文件分发策略 (89)2．消息推送策略 (94)3．托盘配置策略 (98)4．客户端迁移策略 (105)第四章升级卸载 (109)一、客户端升级 (109)二、客户端卸载 (111)第一章产品部署一、服务端系统搭建见：《部署指南/操作系统安装指南》操作系统安装指南.zip尽量保证安装指南要求安装的系统否则可能会出现冲突等情况二、服务端安装见：《部署指南/北信源主机审计系统平台安装指南》北信源主机审计系统平台安装指南.zipCentos和信创环境部署方式不同请参照各自的说明第二章系统初始化管理一、系统初始化系统初始配置用于完成系统服务器端的初始配置，主要包括组织机构及管理范围、客户端参数配置、客户端安装包发布、扫描范围配置和配置外网地址。

迈普网管产品系列目录MyPower M1000系列远程支援接入设备 (1)Maipu Masterplan迈普统一网络管理平台 (11)Maipu PolicyMaster迈普安全网络管理系统 (15)Maipu AAA Server迈普AAA服务器 (18)Maipu DeviceMaster迈普路由交换设备管理系统 (21)Maipu NetInspector迈普路由器故障分析与排除工具 (24)Maipu AccessManager迈普综合接入网络管理系统 (29)MyPower M1000系列远程支援接入设备MyPower M1000系列是迈普公司自主研发的集远程维护、带外网管、数据采集功能于一体的远程支援接入设备，适用于运营商无人值守基站、模块局以及各类金融机构、政府机构、能源机构、交通机构的大型机房，能够帮助用户解决无人值守环境下针对不同厂商、不同类型大量设备的配置和维护问题，能够通过网络实现设备远程的安全带外网管，能够实现远端数据的采集。

My Power M1008远程支援接入设备外观图My Power M1032远程支援接入设备外观图My Power M1048远程支援接入设备外观图MyPower M1000系列远程支援接入设备通过线缆与被管理设备的配置口或者带外管理口相联，配合中心的管理软件Conlinker能够对被管理设备的配置口进行直接访问。

MyPower M1000系列远程支援接入设备采用领先的IP网络数据仿真技术，具有适应性强、应用广泛、安全可靠、易于管理等优点，是运营商用户提高网络管理和维护水平的重要工具。

关键特性优化网络维护模式支持多种线路接入支持数据透传功能远程管理安全可靠支持光电隔离*支持多用户的访问支持分级授权功能支持日志纪录功能支持异步口状态探测*远端设备灵活的接入能力分级分布中文图形化管理产品特点优化网络维护模式MyPower M1000系列远程支援接入设备针解决传统SNMP网络管理系统失效时（比如网络中断、线路中断、配置丢失等）的网络管理及故障恢复问题。

MP2000宽带路由器使用FAQ1. 怎么在路由器中设置密码？第一步：设置超级终端：接好配置线缆，在PC上运行超级终端程序，并选择相应的串口(如com1)，设置其属性：波特率为9600，软流控，数据位是8位，无奇偶校验，1位停止位；第二步：启动路由器，进入router>模式；第三步：输入“enable”命令，回车，进入router＃模式；第四步：输入“configure terminal”，命令，回车，进入router(config)#模式；第五步：使用enable password命令设置密码。

2. 我现在想改一下路由器的配制，但忘记密码了，怎么办？你们能远程帮我把密码去掉吗？出于安全考虑，密码必须通过路由器上的配置口，使用“超级终端”工具来清除，并且在清除密码的同时，会将路由器中所有的配置都清除掉。

第一步：设置超级终端：接好配置线缆，在PC上运行超级终端程序，并选择相应的串口(如com1)，设置其属性：波特率为9600，软流控，数据位是8位，无奇偶校验，1位停止位。

第二步：进入Monitor模式：重新给路由器上电，在启动时按CTRL+C，进入Monitor模式，提示符为Monitor：>。

第三步：在Monitor：>下用“e d”命令清除配置。

第四步：再次重新启动路由器。

鉴于这个命令会清除路由器中所有的配置，请谨慎使用。

平时妥善保管密码，做好路由器配置资料的备份。

3. 上网的时候，经常有些网站打不开，为什么？如果是部分网站打不开，还有部分网站能够正常连接，此时路由器工作是正常的，内网和外网的连接也应该是正常的。

出现这种情况的原因主要是设置DNS出错，导致对某些网站的域名解析不能成功，因此无法访问。

需要修改DNS设置，或者与提供线路的运营商联系。

4. 你们的MP2000有多少个端口？MP2000是一个产品系列，它又分成几个不同型号的产品：产品型号端口数MP2000-101-AC 1个配置口，1个10M/100M WAN口，1个10M/100M LAN口MP2000-108A-AC 1个配置口，1个10M/100M WAN口，8个10M/100MLAN口MP2000-108B-AC 1个配置口，1个10M/100M WAN口，8个10M/100M LAN口MP2000-208A-AC 1个配置口，2个10M/100M WAN口，8个10M/100M LAN口MP2000-208B-AC 1个配置口，2个10M/100M WAN口，8个10M/100M LAN口详细信息请参考5. 你们的MP2000能带多少台PC？MP2000系列路由器的负载能力较强，在正常使用情况下能够支持的PC 见下表：产品型号负载能力MP2000-101-AC 支持200台带机能力MP2000-108A-AC 支持300台带机能力MP2000-108B-AC 支持600台带机能力MP2000-208A-AC 支持300台带机能力MP2000-208B-AC 支持600台带机能力详细信息请参考6. MP2000对环境有什么要求？MP2000系列路由器要求输入电压为交流（AC）：100～240V，50~60Hz；工作温度：0～40℃；工作湿度：10～90％，不结露。

迈普企业网关配置指导手册（版本V1）1.标准配置1、迈普1800企业网关默认ip地址：192.168.0.1，掩码:255.255.255.0,电脑配置相同网段地址，接入到lan口的任意一个接口。

2、登录的默认用户名和密码都为 admin3、如要修改内网口地址，可以在进入主界面后，点击如下图红色框部分，进入内网局域网配置界面，然后点击右面的红色框部分。

出现下面红色框部分，修改完后点确定，然后更换pc机的地址，再次登录4、设置wan口接入类型按照实际需求选择wan 连接方式a)、固定地址方式只需填写下面红色框内内容，后续只需连续点下一步，直到最后完成即可。

b)、dhcp配置5、远程管理开启，只需开启ssh2和web功能，同时绑定信任的主机可以访问设备，首先添加信任主机，按实际情况填写地址或者网段。

建议各维护单元申请专用IP地址用于远程管理使用，避免其他IP登录设备。

选择具有的权限如果需要修改web的登入端口，需要通过shell界面进行修改telnet 192.168.1.1login:adminpassword:router>enpassword:router#conf t% Enter configuration commands, one per line. End with CNTL+Z.router(config)#ip http port 8181 修改端口为8181 The HTTP port has been changed, please restart WEB Server.router(config)#no ip http serverrouter(config)#ip http server6、用户名密码修改，web界面只能修改密码7、ip带宽分配下图中最上面的红色框中一定要打上√，然后按照实际需求分别配置默认用户的上传和下载带宽，接口选择wan 接口a)、如果公网线路带宽2M则建议如下配置：（建议pc数不超过6台）b)、如果公网线路带宽4M则建议如下配置：（建议pc数不超过12台）c)、如果公网线路带宽6M则建议如下配置：（建议pc数不超过18台）d)、如果公网线路带宽8M则建议如下配置：（建议pc数不超过24台）e)、如果公网线路带宽10M则建议如下配置：（建议pc数不超过30台）后续带宽标准就可按照上面的一项就可以了2.特殊配置1、内部地址静态映射2、限制内网网段无法上外网，限制某个地址无法上外网3、设置某个地址对于带宽不受限制，将带宽设置为广域网的最大值。

〖LanaSecS 内网安全管理系统〗LanaSecS内网安全管理系统是由北京圣博润高新技术有限公司独立研发的，拥有自主知识产权的国产产品，从规划内网资源，规范内网行为，防止内网信息泄漏等多方面入手，为政府机关及企事业单位提供完整的内部网络安全管理解决方案。

〖LanaSecS 内网安全管理系统功能〗自动补丁管理主动发现网络中系统的漏洞，全面统计系统补丁情况，并强制性地对未安装补丁程序的计算机统一批量安装。

非法接入监控、报警、定位（适用于企业版/增强版）当一个未经管理中心注册登记的计算机接入网络时，系统能够自动发现并确定该计算机的接入位置，立即报警，防止其对网络安全造成危害。

阻止非法机器接入内网未注册机器接入网络时，由安全管理平台确认后方可访问内网，以防止不明机器非法访问网络，造成内部网络数据的遗失与破坏。

交换机端口流量的图形化显示（适用于企业版/增强版）动态图形化显示交换机端口状态、流量等信息，可以设置端口流量阀值，当端口流量超过阀值时自动报警，帮助系统管理员监视、分析网络性能。

内网系统配置管理能够自动将终端配置信息如CPU类型、主频、内存、操作系统、安装的软件、运行的程序和服务、系统日志、共享资源、以及补丁、端口等信息统计汇总，可以按设备类型、Vlan、子网、部门等方法对设备进行分类管理，使得系统管理员能够轻松自如地管理着整个网络的硬件资源，及时洞察系统配置的变动。

内网终端行为审计监控规范终端用户行为，确保应用环境的一致性和稳定性，防止内网信息泄漏，杜绝非授权的网络行为。

IP/MAC地址绑定；对输入输出设备的使用进行审计监控（如USB、软驱、光驱、打印机等）；对服务、进程的运行状态进行审计监控；拨号行为监控；非法接入监控和非法上网监控；对应用程序的安装与卸载进行审计；系统配置（包括CPU、内存、硬盘、显示卡、网卡等）审计。

故障见世面器的准确定位（适用于企业版/增强版）快速定位异常终端的IP地址，通过SwitchRoute功能查找与之对应的交换机端口，并实现对端口的阻断操作，从而将客户端隔离本网络，以杜绝各种安全隐患。