联想网御防火墙PowerVWeb界面操作手册_2开始

联想网御防火墙Smart V 功能使用手册声明本手册所含内容若有任何改动，恕不另行通知。

在法律法规的最大允许范围内，联想网御科技（北京）有限公司除就本手册和产品应负的瑕疵担保责任外，无论明示或默示，不作其它任何担保，包括（但不限于）本手册中推荐使用产品的适用性和安全性、产品的适销性和适合某特定用途的担保。

在法律法规的最大允许范围内，联想网御科技（北京）有限公司对于您的使用或不能使用本产品而发生的任何损坏（包括，但不限于直接或间接的个人损害、商业利润的损失、业务中断、商业信息的遗失或任何其它损失），不负任何赔偿责任。

本手册含受版权保护的信息，未经联想网御科技（北京）有限公司书面允许不得对本手册的任何部分进行影印、复制或翻译。

联想网御科技（北京）有限公司中国北京海淀区中关村南大街6号中电信息大厦8层章节目录章节目录 (III)图目录 (VII)第1章前言 (1)1.1导言 (1)1.2本书适用对象 (1)1.3本书适合的产品 (1)1.4手册章节组织 (1)1.5相关参考手册 (2)第2章VPN概念与配置方法 (3)2.1IPS EC VPN隧道 (3)2.2IKE密钥交换 (4)2.3VPN虚拟接口设备配置方法 (5)2.4局域网-局域网配置方法 (6)2.4.1 添加远程VPN (6)2.4.2 隧道配置方法 (6)2.5VPN客户端远程访问的配置方法 (7)2.6野蛮模式的应用 (8)2.7星形部署 (8)2.8VPN隧道与安全规则的关系 (8)2.9PPTP/L2TP远程访问VPN配置方法 (9)2.10动态域名配置方法 (12)2.11SSLVPN (13)2.11.1 SSLVPN的使用方法 (13)2.11.2 SSLVPN的配置 (14)2.11.3 SSLVPN支持的应用 (14)2.12常见问题（FAQ） (14)2.13如何注册的动态域名 (15)2.14网御VPN CA中心的使用方法 (18)2.14.1 证书管理 (18)2.14.2 使用第三方CA证书管理中心 (19)2.14.3 CA中心自身的管理 (20)2.15GRE隧道中继 (21)2.15.1 需求描述 (21)2.15.2 配置步骤 (21)2.15.3 总结 (24)第3章用户认证概念与配置方法 (25)3.1功能概述 (25)3.1.1 用户使用认证服务的过程 (25)3.1.2 用户认证模块的主要功能和参数 (26)3. 1. 2. 1 用户具有的功能： (27)3. 1. 2. 2 管理员具有的功能： (27)3. 1. 2. 3 用户认证模块的参数设置为： (27)3. 1. 2. 4 本地认证服务器的参数设置为： (28)3.1.3 使用防火墙用户认证服务的基本步骤 (28)3.2用户认证客户端软件使用指南 (29)3.2.1 概述 (29)3.2.2 客户端软件的安装 (29)3.2.3 基本使用方法 (30)3. 2. 3. 1 客户端主界面 (30)3. 2. 3. 2 配置系统 (30)3. 2. 3. 3 认证 (30)3. 2. 3. 4 修改密码 (31)3. 2. 3. 5 获取剩余时间流量 (32)3.3用户认证网闸功能 (33)3.3.1 功能概述 (33)3.3.2 思路分析 (35)3.3.3 SMART V实施方法 (35)3.4RADIUS服务器的配置和安装 (36)3.4.1 RADIUS概述 (36)3.4.2 RADIUS服务器的配置 (36)3. 4. 2. 1 安装mysql (37)3. 4. 2. 2 安装FreeRADIUS (37)3. 4. 2. 3 配置FreeRADIUS (37)3.5用户认证和深度过滤的结合使用 (40)第4章深度过滤概念与配置方法 (43)4.1基本概念 (43)4.2配置方法 (43)4.2.1 启用深度过滤和设置服务端口 (44)4.2.2 定义资源组 (44)4.2.3 定义深度过滤策略 (45)4.2.4 安全规则 (47)4.2.5 蠕虫过滤 (48)4.3注意事项 (50)第5章典型应用环境 (51)5.1三网口纯路由模式 (51)5.1.1 需求描述 (51)5.1.2 配置步骤 (52)5.2三网口混合模式 (53)5.2.1 需求描述 (53)5.2.2 配置步骤 (54)5.3三网口透明模式 (55)5.3.1 需求描述 (55)5.3.2 配置步骤 (55)5.4三网口透明模式上的路由 (57)5.4.1 需求描述 (57)5.4.2 配置步骤 (57)5.5三网口多VLAN环境 (59)5.5.1 需求描述 (59)5.5.2 配置步骤 (60)5.6多网口多DMZ (62)5.6.1 需求描述 (62)5.6.2 配置步骤 (63)5.7多网口多内网区段 (64)5.7.1 需求描述 (64)5.7.2 配置步骤 (65)5.8ADSL连接 (67)5.8.1 需求描述 (67)5.8.2 配置步骤 (67)5.9多默认路由负载均衡 (68)5.9.1 需求描述 (68)5.9.2 配置步骤 (68)5.10DHCP的应用 (69)5.10.1 需求描述 (69)5.10.2 配置步骤 (70)5.11多外网出口 (71)5.11.1 需求描述 (71)5.11.2 配置步骤 (72)5.12端口映射应用 (73)5.12.1 需求描述 (73)5.12.2 配置步骤 (73)5.13连接企业分支的局域网-局域网VPN应用 (75)5.13.1 需求描述 (75)5.13.2 配置步骤 (76)5.14远程访问VPN客户端应用 (78)5.14.1 需求描述 (78)5.14.2 配置步骤 (78)5.14.3 防火墙配置 (78)5.14.4 客户端配置 (79)5.15PPTP/L2TP远程访问 (80)5.15.1 需求描述 (80)5.15.2 配置步骤 (80)5.15.3 防火墙配置 (80)5.15.4 远程用户配置 (80)第6章FAQ与附录 (82)6.1防火墙常见问题解答 (82)6.1.1 如何登录到防火墙管理界面？ (82)6.1.2 配置防火墙SMART V的基本过程是怎样的？ (83)6.1.3 哪些应用可以和用户认证结合使用？ (83)6.1.4 “物理设备”，“别名设备”，“VLAN设备”，“桥接设备”，“VPN设备”，“拨号设备”的定义是怎样的，之间有什么区别与联系？ (84)6.1.5 为什么有些需要输入时间、地址、网络接口和服务的下拉框为空？ (85)6.1.6 资源定义>>地址>>地址池列表中定义的地址池资源是如何生效的？ (85)6.1.7 为什么选择了按网口探测网络上的MAC 地址会探测不到内容？ (85)6.1.8 为什么配置了策略配置>>安全规则>>端口映射规则，IP映射规则和NAT规则之后，还不能直接访问相应的服务？ (85)6.1.9 ADSL拨号失败怎么办？ (86)6.2附录：网络基本知识 (87)6.2.1 OSI参考模型概述 (87)6.2.2 网络 (88)6.2.3 协议 (90)6.2.4 IP地址 (95)6.2.5 路由 (99)6.2.6 端口 (100)6.2.7 包过滤 (103)6.2.8 防火墙 (106)6.3附录：常用端口列表 (107)6.4附录：IP协议号列表 (125)6.5附录：防火墙选配电缆说明 (128)6.6附录：术语解释（按英文名称字母顺序） (130)图目录图2-1局域网-局域网隧道 (3)图2-2远程访问VPN隧道 (4)图2-3 PPTP/L2TP VPN网络连接的协议选择 (10)图2-4 PPTP/L2TP VPN网络连接的加密属性配置 (11)图2-5 PPTP/L2TP VPN网络连接的认证属性配置 (12)图2-6动态DNS帐户设置 (12)图2-7动态IP接口的DNS设置 (13)图2-8动态DNS用户注册（1） (15)图2-9动态DNS用户注册（2） (16)图2-10动态DNS用户注册（3） (16)图2-11动态DNS用户注册（4） (17)图2-12动态DNS管理域名（1） (17)图2-13动态DNS管理域名（2） (17)图2-14动态DNS管理域名（3） (18)图2-15防火墙证书管理-导入请求 (19)图2-16防火墙证书管理-生成证书 (19)图2-17自定义CA提示 (20)图2-18生成自定义CA (20)图2-19网络拓扑图 (21)图2-20 B1远程VPN (22)图2-21 B1网关隧道配置 (22)图2-22 A远程VPN (22)图2-23 A 网关隧道配置 (22)图2-24 B2 远程VPN (22)图2-25 B2网关隧道配置 (23)图2-26 B1 的GRE隧道 (23)图2-27 A的GRE隧道 (23)图2-28 B2的GRE隧道 (23)图2-29 B1的策略路由配置 (23)图2-30 A的策略路由配置 (24)图2-31 B2策略路由配置 (24)图3-1用户网络访问图1 (25)图3-2用户网络访问图2 (26)图3-3用户网络访问图3 (26)图3-4用户认证服务器 (28)图3-5安全规则 (28)图3-6在线用户 (29)图3-7 客户端主界面 (30)图3-8配置客户端 (30)图3-9处于认证过程中的界面 (31)图3-11修改密码界面 (32)图3-12输入新密码 (32)图3-13成功修改密码 (32)图3-14获取剩余时间流量界面 (33)图3-15成功获取剩余时间和流量 (33)图3-16例子网络拓扑图 (34)图3-17 禁止访问OA服务器时的网络拓扑图 (34)图3-18 禁止访问Internet时的网络拓扑图 (35)图3-19 Smart安全规则配置示意图 (36)图3-20 RADIUS角色示意图 (36)图3-21 防火墙RADIUS服务器配置范例 (40)图4-1 深度过滤基本配置 (44)图4-2 定义资源组 (44)图4-3 深度过滤策略配置1 (46)图4-4 深度过滤策略配置2 (47)图4-5 安全规则选择深度过滤策略 (48)图4-6 蠕虫过滤策略配置 (49)图4-7 安全规则中选择深度过滤策略 (49)图5-1三网口纯路由模式 (51)图5-2三网口混合模式 (53)图5-3三网口透明模式 (55)图5-4三网口透明模式上的路由 (57)图5-5三网口多VLAN环境 (59)图5-6多网口多DMZ (62)图5-7多网口多内网区段 (64)图5-8 ADSL连接 (67)图5-9多出口默认路由负载均衡配置图 (68)图5-10 DHCP的应用 (69)图5-11多外网出口 (71)图5-12端口映射应用 (73)图5-13连接企业分支的局域网-局域网VPN应用 (75)图5-14远程访问VPN客户端应用 (78)图5-15 PPTP/L2TP远程访问 (80)图6-1登录到防火墙管理界面 (82)图6-2不同网络设备之间的配置关系 (85)图6-3 OSI七层参考模型 (87)图6-4一个连到Internet的网络 (89)图6-5 UDP头 (92)图6-6握手 (93)图6-7IP包头 (93)图6-8TCP/IP协议栈 (94)图6-9封装 (95)图6-10子网掩码 (96)图6-12通过网关路由 (99)图6-13包头与包路由选择 (102)图6-14端口 (103)图6-15包过滤防火墙 (104)图6-16包如何过滤 (105)第1章前言1.1 导言《功能使用手册》是网御防火墙Smart V管理员手册中的一本。

联想网御安全网关Power V作业指导书江苏国瑞信安科技有限公司二零一一年七月目录第1章如何开始 (1)1.1 登录管理界面 (1)1.1.1 登录方法 (1)1.1.2 管理认证 (2)1.1.3 登录过程 (3)1.1.4 网御安全网关Power V的一般配置过程 (4)1.1.5 退出登录 (4)第2章系统配置 (5)2.1 日期时间 (5)2.2 系统参数 (6)2.3 系统更新 (6)2.3.1 模块升级 (6)2.3.2 导入导出 (7)2.4 管理配置 (9)2.4.1 管理主机 (9)2.4.2 管理员账号 (10)2.4.3 管理证书 (11)2.5 报告设置 (12)2.5.1 日志服务器 (12)2.5.2 报警邮箱设置 (12)第3章策略配置 (14)3.1 安全选项 (14)3.1.1 包过滤策略 (14)3.1.2 IP/MAC检查 (15)3.1.3 允许所有非IP协议 (15)3.2 安全规则 (16)3.2.1 包过滤规则 (17)3.2.2 NA T规则 (18)3.2.3 地址列表、服务列表 (19)3.3 地址绑定 (20)3.4 带宽管理 (23)3.5 黑名单 (24)3.6 连接管理 (25)3.6.1 基本参数 (25)3.6.2 连接规则 (25)3.6.3 连接状态 (27)第4章网络配置 (29)4.1.1 物理设备 (29)4.1.2 VLAN设备 (30)4.1.3 桥接设备 (31)第5章绿色上网 (33)5.1 URL过滤策略 (33)5.2 绿色上网规则 (35)第6章系统监控 (35)6.1 网络设备 (35)6.2 HA状态 (37)6.3 资源状态 (38)6.4 日志信息 (39)6.4.1 日志查看 (39)6.4.2 包过滤日志报表 (40)6.4.3 P2P报表 (41)6.4.4 深度过滤报表 (41)6.5 用户信息 (42)6.6 连接状态 (42)6.7 连接统计 (44)6.8 深度过滤 (44)6.9 带宽监控 (45)6.10 网络调试工具 (45)6.11 路由监控 (46)6.12 动态路由监控 (47)第1章如何开始1.1 登录管理界面1.1.1 登录方法安全网关共有四种管理方式：1）Web界面管理2）串口命令行管理3）远程SSH登录管理4）PPP拨号接入管理。

联想网御防火墙配置手册（3213）1、
2、根据防火墙接口数量及业务系统需求规划防火墙各接口用
途、IP地址信息、及各接口的策略等。

3、防火墙设备安装，连接各种线缆。

4、安装防火墙管理密钥驱动。

5、插入管理密钥，运行防火墙管理认证程序。

默认管理IP
地址10.1.5.254 端口9999。

6、认证程序连接防火墙成功后，利用浏览器登陆防火墙，地
址：https://10.1.5.254:8888默认用户名：administrator密码：administrator。

7、设置各物理接口IP地址、工作模式等信息。

8、设置别名设备，绑定外网地址到外网的物理接口上，以备
设置端口或IP映射做准备。

9、设置管理主机，提高系统安全性，只有设置的管理主机范
围才有访问防火墙的权限。

10、按系统规划需求，定义所需地址列表及服务器地址等信
息，以备后期定义策略时使用。

11、根据系统规划需求，设置默认路由。

12、配置NAT规则。

13、配置IP或端口映射。

IP映射会对此映射IP的所有端口开
放，端口映射只开放相应映射的端口。

14、配置包过滤规则。

15、配置其它安全选项。

管理防火墙Power V 防火墙有2种管理方式，1是web(界面管理)管理。

2是命令行管理。

命令行管理又分为串口管理和SSH管理。

本文档详细介绍如何对一台出厂配置的防火强进行管理和相关注意事项。

一．串口管理1．使用超级终端连接防火墙。

利用随机附带的串口线将PC的串口和防火墙串口相连，启动超级终端。

以Windows XP为例：选择程序->附件->通讯->超级终端，选择用于连接的串口设备。

定制通讯参数如下。

每秒位数：9600；数据位：8；奇偶校验：无；停止位：1；数据流控制：无。

第1页第2页第3页当出现上面的语言时，就可以通过命令行管理防火墙了。

2．使用SecureCRT连接防火墙。

利用随机附带的串口线连接管理主机的串口和防火墙串口。

在pc 上运行SecureCRT 软件。

第4页第5页出现上面的情况就可以用命令行管理防火墙了。

二.Web 管理1．使用电子钥匙a.从随机光盘中找到电子钥匙的驱动程序并安装，注意安装时不要插入电子钥匙。

b.驱动安装成功后，将电子钥匙插入管理主机的usb口，启动用于认证的客户端ikeyc.exe，输入PIN密码，默认为12345678，系统会读出用于认证的ikey信息，此时窗口右边的灯是红的。

c.选择“连接”，连接进行中灯是黄的，如果连接成功，灯会变绿，并且出现通过认证的提示框d．“确定”后就可以通过https://10.1.5.254:8888连接防火墙了。

注意：防火墙管理过程中，请不要拔下电子钥匙，也不要关闭防火墙管理认证客户端，否则可能无法管理。

2．使用证书a.首先从联想网御的FTP服务上获得证书。

FTP服务器IP地址是211.100.11.172，用户命密码都是lenovo。

b.用SecureCRT软件管理防火墙的命令行，用administrator/administrator帐号登陆。

c.执行rz命令上传防火墙导入的证书分别是：admin.pem；CACert.pem；leadsec.pem；第6页leadsec_key.pem，如图所示：d.按照如下步骤执行命令将证书导入防火墙admcert add cacert CACert.pem fwcert leadsec.pem fwkey leadsec_key.pemadmcert add admincert admin.pemadmcert on admincert admin.peme.在pc上导入浏览器证书。

1.1 概述在缺省情况下，网御安全网关PowerV支持两种管理方式:串口命令行方式和远程Web管理。

串口命令行方式适用于对安全网关比较熟悉的用户，操作较复杂。

Web方式直观方便，但要求认证管理员身份。

如果正式使用安全网关推荐采用Web方式，如果希望快速配置使用,推荐采用串口命令行方式。

如果您希望使用命令行方式管理安全网关,请详细阅读1.2节、1。

3.2节。

如果您希望使用Web方式远程管理安全网关,请详细阅读1.2节和1.3。

1节.安全网关主要以两种方式接入网络:透明方式和路由方式。

透明方式下不用改动原有网络配置；在路由方式下，配置完安全网关后您还必须修改已有的网络配置，修改直接相连主机或网络设备的IP地址，并把网关指向安全网关。

1.2 准备开始接通电源,开启安全网关，安全网关正常启动后，会蜂鸣三声,未出现上述现象则表明安全网关未正常启动，请您检查电源是否连接正常，如仍无法解决问题请直接联系安全网关技术支持人员.1。

3 配置使用1.3.1 通过Web浏览器配置管理安全网关设备基本过程：配置管理主机-〉安装usb钥匙并认证管理员身份－>配置管理1. 选用管理主机。

要求具有以太网卡、USB接口和光驱，操作系统应为Window98/2000/XP，管理主机IE浏览器建议为5。

0以上版本、文字大小为中等，屏幕显示建议设置为1024＊768。

2。

安装认证驱动程序。

插入随机附带的驱动光盘，进入光盘ikey driver目录，双击运行INSTDRV程序，选择“开始安装"，随后出现安装成功的提示,选择“退出重新插锁”。

切记：安装驱动前不要插入USB电子钥匙.3. 安装usb电子钥匙。

在管理主机上插入USB电子钥匙，系统提示找到新硬件，稍后提示完全消失，说明电子钥匙已经可以使用了。

如果您在安装驱动前插了一次电子钥匙，此时系统会弹出“欢迎使用找到新硬件向导"对话框,直接选择“下一步”并耐心等待，约半分钟后系统将提示驱动程序没有经过windows兼容性测试,选择“仍然继续”即可，如长时间（如3分钟）没有反映，请拔下usb电子钥匙，重启系统后再试一次，如仍无法解决，请联系技术支持人员。