天清汉马防火墙系列_Trunk配置指南_V4.0

天清汉马防火墙使用手册【原创实用版】目录1.天清汉马防火墙简介2.安装与配置天清汉马防火墙3.天清汉马防火墙的功能与特点4.使用天清汉马防火墙的注意事项5.故障排除与售后服务正文一、天清汉马防火墙简介天清汉马防火墙是一款国内自主研发的网络安全设备，主要用于保护企业内部网络免受来自互联网的攻击和威胁。

通过有效的安全策略，实现对网络流量的监控、控制和管理，确保网络运行稳定、安全。

二、安装与配置天清汉马防火墙1.硬件准备：根据企业网络规模和需求，选择适合的天清汉马防火墙设备，并确保其与其他网络设备之间的连接正常。

2.软件安装：通过设备的控制台或远程管理工具，登录设备并进行系统初始化。

3.配置安全策略：根据企业网络的需求，设置安全策略，包括访问控制、服务过滤、应用控制等。

4.系统优化：根据网络环境，对天清汉马防火墙进行性能优化，提高设备运行效率。

三、天清汉马防火墙的功能与特点1.安全防护：天清汉马防火墙能有效防止 DDoS 攻击、病毒入侵、端口扫描等网络威胁，确保网络安全。

2.应用控制：通过对应用协议的识别和控制，实现对企业内部网络应用的访问控制。

3.内容过滤：天清汉马防火墙可实现对网页、邮件等内容的过滤，防止恶意信息传播。

4.流量管理：通过实时监控网络流量，实现对带宽的合理分配，提高网络运行效率。

四、使用天清汉马防火墙的注意事项1.定期更新设备系统版本和安全特征库，确保设备能够识别并防御最新的网络威胁。

2.合理设置安全策略，避免过度限制导致网络不通畅。

3.对设备进行定期维护，确保设备运行稳定。

五、故障排除与售后服务1.如遇设备故障，可参考设备手册或联系厂商技术支持进行排查。

长城资产天清汉马防火墙配置信息一、基本信息接口0的默认地址配置为192.168.1.250/24。

允许对该接口进行Telnet，PING，HTTPS 操作。

系统默认的管理员用户为admin，密码为g。

用户可以使用这个管理员账号从任何地址登录设备，并且使用设备的所有功能。

系统默认的审计员用户为audit，密码为venus.audit。

用户可以使用这个账号对安全策略和日志系统进行审计。

系统默认的用户管理员用户为useradmin，密码为er。

用户可以使用这个账号用于配置系统管理员。

二、USG设备的主要配置选项。

1.系统管理：系统配置和管理。

包括状态、会话管理、管理员、维护和监控。

可以查看各种版本，系统已经运行的时间，系统性能，接口状态，授权信息，各种网络活动状况可以对USG进行会话管理，进行会话连接数限制并可以临时阻断可疑的会话可以对协议超时时间进行配置，因为有些应用程序在全连接建立后，报文只会根据实际的数据进行交互，而没有保活机制，往往会导致连接超时删除，后续的数据无法通过设备。

协议管理功能提供了设置特定服务超时时间的功能，可以解决这种需要长时间空闲连接的问题。

创建管理员要先创建管理员权限表，可以配置只能通过哪个地址进行登陆如果对设备各种库进行自动升级要为设备设置正确的DNS，选择恢复出厂设臵提交后，去执行重启操作，而不要去点保存按钮目前外置储存器只支持CF卡和USB2.网络管理：网络相关配置。

包括接口、NAT、基本配置、DHCP、双机热备功能的配置。

可以更改端口的带宽设置、双工模式以及端口速率等设置功能。

对于端口的命名，如果是100M网卡，则名称前缀为eth，比如eth0，eth1等等；如果是1000M网卡，则名称前缀为ge，端口默认的MTU为1500，本设备可以做单臂路由。

同一个接口只能加入到一个网桥组。

已创建了子接口（VLAN接口）的以太网接口不能加入网桥组。

GRE 协议的英文全称是Generic Routing Encapsulation，即通用路由封装协议。

长城资产天清汉马防火墙配置信息一、基本信息接口0的默认地址配置为192.168.1.250/24。

允许对该接口进行Tel net, PING , HTTPS操作。

系统默认的管理员用户为admin，密码为g。

用户可以使用这个管理员账号从任何地址登录设备，并且使用设备的所有功能。

系统默认的审计员用户为audit，密码为venus.audit。

用户可以使用这个账号对安全策略和日志系统进行审计。

系统默认的用户管理员用户为useradmin，密码为er。

用户可以使用这个账号用于配置系统管理员。

二、USG设备的主要配置选项。

1. 系统管理：系统配置和管理。

包括状态、会话管理、管理员、维护和监控。

可以查看各种版本，系统已经运行的时间，系统性能，接口状态，授权信息，各种网络活动状况可以对USG进行会话管理，进行会话连接数限制并可以临时阻断可疑的会话可以对协议超时时间进行配置，因为有些应用程序在全连接建立后，报文只会根据实际的数据进行交互，而没有保活机制，往往会导致连接超时删除，后续的数据无法通过设备。

协议管理功能提供了设置特定服务超时时间的功能，可以解决这种需要长时间空闲连接的问题。

创建管理员要先创建管理员权限表，可以配置只能通过哪个地址进行登陆如果对设备各种库进行自动升级要为设备设置正确的DNS，选择恢复出厂设臵提交后，去执行重启操作，而不要去点保存按钮目前外置储存器只支持CF卡和USB2. 网络管理：网络相关配置。

包括接口、NAT、基本配置、DHCP、双机热备功能的配置。

可以更改端口的带宽设置、双工模式以及端口速率等设置功能。

对于端口的命名，如果是100M网卡，则名称前缀为eth，比如eth0，eth1等等；如果是1000M网卡，则名称前缀为ge，端口默认的MTU为1500，本设备可以做单臂路由。

同一个接口只能加入到一个网桥组。

已创建了子接口（VLAN 接口）的以太网接口不能加入网桥组。

GRE协议的英文全称是Gen eric Rout ing En capsulation，即通用路由圭寸装协议。

实验一:透明桥实验如图接入USG ，实现如下要求： 1、 新建桥接口：Eth2,eth1-bvi1，2、 配置接口bvi1 ip add 192.168.1.30/24，允许https 、ping3、 地址对象建立主机地址对象：PC1、PC2；服务对象：test1：804、 添加策略允许eth2<->eth3双向icmp ，eth2->eth3的http 80。

5、 启用策略保存配置6、 测试 实验步骤：第一步：新建桥接口、并配置桥口ip 和允许访问 网络管理---接口—透明桥：配置桥接口的IP 为192.168.24.250/24.接口列表中勾选eth2\eth3,管理访问勾选https 和ping.步骤二：配置地址对象PC1和PC2.以及服务对象test1对象管理---地址对象---地址节点：新建地址节点：新建PC1的地址节点，地址为192.168.24.10，pc2的地址为192.168.24.20. 对象管理---服务对象---自定义服务：新建自定义服务建立任意的源到目的80的服务，并提交步骤三：添加策略允许eth2<->eth3双向icmp，eth2->eth3的http 80。

防火墙---安全策略---新建：允许eth2->eth3单向icmp允许eth3->eth2单向icmpeth2->eth3的http 80步骤四：勾选并启用策略，然后保存配置步骤五：测试实验二：防火墙路由NAT模式应用实验要求：内部inside通过SNAT方式访问internet。

Internet用户可以通过DNAT方式访问DMZ区域的server。

实验步骤：第一步：配置接口IP地址第二步：建立inside（192.168.1.0/24）、DMZ(192.168.2.0/24)、outside(218.23.156.0/24)地址对象第三步：配置静态默认路由第四步:实现inside到outside的SNAT第五步：实现Outside到DMZ的DNAT步骤一：配置接口及ＩＰ地址网络管理――接口――接口：配置接口ｅｔｈ０，ｉｐ：192.168.1.254/24配置接口ｅｔｈ1，ｉｐ：192.168.2.254/24配置接口eth3，IP：218.23.156.1/24步骤二：建立地址对象:对象管理---地址对象---地址节点：新建：Inside:192.168.1.(1-253)/24DMZ:192.168.2.(1-253)/24Outside:218.23.156.(1-253)/24第三步：配置静态默认路由步骤四：实现inside到outside的SNAT 网络管理—NAT--源地址转换：新建：步骤四：实现Outside到ＤＭＺ的DNAT 新建NAT地址池：Webserver：192.168.2.1Ftpserver：192.168.2.2mailserver：192.168.2.3网络管理—NAT—目的地址转换：新建：访问到eth3的http服务，目的地址转换为webserver地址访问到eth3的Ftp服务，目的地址转换为ftpserver地址访问到eth3的mail服务，目的地址转换为mailserver地址。

天清汉马USG快速安装指南北京启明星辰信息安仝技术有限公司V3.2 Beiji ng Venus In formatio n Security Inc. V2.6.3.2 二零一零年七月 发行手册版本产品版本资料状态第1章软件安装 .................................................. 1-3 1.1准备条件........................................................1-3..1.2天清集中管理与数据分析中心安装过程............................. 1.-31.2.1 MSDE 数据库........................................................................... 1-51.2.2天清集中管理与数据分析中心 .............................................................. 1-5 1.3管理配置........................................................ 1.-9..1.3.1配置数据库服务器 ...................................................................... 1.-101.3.2 配置入库缓冲文件路径 ................................................................. 1.-111.3.3 配置声音报警 ......................................................................... .1.-12 第2章软件卸载...................................................... 2-142.1天清集中管理与数据分析中心卸载过程............................. 2-14 第3章硬件安装...................................................... 3-153.1准备条件........................................................ 3-1.5 3.2标识说明........................................................ 3-1.5 第4章快速配置...................................................... 3-184.1设备默认配置................................................... 4-.1.94.1.1 接口0的默认配置...................................................................... 4-194.1.2默认管理员用户 .......................................................................... 4-194.2 Web快速配置 .................................................. 4-1.9 4.2.1登录设备 ............................................................................... 4-19 4.2.2 配置路由模式........................................................................ 4.-21 4.2.3配置桥模式 ........................................................................... 4：25 4.2.4 配置安全策略......................................................................... 4-27 4.2.5 配置NAT ...................................................................................................................... 4-29 4.3天清集中管理与数据分析中心快速配置............................. 4.-31 4.3.1登录天清集中管理与数据分析中心 ........................................................ 4-31 4.3.2 添加USG 设备 ....................................................................... 4-31 4.3.3添加设备组 ............................................................................. 4.32 4.3.4调整数据接收端口............................................................... 4.-33 4.3.5查询数据 ............................................................................... 4-33 4.4天清集中管理与数据分析中心快速配置............................. 4.-33 4.4.1 登录集中管理中心............................................................... 4.-33 4.4.2添加设备/设备组........................................................................ 4.-34 4.4.3集中管理 ............................................................................... 4-35 4.4.4单机管理 ............................................................................... 4-35 4.4.5升级维护 ............................................................................... 4-36 第5章软件升级....................................................... 5-385.1通过Web升级 .................................................. 5-38第1章软件安装1.1准备条件硬件配置要求：PC 服务器/ Pentium IV CPU /2G 内存/ 200G 硬盘软件要求：操作系统：推荐使用Win dows 2k sp4（中文版）、Win dows 2003（中文版卜可以使用Windows XP sp3（中文版）,Vista , windows 7 。

长城资产天清汉马防火墙配置信息一、基本信息接口0的默认地址配置为192.168.1.250/24。

允许对该接口进行Telnet，PING，HTTPS操作。

系统默认的管理员用户为admin，密码为g。

用户可以使用这个管理员账号从任何地址登录设备，并且使用设备的所有功能。

系统默认的审计员用户为audit，密码为venus.audit。

用户可以使用这个账号对安全策略和日志系统进行审计。

系统默认的用户管理员用户为useradmin，密码为er。

用户可以使用这个账号用于配置系统管理员。

二、USG设备的主要配置选项。

1.系统管理：系统配置和管理。

包括状态、会话管理、管理员、维护和监控。

可以查看各种版本，系统已经运行的时间，系统性能，接口状态，授权信息，各种网络活动状况可以对USG进行会话管理，进行会话连接数限制并可以临时阻断可疑的会话可以对协议超时时间进行配置，因为有些应用程序在全连接建立后，报文只会根据实际的数据进行交互，而没有保活机制，往往会导致连接超时删除，后续的数据无法通过设备。

协议管理功能提供了设置特定服务超时时间的功能，可以解决这种需要长时间空闲连接的问题。

创建管理员要先创建管理员权限表，可以配置只能通过哪个地址进行登陆如果对设备各种库进行自动升级要为设备设置正确的DNS，选择恢复出厂设臵提交后，去执行重启操作，而不要去点保存按钮目前外置储存器只支持CF卡和USB2.网络管理：网络相关配置。

包括接口、NAT、基本配置、DHCP、双机热备功能的配置。

可以更改端口的带宽设置、双工模式以及端口速率等设置功能。

对于端口的命名，如果是100M网卡，则名称前缀为eth，比如eth0，eth1等等；如果是1000M网卡，则名称前缀为ge，端口默认的MTU为1500，本设备可以做单臂路由。

同一个接口只能加入到一个网桥组。

已创建了子接口（VLAN接口）的以太网接口不能加入网桥组。

GRE 协议的英文全称是Generic Routing Encapsulation，即通用路由封装协议。

天清汉马防火墙本机策略随着互联网的迅速发展，网络安全问题也日益突出。

为了保护企业和个人的网络安全，人们普遍采用了防火墙的手段来阻止潜在的网络攻击。

天清汉马防火墙作为一种常用的网络安全设备，其本机策略的设置对于提高网络安全性至关重要。

一、概述天清汉马防火墙是一种基于硬件的网络安全设备，能够监控和控制网络流量，提供防火墙、入侵检测和防病毒等功能。

本机策略是指在防火墙设备本身上设置的一系列规则，用于限制和控制设备本身的流量和访问。

二、本机策略的重要性本机策略的设置对于保护防火墙设备本身的安全至关重要。

一方面，合理设置本机策略可以防止恶意攻击者利用防火墙设备进行攻击，保护防火墙的稳定和正常工作；另一方面，本机策略的设置也可以提高防火墙设备的性能，使其能够更好地应对网络流量的处理需求。

三、本机策略的设置原则1. 最小权限原则：本机策略应遵循最小权限原则，即只授予防火墙设备必要的访问权限。

这样可以减少潜在的攻击面，降低被攻击的风险。

2. 白名单原则：本机策略应采用白名单模式，只允许经过授权的设备或应用程序访问防火墙。

这可以有效防止未经授权的访问和攻击。

3. 强密码策略：本机策略应要求设置强密码，并定期更新密码。

强密码可以提高设备的安全性，防止密码被猜解或暴力破解。

4. 定期备份：本机策略应定期备份，并将备份数据存储在安全的地方。

这样可以在设备故障或被攻击时，快速恢复设备的配置和策略。

四、本机策略的具体内容1. 访问控制策略：本机策略应包括控制访问防火墙设备的规则，例如限制管理访问的IP地址范围、限制访问的时间段等。

2. 流量过滤策略：本机策略应设置流量过滤规则，根据业务需求和安全策略，对进出防火墙的流量进行过滤和控制。

3. 应用控制策略：本机策略应设置应用控制规则，限制或禁止某些特定应用程序的访问，以防止恶意软件或安全漏洞的利用。

4. 安全日志策略：本机策略应设置安全日志记录规则，记录关键事件和异常行为，以便及时发现和应对安全威胁。

天清汉马USG防火墙快速安装指南USG防火墙是一种网络安全设备，可保护企业网络不受来自互联网的攻击和威胁。

USG防火墙具有强大的功能，包括入侵检测和防范、URL过滤、VPN等。

下面是天清汉马USG防火墙的快速安装指南。

1.准备工作-确保您已购买了天清汉马USG防火墙并收到了所有所需的配件。

-查找一个安全的位置来放置USG防火墙，离电源插座和网络设备近。

2.连接设备-将USG防火墙的电源插头插入电源插座，并将另一端连接到USG防火墙上的电源端口。

- 使用Ethernet电缆将USG防火墙的LAN端口连接到您的网络交换机或路由器的可用端口。

- 使用另一条Ethernet电缆将USG防火墙的WAN端口连接到您的互联网入口设备，例如光猫或宽带调制解调器。

3. 访问Web界面- 打开您的Web浏览器，并键入USG防火墙的默认管理IP地址（通常为192.168.1.1）。

- 输入默认的用户名和密码进行登录（通常为admin/admin）。

4.配置网络参数- 在Web界面中，导航到"网络"或"接口"选项卡，并选择WAN口。

-根据您的网络提供商的要求，配置WAN口的IP地址和其他相关参数，例如子网掩码、默认网关和DNS服务器。

-保存更改并应用配置。

5.配置防火墙规则- 在Web界面中，导航到"防火墙"或"安全"选项卡，并选择"规则"子选项卡。

-根据您的安全需求，配置防火墙规则以允许或拒绝特定的网络流量。

-保存更改并应用配置。

6.配置VPN- 在Web界面中，导航到"VPN"或"安全"选项卡，并选择"VPN"子选项卡。

-根据您的需求，配置VPN连接，例如设置远程访问、站点到站点VPN等。

-保存更改并应用配置。

7.配置其他功能-根据您的需求，配置其他USG防火墙功能，例如入侵检测和防范、URL过滤等。

长城资产天清汉马防火墙配置信息一、基本信息接口0的默认地址配置为192.168.1.250/24。

允许对该接口进行Telnet，PING，HTTPS 操作。

系统默认的管理员用户为admin，密码为g。

用户可以使用这个管理员账号从任何地址登录设备，并且使用设备的所有功能。

系统默认的审计员用户为audit，密码为venus.audit。

用户可以使用这个账号对安全策略和日志系统进行审计。

系统默认的用户管理员用户为useradmin，密码为er。

用户可以使用这个账号用于配置系统管理员。

二、USG设备的主要配置选项。

1.系统管理：系统配置和管理。

包括状态、会话管理、管理员、维护和监控。

可以查看各种版本，系统已经运行的时间，系统性能，接口状态，授权信息，各种网络活动状况可以对USG进行会话管理，进行会话连接数限制并可以临时阻断可疑的会话可以对协议超时时间进行配置，因为有些应用程序在全连接建立后，报文只会根据实际的数据进行交互，而没有保活机制，往往会导致连接超时删除，后续的数据无法通过设备。

协议管理功能提供了设置特定服务超时时间的功能，可以解决这种需要长时间空闲连接的问题。

创建管理员要先创建管理员权限表，可以配置只能通过哪个地址进行登陆如果对设备各种库进行自动升级要为设备设置正确的DNS，选择恢复出厂设臵提交后，去执行重启操作，而不要去点保存按钮目前外置储存器只支持CF卡和USB2.网络管理：网络相关配置。

包括接口、NAT、基本配置、DHCP、双机热备功能的配置。

可以更改端口的带宽设置、双工模式以及端口速率等设置功能。

对于端口的命名，如果是100M网卡，则名称前缀为eth，比如eth0，eth1等等；如果是1000M网卡，则名称前缀为ge，端口默认的MTU为1500，本设备可以做单臂路由。

同一个接口只能加入到一个网桥组。

已创建了子接口（VLAN接口）的以太网接口不能加入网桥组。

GRE 协议的英文全称是Generic Routing Encapsulation，即通用路由封装协议。