checkpoint培训手册

Check point防火墙基本操作手册CheckPoint(中国)TEL:(86)10 8419 3348 FAX:(86)10 8419 3399©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:目录目录 (2)防火墙架构 (3)防火墙的Web管理 (3)配置IP： (4)配置DNS和Host: (5)配置路由: (5)通过防火墙的管理客户端管理 (5)添加防火墙 (7)添加策略步骤 (10)IP节点添加 (10)添加网段 (11)IPS的配置 (13)更新IPS库 (14)新建IPS动作库 (14)应用控制 (16)更新数据库 (16)添加应用控制策略 (17)App Wike (18)自定义添加应用 (18)QOS配置 (20)Qos策略的添加 (20)日志工具的使用 (20)筛选日志 (21)临时拦截可以连接 (22)©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:©2010 Check Point Software Technologies Ltd. All rights reserved.Classification:防火墙架构Check point 防火墙的管理是通过一个三层架构来实现的。

首先我们可以在任意的机器上安装防火墙客户端控制台，然后利用控制台的图形化界面登录check point 的管理服务器，定义出各个网络对象，定义企业各条策略，最后下发到防火墙执行模块。

具体实现过程见图示：防火墙的Web 管理首先打开Web 管理界面，出现登录界面：登陆后的界面设备的Web界面只能配置设备的IP地址，网关，DNS和路由。

还可以针对设备的事件，SNMP监控，代理等信息。

天诚世纪网络科技有限公司网络安全事业部Checkpoint操作手册文档目录●Smart Dashboard (3)●SmartView Tracker (7)●SmartView monitor (9)●Checkpoint网关gateway模式 (11)●PPPOE拨号 (16)●checkpoint桥接bridge模式 (19)●ISP双链路接入配置 (21)●NAT地址转换 (28)●SSL VPN (31)●Site-to-site 预共享密码vpn (38)●Site-to-site 证书vpn （cp270与edge/safe@office） (42)●RemoteAccess vpn (48)●IPS (52)Smart Dashboard1.登录smart center2.功能介绍Checkpoint属性更新网络拓扑Nodes对象网段Network开启NAT功能配置完任何firewall防火墙规则，都需要安装策略，否则规则不会生效1.Smartview tracker 登录2.功能界面介绍Network&endpoint：记录网络安全日志Management：记录操作checkpoint日志●SmartView monitor1.登录smartview monitor2.界面介绍Traffic---Top servicesTraffic---Top InterfacesTraffic---Top soures1.网络拓扑图2.配置步骤：1)登录SmartDashboard2)新建网段对象将192.168.200.0定义为内网网段inside192.168.200.0将192.168.1.0定义为公网网段outside192.168.1.03)开启NAT功能双击inside192.168.200.0，到NAT，将add automatic address translation打上钩，确定4)建立防火墙规则防火墙firewall建立规则，允许源地址到目标地址任何服务5)安装规则运行install policies6)客户端配置PPPOE拨号1.在checkpoint的console口命令行中，增加下面语法[Expert@cp]# mknod /dev/ppp c 108 0 （重启设备后，这条命令会丢失，需要在启动脚本里增加）[Expert@cp]# vi $CPDIR/tmp/.CPprofile.csh （在脚本里增加此命令）在最后增加一行内容是mknod /dev/ppp c 108 0保存，重启设备2.web界面新建pppoe拨号External接口接到moder，internal接到交换机External接口需要自动获取ip地址（adsl线路是动态，获取到的公网ip地址是动态。

Checkpoint 笔记2012/12/11目录1实验拓扑1．2实验网卡桥接1．3 DynamipsGUI来制作1．4实验平台与教程2 checkpoint 初始化与配置…….2．1 smartConsole2．2 chekcpoint理论基础2．2．1 Policy packet2．2．2 Policy design2．2．3完全卸载安全策略2．2．4 cp 的implied Rules 隐含的策略2．2．5 Checkpoint NAT种类2．2．6 Checkpoint 认证方式2．2．7 Vpn3 Checkpoint 实验手册3．1 Remote access vpn 实验3．2 Site to site vpn 实验3．3 Context filter 实验3．4用户认证实验3．4．1 user auth3．4．2 session auth3．4．3 client auth3．5 NAT实验3．5．1 Hide nat动态配置方法：3．5．2手动配置Hide nat3．5．3静态转换动态配置3．5．4静态转换手动的配置3．5．5端口转换3．6 开启Smartportal 实验1、实验拓扑：1．2实验网卡桥接1．3通过DynamipsGUI来制作桥接的三台虚拟路由器生成BA T文件就可以了。

1．4实验平台与教程Checkpoint 防火墙图形化界面配置Checkpoint IoS: CheckPoint_NGX_R65_Suite_SPLAT_Linux30.ISO 视频教程: 秦柯CheckPoint防火墙.isz虚拟机安装vmware 9需要通过web进去初始化，初始化完成后，会应该默认的deny 策略。

(只支持IE浏览器)二、checkpoint 初始化与配置基本的信息都可以通过web去做修改和查看。

全功能版的授权只有15天，如果15天后想继续使用，只能够重装checkpoint 系统，授权是跟网卡绑在一起，暂时还没有找到办法去破解。

目录1CHECKPOINT VPN概述 (2)1.1 简介 (2)1.2 分类及其工作原理 (3)1.3 功能与定位 (3)1.4 特点与局限性 (4)2CHECKPOINT VPN适用环境及部署原则 (5)2.1 适用环境 (5)2.2 安全部署原则 (5)3CHECKPOINT VPN的安全管理与配置 (5)3.1 服务器端设置 (5)3.2 客户端设置 (18)3.3 登陆过程 (23)3.4 日志查询 (23)1Checkpoint VPN概述1.1 简介VPN（Virtual Private Network）虚拟专用网，是企业网在因特网等公共网络上的延伸，通过一个私有的通道在公共网络上创建一个安全的私有连接，可以形象地看做是一条穿过混乱的公用网络的安全、稳定的隧道，所以VPN中使用的加密传输协议被称为隧道协议。

用户使用VPN使需要在PC机上安装一个客户端软件，该客户端和企业的VPN Server互相配合，能保证用户端到企业内部的数据是被加密，无法监听。

VPN的设计目标是保护流经Internet的通信的保密性和完整性，在数据在互联网上传输之前进行加密，在到达最终用户之前进行解密。

但尽管如此，VPN并不完备，许多用户在使用VPN时，密码经常被窃，使整个VPN系统失去安全。

这种密码盗窃是VPN中经常遭受的、最具危害性的攻击。

一般来说，大多数对用户身份的确认是通过用户名和固定的密码实现的，然而，固定密码容易被窃或被黑客随处可得的“Cracker”工具破译，某些软件可以自动完成猜测密码的工作，更糟糕的是，某些特定的单词，如“password”或“123456”等，经常被用做密码。

对密码保护的最好办法就是不要密码――不采用固定密码，采用动态密码，俗称一时一密，每个密码只能用一次，每次的有效时间只有很短的时间。

对VPN采用动态密码，很好解决了数据的传输安全和密码安全，是一个完美结合。

目前企业有的内部应用系统也采用了动态密码，但对一些来自外网的黑客而言，这些动态密码对他们毫无作用。

1. CheckPoint架构 (2)2. 设置系统配置 (2)2.1 设置IP地址 (2)2.2 设置路由 (3)2.3 配置备份 (4)2.4 下载SmartConsole（GUI Client） (6)2.5 命令行（Console/SSH）登陆专家模式 (6)3. 配置防火墙策略 (6)3.1 安装SmartConsole，登录策略配置管理 (7)3.2 创建对象 (7)3.2.1 创建主机对象 (7)3.2.2 创建网络对象 (8)3.2.3 创建组对象 (9)3.3 创建策略 (10)3.3.1 策略分组 (13)3.4 创建地址转换（NAT） (14)3.4.1 自动地址转换（Static） (15)3.4.2 自动地址转换（Hide） (15)3.4.3 手动地址转换 (16)3.5 Install Policy (18)4. 用户识别及控制 (18)4.1 启用用户识别及控制 (18)4.2 创建AD Query策略 (22)4.3 创建Browser-Based Authentication策略 (24)5. 创建应用及网址（URL）控制策略 (25)5.1 启用应用或网址（URL）控制功能 (25)5.2 创建应用及网址（URL）对象 (25)5.3 创建应用及网址（URL）组对象 (27)5.4 创建应用及网址（URL）控制策略 (29)6. 创建防数据泄露（DLP）策略 (31)6.1 启用防数据泄露（DLP）功能 (31)6.2 创建防数据泄露（DLP）对象 (31)6.2.1 创建防数据泄露（DLP）网络对象 (31)6.2.2 创建防数据泄露（DLP）分析内容对象 (31)6.2.3 创建防数据泄露（DLP）分析内容组对象 (31)6.3 创建防数据泄露（DLP）控制策略 (31)7. 生成报表（SmartReporter） (31)7.1 启用报表功能 (32)7.2 生成报表前参数调整 (32)7.3 生成报表 (35)8. 事件分析（SmartEvent） (36)8.1 启用事件分析功能 (36)8.2 查看事件分析 (37)1. CheckPoint 架构CheckPoint 分为三层架构，GUI 客户端（SmartConsole ）是一个可视化的管理配置客户端，用于连接到管理服务器（SmartCenter ），管理服务器（SmartCenter ）是一个集中管理平台，用于管理所有设备，将策略分发给执行点（Firewall ）去执行，并收集所有执行点（Firewall ）的日志用于集中管理查看，执行点（Firewall ）具体执行策略，进行网络访问控制2. 设置系统配置设备的基本配置需要在WEB 下进行，如IP 、路由、DNS 、主机名、备份及恢复、时间日期、管理员账户，默认web 管理页面的连接地址为https://192.168.1.1:4434，如果已更改过IP ，将192.168.1.1替换为更改后的IP2.1 设置IP 地址例：设置LAN2口的IP 为10.0.255.2登录web 后选择Network Connections直接点击LAN2管理服务器 SmartCenterGUI ClientSmartConsole 执行点Firewall填入IP地址和掩码，点击Apply2.2设置路由例：设置默认路由为10.0.255.1登录web后选择Network→Routing点击New→Default Route，（如果设置普通路由，点击Route）填入默认路由，点击Apply2.3配置备份此备份包括系统配置和CheckPoint策略等所有配置例：将配置备份出来保存选择Applicance→Backup and Restore选择Backup→Start Backup输入备份的文件名，点击Apply（由于日志可能会较大，增加备份文件的大小，可考虑去掉Include Check Point Products log files in the backup前面的勾）选择Yes等待备份文件打包当弹出下载文件提示后，将文件保存至本地2.4下载SmartConsole（GUI Client）选择Product Configuration Download SmartConsole选择Start Download2.5命令行（Console/SSH）登陆专家模式登陆命令行（Console/SSH）默认模式下仅支持部分操作及命令，如需要执行更高权限的命令或操作时需登陆专家模式在命令行中输入expert回车，根据提示输入密码即可登陆，默认密码同web、console、SSH登陆密码相同# expertEnter expert password:You are in expert mode now.3.配置防火墙策略CheckPoint防火墙的策略执行顺序为自上而下执行，当满足某一条策略时将会执行该策略设定的操作，并且不再匹配后面的策略***如果策略中包含用户对象，即使匹配该策略，仍然会继续匹配后面的策略，只有当后面的策略没有匹配或者后面的策略中匹配的操作是drop时才会执行之前包含用户的策略通常CheckPoint策略配置的顺序依次为防火墙的管理策略、VPN策略、服务器（DMZ）策略、内网上网策略、全部Drop策略创建CheckPoint防火墙策略的步骤为创建对象、创建策略并在策略中引用对象、Install Policy***CheckPoint中配置的更改必须Install Policy之后才会生效3.1安装SmartConsole，登录策略配置管理直接运行下载的SmartConsole安装包进行安装，安装完成后登陆SmartDashboard例：打开策略管理运行SmartDashboard输入用户名、密码以及SmartCenter（管理服务器）的IP地址，点击OK登陆3.2创建对象CheckPoint配置策略的基本步骤为创建需要的对象、创建策略、在策略中引用对象、Install Policy3.2.1创建主机对象例：创建IP为192.168.10.1的对象选择Nodes→Node→Host在Name处输入对象名（字母开头），在IP Address处输入对象的IP地址，如192.168.10.1，点击OK3.2.2创建网络对象例：创建网段为192.168.10.0，掩码为255.255.255.0的对象选择Networks Network…输入网段对象名，网段，掩码（由于是中文版系统的关系，部分字样可能显示不全），点击OK3.2.3创建组对象如果有多个对象需要在策略中引用，方便起见可将这些对象添加到一个组中，直接在策略中引用该组即可例：将网段192.168.10.0和192.168.11.0添加到一个组对象中选择Groups→Groups→Simple Group…输入组对象的名字，将网段对象192.168.10.0和192.168.11.0在左侧Not in Group窗口中双击移入到右侧的In Group窗口中，点击OK3.3创建策略创建策略前需根据需求先确定创建的位置例：在第6条和第7条之间创建1条允许192.168.10.0网段访问任何地方任何端口的策略，并记录日志选中第7条策略，单击右键，选择Add Rule Above添加后会出现一条默认策略，需要做的就是在这条策略上引用对象在Source对应的一栏中，右键点击Any，选择Network Object…找到192.168.10.0这个网段的对象后选中，并点击OK由于是访问任何地址的任何端口，所以在Destination、VPN、Service栏中保持Any不变在Action栏中点击右键选择Accept在Track栏中点击右键选择Log，这样凡是被这条策略匹配的连接都会记录下日志，用于在SmartView Tracker中查看完成后的策略如下图3.3.1策略分组当策略数目较多时，为了方便配置和查找，通常会对策略进行分组例：将7、8、9三条日志分为一个组选中第7条策略，点击右键，选择Add Section Title Above输入名字后点击OK如下图所示，7、8、9三条策略就分在一个组中了，点击前面的+-号可以打开或缩进3.4创建地址转换（NAT）在CheckPoint中地址转换分为自动和手动两种，其中自动又分为Static NAT和Hide NAT Static NATStatic是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。

Check Point UTM-1用户手册第一章使用向导 (3)一、从配置UTM开始 (3)1、登陆UTM (3)2、配置网卡 (4)3、配置路由 (5)4、配置主机名 (6)5、调整时间 (7)二、步骤1－配置之前......一些有用的术语 (7)三、步骤2－安装和配置 (8)四、步骤3－第一次登录到SmartCenter服务器 (9)五、步骤4－在安全策略定义之前 (11)六、步骤5－为安全策略定义规则 (16)七、步骤6－来源和目的 (17)第二章策略管理 (17)一、有效的策略管理工具需要 (18)二、CheckPoint管理策略的解决方案 (18)1、策略管理概况 (18)2、策略集 (19)3、规则分节标题 (21)4、查询和排列规则以及对象 (21)三、策略管理需要注意的问题 (22)四、策略管理配置 (22)第三章SmartView Tracker (25)一、跟踪的需求 (25)二、CheckPoint对跟踪的解决方案 (26)1、跟踪概况 (26)2、SmartView Tracker (27)3、过滤 (28)4、查询 (29)5、通过日志切换维护日志文件 (29)6．通过循环日志来管理日志空间 (29)7、日志导出功能 (30)8、本地日志 (30)9、使用日志服务器记录日志 (30)10、高级跟踪操作 (30)三、跟踪需要考虑的问题 (31)四、跟踪配置 (32)1、基本跟踪配置 (32)2、SmartView的查看选项 (32)3、配置过滤器 (33)4、配置查询 (33)5、维护 (34)6、本地日志 (35)7、使用日志服务器 (35)8、自定义命令 (36)9、阻断入侵 (37)10、配置报警命令 (37)第一章使用向导一、从配置UTM开始1、登陆UTM5、调整时间二、步骤1－配置之前……一些有用的术语这里介绍一些有助于理解本章内容的相关信息。

Security Policy（安全策略）是由系统管理员创建的，用来管理进和出的网络通信连接。

CheckPoint防火操作手册1 配置主机对象定义防火墙策略时，如需对I P 地址进行安全策略控制则需首先配置这个对象，下面介绍主机对象配置步骤，在“Network Objects”图标处，选择“Nodes”属性上点击右键，选择“Node”，点击“Host”选项，定义主机对象的名称，IP Address属性，同时可按照该主机的重要性定义颜色，配置完成后点击OK,主机对象创建完成。

2 配置网段对象定义防火墙策略时，如需对网段进行安全策略控制则需首先配置这个网络对象，配置步骤如下，在防火墙“Network”属性上点击右键，选择“Network”，选项，定义网段名称，比如DMZ，Internal，建议根据网段所处位置定义，配置网段地址和子网掩码，如有必要可以添加注释（Comment），配置完成后点击确认。

3 配置网络组对象如果需要针对单个I P 地址、IP 地址范围或者整个网段进行安全策略控制，可以将这些对象添加到网络组，如下在防火墙“Group”属性上点击右键，选择“Simple Group”选项，成后点击O K 即可4 配置地址范围对象除了配置I P 地址，网段，也可以指定地址范围(IP range)，地址范围对象配置步骤是，如下在防火墙“Network”属性上点击右键，选择去掉“Do not show empty folders”选项，让I P Range 配置属性显示出来。

配置“Address Rage”，选择“Address Ranges”，如下图输入地址名称、起始IP地址与结束IP地址，完成后点击OK即可。

5 配置服务对象5.1 配置T CP 服务对象Check Point 防火墙内置了预定义的近千种服务，包括T CP、UDP、RPC、ICMP 等各种类型服务，通常在定义防火墙安全策略时，大多数服务已经识别并内置，因此无需额外添加，但也有很多企业自有开发程序使用特殊端口需要自行定义，下面介绍如何自定义服务，如下图所示，点击第二个模块标签，即S ervices，已经预定义多种类型服务，用户根据需要自定义新的服务类型，下面举例定义T CP 类型服务，右键点击“TCP”，选择“New TCP如下图，可以点以单个TCP服务端口服务对象，如果是一段端口，可以定义端口范围以上举例新建T CP 协议的端口服务，如需定义U DP 协议或其他协议类型按照同样流程操作即可。