当前位置：文档之家 › usg6000安全策略配置(doc41页).docx

usg6000安全策略配置(doc41页).docx

  • 格式：docx
  • 大小：387.16 KB
  • 文档页数：43

配置反病毒

在企业网关设备上应用反病毒特性，保护内部网络用户和服务器免受病毒威胁。

组网需求

某公司在网络边界处部署了NGFW作为安全网关。内网用户需要通过Web服务器和POP3服务器下载文件和邮件，内网FTP服务器需要接收外网用户上传的文件。公司利用NGFW提供的反病毒功能阻止病毒文件在这些过程中进入受保护网络，保障内网用户和服务器的安全。网络环境如图1所示。

其中，由于公司使用Netease邮箱作为工作邮箱，为了保证工作邮件的正常收发，需要放行Netease邮箱的所有邮件。另外，内网用户在通过Web服务器下载某重要软件时失败，排查发现该软件因被NGFW判定为病毒而被阻断（病毒ID为8000），考虑到该软件的重要性和对该软件来源的信任，管理员决定临时放行该类病毒文件，以使用户可以成功下载该软件。

图1 配置反病毒组网图

配置思路

1. 配置接口IP地址和安全区域，完成网络基本参数配置。

2. 配置两个反病毒配置文件，一个反病毒配置文件针对HTTP和POP3协议设置匹配条件和响应动作，并在该配置文件中配置Netease邮箱的应用例外和病毒ID为8000的病毒例外，另外一个反病毒配置文件针对FTP协议设置匹配条件和响应动作。

3. 配置安全策略，在Trust到Untrust和DMZ到Untrust方向分别引用反病毒配置文件，实现组网需求。 操作步骤

1. 配置接口IP地址和安全区域，完成网络基本参数配置。

a. 选择“网络 > 接口”。

b. 单击GE1/0/1，按如下参数配置。

安全区域 untrust

IPv4

IP地址 1.1.1.1/24

c. 单击“确定”。

d. 参考上述步骤按如下参数配置GE1/0/2接口。

安全区域 dmz

IPv4

IP地址 10.2.0.1/24

e. 参考上述步骤按如下参数配置GE1/0/3接口。

安全区域 trust

IPv4

IP地址 10.3.0.1/24

2. 配置反病毒配置文件。

a. 选择“对象 > 安全配置文件 > 反病毒”。

b. 单击“新建”，按下图完成针对HTTP和POP3协议的配置。 c. 单击“确定”。

d. 参考上述步骤按如下参数完成针对FTP协议的配置。 3. 配置内网用户到外网服务器方向（Trust到Untrust方向）的安全策略。

a. 选择“策略 > 安全策略 > 安全策略”。

b. 单击“新建”。

c. 在“新建安全策略”中应用反病毒配置文件。参数配置如下。

名称 policy_av_1

描述 Intranet-User

源安全区域 trust

目的安全区域 untrust

动作 permit

内容安全

反病毒

AV_http_pop3

d. 单击“确定”。

4. 配置外网用户到内网服务器方向（Untrust到DMZ方向）的安全策略。

参照内网用户到外网服务器方向安全策略的配置方法，完成安全策略的配置。参数配置如下。

名称 policy_av_2

描述 Intranet-Server

源安全区域 untrust

目的安全区域 dmz

动作 permit 内容安全

反病毒

AV_ftp

5. 单击界面右上角的“保存”，在弹出的对话框中单击“确定”。

配置URL过滤

在NGFW上配置URL过滤功能，对用户访问的URL进行控制，允许或禁止用户访问某些网页资源。

组网需求

如图1所示，NGFW作为企业网关部署在网络边界，对用户发出访问外部网络的HTTP和HTTPS请求进行URL过滤。

公司有研发部门员工和市场部门员工两类，具体需求如下：

 企业所有员工可以访问包含education的网站。

 企业所有员工不可以访问包含bbs的网站。

 研发部门员工在每天的09：00～17：00只可以访问教育/科学类、搜索/门户类网站。其他网站都不能访问。

 市场部门员工在每天的09：00～17：00只可以访问教育/科学类、搜索/门户类、社会焦点类网站和。其他网站都不能访问。

图1 配置URL过滤组网图

配置思路

1. 配置接口IP地址和安全区域，完成网络基本参数配置。

2. 配置自定义分类url_userdefine_category，将列入url_userdefine_category分类。

3. 配置分类服务器远程查询，用来获取URL与预定义分类的对应关系。本例中教育/科学类、搜索/门户类、社会焦点类网站可以通过预定义分类来进行URL过滤控制。 4. 针对研发部门员工和市场部门员工，配置两个URL过滤配置文件，将包含关键字bbs的URL列入黑名单，将包含关键字education的URL列入白名单。并设置URL自定义分类和预定义分类的控制动作。

5. 配置两个安全策略，引用时间段、用户组等信息，实现针对不同用户组和不同时间段的URL访问控制策略。

操作步骤

1. 配置接口IP地址和安全区域，完成网络基本参数配置。

a. 选择“网络 > 接口”。

b. 单击GE1/0/1对应的，按如下参数配置。

安全区域 trust

IPv4

IP地址 10.3.0.1/24

c. 单击“完成”。

d. 参考上述步骤按如下参数配置GE1/0/2接口。

安全区域 untrust

IPv4

IP地址 1.1.1.1/24

2. 配置URL自定义分类。

a. 选择“对象 > URL分类”。

b. 单击“新建”，按如下参数配置。

名称 url_userdefine_category

描述 url userdefine category of accessURL

c. 单击“确定”。

3. 配置URL分类服务器。

a. 选择“对象 > 安全配置文件 > URL过滤”。

b. 单击“配置”，配置URL分类服务器，按如下参数配置。

查询方式 远程

国家 中国

安全服务中心

超时时间 3

超时后动作 允许

c. 单击“确定”。

d. 单击“接受”。

4. 配置URL过滤配置文件。

a. 选择“对象 > 安全配置文件 > URL过滤”。

b. 在“URL过滤配置文件”中，单击“新建”，按如下参数配置。

名称 profile_url_1

描述 URL filter profile of web access

缺省动作 允许

白名单 *education*

黑名单 *bbs* SSL解密 启用

URL过滤级别 选择“自定义”：将预定义分类“教育配置为阻断。

说明：

为了使配置简单化，配置上述动作时，选择“自定义”后，选中第一行“名称“阻断”，然后再配置上述两个预定义c. 单击“确定”。

d. 在“URL过滤配置文件”中，单击“新建”，按如下参数配置。

名称 profile_url_2

描述 URL filter profile of web access

缺省动作 允许

白名单 *education*

黑名单 *bbs*

SSL解密 启用

URL过滤级别 选择“自定义”：将预定义分类“教育“url_userdefine_category”的动作说明：

为了使配置简单化，配置上述动作时，选择“自定义”后，选中第一行“名称“阻断”，然后再配置上述三个预定义e. 单击“确定”。

5. 配置时间段。

a. 选择“对象 > 时间段”。

b. 单击“新建”，按如下参数配置名为“time_range”的时间段。 名称

time_range

类型 周期时间段

开始时间 09：00

结束时间 17：00

每周生效时间 星期一、星期二、星期三、星期四、星c. 单击“确定”。

6. 在安全策略中应用URL过滤配置文件。

说明：

本例中引用到的用户组research（研发部门员工）和用户组marketing（市场部门员工）假设已经创建完成。

a. 选择“策略 > 安全策略 > 安全策略”。

b. 单击“新建”，按如下参数配置。关于安全策略的更多信息，请参见安全策略。

名称 policy_sec_1

描述 Security policy of web access pro源安全区域 trust

目的安全区域 untrust

用户 /research

时间段 time_range

动作 permit 内容安全

URL过滤 profile_url_1

c. 单击“确定”。

d. 单击“新建”，按如下参数配置。关于安全策略的更多信息，请参见安全策略。

名称 policy_sec_2

描述 Security policy of web access pro源安全区域 trust

目的安全区域 untrust

用户 /marketing

时间段 time_range

动作 permit

内容安全

URL过滤 profile_url_2

e. 单击“确定”。

举例：配置文件过滤

在企业网关配置文件过滤后，可以降低内部网络感染病毒的风险，还可以防止员工将公司机密文件泄露到互联网。

组网需求 如图1所示，某公司在网络边界处部署了NGFW作为安全网关。公司希望在保证网络能够正常使用的同时实现以下需求：

 为了防止公司机密文件的泄露，禁止员工上传常见文档文件、开发文件（C、CPP、JAVA）以及压缩文件到内网服务器和Internet。

 为了降低病毒进入公司内部的风险，禁止员工从Internet下载可执行文件以及Internet用户上传可执行文件到内网服务器。

 为了保证员工的工作效率，禁止员工从Internet下载视频类文件。

图1 文件过滤组网图

数据规划

说明：

本举例的用户已经存在于NGFW中，并且已经完成了认证的配置。

项目 数据

policy_sec_user1  名称：policy_sec_user1

 源安全区域：trust

 目的安全区域：untrust

 用户：user

 动作：允许

 文件过滤：profile_file_user1 安配文policy_sec_user2  名称：policy_sec_user2

 源安全区域：trust 安滤

合集下载

Secoway USG5000 技术白皮书

Secoway USG5000 技术白皮书

华为Secoway USG5000防火墙

技术白皮书

华为技术有限公司

Huawei Technologies Co., Ltd.目录

目录 ........................................................ 错误!未定义书签。

1 概述 .................................................... 错误!未定义书签。

网络中存在的问题 ........................................ 错误!未定义书签。

防火墙产品介绍 .......................................... 错误!未定义书签。

防火墙的定义 ............................................ 错误!未定义书签。

防火墙设备的使用指南 .................................... 错误!未定义书签。

2 防火墙设备的技术原则 .................................... 错误!未定义书签。

防火墙的可靠性设计 ...................................... 错误!未定义书签。

防火墙的性能模型 ........................................ 错误!未定义书签。

网络隔离 ................................................ 错误!未定义书签。

访问控制 ................................................ 错误!未定义书签。

IP访问控制列表 ....................................... 错误!未定义书签。

公司局域网组建方案

公司局域网组建方案

公司局域网组建方案

第1篇

公司局域网组建方案

一、项目背景

随着信息技术的飞速发展，企业信息化建设日益重要。为了提高公司内部信息交流效率，降低运营成本，加强内部管理，公司决定组建局域网，实现内部数据的高速传输与共享。本方案旨在为公司的局域网组建提供一套合法合规、高效稳定的技术方案。

二、项目目标

1. 实现公司内部各部门之间的网络互联，提高信息传输效率。

2. 建立安全可靠的数据存储与备份机制，确保数据安全。

3. 提供便捷的网络接入与权限管理，满足员工日常办公需求。

4. 降低网络故障率，提高网络稳定性，确保业务连续性。

三、网络架构设计

1. 网络拓扑结构

采用星型拓扑结构，核心交换机与各楼层接入交换机之间采用光纤连接，提供高速、稳定的网络传输。

2. 网络分层设计

（1）核心层：负责整个局域网的数据交换与路由，采用高性能的三层交换机，具备较高的处理能力和扩展性。

（2）汇聚层：负责接入层交换机的汇聚，提供高速接入与汇聚功能，采用二层或三层交换机。

（3）接入层：为终端设备提供接入网络的功能，采用二层交换机。

3. IP地址规划

采用私有地址段进行规划，分为VLAN，实现不同部门之间的隔离。IP地址分为三个部分：网络地址、主机地址和广播地址。

四、设备选型及配置

1. 交换机

（1）核心层交换机：选择华为S7706系列交换机，具备高性能、高可靠性和高扩展性。

（2）汇聚层交换机：选择华为S5700系列交换机，满足高速接入与汇聚需求。

（3）接入层交换机：选择华为S2700系列交换机，提供稳定的接入能力。

2. 路由器

选择华为AR2200系列路由器，具备较高的性能和丰富的接口类型，满足公司内部网络与外部网络的互联需求。

3. 防火墙

选择华为USG6000系列防火墙，提供安全防护，防止恶意攻击和非法访问。

4. 无线接入点

选择华为AP4030系列无线接入点，提供高速、稳定的无线网络覆盖。

华为HiSecEngine USG6300E系列新一代防火墙V600R007C00规格清单(含详细参数)

华为HiSecEngine USG6300E系列新一代防火墙V600R007C00规格清单(含详细参数)

桌面型USG6307E-AC（桌面型）USG6311E-AC（桌面型）USG6331E-AC（桌面型USG6305E-ACUSG6309E-AC参考用户数11-5050-100100~200100-400300~500防火墙吞吐量2（1518byte）800 Mbps1.5 Gbps3 Gbps600 Mbps800 Mbps最大并发连接数24万30万50万100万120万每秒新建连接数2万2万3万8万8万IPSec吞吐量（AES，1420 byte）800Mbps1Gbps3Gbps600Mbps800MbpsIPSec最大连接数100010002,0004,0004,000SSL VPN并发用户数100100500500500最大安全策略100010003,00015,00015,000虚拟防火墙1010205050主要功能入侵防御（IPS）支持支持支持支持支持防病毒（AV）支持支持支持支持支持数据防泄漏（DLP）支持支持支持支持支持上网行为管理&审计支持支持支持支持支持基于应用的QoS优化支持支持支持支持支持负载均衡---支持支持智能策略管理支持支持支持支持支持Anti-DDoS---支持支持智能选路支持支持支持支持支持流探针---支持支持轻度诱捕---支持支持隧道内流量检测支持支持支持支持支持SSL加密流量检测支持支持支持支持支持跨数据中心集群-----Vxlan支持支持支持支持支持摄像头接入安全支持支持支持支持支持云管理支持支持支持支持支持安全沙箱联动---支持支持网络安全智能系统（CIS）联动支持支持支持支持支持IDS联动支持支持支持支持支持I/O千兆NGFW（USG6300/U

固定接口2×GE (SFP) + 10×GE2×GE (SFP) + 10×GE2*10GE(SFP+) +10*GE

4G LTE整机规格产品形态1U盒式1U盒式尺寸（W×D×H）mm442*420*43.6442*420*43.6满配重量5.8KG5.8KG

华为防火墙配置使用手册(自己写)[4]

华为防火墙配置使用手册(自己写)[4]

华为防火墙配置使用手册(自己写)

华为防火墙配置使用手册

一、概述

二、防火墙基本概念

包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型

和端口号等信息进行过滤，不对数据包的内容进行分析。它的优点是

处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。

状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包

的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并

拒绝通过。它的优点是安全性较高，可以阻挠一些常见的攻击，但是

处理速度较慢，开消较大。

应用代理防火墙：它对数据包的内容进行深度分析，可以识别出

不同的应用协议和服务，并根据应用层的规则进行过滤。它的优点是

安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。

访问控制：它可以根据源地址、目的地址、协议类型、端口号、

应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问

权限的控制和管理。虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数

据加密传输，保证数据的机密性、完整性和可用性。

内容安全：它可以对网络流量中携带的内容进行检查和过滤，如

、网页、文件等，并根据预定义的规则进行拦截或者放行。

用户认证：它可以对网络访问者进行身份验证，如用户名、密码

、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。

流量管理：它可以对网络流量进行统计和监控，如流量量、流量

速率、流量方向等，并根据预定义的规则进行限制或者优化。

日志审计：它可以记录并保存网络流量的相关信息，如源地址、

目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询

和分析的功能。

三、防火墙配置方法

命令行界面：它是一种基于文本的配置方式，用户可以通过控制

台或者远程终端访问防火墙，并输入相应的命令进行配置。它的优点是

灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语

法和逻辑。

图形用户界面：它是一种基于图形的配置方式，用户可以通过浏

览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。它的优点是易用性高，可以实现直观的配置和管理，但是需要用户安装相