-.z.DPtechFW1000操作手冊(cè)迪普科技2011年10月.z.目錄DPtechFW1000操作手冊(cè)1第1章組網(wǎng)模式11.1組網(wǎng)模式1-透明模式11.2組網(wǎng)模式2-路由模式21.3組網(wǎng)模式3-混合模式3第2章根本網(wǎng)絡(luò)配置42.1實(shí)現(xiàn)功能42.2網(wǎng)絡(luò)拓?fù)?2.3配置步驟4第3章深度檢測(cè)功能配置73.1實(shí)現(xiàn)功能73.2網(wǎng)絡(luò)拓?fù)?3.3配置步驟7第4章VPN94.1IPSecVPN9客戶端接入模式9網(wǎng)關(guān)—網(wǎng)關(guān)模式104.2L2TPVPN12實(shí)現(xiàn)功能12網(wǎng)絡(luò)拓?fù)?2配置步驟124.3GREVPN16實(shí)現(xiàn)功能16網(wǎng)絡(luò)拓?fù)?6配置步驟164.4SSLVPN17實(shí)現(xiàn)功能17網(wǎng)絡(luò)拓?fù)?8配置步驟18第5章VRRP雙機(jī)熱備205.1實(shí)現(xiàn)功能205.2網(wǎng)絡(luò)拓?fù)?05.3配置步驟20第6章日志輸出UMC246.1業(yè)務(wù)日志輸出246.2會(huì)話日志輸出246.3流量分析輸出25-.z.組網(wǎng)模式組網(wǎng)模式1-透明模式組網(wǎng)應(yīng)用場(chǎng)景需要二層交換機(jī)功能做二層轉(zhuǎn)發(fā)在既有的網(wǎng)絡(luò)中，不改變網(wǎng)絡(luò)拓?fù)?，而且需要平安業(yè)務(wù)防火墻的不同網(wǎng)口所接的局域網(wǎng)都位于同一網(wǎng)段特點(diǎn)對(duì)用戶是透明的，即用戶意識(shí)不到防火墻的存在部署簡(jiǎn)單，不改變現(xiàn)有的網(wǎng)絡(luò)拓?fù)?，無(wú)需更改其他網(wǎng)絡(luò)設(shè)備的配置支持各類平安特性：攻擊防護(hù)、包過(guò)濾、應(yīng)用識(shí)別及應(yīng)用訪問(wèn)控制等配置要點(diǎn)接口添加到相應(yīng)的域接口為二層接口，根據(jù)需要，配置接口類型為ACCESS或TRUNK接口配置VLAN屬性必須配置一個(gè)vlan-if***的管理地址，用于設(shè)備管理組網(wǎng)模式2-路由模式組網(wǎng)應(yīng)用場(chǎng)景需要路由功能做三層轉(zhuǎn)發(fā)需要共享Internet接入需要對(duì)外提供給用效勞需要使用虛擬專用網(wǎng)特點(diǎn)提供豐富的路由功能，靜態(tài)路由、RIP、OSPF等提供源NAT支持共享Internet接入提供目的NAT支持對(duì)外提供各種效勞支持各類平安特性：攻擊防護(hù)、包過(guò)濾、應(yīng)用識(shí)別及應(yīng)用訪問(wèn)控制等需要使用WEB認(rèn)證功能配置要點(diǎn)接口添加到相應(yīng)的域接口工作于三層接口，并配置接口類型配置地址分配形式靜態(tài)IP、DHCP、PPPoE組網(wǎng)模式3-混合模式組網(wǎng)應(yīng)用場(chǎng)景需結(jié)合透明模式及路由模式特點(diǎn)在VLAN做二層轉(zhuǎn)發(fā)在VLAN間做三層轉(zhuǎn)發(fā)支持各類平安特性：攻擊防護(hù)、包過(guò)濾、應(yīng)用識(shí)別及應(yīng)用訪問(wèn)控制等配置要點(diǎn)接口添加到相應(yīng)的域接口為二層接口，根據(jù)需要，配置接口類型為ACCESS或TRUNK接口配置VLAN屬性添加三層接口，用于三層轉(zhuǎn)發(fā)配置一個(gè)vlan-if***的地址，用于三層轉(zhuǎn)發(fā)根本網(wǎng)絡(luò)配置實(shí)現(xiàn)功能網(wǎng)〔/24〕可訪問(wèn)外網(wǎng)〔/24〕網(wǎng)地址為DHCP獲得網(wǎng)對(duì)外提供HTTP效勞〔安裝web效勞器〕網(wǎng)絡(luò)拓?fù)渑渲貌襟E【網(wǎng)絡(luò)管理】->【接口管理】下，配置接口參數(shù)在【網(wǎng)絡(luò)管理】->【網(wǎng)絡(luò)對(duì)象】下，將接口添加到平安域在【網(wǎng)絡(luò)管理】->【單播IPv4路由】下，添加出口路由在【網(wǎng)絡(luò)管理】->【DHCP配置】下，啟動(dòng)DHCPServer在【防火墻】->【NAT】下，添加源NAT在【防火墻】->【NAT】下，添加目的NAT在【防火墻】->【包過(guò)濾策略】下，添加Untrust到Trust包過(guò)濾策略深度檢測(cè)功能配置實(shí)現(xiàn)功能采用第1章——根本網(wǎng)絡(luò)配置網(wǎng)〔Trust〕到外網(wǎng)〔Untrust〕方向匹配DPI策略〔包括應(yīng)用限速、每IP限速、訪問(wèn)控制、URL過(guò)濾、行為審計(jì)等〕備注：本次功能配置以應(yīng)用限速為例網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【訪問(wèn)控制】->【網(wǎng)絡(luò)應(yīng)用帶寬限速】下，配置限速策略在【防火墻】->【包過(guò)濾策略】下，添加包過(guò)濾策略，并引用應(yīng)用限速策略局部DPI功能配置舉例VPNIPSecVPN客戶端接入模式實(shí)現(xiàn)功能采用第1章——根本網(wǎng)絡(luò)配置外網(wǎng)〔〕可通過(guò)IPSecVPN客戶端方式連接到網(wǎng)，共享網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN】->【IPSec】下，啟動(dòng)IPSec，配置客戶端接入模式在客戶端安裝IPSecVPN客戶端程序網(wǎng)關(guān)—網(wǎng)關(guān)模式實(shí)現(xiàn)功能兩端配置采用第1章——根本網(wǎng)絡(luò)配置〔相關(guān)IP不同〕PC〔〕可通過(guò)IPSecVPN訪問(wèn)PC〔〕，并可共享兩端資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN】->【IPSec】下，進(jìn)展網(wǎng)關(guān)—網(wǎng)關(guān)模式配置L2TPVPN實(shí)現(xiàn)功能采用第1章——根本網(wǎng)絡(luò)配置外網(wǎng)〔〕可通過(guò)L2TPVPN連接到網(wǎng)，共享網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】->【網(wǎng)絡(luò)對(duì)象】下，將L2TP使用接口添加到平安域中在【VPN】->【L2TP】下，啟動(dòng)L2TP，配置LNS和用戶信息在客戶端上添加注冊(cè)表鍵值〔windows默認(rèn)的l2tp/ipsec是只支持用證書(shū)認(rèn)證的，對(duì)于用pre-share的認(rèn)證方式或者不使用ipsec的l2tp連接，必須修改注冊(cè)表〕，需重啟客戶端PC，鍵值如下：*WindowsRegistryEditorVersion5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters]"ProhibitIPSec"=dword:00000001*新建L2TP客戶端，在【網(wǎng)上鄰居】中創(chuàng)立新連接需要修改的參數(shù)如下GREVPN實(shí)現(xiàn)功能兩端配置采用第1章——根本網(wǎng)絡(luò)配置〔相關(guān)IP不同〕PC〔〕可通過(guò)GREVPN訪問(wèn)PC〔〕，并可共享兩端資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】->【單播IPv4路由】下，添加靜態(tài)路由在【VPN】->【GRE】下，創(chuàng)立GREVPN策略SSLVPN實(shí)現(xiàn)功能采用第1章——根本網(wǎng)絡(luò)配置外網(wǎng)〔〕可通過(guò)SSLVPN連接到網(wǎng)，共享分配相應(yīng)權(quán)限的網(wǎng)資源網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【VPN】->【SSLVPN】下，啟動(dòng)SSLVPN，并導(dǎo)入相應(yīng)證書(shū)〔新版本自帶證書(shū)，老版本需搭建效勞器獲得〕在【VPN】->【SSLVPN】下，配置資源〔IP資源、web資源等〕在【VPN】->【SSLVPN】下，添加用戶VRRP雙機(jī)熱備實(shí)現(xiàn)功能網(wǎng)PC〔〕可訪問(wèn)Internet資源當(dāng)FW1〔92，主〕與FW2〔93，備〕為主備模式下，斷開(kāi)FW1與SW1的連接，流量自動(dòng)切換至FW2，PC應(yīng)用無(wú)影響重新連接FW1與SW1的連接，流量自動(dòng)切換回FW1，PC應(yīng)用無(wú)影響網(wǎng)絡(luò)拓?fù)渑渲貌襟E在【網(wǎng)絡(luò)管理】->【接口管理】下，配置接口參數(shù)〔eth_4為雙機(jī)熱備心跳線，eth_5連接網(wǎng)，eth_6連接外網(wǎng)〕在【網(wǎng)絡(luò)管理】->【網(wǎng)絡(luò)對(duì)象】下，將接口添加到平安域中在【網(wǎng)絡(luò)管理】->【單播IPv4路由】下，添加出口默認(rèn)路由在【防火墻】->【NAT】下，配置源NAT策略在【高可靠性】->【VRRP】下，配置VRRP備份組〔網(wǎng)PC網(wǎng)關(guān)指向備份組虛擬IP〕在【高可靠性】->【雙機(jī)熱備】下，進(jìn)展雙機(jī)熱備配置〔心跳線〕，此功能將同步配置、會(huì)話等參數(shù)在【高可靠性】->【接口狀態(tài)同步組】下，進(jìn)展端口同步組配置〔可選〕；此功能作用為，如下行接口〔eth0_5〕down掉，則一樣接口同步組下的其他接口，也將down掉，如需重新up，則需重新翻開(kāi)接口的