FortiGate培訓(xùn)講義FortiGate培訓(xùn)講義共享上網(wǎng)共享上網(wǎng)PPPoEDHCP靜態(tài)PPPoE配置過程實(shí)例故障排除配置過程登錄防火墻用雙絞線將PC機(jī)的網(wǎng)卡與防火墻內(nèi)網(wǎng)口連通將本地PC的IP地址設(shè)置正確防火墻的默認(rèn)地址是9默認(rèn)用戶名是admin，密碼為空接口配置系統(tǒng)管理-->網(wǎng)絡(luò)-->接口選擇接口的地址模式為PPPoE配置用戶名和密碼選擇從服務(wù)器中重新得到網(wǎng)關(guān)配置MTU為1492實(shí)例網(wǎng)絡(luò)環(huán)境：某公司有20臺計(jì)算機(jī)，現(xiàn)使用192.168.1.X/網(wǎng)段，網(wǎng)關(guān)為，寬帶線路為ADSL撥號。要求：內(nèi)部的所有計(jì)算機(jī)共享寬帶線路，通過FG防火墻實(shí)現(xiàn)Internet接入。配置：系統(tǒng)管理-->網(wǎng)絡(luò)-->接口外網(wǎng)接口參數(shù)配置選擇接口地址模式為PPPoE輸入用戶名和密碼MTU設(shè)置為1492內(nèi)網(wǎng)接口參數(shù)配置選擇接口地址模式為自定義在IP地址/掩碼欄中輸入/外網(wǎng)接口參數(shù)配置:內(nèi)網(wǎng)接口參數(shù)配置:故障排除不能登錄防火墻檢查是否使用https登錄檢查本地PC機(jī)的IP地址設(shè)置是否正確檢查是否能Ping通防火墻必要時(shí)用Console線登錄防火墻查看系統(tǒng)信息不能上網(wǎng)檢查外網(wǎng)口是否已撥號成功檢查本地PC機(jī)的IP地址、掩碼、網(wǎng)關(guān)、DNS設(shè)置是否正確撥號不成功檢查線路連接是否正確檢查ADSL帳號是否正確必要時(shí)使用PC機(jī)直接連接ADSL線路進(jìn)行撥號DHCP配置過程系統(tǒng)管理-->網(wǎng)絡(luò)-->接口選擇接口的地址模式式為DHCP選擇從服務(wù)器中重新得到網(wǎng)關(guān)設(shè)置內(nèi)網(wǎng)接口IP地址建立從內(nèi)網(wǎng)到外網(wǎng)的策略故障排除不能上網(wǎng)檢查外網(wǎng)口是否已成功獲得公網(wǎng)合法IP地址檢查本地PC機(jī)的IP地址、掩碼、網(wǎng)關(guān)、DNS設(shè)置是否正確檢查策略設(shè)置是否正確不能獲得公網(wǎng)地址檢查線路連接是否正確使用PC機(jī)直接連接公網(wǎng)線路進(jìn)行測試靜態(tài)IP配置過程實(shí)例故障排除配置過程系統(tǒng)管理-->網(wǎng)絡(luò)-->接口外網(wǎng)接口參數(shù)配置選擇接口地址模式為自定義輸入內(nèi)網(wǎng)的IP地址和網(wǎng)絡(luò)掩碼內(nèi)網(wǎng)接口參數(shù)配置選擇接口地址模式為自定義輸入內(nèi)網(wǎng)的IP地址和網(wǎng)絡(luò)掩碼系統(tǒng)管理-->路由-->靜態(tài)：修改默認(rèn)路由的網(wǎng)關(guān)系統(tǒng)管理-->防火墻-->策略：添加開放從內(nèi)網(wǎng)到外網(wǎng)的策略實(shí)例網(wǎng)絡(luò)環(huán)境：某公司內(nèi)網(wǎng)有30臺計(jì)算機(jī)，使用192.168.1.X/網(wǎng)段，網(wǎng)關(guān)為寬帶線路為固定IP的光纖接入IP地址：掩碼：網(wǎng)關(guān)：DNS：要求：內(nèi)部的所有計(jì)算機(jī)共享寬帶線路，通過FG防火墻實(shí)現(xiàn)Internet接入。配置：系統(tǒng)管理-->網(wǎng)絡(luò)-->接口（接口參數(shù)配置）外網(wǎng)接口參數(shù)配置選擇接口地址模式為自定義在IP地址/掩碼欄中輸入/內(nèi)網(wǎng)接口參數(shù)配置選擇接口地址模式為自定義在IP地址/掩碼欄中輸入/系統(tǒng)管理-->路由-->靜態(tài)（路由配置）修改默認(rèn)路由的網(wǎng)關(guān)為在設(shè)備中選擇連接公網(wǎng)的接口系統(tǒng)管理-->防火墻-->策略（策略配置）系統(tǒng)默認(rèn)已有一條沒有任何限制的策略可用外網(wǎng)接口參數(shù)配置:表態(tài)路由配置:策略配置:故障排除檢查本地PC機(jī)的IP地址、掩碼、網(wǎng)關(guān)、DNS設(shè)置是否正確檢查公網(wǎng)線路連接是否正確檢查防火墻的外網(wǎng)指示燈工作是否正常檢查防火墻內(nèi)、外網(wǎng)絡(luò)接參數(shù)設(shè)置是否正確檢查防火墻策略設(shè)置是否正確策略的優(yōu)先級別調(diào)整是否正確源接口為內(nèi)網(wǎng)端口LAN或Internal目的接口為WAN1或External，如有多WAN口請檢查是否與實(shí)際連接線路的接口對應(yīng)源地址、目的地址為ALL（默認(rèn)定義為所有地址）時(shí)間表為always（默認(rèn)定義為任意時(shí)間段）服務(wù)為ANY（默認(rèn)定義為所有服務(wù)）模式為ACCEPT（默認(rèn)定義為允許通過）NAT選項(xiàng)為啟用狀態(tài)保護(hù)內(nèi)容表的選項(xiàng)是否過于嚴(yán)格策略過濾策略控制QQ、MSN地址/端口控制控制QQ、MSN配置過程防火墻-->入侵檢測系統(tǒng)-->特征在IM下面選擇QQ或MSN進(jìn)行編輯勾選啟用選項(xiàng)動(dòng)作中選擇丟棄防火墻-->保護(hù)內(nèi)容表選擇新建進(jìn)行新保護(hù)內(nèi)容表編輯在內(nèi)容表名稱中輸入QQ、MSN（可自定義）在入侵防護(hù)系統(tǒng)下勾選IPS特征的啟用選項(xiàng)防火墻-->策略選擇新建進(jìn)行新的策略編輯保護(hù)內(nèi)容表中選擇QQ、MSN（在保護(hù)內(nèi)容表中定義的名稱）其它參數(shù)與共享上網(wǎng)的策略相同控制QQ、MSNQQ屏蔽配置:控制QQ、MSN故障排除IPS特征中的動(dòng)作是否為丟棄保護(hù)內(nèi)容表中IPS特征是否為啟用狀態(tài)策略中是否使用了正確的保護(hù)內(nèi)容表策略的優(yōu)先位置是否調(diào)整正確地址/端口控制配置過程實(shí)例故障排除配置過程實(shí)例網(wǎng)絡(luò)環(huán)境：某公司內(nèi)部有20臺計(jì)算機(jī)使用FG60實(shí)現(xiàn)寬帶共享接入Internet財(cái)務(wù)部使用-126的地址段要求：禁止財(cái)務(wù)部上網(wǎng)瀏覽網(wǎng)頁并禁止沖擊波等病毒使用的端口135實(shí)例實(shí)例地址配置:端口定制:實(shí)例定義組:實(shí)例實(shí)例策略配置:故障排除地址范圍是否定義正確協(xié)議類型選擇是否正確端口是否定義正確是否將要控制的服務(wù)添加到組中策略中的源地址和目的地址是否選擇正確策略中的服務(wù)是否選擇正確策略中的模式是否選擇正確備份與負(fù)載均衡備份與負(fù)載均衡配置過程實(shí)例故障排除配置過程接口配置（操作步驟見共享上網(wǎng)部分）若要對服務(wù)進(jìn)行分流控制，則要在防火墻菜單中服務(wù)下面定制服務(wù)若要針對內(nèi)部網(wǎng)絡(luò)的IP地址進(jìn)行分流控制，則要在防火墻菜單中地址下面定義地址段策略配置建立從內(nèi)網(wǎng)到WAN1的策略源接口選擇希望從WAN1出去的接口源地址名選擇自定義的希望從WAN1出去的地址名稱目的接口選擇WAN1，目的地址名選擇ALL（所有）其它選項(xiàng)同共享上網(wǎng)設(shè)置建立從內(nèi)網(wǎng)到WAN2的策略源端口選擇希望從WAN2出去的接口源地址名選擇自定義的希望從WAN2出去的地址名稱目的接口選擇WAN2，目的地址名選擇ALL（所有）其它選項(xiàng)同共享上網(wǎng)設(shè)置配置過程策略路由配置建立從內(nèi)網(wǎng)到WAN1的策略路由進(jìn)入接口選擇希望從WAN1出去的接口名稱源地址/掩碼填入希望從WAN1出去的地址段目的地址/掩碼使用默認(rèn)的/即可目的端口填入希望從WAN1接口出去的服務(wù)端口范圍或者不寫流出接口選擇WAN1網(wǎng)關(guān)地址填入公網(wǎng)網(wǎng)關(guān)，或使用（ADSL）建立從內(nèi)網(wǎng)到WAN2的策略路由進(jìn)入接口選擇希望從WAN2出去的接口名稱源地址/掩碼填入希望從WAN2出去的地址段目的地址/掩碼使用默認(rèn)的/即可目的端口填入希望從WAN2接口出去的服務(wù)端口范圍或者不寫流出接口選擇WAN2網(wǎng)關(guān)地址填入公網(wǎng)網(wǎng)關(guān)，或使用（ADSL）實(shí)例網(wǎng)絡(luò)環(huán)境：某公司內(nèi)部共有40臺計(jì)算機(jī)，并申請了兩條有固定IP的寬帶線路市場部使用-62的地址段技術(shù)部使用5-126的地址段財(cái)務(wù)部使用29-254的地址段內(nèi)部網(wǎng)絡(luò)的掩碼為，網(wǎng)關(guān)為寬帶線路1：IP：47掩碼：網(wǎng)關(guān)：寬帶線路2：IP：47掩碼：網(wǎng)關(guān)：要求：財(cái)務(wù)部同時(shí)使用兩條寬帶線路，其中一條做備份；市場、技術(shù)部門各使用一條寬帶線路，實(shí)現(xiàn)數(shù)據(jù)分流，以保證帶寬利用接口配置（操作步驟見共享上網(wǎng)部分，只是要在配置時(shí)將PING服務(wù)器打開，并輸入一個(gè)有效的公網(wǎng)IP地址）配置：配置：定義要控制的地址段防火墻-->地址-->新建地址名稱中輸入自定義的名稱（市場部）IP地址范圍中輸入/92按上面操作步驟再建一個(gè)4/92和28/28的地址段,分別叫技術(shù)部和財(cái)務(wù)部添加默認(rèn)路由防火墻-->策略路由-->新建在目的IP中使用默認(rèn)值，網(wǎng)關(guān)中填寫，設(shè)備選擇WAN1再建一條網(wǎng)關(guān)中填寫，設(shè)備選擇WAN2實(shí)例實(shí)例財(cái)務(wù)部地址段定義:市場部地址段定義:技術(shù)部地址段定義:實(shí)例第一條默認(rèn)路由:第二條默認(rèn)路由:配置：添加策略路由防火墻-->策略路由-->新建流出接口為WAN1的策略路由進(jìn)入接口中選擇Internal源地址/掩碼中輸入/92目的地址/掩碼使用默認(rèn)值/流出接口選擇WAN1目的端口使用默認(rèn)值0按上述操作步驟再建立一條源地址為28/28的策略路由，流出接口同樣選擇WAN1流出接口為WAN2的策略路由進(jìn)入接口中選擇Internal源地址/掩碼中輸入4/92目的地址/掩碼使用默認(rèn)值/流出接口選擇WAN2目的端口使用默認(rèn)值0按上述操作步驟再建立一條源地址為28/28的策略路由，流出接口同樣選擇WAN2實(shí)例WAN1的策略路由配置：實(shí)例WAN2的策略路由配置：實(shí)例策略路由配置完成：配置：添加策略防火墻-->策略-->新建添加從內(nèi)網(wǎng)到WAN1的控制策略源接口選擇內(nèi)網(wǎng)接口Internal源地址名選擇自定義市場部目的接口選擇WAN1，目的地址名選擇ALL（所有）其它選項(xiàng)同共享上網(wǎng)設(shè)置按以上步驟再添加一條源地址為財(cái)務(wù)部的策略添加從內(nèi)網(wǎng)到WAN2的控制策略源接口選擇內(nèi)網(wǎng)接口Internal源地址名選擇自定義的技術(shù)部目的接口選擇WAN2，目的地址名選擇ALL（所有）其它選項(xiàng)同共享上網(wǎng)設(shè)置按以上步驟再添加一條源地址為財(cái)務(wù)部的策略實(shí)例策略配置：故障排除默認(rèn)路由是否正確到兩個(gè)外網(wǎng)口的默認(rèn)路由是否都已建立兩個(gè)外網(wǎng)的網(wǎng)關(guān)是否都設(shè)置正確注：如是ADSL撥號上網(wǎng)，則不需要建立靜態(tài)路由策略路由是否正確進(jìn)入接口是否選擇正確源地址和掩碼是否填寫正確流出接口是否選擇正確策略控制是否正確是否兩條出口的策略都已建立源接口和地址名稱是否選擇正確目的接口和地址名稱是否選擇正確NAT選項(xiàng)是否已啟用默認(rèn)路由、策略路由與策略的配置是否一致

注：需要將防火墻重新啟動(dòng)

不具動(dòng)態(tài)負(fù)載均衡端口映射端口映射實(shí)例配置過程故障排除配置過程防火墻-->虛擬IP-->新建填寫名稱（自定義）選擇外部接口選擇映射類型輸入外部IP地址、外部服務(wù)端口輸入內(nèi)部IP地址、內(nèi)部服務(wù)端口選擇協(xié)議建立從外網(wǎng)到內(nèi)部虛擬IP的策略實(shí)例網(wǎng)絡(luò)環(huán)境：已有防火墻產(chǎn)品為FortiGate60通過寬帶接入實(shí)現(xiàn)公司內(nèi)部共享上網(wǎng)公網(wǎng)地址是公司內(nèi)部有一臺服務(wù)器對內(nèi)提供WEB服務(wù)服務(wù)器IP地址為要求：要求通過FG60使服務(wù)器能夠?qū)ν庖材芴峁￤EB服務(wù)實(shí)例配置：防火墻-->虛擬IP-->新建在名稱中填寫WEB-SERVER（可自定義）選擇外部接口為當(dāng)前連接公網(wǎng)的接口WAN1或external選擇端口轉(zhuǎn)發(fā)單選項(xiàng)外部IP地址輸入(如是ADSL可不填，使用默認(rèn)的）外部服務(wù)端口填寫80或其它映射到IP地址輸入映射到端口中填入80或其它端口防火墻-->策略-->新建源接口選擇外網(wǎng)接口WAN1或external，地址選