山石防火墙图文讲解简单配置步骤.doc

HILLSTONE防火墙配置步骤以HILLSTONESA5040为例讲解厦门领航立华科技有限公司TECH2009824厦门领航立华科技有限公司目录页目录1需要从客户方获取的基本信息32配置步骤321配置安全域322配置接口地址423配置路由424配置NAT6241源地址NAT6242目的地址NAT63配置策略831配置安全域之间的允许策略8311配置TRUST到UNTRUST的允许所有的策略8312配置DMZ到UNTRUST的允许所有的策略9313配置TRUST到DMZ的允许策略9314配置UNTRUST到DMZ服务器的允许策略10315配置UNTRUST到TRUST服务器的允许策略10316配置详细策略114配置QOS125配置SCVPN13TECH2009824厦门领航立华科技有限公司技术方案第3页1需要从客户方获取的基本信息部署位置互联网出口位置，还是其他，如部署在出口路由器之后等部署方式三层接入（需要做NAT，大部分都是这种接入方式），二层透明接入（透明接入不影响客户网络架构），混合接入模式（有几个接口需要配置成透明接口模式，可以支持这种方式）外网出口信息几个出口，电信OR网通，外网IP地址资源（多少个），外网网关（防火墙默认路由设置）安全域划分一般正常3个安全域，UNTRUST（外网）、TRUST（内网）、DMZ（服务器网段），也可以自定义多个外网接口IP地址由客户提供内网口IP地址如果客户内网有多个网段，建议在客户中心交换机配置独立的VLAN网段，不要与客户内部网段相同。如果客户内网只有1个网段，没有中心交换机，则把防火墙内网口地址设置为客户内网地址段，并作为客户内网网关（适用于中小型网络）DMZ口IP地址由客户提供，建议配置成服务器网段的网关；2配置步骤21配置安全域默认就有常用的3个安全域了，TRUST，UNTRUST，DMZTECH2009824厦门领航立华科技有限公司技术方案第4页22配置接口地址23配置路由默认路由其中指定的接口UNTRUST（外网）接口，如果有多个出口，可以在这选择不同的接口。其中网关为跟FW互联设备接口的地址，比如59601233是电信给的出口网关地址。TECH2009824厦门领航立华科技有限公司技术方案第5页静态路由网关地址为下一跳地址，客户内部有多个VLAN，需要在这配置静态路由，比如客户内部网有1721620/24，17216830/24等多网段，可以指定一条静态路由，IPROUTE1721600/16内部核心交换机地址TECH2009824厦门领航立华科技有限公司技术方案第6页24配置NAT241源地址NAT内部网络访问互联网NAT，选择互联网出口接口为ETH0/1，配置接口地址就为NAT地址，并配置动态端口，启用STICKY（启用这个会更好的利用接口的资源）。（只有配置了源地址NAT，内部网络才能上互联网）242目的地址NATIP映射，把外网一个IP地址完全映射到内部一台服务器，具体如下，创建IP映射TECH2009824厦门领航立华科技有限公司技术方案第7页端口映射，把访问外网某个地址的指定端口映射到内部服务器的指定端口，具体配置如下新建选择端口映射TECH2009824厦门领航立华科技有限公司技术方案第8页3配置策略31配置安全域之间的允许策略配置初始允许策略（在做测试，或者部署前，首先配置允许策略，让策略先全部允许；测试联通性没问题了，如路由，NAT都没问题了，才来做策略的优化，比如限制允许的服务等）311配置TRUST到UNTRUST的允许所有的策略TECH2009824厦门领航立华科技有限公司技术方案第9页312配置DMZ到UNTRUST的允许所有的策略313配置TRUST到DMZ的允许策略TECH2009824厦门领航立华科技有限公司技术方案第10页314配置UNTRUST到DMZ服务器的允许策略315配置UNTRUST到TRUST服务器的允许策略（有时候我们的客户有需要从UNTRUST访问TRUST内部地址的需求，同样要先做目的NAT，然后配置从UNTRUST到TRUST的允许策略）TECH2009824厦门领航立华科技有限公司技术方案第11页316配置详细策略配置地址簿配置服务组，可以自己新建服务组，服务组可以选择预定义好的服务TECH2009824厦门领航立华科技有限公司技术方案第12页4配置QOS在外网接口，即UNTRUST口，配置对P2P的下载限制，注意上行带宽要设置为小一点，这样效果会更好TECH2009824厦门领航立华科技有限公司技术方案第13页5配置SCVPN先建立一个IPPOOL不能和内网同一网段配置SSLVPNHTTP端口注意，接口UNTRUST隧道路由内网网段，AAA加LOCALTECH2009824厦门领航立华科技有限公司技术方案第14页添加SSL登陆用户AAATECH2009824厦门领航立华科技有限公司技术方案第15页建立一个SSLVPN的ZONE建立一个隧道接口TECH2009824厦门领航立华科技有限公司技术方案第16页配置隧道接口安全ZONE选择刚建立的ZONESSLIP地址是和POOL一个网段但不能用POOL里面的地址，SCVPNTUNNEL选择建立的SCVPN名字建立FROMSSL域ZONETOANYSERVICEANYPERMIT的安全策略TECH2009824厦门领航立华科技有限公司技术方案第17页WEB登陆FWUNTRUSTHTTPS//192168128888端口匹配