天融信防火墙NGFW4000快速配置手册
天融信防火墙NGFW4000快速配置手册
一、防火墙的几种管理方式
1．串口管理
第一次使用网络卫士防火墙，管理员可以通过CONSOLE口以命令行方式进行配置和管理。
通过CONSOLE口登录到网络卫士防火墙，可以对防火墙进行一些基本的设置。用户在初次使用防火
墙时，通常都会登录到防火墙更改出厂配置（接口、IP 地址等），使在不改变现有网络结构的情况下将防
火墙接入网络中。这里将详细介绍如何通过CONSOLE口连接到网络卫士防火墙：
1）使用一条串口线（包含在出厂配件中），分别连接计算机的串口（这里假设使用com1）和防火墙的CONSOLE口。
2）选择开始> 程序> 附件> 通讯> 超级终端，系统提示输入新建连接的名称。
3）输入名称，这里假设名称为“TOPSEC”，点击“确定”后，提示选择使用的接口（假设使用com1）。
4）设置com1 口的属性，按照以下参数进行设置。
参数名称取值
每秒位数：9600
数据位：8
奇偶校验：无
停止位： 1
5）成功连接到防火墙后，超级终端界面会出现输入用户名/ 密码的提示，如下图。
6）输入系统默认的用户名：superman 和密码：talent ，即可登录到网络卫士防火
墙。登录后，用户就可使用命令行方式对网络卫士防火墙进行配置管理。
2．TELNET管理
TELNET管理也是命令行管理方式，要进行TELNET管理，必须进行以下设置：
1) 在串口下用“pf service add name telnet area area_eth0 addressname any ”命令添加管理权限
2) 在串口下用“system telnetd start ”命令启动TELNET管理服务
3) 知道管理IP 地址，或者用“network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 ”命令
添加管理IP 地址
4) 然后用各种命令行客户端( 如WINDOWS CM命D令行) 管理：TELNET 192.168.1.250
5) 最后输入用户名和密码进行管理命令行如图：
3．SSH管理
SSH管理和TELNET基本一至，只不过SSH是加密的，我们用如下步骤管理：
1) 在串口下用“pf service add name ssh area area_eth0 addressname any ”命令添加管理权限
2) 在串口下用“system sshd start ”命令启动TELNET管理服务
3) 知道管理IP 地址，或者用“network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 ”命令
添加管理IP 地址
4) 然后用各种命令行客户端( 如putty 命令行) 管理：192.168.1.250
5) 最后输入用户名和密码进行管理命令行如图：
4．WEB管理
1) 防火墙在出厂时缺省已经配置有WEB界面管理权限，如果没有，可用“pf service add name webui area area_eth0 addressname any ”命令添加。
2) WEB管理服务缺省是启动的，如果没有启动，也可用“system httpd start ”命令打开，管理员在管理主机的浏览器上输入防火墙的管理URL，例如：
https://192.168.1.250 ，弹出如下的登录页面。
输入用户名密码后（网络卫士防火墙默认出厂用户名/密码为：superman/talent），
点击“提交”，就可以进入管理页面。
5．GUI管理
GUI图形界面管理跟WEB界面一样，只是，在管理中心中集成了一些安全工具，如监控，抓包，跟踪等
1)安装管理中心软件
2)运行管理软件
3) 右击树形“TOPSEC管理中心”添加管理IP
4)右击管理IP地址，选择“管理”，输入用户名和密码进行管理
5)也可右击管理IP地址，选择“安全工具”，进行实时监控
选择：安全工具-连接监控
点击启动，在弹出的窗口中增加过滤条件，可用缺省值监控所有连接。
选中增加的过滤条件，点设置就可以看到实时的监控效果了，如下图：
二、命令行常用配置
(注：用串口、TELNET 、SSH 方式进入到命令行管理界面，天融信防火墙命令行管理可以完成所有图形
界面管理功能，命令行支持TAB 键补齐和TAB 键帮助，命令支持多级操作，可以在系统级，也就是第一
级直接输入完整的命令；也可以进入相应的功能组件级，输入对应组件命令。具体分级如下表：) 系统级
系统级为第一级，提供设备的基本管理命令。CLI 管理员登录后，直接进入该级，显示为：TopsecOS#。
组件级
组件级为第二级，提供每个安全组件（SE）所独有的管理命令。
在系统级下，TopsecOS #
类别关键字内容说明
system 系统管理目录
network 网络设置
Ha 高可用性设置
define 网络对象定义
debug 调试
log 日志设置
authentication 认证设置
Snmp 简单网络管理协议配置
pf 包过滤规则设置
dpi 深度报文检测策略定义一级命令名firewall 防火墙规则设置
nat 地址转换策略配置
Vpn 虚拟私有网隧道配置与操作
IDS 入侵监测配置
Qos 带宽控制配置
AVSE 防病毒安全引擎管理设置
save 保存配置
Show_running 查看运行时配之信息
Show 查看配置
helpmode 帮助模式设定
exit 退出系统
1．系统管理命令(SYSTEM)
在命令行下一般用SYSTEM 命令来管理和查看系统配置：
命令功能WEBUI 界面操作位置
Version 系统版本信息系统>基本信息
information 当前设备状态信息系统>运行状态
time 系统时钟管理系统>系统时间
config 系统配置管理管理器工具栏“保存设定”按钮二级命令名
reboot 重新启动系统>系统重启
sshd SSH 服务管理命令系统>系统服务
telnetd TELNET 服务管理系统>系统服务命令
httpd HTTP 服务管理命系统>系统服务令
monitord MONITOR 服务管理命令无
2．网络配置命令(NETWORK)
命令功能WEBUI 界面操作位置
interface 防火墙接口管理网络>物理接口
vlan Vlan 配置管理网络>VLAN
route 路由表配置管理网络>静态路由
Ping 验证网络连接无
3．双机热备命令(HA)
HA LOCAL
HA PEER
HA PEER-SERIAL
HA NO
HA PRIORITY
HA SHOW
HA ENABLE
HA DISABLE
HA CLEAN
HA SYNC
4．定义对象命令(DEFINE)
命令功能WEBUI 操作位置
area 区域对象管理对象>区域对象
interface 配置防火墙接口对应的区域属性对象>区域对象
host 主机地址对象管理对象>地址对象>主机对象
range 地址范围对象管理对象>地址对象>范围对象
subnet 子网地址对象对象>地址对象>子网对象
group_address 地址组对象管理对象>地址对象>地址组对象service 子定义服务对象管理对象>服务对象>自定义服务
group_service 服务组对象管理对象>服务对象>服务组
schedule 时间表对象管理对象>时间对象
server 服务器对象管理对象>负载均衡>服务器
virtual_server 虚拟服务器对象管理对象>负载均衡>均衡组
5．包过滤命令(PF)
增加一条服务访问规则
SERVICE ADD name
6．显示运行配置命令(SHOW_RUNNING)
SHOW_RUNNING
7．保存配置命令(SAVE)
SAVE
三、WEB 界面常用配置
用浏览器或者集中管理中心登录到WEB管理界面如下：
1．系统管理配置
在“系统”下，可以显示或配置系统相关设置
A) 系统> 基本信息
显示系统的型号、版本、功能模块、接口信息等等：
B) 系统> 运行状态
查看系统的运行状态，包括CPU、内存使用情况和当前连接数等
C) 系统> 配置维护
上传或下载配置文件
D) 系统> 系统服务
系统服务在本系统中主要是指监控服务、SSH 服务、Telnet 服务和HTTP 服务。TOS 系统提供了对这些服务的控制（启动和停止）功能，其具体的操作如下：
E) 系统> 开放服务
添加或查看系统权限，包括WEB 管理、GUI 管理、TELNET 管理、SSH 管理、监控等等
F) 系统> 系统重启
2．网络接口、路由配置
A) 设置防火墙接口属性
用户可以对网络卫士防火墙的物理接口的属性进行设置，具体步骤如下：
1）在管理界面左侧导航菜单中选择网络> 物理接口，可以看到防火墙的所有物理接口，如下图所示，共有三个物理接口：Eth0、Eth1、Eth2。
2）如果要将某端口设为路由模式，点击该端口后的路由修改图标“”，弹出“设
定路由”对话框，如下图所示。
可以为某个端口设置多个IP 地址，点击“添加配置”按钮，添加接口的IP 地址。如果选择“ha-static”, 表示双机热备的两台设备在进行主从切换时，可以保存原来的地址不变，否则，从墙的地址将被主墙覆盖。
网络卫士防火墙不支持不同的物理接口配置相同的IP 地址或IP 地址在同一子网内。
3）如果要将某端口设交换模式，点击该端口后的交换修改图标“”，弹出“交换”设置窗口，如下
图所示。
首先，需要确定该接口的类型是“Access”还是“Trunk ”。
如果是“Access”接口，则表示该交换接口只属于一个VLAN ，需要指定所属的VLID 号码，如上图所示。
如是“Trunk ”接口，则设置参数界面如下图所示。
上图参数说明如下表所示：
点击“提交设定”则完成接口从路由模式向交换模式的转换。
4）点击“其他”按钮，可以设置接口的其他信息，如下图。
B)设置路由
用户可以在网络卫士防火墙上设置策略路由及静态路由，具体步骤如下：
1）在左侧导航菜单中选择网络> 静态路由，可以看到已经添加的策略路由表以及系统自动添加的静态路由表，如下图所示。
2）设置策略路由，点击“添加策略路由”，如下图所示。
其中“网关”为下一跳路由器的入口地址，“端口”指定了从防火墙设备的哪一个接口（包括物理接
口和VLAN 虚接口）发送数据包。Metric 为接口跃点数，默认为1。如果选择“NAT 后的源”为“是”，表示策略路由的源地址为NAT 后的地址，策略路由添加成功后的“标记”一栏显示为“UGM ”。默认为“否”，策略路由添加成功后的“标记”一栏显示为“U”。
3）设置完成后，点击“提交设定”按钮，如果添加成功会弹出“添加成功”对话框。点击“取消返
回”则放弃添加，返回上一界面。
若要删除某路由项，点击该路由项所在行的删除图标“”进行删除。
4）移动策略路由。由于策略执行为第一匹配原则，则策略的顺序与策略的逻辑相关，在此可以改变
添加策略时候的缺省的执行顺序（按照添加顺序排列）。
具体设置方法为：
在策略路由表中点击要移动的路由选项（例如要移动策略路由102）后的“移动”图标按钮，进入如下
界面。
在第一个下拉框中选择参考位置路由，第二个下拉框中则是选择将当前路由移动到
参考路由之前还是之后。例如：要将路由102 移动到路由101 之前，则第一个下拉框选
择ID “101”，第二个下拉框选择“之前”，点击“提交设定”按钮，则弹出移动成功
对话框。
点击“确定”返回路由界面，可以看到路由102 已经移动到了101 之前，如下图所示。
3．对象配置
A)设置主机对象
选择对象> 地址对象> 主机对象，右侧界面显示已有的主机对象，如下图所示。
点击“添加配置”，系统出现添加主机对象属性的页面，如下图所示。
B)设置范围对象
选择对象> 地址对象> 地址范围，右侧界面显示已有的地址范围对象，如下图所示。
点击“添加配置”，进入地址范围对象属性的页面，如下图所示。
C)设置子网对象
选择对象> 地址对象> 子网对象，在右侧页面内显示已有的子网地址对象，如下图所示。
D)设置地址组
不同的地址对象可以组合为一个地址组，用作定义策略的目的或源。地址组的支持
增强了对象管理的层次性，使管理更加灵活。
设置地址组对象的步骤如下：
1）选择对象> 地址对象> 地址组，在右侧页面内显示已有的地址组对象，如下
图所示。
2）选择“添加配置”，系统出现如下图所示的页面。
E)自定义服务
当预定义的服务中找不到我们需要的服务端口时，我们可以自己定义服务端口：
1）选择对象> 服务对象> 自定义服务，点击“添加配置”，系统出现如下页面。
2）输入对象名称后，设置协议类型及端口号范围。
3）点击“提交设定”，完成设置。
F)设置区域对象
系统支持区域的概念，用户可以根据实际情况，将网络划分为不同的安全域，并根据其不同的安全需
求，定义相应的规则进行区域边界防护。如果不存在可匹配的访问控制规则，网络卫士防火墙将根据目的
接口所在区域的权限处理该报文。
设置区域对象，具体操作如下：
1）选择对象> 区域对象，显示已有的区域对象。防火墙出厂配置中缺省区域对象为AREA_ETH0 ，并已和缺省属性对象eth0 绑定，而属性对象eth0 已和接口eth0 绑定，因此出厂配置中防火墙的物理接口
eth0 已属于区域AREA_ETH0 。
2）点击“添加配置”，增加一个区域对象，如下图所示。
在“对象名称”部分输入区域对象名称；
在“权限选择”部分设定和该区域所属属性绑定的接口的缺省属性（允许访问或禁止访问）。
在“选择属性”部分的左侧文本框中选择接口，然后点击添加该区域具有的属性，被选接口将出现
在右侧的“被选属性”文本框中，可以同时选择一个或多个。
3）设置完成后，点击“提交设定”按钮，如果添加成功会弹出“添加成功”对话
框。
4）点击“取消返回”则放弃添加，返回上一界面。
5）若要修改区域对象的设置，点击该区域对象所在行的修改图标“”进行修改。
6）若要删除区域对象，点击该区域对象所在行的删除图标“”进行删除。
G)设置时间对象
用户可以设置时间对象，以便在访问控制规则中引用，从而实现更细粒度的控制。比如，用户希望针
对工作时间和非工作时间设置不同的访问控制规则，引入时间对象的概念很容易解决该类问题。设置时间
对象，具体操作如下：
1）选择对象> 时间对象，点击“添加配置”，系统出现如下页面。
2）依次设置“对象名称”、“每周时段”和“每日时段”。
3）最后点击“提交设定”，完成对象设置。新添加的对象将显示在时间对象列表
中，如下图所示。
4）对已经添加的时间对象，可以点击修改图标修改其属性，也可以点击删除图标
删除该对象。
4．访问策略配置
用户可以通过设置访问控制规则实现灵活、强大的三到七层的访问控制。系统不但可以从区域、VLAN 、地址、用户、连接、时间等多个层面对数据报文进行判别和匹配，而且还可以针对多种应用层协议进行深
度内容检测和过滤。与报文阻断策略相同，访问控制规则也是顺序匹配的，但与其不同，访问控制规则没
天融信防火墙配置指南
一、对象与规则 现在大多防火墙都采用了面向对象的设计。针对对象的行为进行的快速识别处理，就是规则。比如：甲想到A城市B地点。由这个行为就可以制定一些规则进行约束，例如： 1）用户身份识别，是不是甲用户（说明：在实际应用中，甲用户可能是一群人或所有的人）。2）用户当前的目标是不是A城市，是不是B地点。 3）用户当前状态中是否符合规定，比如，是不是带了危险品什么的。 用户、城市、地点等等均可以看作为一个个的对象。在防火墙中我们可以这样来比喻： 用户-->访问者 城市-->主机 地点-->端口 为了安全，我们就可以制定一个规则：如果用户甲或所有的人到达A城市B地点，并且没有携带任何危险品，就允许他或他们通过，否则就禁止通行。翻译成防火墙的规则就是：如果访问者访问目标区域中的开放主机中的允许访问的端口，并且访问的过程中没有防火墙禁止的恶意行为，就允许通过。 二、路由功能与地址转换 现在防火墙都集成了路由功能。路由功能简单的说法就是告诉访问者怎么走，相当于引路。比如：甲要到美国洛杉矶，甲城市的路由器就告诉甲，你应该先到上海，然后上海的路由器再告诉甲，该乘飞机到洛杉矶。 我们使用的互联网是基于TCP/IP协议的。所有在网络上的主机都是有IP地址的，相当于在互联网上的用户身份，没有IP地址是无法进行网络访问的。互联网中的主机中（包括访问者与被访问者）是不可能存在两个相同的IP的。 当前互联网中应用的大都是IPV4。比如：我们姜堰教育城域网的IP是58.222.239.1到 58.222.239.254。由于当初的IP规划没想到后来会有这么多的计算机，所以发展到现在，IP 地址是非常紧缺的。目前，已不可能为世界上的所有的计算机都分配一个IP地址，这就产生了源地址转换又称为源地址伪装技术（SNAT）。比如A学校有100台计算机，但是只有一个互联网IP，上网的时候就将所有上网的计算机都伪装为这个唯一的互联网IP进行访问。实际的网络访问都是基于IP和端口的访问，比如计算机A访问计算机B，那么，计算机B 相当于服务器，计算机A相当于客户机。如果是访问网页，一般就是客户机访问服务器的80端口。在访问的过程中，浏览器会主动开放一个端口(就是客户端端口)与服务器的80端口进行连接访问。一般客户端端口号都比较大。现在的BT、迅雷等P2P软件就是利用了客户端端口作为服务端口来运行的，就是你进行下载的同时也同时提供了被下载的服务，你的客户端端口也是一个服务端口。 在防火墙中应用较多的是源转换（SNAT）和目标转换（DNAT）。DNAT相当于路由功能。一般都是把服务器和上网区域放在防火墙后面，如下面的图例。
天融信版本防火墙常用功能配置手册v
天融信版本防火墙常用功能配置手册 北京天融信南京分公司 2008年5月
目录
一、前言 我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。 二、天融信版本防火墙配置概述 天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求。在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。 1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。 2、防火墙接口IP配置 3、区域和缺省访问权限配置 4、防火墙管理权限配置 5、路由表配置 6、定义对象（地址对象、服务对象、时间对象） 7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换） 8、制定访问控制策略 9、其他特殊应用配置 10、配置保存 11、配置文件备份 ?提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络长时间中断。
三、天融信防火墙一些基本概念 接口：和防火墙的物理端口一一对应，如Eth0、Eth1 等。 区域：可以把区域看作是一段具有相似安全属性的网络空间。在区域的划分上，防火墙的区域和接口并不是一一对应的，也就是说一个区域可以包括多个接口。在安装防火墙前，首先要对整个受控网络进行分析，并根据网络设备，如主机、服务器等所需要的安全保护等级来划分区域。 对象:防火墙大多数的功能配置都是基于对象的。如访问控制策略、地址转换策略、服务器负载均衡策略、认证管理等。可以说，定义各种类型的对象是管理员在对防火墙进行配置前首先要做的工作之一。对象概念的使用大大简化了管理员对防火墙的管理工作。当某个对象的属性发生变化时，管理员只需要修改对象本身的属性即可，而无需修改所有涉及到这个对象的策略或规则。防火墙中，用户可定义的对象类型包括：区域、地址、地址组、服务、服务组、以及时间等。 ?提示：对象名称不允许出现的特殊字符：空格、“'”、“"”、“\”、“/”、“;”、“"”、“$”、“&”、“<”、“>”、“#”、“+”。 ?提示：防火墙所有需要引用对象的配置，请先定义对象，才能引用。四、防火墙管理 防火墙缺省管理接口为eth0口，管理地址为，缺省登录管理员帐号：用户名superman，口令talent。 防火墙出厂配置如下：
天融信防火墙命令
天融信防火墙命令 Document serial number【KK89K-LLS98YT-SS8CB-SSUT-SST108】
Helpmode chinesel 区域权限：pf service add name webui(gui/ping/telent) area 区域名 addressname any web管理服务开启：system httpd start web界面权限添加：pf service add name webui area 区域名 addressname any 添加网口ip： 禁用网口： network interface eth16 shutdown 启用网口： network interface eth16 no shutdown 交换模式： network interface eth16 switchport（no switchport路由模式） 区域设置： define area add name E1 attribute 网口 access off（on）《off权限禁止，on 权限允许》 主机地址： define host add name 主机名 子网地址： define host subnet add name 名字 自定义服务：define service add name 名称 protocol 6 port 端口号 (6是tcp的协议码) vlan添加ip： web服务器外网访问 1）设置 E1 区域 #define area add name E1 access on attribute eth1 2）定义 WEB 服务器真实地址 #define host add name WEB_server ipaddr 3)定义 WEB 服务器访问地址 #define host add name MAP_IP ipaddr 4)定义服务端口 #define service add name Web_port protocol 6 port 8080 说明：“6”是 TCP 协议的协议码 5)设置地址转换规则 #nat policy add srcarea E1 orig_dst MAP_IP orig_service http trans_dst Web_server trans_service Web_port 路由adls ADS拨号设置 1）设置 ADSL 拨号参数 #network adsl set dev eth0 username adsl1234 passwd 123456 attribute adsl 2）定义外网区域（adsl-a） #define area add name adsl-a attribute adsl access on 3）配置地址转换策略 #nat policy add srcarea area_eth1 dstarea adsl-a trans_src adsl 4）拨号 #network adsl start 5）查看拨号连接情况 # network adsl show status STATE: PHASE_RUNNING RX_BYTES: 815 TX_BYTES: 2021 RX_PKTS: 13
天融信防火墙NGFW4000配置手册
天融信防火墙NGFW4000快速配置手册
目录 一、防火墙的几种管理方式 (3) 1．串口管理 (3) 2．TELNET管理 (4) 3．SSH管理 (5) 4．WEB管理 (6) 5．GUI管理 (6) 二、命令行常用配置 (12) 1．系统管理命令(SYSTEM) (12) 命令 (12) 功能 (12) WEBUI界面操作位置 (12) 二级命令名 (12) V ERSION (12) 系统版本信息 (12) 系统>基本信息 (12) INFORMATION (12) 当前设备状态信息 (12) 系统>运行状态 (12) TIME (12) 系统时钟管理 (12) 系统>系统时间 (12) CONFIG (12) 系统配置管理 (12) 管理器工具栏“保存设定”按钮 (12) REBOOT (12) 重新启动 (12) 系统>系统重启 (12) SSHD (12) SSH服务管理命令 (12) 系统>系统服务 (12) TELNETD (12) TELNET服务管理 (12) 系统>系统服务命令 (12) HTTPD (12) HTTP服务管理命 (12) 系统>系统服务令 (12) MONITORD (12) MONITOR (12) 服务管理命令无 (12) 2．网络配置命令(NETWORK) (13)
4．定义对象命令(DEFINE) (13) 5．包过滤命令(PF) (13) 6．显示运行配置命令(SHOW_RUNNING) (13) 7．保存配置命令(SAVE) (13) 三、WEB界面常用配置 (14) 1．系统管理配置 (14) A)系统> 基本信息 (14) B)系统> 运行状态 (14) C)系统> 配置维护 (15) D)系统> 系统服务 (15) E)系统> 开放服务 (16) F)系统> 系统重启 (16) 2．网络接口、路由配置 (16) A)设置防火墙接口属性 (16) B)设置路由 (18) 3．对象配置 (20) A)设置主机对象 (20) B)设置范围对象 (21) C)设置子网对象 (21) D)设置地址组 (21) E)自定义服务 (22) F)设置区域对象 (22) G)设置时间对象 (23) 4．访问策略配置 (23) 5．高可用性配置 (26) 四、透明模式配置示例 (28) 拓补结构： (28) 1．用串口管理方式进入命令行 (28) 2．配置接口属性 (28) 3．配置VLAN (28) 4．配置区域属性 (28) 5．定义对象 (28) 6．添加系统权限 (29) 7．配置访问策略 (29) 8．配置双机热备 (29) 五、路由模式配置示例 (30) 拓补结构： (30) 1．用串口管理方式进入命令行 (30) 2．配置接口属性 (30) 3．配置路由 (30) 4．配置区域属性 (30) 5．配置主机对象 (30) 6．配置访问策略 (30)
天融信防火墙日常维护及常见问题资料
天融信防火墙日常维护及常见问题 综述: 防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，对于企业关键的实时业务系统，要求网络能够提供7*24小时的不间断保护，保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。 天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法，通过日常管理维护可以使防火墙运行在可靠状态，在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。本文对天融信防火墙日常维护进行较系统的总结，为防火墙维护人员提供设备运维指导。 一、 防火墙的连接方式 5 硬件一台 ?外形：19寸1U 标准机箱 产品外形 接COM 口 管理机 直通线交叉线 串口线 PC Route Swich 、Hub 交叉线 1-1 产品提供的附件及线缆使用方式
产品提供的附件及线缆使用方式 ?CONSOLE线缆 ?UTP5双绞线 -直通(1条，颜色:灰色) -交叉(1条，颜色:红色) 使用: –直通:与HUB/SWITCH –交叉:与路由器/主机（一些高端交换机也可以通过交叉线与 防火墙连接） ?软件光盘 ?上架附件 6 二、防火墙的工作状态 网络卫士防火墙的硬件设备安装完成之后，就可以上电了。在工作过程中， 具用户可以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态， 体请见下表： 2-1防火墙安装前的准备 在安装防火墙之前必须弄清楚的几个问题： 1、路由走向(包括防火墙及其相关设备的路由调整) 确定防火墙的工作模式：路由、透明、综合。 2、IP地址的分配(包括防火墙及其相关设备的IP地址分配) 根据确定好的防火墙的工作模式给防火墙分配合理的IP地址 3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型)
天融信防火墙NGFW4000快速配置手册
天融信防火墙NGFW4000快速配置手册 一、防火墙的几种管理方式 1．串口管理 第一次使用网络卫士防火墙，管理员可以通过 CONSOLE 口以命令行方式进行配置和管理。 通过 CONSOLE 口登录到网络卫士防火墙，可以对防火墙进行一些基本的设置。用户在初次使用防火墙时，通常都会登录到防火墙更改出厂配置（接口、IP 地址等），使在不改变现有网络结构的情况下将防火墙接入网络中。这里将详细介绍如何通过 CONSOLE口连接到网络卫士防火墙： 1）使用一条串口线（包含在出厂配件中），分别连接计算机的串口（这里假设使用 com1）和防火墙的CONSOLE 口。 2）选择开始 > 程序 > 附件 > 通讯 > 超级终端，系统提示输入新建连接的名称。 3）输入名称，这里假设名称为“TOPSEC”，点击“确定”后，提示选择使用的接口（假设使用 com1）。 4）设置 com1 口的属性，按照以下参数进行设置。
5）成功连接到防火墙后，超级终端界面会出现输入用户名/密码的提示，如下图。 6）输入系统默认的用户名：superman 和密码：talent，即可登录到网络卫士防火 墙。登录后，用户就可使用命令行方式对网络卫士防火墙进行配置管理。 2．TELNET管理 TELNET管理也是命令行管理方式，要进行TELNET管理，必须进行以下设置： 1)在串口下用“pf service add name telnet area area_eth0 addressname any”命令添加管理权限 2)在串口下用“system telnetd start”命令启动TELNET管理服务 3)知道管理IP地址，或者用“network interface eth0 ip add 192.168.1.250 mask 255.255.255.0”命令 添加管理IP地址 4)然后用各种命令行客户端(如WINDOWS CMD命令行)管理：TELNET 192.168.1.250 5)最后输入用户名和密码进行管理命令行如图： 3．SSH管理
(完整版)天融信防火墙日常维护与常见问题
天融信防火墙日常维护及常见问题 综述: 防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，对于企业关键的实时业务系统，要求网络能够提供7*24小时的不间断保护，保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。 天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法，通过日常管理维护可以使防火墙运行在可靠状态，在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。本文对天融信防火墙日常维护进行较系统的总结，为防火墙维护人员提供设备运维指导。 一、防火墙的连接方式
5 硬件一台 ?外形：19寸1U 标准机箱产品外形接COM 口管理机 直通线交叉线串口 线 PC Route Swich 、Hub 交叉线 1-1 产品提供的附件及线缆使用方式 6 ?CONSOLE 线缆 ?UTP5双绞线 - 直通(1条，颜色:灰色)-交叉(1条，颜色:红色) 使用: –直通:与HUB/SWITCH –交叉:与路由器/主机（一些高端交换机也可以通过交叉线与 防火墙连接） ?软件光盘 ?上架附件 产品提供的附件及线缆使用方式
二、防火墙的工作状态 网络卫士防火墙的硬件设备安装完成之后，就可以上电了。在工作过程中， 具用户可以根据网络卫士防火墙面板上的指示灯来判断防火墙的工作状态， 体请见下表： 2-1防火墙安装前的准备 在安装防火墙之前必须弄清楚的几个问题： 1、路由走向(包括防火墙及其相关设备的路由调整) 确定防火墙的工作模式：路由、透明、综合。 2、IP地址的分配(包括防火墙及其相关设备的IP地址分配) 根据确定好的防火墙的工作模式给防火墙分配合理的IP地址 3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型) 4、要达到的安全目的(即要做什么样的访问控制) 三、防火墙的管理及登录方式
天融信防火墙配置手册
天融信防火墙配置指南 一、对象与规则 现在大多防火墙都采用了面向对象的设计。针对对象的行为进行的快速识别处理，就是规则。 比如：甲想到A城市B地点。由这个行为就可以制定一些规则进行约束，例如： 1）用户身份识别，是不是甲用户（说明：在实际应用中，甲用户可能是一群人或所有的人）。 2）用户当前的目标是不是A城市，是不是B地点。 3）用户当前状态中是否符合规定，比如，是不是带了危险品什么的。 用户、城市、地点等等均可以看作为一个个的对象。在防火墙中我们可以这样来比喻：用户-->访问者 城市-->主机 地点-->端口 为了安全，我们就可以制定一个规则：如果用户甲或所有的人到达A城市B地点，并且没有携带任何危险品，就允许他或他们通过，否则就禁止通行。翻译成防火墙的规则就是：如果访问者访问目标区域中的开放主机中的允许访问的端口，并且访问的过程中没有防火墙禁止的恶意行为，就允许通过。 二、路由功能与地址转换 现在防火墙都集成了路由功能。路由功能简单的说法就是告诉访问者怎么走，相当于引路。比如：甲要到美国洛杉矶，甲城市的路由器就告诉甲，你应该先到上海，然后上海的路由器再告诉甲，该乘飞机到洛杉矶。 我们使用的互联网是基于TCP/IP协议的。所有在网络上的主机都是有IP地址的，相当于在互联网上的用户身份，没有IP地址是无法进行网络访问的。互联网中的主机中（包括访问者与被访问者）是不可能存在两个相同的IP的。 当前互联网中应用的大都是IPV4。比如：我们姜堰教育城域网的IP是58.222.239.1到58.222.239.254。由于当初的IP规划没想到后来会有这么多的计算机，所以发展到现在，IP 地址是非常紧缺的。目前，已不可能为世界上的所有的计算机都分配一个IP地址，这就产生了源地址转换又称为源地址伪装技术（SNA T）。比如A学校有100台计算机，但是只有
-天融信版本防火墙常用功能配置手册v2
天融信3.3版本防火墙常用功能配置手册 北京天融信南京分公司 2008年5月 目录 一、前言 (2) 二、天融信3.3版本防火墙配置概述 (2) 三、天融信防火墙一些基本概念 (3) 四、防火墙管理 (3) 五、防火墙配置 (5) （1）防火墙路由模式案例配置 (5) 1、防火墙接口IP地址配置 (6) 2、区域和缺省访问权限配置 (7) 3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (8) 4、路由表配置 (9) 5、定义对象（包括地址对象、服务对象、时间对象） (10) 6、地址转换策略 (13) 7、制定访问控制策略 (24) 8、配置保存 (29) 9、配置文件备份 (29) （2）防火墙透明模式案例配置 (30) 1、防火墙接口IP配置 (31) 2、区域和缺省访问权限配置 (33) 3、防火墙管理权限设置（定义希望从哪个区域管理防火墙） (33)
4、路由表配置 (34) 5、定义对象（包括地址对象、服务对象、时间对象） (35) 6、制定访问控制策略 (39) 7、配置保存 (43) 8、配置文件备份 (43) 一、前言 我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和使用。 二、天融信3.3版本防火墙配置概述 天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全使用需求。在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。 1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。 2、防火墙接口IP配置 3、区域和缺省访问权限配置 4、防火墙管理权限配置 5、路由表配置 6、定义对象（地址对象、服务对象、时间对象） 7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换） 8、制定访问控制策略 9、其他特殊使用配置 10、配置保存 11、配置文件备份
天融信防火墙配置
天融信防火墙配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的网口相连。 出厂默认eth0口IP为:192.168.1.254, 出厂用户名为：superman，密码为：talent或12345678。现IP改为192.168.4.21，用户名为：superman，密码为：topsec0471。 在浏览器上输入防火墙的管理URL，例如：https://192.168.1.254，弹出如下的登录页面。 输入用户名为：superman，密码为：topsec0471，登陆进入。 二．接口IP地址的配置： 1.点击：网络管理---接口 Eth0口接在WEB服务器端网络，eth1口接在MISS网络，根据实际情况配置IP，eth0口与
web 服务器在同一网段，eth1口与miss网在同一网段。现例：WEB服务器端在192.168.4.0/24网段，MISS网在172.20.40.0/24网段。eth0口IP为192.168.4.21(WEB服务器实际IP为192.168.4.20)，eth1IP口为172.20.40.1。接口模式选择：路由。其余选项采用默认配置。三．路由配置 点击：网络管理----路由， 现有四条路由是设备自身生成的路由，现例不牵扯到复杂网络带有路由器等相关网络设备，所以不需添加静态路由，只需将WEB服务器主机的网关设成：192.168.4.21既eth0口的IP，MISS网端的主机网关设成：172.20.40.1即eth1口的IP。若遇复杂网络，则需添加路由关系，确保两端网络能相互PING通即可。 四．地址转换： 1.配置转换对象： 点击：资源管理----地址； 点击：添加：
天融信防火墙命令
天融信防火墙命令 This model paper was revised by the Standardization Office on December 10, 2020
Helpmode chinesel 区域权限：pf service add name webui(gui/ping/telent) area 区域名 addressname any web管理服务开启：system httpd start web界面权限添加：pf service add name webui area 区域名 addressname any 添加网口ip： network interface eth16 ip add mask label 0 禁用网口： network interface eth16 shutdown 启用网口： network interface eth16 no shutdown 交换模式： network interface eth16 switchport（no switchport路由模式） 区域设置： define area add name E1 attribute 网口 access off（on）《off权限禁止，on权限允许》 主机地址： define host add name 主机名 ipaddr 子网地址： define host subnet add name 名字 ipaddr mask 自定义服务：define service add name 名称 protocol 6 port 端口号 (6是tcp的协议码) vlan添加ip：network interface ip add mask label 0 web服务器外网访问
天融信防火墙通用配置
天融信防火墙通用配置 The following text is amended on 12 November 2020.
天融信防火墙通用配置 一.通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的 网口相连。 出厂默认eth0口IP为: 出厂用户名为：superman，密码为：talent或。现IP改为，用户名为：superman，密码为：topsec0471。 在浏览器上输入防火墙的管理URL，例如：，弹出如下的登录页面。 输入用户名为：superman，密码为：topsec0471，登陆进入。 二．接口IP地址的配置： 1.点击：网络管理---接口
Eth0口接在WEB服务器端网络，eth1口接在MISS网络，根据实际情况配置IP，eth0口与web 服务器在同一网段，eth1口与miss网在同一网段。现例：WEB服务器端在网段，MISS网在网段。eth0口IP为服务器实际IP为，eth1IP 口为。接口模式选择：路由。其余选项采用默认配置。 三．路由配置 点击：网络管理----路由， 现有四条路由是设备自身生成的路由，现例不牵扯到复杂网络带有路由器等相关网络设备，所以不需添加静态路由，只需将WEB服务器主机的网关设成：既eth0口的IP，MISS网端的主机网关设成：即eth1口的IP。若遇复杂网络，则需添加路由关系，确保两端网络能相互PING通即可。 四．地址转换： 1.配置转换对象： 点击：资源管理----地址； 点击：添加：
该例需添加两个对象：wcj-web为实际WEB的IP地址，MAC地址为空。Xnweb 为转换后的IP地址为：，该地址与MISS网的主机在同一网段，只要不被使用即可。以后miss网的主机只需浏览：，不需浏览地址。以达到伪装IP的目的。 2.区域设置： 点击：资源管理---区域；
天融信防火墙命令
Helpmode chinesel 区域权限：pf service add name webui(gui/ping/telent) area 区域名addressname any web管理服务开启：system httpd start web界面权限添加：pf service add name webui area 区域名addressname any 添加网口ip： 禁用网口：network interface eth16 shutdown 启用网口：network interface eth16 no shutdown 交换模式：network interface eth16 switchport（no switchport路由模式） 区域设置：define area add name E1 attribute 网口access off（on）《off权限禁止，on权限允许》 主机地址：define host add name 主机名 子网地址：define host subnet add name 名字 自定义服务：define service add name 名称protocol 6 port 端口号(6是tcp的协议码) vlan添加ip： web服务器外网访问 1）设置 E1 区域 #define area add name E1 access on attribute eth1 2）定义 WEB 服务器真实地址 #define host add name WEB_server ipaddr 3)定义 WEB 服务器访问地址 #define host add name MAP_IP ipaddr 4)定义服务端口 #define service add name Web_port protocol 6 port 8080 说明：“6”是 TCP 协议的协议码 5)设置地址转换规则 #nat policy add srcarea E1 orig_dst MAP_IP orig_service http trans_dst Web_server trans_service Web_port 路由adls ADS拨号设置 1）设置 ADSL 拨号参数 #network adsl set dev eth0 username adsl1234 passwd 123456 attribute adsl 2）定义外网区域（adsl-a） #define area add name adsl-a attribute adsl access on 3）配置地址转换策略 #nat policy add srcarea area_eth1 dstarea adsl-a trans_src adsl 4）拨号 #network adsl start 5）查看拨号连接情况 # network adsl show status STATE: PHASE_RUNNING RX_BYTES: 815 TX_BYTES: 2021 RX_PKTS: 13 TX_PKTS: 42
天融信防火墙通用配置
天融信防火墙通用配置 一. 通过浏览器登陆配置防火墙,用一根直通线将防火墙的eth0口与某台主机的网口相连。 出厂默认eth0口IP为:, 出厂用户名为：superman，密码为：talent或。现IP改为，用户名为：superman，密码为：topsec0471。 在浏览器上输入防火墙的管理URL，例如：，弹出如下的登录页面。 输入用户名为：superman，密码为：topsec0471，登陆进入。 二．接口IP地址的配置： 1.点击：网络管理---接口 Eth0口接在WEB服务器端网络，eth1口接在MISS网络，根据实际情况配置IP，eth0口与
web 服务器在同一网段，eth1口与miss网在同一网段。现例：WEB服务器端在/24网段，MISS网在/24网段。eth0口IP为(WEB服务器实际IP为)，eth1IP口为。接口模式选择：路由。其余选项采用默认配置。 三．路由配置 点击：网络管理----路由， 现有四条路由是设备自身生成的路由，现例不牵扯到复杂网络带有路由器等相关网络设备，所以不需添加静态路由，只需将WEB服务器主机的网关设成：既eth0口的IP，MISS 网端的主机网关设成：即eth1口的IP。若遇复杂网络，则需添加路由关系，确保两端网络能相互PING通即可。 四．地址转换： 1.配置转换对象： 点击：资源管理----地址； 点击：添加：
该例需添加两个对象：wcj-web为实际WEB的IP地址，MAC地址为空。Xnweb为转换后的IP 地址为：，该地址与MISS网的主机在同一网段，只要不被使用即可。以后miss网的主机只需浏览：，不需浏览地址。以达到伪装IP的目的。 2.区域设置： 点击：资源管理---区域； 将eth0口名称改为scada，权限选：允许；eth1口名称改为：miss，权限：允许。
(完整word版)天融信防火墙双机热备配置说明
天融信防火墙双机热备配置说明 一、防火墙的接口设置： ifconfig 'eth0' 10.1.3.4 255.255.255.0 内网接口//接内网交换机 ifconfig 'eth4' 211.141.203.74 255.255.255.0 外网接口口//上接F5 ifconfig 'eth5' 211.141.203.76 255.255.255.240 服务器区//接服务器区交换机 ifconfig 'eth6' 192.168.1.250 255.255.255.0 防火墙同步接口//主备防火墙间同步接口互连 二、按需配置好主防火墙 三、配置双击热备过程： 1、配置主防火墙的双机设置，并使之处于工作状态： system -n 'work' //给主防火墙取名为work system -i 0 //配置主防火墙的设备号为0 system -h backup working 3 //配置主防火墙为双机热备方式并处于工作状态 system ssp on //在主防火墙上打开状态同步协议 2、在从防火墙上清空所有配置： restore config //恢复防火墙出厂默认值 ifconfig eth6 off //清空防火墙所有接口地址（默认出厂只有eth6有地址） 3、配置从防火墙的双机设置，并使之处于备用状态： system -n 'standby' //给从防火墙取名为standby system -i 1 //配置从防火墙的设备号为1 system -h backup standby 3 //配置从防火墙为双机热备方式并处于备用状态 system ssp on //在从防火墙上打开状态同步协议
全新的天融信防火墙NGFW的配置
全新的天融信防火墙NGFW4000_配置 配置一台全新的天融信防火墙NGFW4000，配置完后，内网用户10.10.1.0/24和10.10.2.0/24可以通过防火墙上网，外网用户可以通过访问防火墙的外网接口地址来访问内网的WEB服务器10.10.1.200，并且内网用户也可以通过WEB服务器的外网地址进行访问。 网络说明： 防火墙外网接口地址：218.90.123.121/30 防火墙内网接口地址：192.168.0.253/30 核心交换机防火墙VLAN：192.168.0.254/30 核心交换机用户群A的VLAN：10.10.1.0/24 核心交换机用户群B的VLAN：10.10.2.0/24 用户群A的默认网关：10.10.1.254 用户群B的默认网关：10.10.2.254 防火墙至出口的默认网关：218.90.123.122/30 核心交换机至防火墙的默认网关：192.168.0.253 内网WEB服务器地址：10.10.1.200/32（通过防火墙映射成公网地址） 简单拓扑图如下：
这里着重介绍的是出口防火墙的配置，从上图中可以看出，防火墙位于核心交换机至INTERNET 出口的中间。我们首先需通过某种方式对防火墙进行管理配置。 1、连接防火墙 首先查看防火墙的出厂随机光盘，里面其中有个防火墙安装手册，描述了防火墙的出厂预设置：管理用户 管理员用户名 superman 管理员密码 talent 或12345678 系统参数 设备名称 TopsecOS 同一管理员最多允许登录失败次数 5 最大并发管理数目 5 最大并发管理地点 5
同一用户最大登录地点 5 空闲超时 3 分钟 物理接口 Eth0（或LAN 口） IP：192.168.1.254/24 其他接口 Shutdown 服务访问控制 WEBUI 管理（通过浏览器管理防火墙）：允许来自Eth0（或LAN 口）上的服务请求 GUI 管理（通过TOPSEC 管理中心）：允许来自Eth0（或LAN 口）上的服务请求 SSH（通过SSH 远程登录管理）：允许来自Eth0（或LAN 口）上的服务请求 升级（对网络卫士防火墙进行升级）：允许来自Eth0（或LAN 口）上的服务请求 PING（PING 到网络卫士防火墙的接口IP 地址或VLAN虚接口的IP 地址）：允许来自Eth0（或LAN 口）上的服务请求 其他服务禁止 地址对象 地址段名称 any 地址段范围 0.0.0.0 – 255.255.255.255 区域对象 区域对象名称 area_eth0 绑定属性 eth0 权限允许 日志 日志服务器IP 地址 IP：192.168. 1.253 日志服务器开放的日志服务端口 UDP 的514 端口 高可用性（HA）关闭 从中可以看出，管理口为ETH0口，地址为192.168.1.254，我们将一台电脑直接与ETHO接口相连，然后配置一个192.168.1段的地址，然后在浏览器上访问https://192.168.1.254，就进入了WEB管理界面（如出现安装证书问题，直接点继续浏览此网站），如下。
天融信防火墙NGFW4000配置手册图表说明
天融信防火墙NGFW4000快速配置手册说 明
目录 一、防火墙的几种管理方式 (4) 1．串口管理 (4) 2．TELNET管理 (5) 3．SSH管理 (6) 4．WEB管理 (6) 5．GUI管理 (7) 二、命令行常用配置 (12) 1．系统管理命令(SYSTEM) (12) 命令 (12) 功能 (12) WEBUI界面操作位置 (12) 二级命令名 (12) V ERSION (12) 系统版本信息 (12) 系统>基本信息 (12) INFORMATION (12) 当前设备状态信息 (12) 系统>运行状态 (12) TIME (12) 系统时钟管理 (12) 系统>系统时间 (12) CONFIG (12) 系统配置管理 (12) 管理器工具栏“保存设定”按钮 (12) REBOOT (12) 重新启动 (12) 系统>系统重启 (12) SSHD (12) SSH服务管理命令 (12) 系统>系统服务 (12) TELNETD (12) TELNET服务管理 (12) 系统>系统服务命令 (12) HTTPD (12) HTTP服务管理命 (12) 系统>系统服务令 (12) MONITORD (12) MONITOR (12)
3．双机热备命令(HA) (13) 4．定义对象命令(DEFINE) (13) 5．包过滤命令(PF) (13) 6．显示运行配置命令(SHOW_RUNNING) (13) 7．保存配置命令(SAVE) (13) 三、WEB界面常用配置 (14) 1．系统管理配置 (14) A)系统> 基本信息 (14) B)系统> 运行状态 (14) C)系统> 配置维护 (15) D)系统> 系统服务 (15) E)系统> 开放服务 (16) F)系统> 系统重启 (16) 2．网络接口、路由配置 (16) A)设置防火墙接口属性 (16) B)设置路由 (18) 3．对象配置 (20) A)设置主机对象 (20) B)设置范围对象 (21) C)设置子网对象 (21) D)设置地址组 (21) E)自定义服务 (22) F)设置区域对象 (22) G)设置时间对象 (23) 4．访问策略配置 (23) 5．高可用性配置 (26) 四、透明模式配置示例 (28) 拓补结构： (28) 1．用串口管理方式进入命令行 (28) 2．配置接口属性 (28) 3．配置VLAN (28) 4．配置区域属性 (28) 5．定义对象 (28) 6．添加系统权限 (29) 7．配置访问策略 (29) 8．配置双机热备 (29) 五、路由模式配置示例 (30) 拓补结构： (30) 1．用串口管理方式进入命令行 (30) 2．配置接口属性 (30) 3．配置路由 (30) 4．配置区域属性 (30)
天融信防火墙配置案例(带宽管理)
QoS（服务质量），是Quality of Service的缩写。通过QoS管理，用户可以根据实际用户网络规划，方便、灵活地定制带宽策略，防止带宽滥用现象，并可以确保关键应用的带宽需求。 网络卫士防火墙的带宽策略采用了分层的带宽管理机制，用户可以通过设置细粒度的带宽规则来实现基于源和目的IP 地址（或地址段）、服务的带宽的集中管理。同时，同层的带宽策略还可以根据业务需求，设置带宽策略的优先级，为关键业务流量优先分配带宽，从而合理、有效地为用户网络分配带宽资源。 图 12网络卫士防火墙分层带宽管理示意图 图中的网络卫士防火墙工作在纯透明模式（即所有接口均工作在交换模式下，且属于同一个VLAN），只起到限制带宽的作用，不做任何访问策略配置。网络卫士防火墙的初始配置不需要用户进行修改。
上传带宽管理 基本需求 子网1（10.200.51.0/24）向网段10.200.2.0/24上传数据，网络卫士防火墙为其分配7K （如果没有特殊说明单位均为字节/秒）的限制带宽，7K的保证带宽。并对不同的应用设置不同的优先级控制以及带宽优化： ?ICMP为最高优先级，保证带宽为1K（最大限制带宽为7K） ?数据库为第二优先级，保证带宽为2K（最大限制带宽为7K） ?FTP为第三优先级，保证带宽为2K（最大限制带宽为7K） ?SMTP为最低优先级，保证带宽为1K（最大限制带宽为7K） 配置要点 带宽策略的设置包括以下方面： ?设置采用QoS的物理接口。 ?在接口下设置一到多个类及其子类。 ?在类下设置数据流的匹配规则。 WEBUI配置步骤 1）设置采用QoS的物理接口。 选择网络管理 > 流量管理，在“带宽控制”页面点击“添加接口”，添加采用上传带宽配置策略的物理接口eth0。 接口的配置原则是以数据流流向为准，在数据流出网络卫士防火墙的物理接口上配置才能生效，本例中即eth0接口。 2) 在物理接口下设置上传类及其四个子类：ICMP上传、Web上传、FTP上传、邮件上传。 a)点击接口eth0对应的“下级”图标，添加eth0口的上传带宽类“上传类”。
天融信防火墙NGFW4000快速配置手册
资料 天融信防火墙 NGFW4000快速配置手册 一、防火墙的几种管理方式 1．串口管理 第一次使用网络卫士防火墙，管理员可以通过 CONSOLE口以命令行方式进行配置和管理。 通过 CONSOLE口登录到网络卫士防火墙，可以对防火墙进行一些基本的设置。用户在初次使用防火 墙时，通常都会登录到防火墙更改出厂配置（接口、IP 地址等），使在不改变现有网络结构的情况下将防 火墙接入网络中。这里将详细介绍如何通过CONSOLE口连接到网络卫士防火墙： 1）使用一条串口线（包含在出厂配件中），分别连接计算机的串口（这里假设使用com1 ）和防火墙的CONSOLE口。 2）选择开始>程序>附件>通讯>超级终端，系统提示输入新建连接的名称。 3）输入名称，这里假设名称为“TOPSEC”，点击“确定”后，提示选择使用的接口（假设使用com1 ）。 4）设置 com1 口的属性，按照以下参数进行设置。 参数名称取值 每秒位数：9600
奇偶校验：无 停止位：1 5）成功连接到防火墙后，超级终端界面会出现输入用户名/ 密码的提示，如下图。 6）输入系统默认的用户名：superman 和密码： talent，即可登录到网络卫士防火 墙。登录后，用户就可使用命令行方式对网络卫士防火墙进行配置管理。 2． TELNET管理 TELNET管理也是命令行管理方式，要进 行TELNET管理，必须进行以下设置： 1)在串口下用“ pf service add name telnet area area_eth0 addressname any”命令添加管理权限 2)在串口下用“ system telnetd start”命令启动 TELNET管理服务 3)知道管理 IP地址，或者用“ network interface eth0 ip add 192.168.1.250 mask 255.255.255.0”命令 添加管理 IP地址 4)然后用各种命令行客户端 ( 如 WINDOWS CMD命令行 ) 管理： TELNET 192.168.1.250 5)最后输入用户名和密码进行管理命令行如图：
相关文档
- 天融信防火墙NGFW配置手册
- 天融信防火墙NGFW4000配置手册
- 天融信防火墙简要配置步骤
- 天融信防火墙命令
- 天融信防火墙NGFW4000配置手册
- 天融信防火墙NGFW4000快速配置手册
- 天融信防火墙NGFW4000配置手册
- 天融信防火墙简要配置步骤
- 天融信版本防火墙常用功能配置手册v2
- 天融信防火墙命令
- 天融信防火墙NGFW4000配置手册
- 天融信防火墙NGFW4000配置手册
- 天融信防火墙配置指南
- 天融信防火墙配置手册概述
- -天融信版本防火墙常用功能配置手册v2
- 天融信防火墙NGFW4000快速配置手册
- -天融信版本防火墙常用功能配置手册v2
- 天融信版本防火墙常用功能配置手册v
- 天融信防火墙配置步骤
- 天融信防火墙NGFW4000配置手册