1-2及2-1網(wǎng)關(guān)配置介紹和維護(hù)

1、1-2及2-1網(wǎng)關(guān)配置介紹和維護(hù)日期：商領(lǐng)1-2及2-1網(wǎng)關(guān)介紹商領(lǐng)網(wǎng)關(guān)功能配置與維護(hù)目錄商務(wù)領(lǐng)航網(wǎng)關(guān)1-2和2-1家族1-22-1（逐漸使用2-1+替換供應(yīng)）2-1+商務(wù)領(lǐng)航網(wǎng)關(guān)1-2控制口WAN x 2LAN x 4WLAN天線 x 1長按5秒重啟并恢復(fù)出廠配置5秒以下重啟接地商領(lǐng)網(wǎng)關(guān)2-1WLAN天線 x 2控制口WAN x 1LAN x 4長按5秒重啟并恢復(fù)出廠配置5秒以下重啟接地?cái)U(kuò)展槽主天線從天線主天線從天線商領(lǐng)網(wǎng)關(guān)2-1+WLAN天線 x 2控制口WAN x 2LAN x 8長按5秒重啟并恢復(fù)出廠配置5秒以下重啟接地主天線從天線主天線從天線網(wǎng)關(guān)版本的選擇和特性差異1-22-12-1

2、+版本文件關(guān)鍵字ICG2000XICG2000_CTICG2000X示例ICG2000X-CMW520-E1807P01.BINICG2000_CT-CMW520-E1807P01.BINICG2000X-CMW520-E1807P01.BIN三款設(shè)備師出同門，只是性能、接口數(shù)量有所差別在版本號相同情況下，功能基本相同，配置方法完全一致早期2-1設(shè)備使用16M Flash，一些新特性如SSL VPN沒有合入ICG2000X-CMW520-E1807P01.BIN設(shè)備型號標(biāo)識版本編號ICG2000_CT-CMW520-E1807P01.BIN商領(lǐng)1-2及2-1網(wǎng)關(guān)介紹商領(lǐng)網(wǎng)關(guān)功能配置與維護(hù)目錄1

3、-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄設(shè)置VLAN無線VLAN1（默認(rèn)）有線VLAN2（新增）有線VLAN3（新增）E0/2E0/7E0/8E0/9ChinaNet-A780按不同用途、不同接入方式劃分VLAN可以為后續(xù)業(yè)務(wù)控制提供配置基礎(chǔ)Internet設(shè)置VLAN2（未完）設(shè)置VLAN2（完成）通過相同的方法，我們可以設(shè)置VLAN3并修改VLAN11-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3

4、G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄修改WLAN無線VLAN1默認(rèn)使用WEP加密有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780默認(rèn)WLAN的接入認(rèn)證密碼不利于安全性和記憶，通常需要自行修改Internet修改WLAN接入服務(wù)（未完）修改WLAN接入服務(wù)（完成）1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄Internet內(nèi)部服務(wù)器訪問需求無線VLAN1有線VLAN2E0/2E0/7E0/8E0/9

5、ChinaNet-A780中小企業(yè)通常只有1個(gè)公網(wǎng)地址，并用在公司網(wǎng)絡(luò)出口。通過內(nèi)部服務(wù)器端口映射機(jī)制可以實(shí)現(xiàn)訪問同一個(gè)公網(wǎng)地址提供多種內(nèi)部服務(wù)，避免服務(wù)器所有端口暴露的安全隱患。TCP 80端口WAN地址：TCP 80端口映射-TCP 80TCP 443端口映射-TCP 443TCP 443端口內(nèi)部服務(wù)器設(shè)置（未完）內(nèi)部服務(wù)器設(shè)置（結(jié)束）通過相同的方法，我們可以設(shè)置TCP 443端口映射到注意很多時(shí)候因?yàn)閮?nèi)部服務(wù)器沒有設(shè)置網(wǎng)關(guān)地址，導(dǎo)致外部無法訪問，請仔細(xì)檢查。如在本例中，內(nèi)部服務(wù)器和都要將網(wǎng)關(guān)設(shè)置為。Internet內(nèi)部服務(wù)器隱藏端口E0/8E0/9TCP 80端口TCP 37777端口（

6、隱藏）WAN地址：TCP 80端口映射-TCP 80TCP 37777端口映射（隱藏）-TCP 37777有的服務(wù)器，特別是視頻監(jiān)控服務(wù)器，通常使用雙端口，80端口提供WEB登錄，利用另外一個(gè)端口（隱藏是通常不被人不了解）提供視頻。確定隱藏端口的方法：訪問客戶端安裝WireShark設(shè)置好瀏覽器，確保打開網(wǎng)頁所相關(guān)ActiveX插件已經(jīng)安裝訪問前啟動WireShark抓包進(jìn)行正常訪問對抓包進(jìn)行分析過濾，發(fā)現(xiàn)隱藏端口根據(jù)找出的隱藏端口添加內(nèi)部映射內(nèi)部PC通過域名訪問內(nèi)部服務(wù)器Internet無線VLAN1有線VLAN2E0/8E0/9很多時(shí)候內(nèi)部服務(wù)器也要對內(nèi)部PC提供訪問，訪問通常是通過域名方

7、式進(jìn)行，域名訪問對于互聯(lián)網(wǎng)用戶是完全沒有問題的，對于內(nèi)部PC訪問則需要添加設(shè)置WAN地址：TCP 80端口映射-TCP 80TCP 80端口TCP 37777端口訪問原因解決方案配置前準(zhǔn)備確定內(nèi)部服務(wù)器地址及所有服務(wù)端口，本例中是假設(shè)是VLAN3中的的TCP 80和37777端口確定需要訪問內(nèi)部服務(wù)器的內(nèi)部PC地址范圍，假設(shè)這里是VLAN2的和VLAN1的命令行配置命令行撤銷可以使用undo命令undo acl number 3400刪除訪問控制列表3400undo nat outbound 3400可以在接口中的nat outbound 3400命令撤銷acl number 3400rule

8、 0 permit tcp source 55 destination 0 destination-port eq 80rule 5 permit tcp source 55 destination 0 destination-port eq 37777rule 10 permit tcp source 55 destination 0 destination-port eq 80rule 15 permit tcp source 55 destination 0 destination-port eq 37777interface vlan-interface 3nat outbound 3

9、4001-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄地址綁定無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780內(nèi)部網(wǎng)絡(luò)安全問題日益突出，尤以ARP欺騙問題為甚，問題發(fā)生時(shí)，無法訪問任何網(wǎng)絡(luò)。InternetARP掃描操作前準(zhǔn)備記錄內(nèi)部每個(gè)PC的MAC地址和IP地址，保證操作時(shí)的準(zhǔn)確性在網(wǎng)絡(luò)正常時(shí)進(jìn)行ARP掃描，對所有VLAN的所有IP進(jìn)行記錄網(wǎng)絡(luò)正常時(shí)掃描才能獲得完全正確的IP-MAC對應(yīng)關(guān)系通過相同的方法，我們可以掃描VL

10、AN1和VLAN3ARP固化掃描結(jié)束后可以對掃描結(jié)果固化下來可以將靜態(tài)設(shè)置IP地址的記錄固化，對于DHCP地址池中的IP可以不固化固化前可以檢查掃描結(jié)果是否和事前統(tǒng)計(jì)結(jié)果一致，如果不一致則說明存在ARP欺騙或者統(tǒng)計(jì)錯(cuò)誤，需要仔細(xì)確認(rèn)千萬不要固化錯(cuò)誤的記錄，固化錯(cuò)誤的后果和欺騙是一致的1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780有些PC因?yàn)樾畔踩?，是不允許訪問互

11、聯(lián)網(wǎng)的。Internet互聯(lián)網(wǎng)訪問控制互聯(lián)網(wǎng)訪問控制有人使用根據(jù)時(shí)間訪問控制無效果？原因在于設(shè)備系統(tǒng)時(shí)間不準(zhǔn)確，1-2、2-1無內(nèi)置電池，設(shè)備重啟后時(shí)間恢復(fù)成2007年1月1日。解決方案-NTP網(wǎng)絡(luò)時(shí)間服務(wù)器互聯(lián)網(wǎng)中有一些熟知的NTP服務(wù)器，對外提供時(shí)間同步工作比較著名的如和這些服務(wù)器都是分布式的，有諸多IP地址提供服務(wù)這些服務(wù)器提供的多是格林威治時(shí)間，調(diào)整為北京時(shí)間還需設(shè)置時(shí)區(qū)修正如果設(shè)備解析或失敗，可以使用如下幾條命令替代display clockclock timezone BeiJing add 8:00:00display clockdisplay clockclock timezo

12、ne BeiJing add 8:00:00display clockURL過濾有時(shí)候需要對所有員工訪問WEB進(jìn)行限制，如限制訪問視頻網(wǎng)站優(yōu)酷和酷6等每IP限速（未完）有的員工因?yàn)橄螺d或游戲占用過多帶寬，使其余PC工作帶寬不夠用可以使用每IP限速，將每個(gè)IP所占用的最大上下行帶寬控制在合理的范圍經(jīng)驗(yàn)值下載1M，上傳512K可以指定為某地址范圍靈活限速每IP限速（完成）1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0

13、/7E0/8E0/9ChinaNet-A780因?yàn)樾畔踩?，允許員工上網(wǎng)，但是限制所有PC使用 、MSN、BT、電驢等應(yīng)用。Internet應(yīng)用限制加載特征碼進(jìn)行應(yīng)用限制（未完）加載特征碼進(jìn)行應(yīng)用限制（完成）應(yīng)用后對新連接會采取阻斷行為，對于已存在連接不會生效1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780對主管網(wǎng)絡(luò)行為不進(jìn)行限制，只是對部分員工要進(jìn)行限制，可以對限

14、制員工PC建立群組，對該群組進(jìn)行限制。Internet群組功能建立群組群組訪問控制和應(yīng)用控制群組帶寬和包過濾防火墻1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780某些公司內(nèi)部信息比較機(jī)密，要求無線VLAN1和VLAN2、VLAN3不允許相互訪問，VLAN2能夠訪問VLAN3，但VLAN3不允許訪問VLAN2。Internet內(nèi)部訪問隔離配置（未完）傳統(tǒng)的網(wǎng)絡(luò)控制都是限制

15、互聯(lián)網(wǎng)應(yīng)用，對于局域網(wǎng)之間的隔離考慮較少雙向隔離，雙方不能互訪，可以采用簡單的包過濾防火墻單向隔離，流量是雙向的，但只能從一側(cè)對另一側(cè)發(fā)起訪問，要使用更高級的應(yīng)用狀態(tài)包過濾技術(shù)ASPF限制VLAN1和VLAN2、VLAN3互訪vlan1網(wǎng)段vlan2網(wǎng)段vlan3網(wǎng)段firewall enableacl number 2300interface vlan-interface 2firewall packet-filter 2300 outboundinterface vlan-interface 3firewall packet-filter 2300 outbound配置（完成）VLAN2可

16、以訪問VLan3，但VLAN3不能訪問VLAN2vlan2網(wǎng)段vlan3網(wǎng)段ASPF原理LAN3禁止主動發(fā)起任何訪問建立ASPF策略，探測TCP和UDP在LAN3接口應(yīng)用ASPF，探測訪問LAN3方向的TCP、UDP連接，為該連接建立允許規(guī)則LAN3的回復(fù)數(shù)據(jù)匹配允許規(guī)則，而可以到達(dá)LAN2firewall enableacl number 2301rule 0 denyaspf-policy 1detect tcpdetect udpinterface vlan-interface 3firewall packet-filter 2301 inboundfirewall aspf 1 out

17、bound1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780華三網(wǎng)關(guān)通過查USB EVDO上網(wǎng)卡可以連入3G網(wǎng)絡(luò)，實(shí)現(xiàn)更靈活、更可靠的接入組合。Internet3G上網(wǎng)主用WAN上行EVDO上行備份查看3G上網(wǎng)卡是否能被識別配置撥號參數(shù)配置備份路由1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L

18、2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780針對一些駐外人員或出差員工，提供撥號方式訪問內(nèi)部網(wǎng)絡(luò)。VPN用戶可以和內(nèi)網(wǎng)用戶同一網(wǎng)段，也可以不同網(wǎng)段。InternetL2TPL2TP撥號客戶端L2TP隧道WAN地址VPN網(wǎng)關(guān)地址借用VLAN1接口地址L2TP配置（未完）配置撥號用戶名、密碼，此示例中均為pc設(shè)置撥號域，此例中為ct10000，撥號客戶端使用用戶名pcct10000進(jìn)行撥號在域中設(shè)置VPN地址段，假設(shè)和VLAN1同一網(wǎng)段設(shè)置L2TP虛模板接口地址借用VLAN1接口地址接口認(rèn)證使

19、用PPP CHAPlocal-user pcpassword simple pcservice-type pppdomain ct10000interface virtual-template 0ip address unnumbered interface Vlan-interface1ppp authentication-mode chapremote-address poolL2TP配置（完成）配置L2TP由于VPN網(wǎng)段和VLAN1在同一網(wǎng)段，為使VPN和VLAN1能夠互訪必須在VLAN1接口使能代理ARP如果VPN和各VLAN在不同網(wǎng)段則可以不用使能代理ARP如使用到作為VPN地址段虛

20、模板使用作為地址l2tp enablel2tp-group 1undo tunnel authenticationallow l2tp virtual-template 0interface vlan-interface 1proxy-arp enabledomain ct10000interface virtual-template 0ppp authentication-mode chapremote-address poolWindows設(shè)置L2TP撥號（未完）PC導(dǎo)入注冊表文件Windows的L2TP默認(rèn)是帶IPSec撥號，無法和網(wǎng)關(guān)兼容導(dǎo)入后開始設(shè)置網(wǎng)絡(luò)連接Windows設(shè)置L2TP

21、撥號（未完）Windows設(shè)置L2TP撥號（未完）Windows設(shè)置L2TP撥號（未完）Windows設(shè)置L2TP撥號（未完）Windows設(shè)置L2TP撥號（未完）Windows設(shè)置L2TP撥號（未完）Windows設(shè)置L2TP撥號（完成）1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPVPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780和L2TP相同的應(yīng)用場景，L2TP無加密功能，而SSL是經(jīng)過加密的VPN，安全性更好

22、。SSL VPN必須使用單獨(dú)的網(wǎng)段，不能和任何現(xiàn)有網(wǎng)段沖突。InternetSSL VPNSSL客戶端SSL隧道WAN地址VPN網(wǎng)關(guān)地址SSL VPN配置原理資源組0資源a資源b資源組1資源c資源b用戶組0用戶a用戶b用戶組1用戶c用戶d域ct10000全WEB配置界面域是SSL VPN功能集域中包含若干用戶組類似于用戶角色每個(gè)用戶組有若干用戶每個(gè)域有一管理員用戶負(fù)責(zé)配置域中包含若干資源組每個(gè)資源組包含若干資源通常使用IP資源更為便捷使用IP資源需要劃定VPN地址段WEB資源TCP資源每個(gè)用戶只能屬于一個(gè)用戶組每個(gè)資源可以屬于多個(gè)資源組每個(gè)用戶組可以享用若干資源組一臺設(shè)備支持若干個(gè)域SSL V

23、PN配置（未完）配置SSL服務(wù)器策略，命名為chinanet在策略中使用設(shè)備出廠配置的pki域navigator調(diào)用服務(wù)策略chinanet后啟動SSL VPN功能配置好后打開SSL VPN管理頁面ssl server-policy chinanetpki-domain navigatorssl-vpn server-policy chinanetssl-vpn enableSSL VPN配置（未完）SSL VPN配置（未完）SSL VPN配置（未完）SSL VPN配置（未完）可以創(chuàng)建多個(gè)網(wǎng)絡(luò)服務(wù)，如的TCP可以創(chuàng)建多個(gè)IP資源，如VLAN2、VLAN1SSL VPN配置（未完）SSL VPN

24、配置（未完）可以創(chuàng)建多個(gè)用戶，如zhansan、lisi等SSL VPN配置（未完）可以創(chuàng)建多個(gè)用戶組，如managerSSL VPN配置（完成）SSL VPN登錄（未完）首次登錄VPN可能需要重新登錄2次，并強(qiáng)制老用戶下線SSL VPN登錄（未完）FTP登錄（完成）1-2及2-1配置與維護(hù)設(shè)置VLAN修改WLAN內(nèi)部服務(wù)器地址綁定互聯(lián)網(wǎng)訪問控制應(yīng)用限制群組功能內(nèi)部訪問隔離3G上網(wǎng)VPN-L2TPPN-SSL VPNVPN-IPSec目錄無線VLAN1有線VLAN2有線VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780IPSec VPN適合在網(wǎng)關(guān)和網(wǎng)關(guān)之間建立隧道，方便。In

25、ternetIPSec VPNVLAN1IPSec隧道WAN地址IPSec響應(yīng)方IPSec發(fā)起方IPSec配置步驟響應(yīng)方配置IKE Peer，響應(yīng)方可以不需要指定對端地址配置IKE Proposal，要和發(fā)起方一致一階段驗(yàn)證、加密算法、生存時(shí)間、前向安全性等IPSec Proposal，要和發(fā)起方一致二階段驗(yàn)證、加密算法IPSec策略模板將IKE Peer和IPSec Proposal包裝起來興趣流由發(fā)起方指定特別適合多發(fā)起方或發(fā)起方地址不確定環(huán)境IPSec策略根據(jù)策略模板建立策略WAN口應(yīng)用策略，并修改NAT設(shè)置發(fā)起方配置IKE Peer，發(fā)起方必須指定對端地址配置IKE Proposal，

26、要和響應(yīng)方一致一階段驗(yàn)證、加密算法、生存時(shí)間、前向安全性等IPSec Proposal，要和發(fā)起方一致二階段驗(yàn)證、加密算法配置ACL指定興趣流IPSec策略將ACL、IKE Peer、IPSec ProposalWAN口應(yīng)用策略，并修改NAT設(shè)置ike proposal 1authentication-algorithm shaencryption-algorithm aes-cbcdh group2sa duration 3600配置IKE Proposal假設(shè)使用aes加密、sha1作為驗(yàn)證，密鑰生存時(shí)間3600s，使用dh組2配置IKE Peer指定對端地址，指定預(yù)共享身份，指定IKE

27、Proposal配置確定興趣流的ACL發(fā)起方配置步驟（未完）ike peer centerproposal 1pre-shared-key ct10000acl number 3050ipsec proposal defesp encryption-algorithm desesp authentication-algorithm md5配置IPSec Proposal假設(shè)使用des加密、md5作為驗(yàn)證配置IPSec策略將ACL、IKE Peer和IPSec Proposal包裝起來，密鑰生存期900s，pfs使用dh組2接口應(yīng)用發(fā)起方配置步驟（未完）ipsec policy center 1

28、 isakmpsecurity acl 3050ike-peer centerproposal defpfs dh-group2sa duration time-based 900interface Ethernet 0/0ipsec policy centeracl number 3040.rule 1000 permit ipinterface ethernet 0/0undo nat outboundnat outbound 3040將WAN口共享上網(wǎng)（NAT地址轉(zhuǎn)換）配置進(jìn)行修改共享上網(wǎng)會改變WAN口上行流量源地址IPSec依靠WAN口上行時(shí)源、目的匹配ACL確定興趣流WAN默認(rèn)打開所

29、有數(shù)據(jù)的共享上網(wǎng)功能WAN應(yīng)用IPSec策略后，先進(jìn)行NAT處理，再進(jìn)行IPSec數(shù)據(jù)匹配因此一般情況下經(jīng)過NAT處理后，數(shù)據(jù)流無法匹配IPSec ACL，也就無法觸發(fā)IPSec協(xié)商，也不會被加密傳送，也就會傳送失敗需要修改NAT部分配置，對符合IPSec興趣流的數(shù)據(jù)不作地址轉(zhuǎn)換IPSec興趣流定義是源，目的可以將目的是的數(shù)據(jù)不作轉(zhuǎn)換可以自行添加目的是其余網(wǎng)段，如和的情況發(fā)起方配置步驟（完成）ike proposal 1authentication-algorithm shaencryption-algorithm aes-cbcdh group2sa duration 3600配置IKE Proposal假設(shè)使用aes加密、sha1作為驗(yàn)