SonicWALL防火墻配置手冊

網(wǎng)絡安全專業(yè)分eiweilao@SonicWALL防火墻標準版配置SonicWall標準版網(wǎng)絡向?qū)渲?1SonicWall標準版規(guī)則向?qū)渲?7SonicWall標準版一般規(guī)則向?qū)渲?7SonicWall標準版服務器規(guī)則向?qū)渲?12SonicWall標準版一般規(guī)則直接配置 15SonicWall標準版服務器1對1NAT配置 18SonicWall標準版透明模式配置 19SonicWall標準版網(wǎng)絡向?qū)渲檬状谓佑|SonicWALL防火墻設備，我們將電源接上，并開啟電源開關，將X0口和你的電腦相連（注：請用交叉線），SonicWALL防火墻默認的IP地址為68，我們也可以通過setuptool.exe這個小工具探知SonicWALL防火墻的IP地址。如圖所示：當網(wǎng)線和電源等都連接好之后，我們設置一下本機的IP地址，以便和SonicWALL防火墻處于同一個網(wǎng)段。如圖所示：設置好IP地址后，我們在IE瀏覽器的地址欄輸入SonicWALL防火墻的IP地址，點next，提示我們是否修改管理員密碼，暫時不修改，點next，提示我們修改防火墻的時區(qū)，我們選擇中國的時區(qū)。點next，提示我們設置WAN口的地址獲取類型，這時候，我們需要和ISP相聯(lián)系，并選擇相關的類型，這里以靜態(tài)地址為例：我們點next，輸入相關的信息，IP地址、掩碼、網(wǎng)關、DNS服務器等，如果不知道此處該如何設置，請和你的ISP聯(lián)系。點next，提示我們設置LAN口的IP和掩碼，我們根據(jù)自己的規(guī)劃和網(wǎng)絡的實際情況設置，此處我沒有修改。點next，防火墻詢問我們在LAN口是否開啟DHCPserver的功能，并是否是默認的網(wǎng)段，我們可根據(jù)實際情況做調(diào)整，決定開始或關閉，以及網(wǎng)段地址等，如下圖：點next，防火墻將把前面做的設置做一個摘要，以便我們再一次確認是否設置正確，如果有和實際不符的地方，可以點back返回進行修改。按照我們前面的設置，防火墻開啟了NAT模式——即在LAN內(nèi)的PC訪問WAN外的互連網(wǎng)時，將轉(zhuǎn)換其IP地址為WAN口地址。點apply，設置生效。并需要重起防火墻，點restart重起。當把配置做好以后，我們將防火墻的X1口接到ISP進來的網(wǎng)線上，將X0口接到內(nèi)網(wǎng)交換機上。這時，我們可以找一個內(nèi)網(wǎng)的機器，測試是否可以訪問外網(wǎng)：SonicWall標準版規(guī)則向?qū)渲肧onicWall標準版一般規(guī)則向?qū)渲卯斘覀冏鋈缟系呐渲煤?，此時的策略是默認允許內(nèi)網(wǎng)的所有機器可以任意的訪問外網(wǎng)，為了符合公司的安全策略，我們?nèi)绻嚓P的安全策略，限制一些訪問的協(xié)議。通常有兩種做法：一種是先限制所有的協(xié)議，在逐步開放需要訪問的協(xié)議；另一種是先開放所有的協(xié)議，在逐步禁止不能訪問的協(xié)議。我們以第二種方式為例。選擇firewall，我們可以點右上角的rulewizard，也可以直接點add，以使用規(guī)則向?qū)槔狐cnext，我們選擇規(guī)則類型，publicserverrule我們在DMZ或者LAN有服務器，需要對外發(fā)布，——即允許來自WAN口的PC可以訪問我們的服務器而做的端口映射。而generalrule則是前面強調(diào)的針對LAN或DMZ區(qū)訪問外網(wǎng)的權(quán)限控制。我們以此為例，選擇generalrule。點next，選擇我們需要控制的協(xié)議和服務，此處我們選擇web，點next，選擇針對的web的執(zhí)行的動作，由于默認已經(jīng)有一條規(guī)則允許內(nèi)網(wǎng)可以任意的訪問外網(wǎng)，我們?yōu)榭刂苾?nèi)網(wǎng)的訪問權(quán)限，選擇deny，同時還有TCP連接超時的時間，默認是15分鐘，可根據(jù)需要做修改。如無特殊要求，可使用默認設置。點next，此處設置此規(guī)則的源接口和源IP地址，根據(jù)需要做一配置，我們此處選擇LAN的2做規(guī)則控制。點next，此處選擇規(guī)則生效的目的接口和目的IP地址，*表示任意的地址。點next，此處設置規(guī)則生效的時間，默認是一直生效，可根據(jù)需要修改時間。點next，相關的規(guī)則設置的選項已經(jīng)設置好了。點apply，規(guī)則生效，在規(guī)則列表的最上面一條，即是我們剛才通過規(guī)則向?qū)гO置的規(guī)則。SonicWall標準版服務器規(guī)則向?qū)渲眉偃缥覀冊贒MZ區(qū)或者LAN區(qū)還有一些服務器需要對外發(fā)布，那么，我們也需要添加相關的規(guī)則，以允許來自外網(wǎng)的訪問。以web服務為例，通過規(guī)則向?qū)砼渲?，如下：點rulewizard，點next，選擇publicserverrule點next，我們選擇需要對外發(fā)布的服務類型，此處選擇web，輸入服務器的IP地址，并選擇其所處的接口，此處選擇LAN口，點next，點apply，規(guī)則生效我們可以看到，在規(guī)則列表中的第4條即為我們添加的規(guī)則。在我們添加這條規(guī)則的背后，服務器的IP地址被映射成了WAN口的地址，并自動添加了相關的NAT配置。SonicWall標準版一般規(guī)則直接配置通過前面的向?qū)渲?，我們可以發(fā)現(xiàn)，添加一般規(guī)則時，其配置過程相對復雜，因為，我們可以直接添加策略，而不用通過向?qū)渲?。如下，在firewall界面，的accessrules下，直接點add：我們以禁止內(nèi)網(wǎng)IP為2的PC不允許訪問外網(wǎng)的ftp服務為例，在action處，選擇deny，在service處選擇ftp，source處選擇LAN口的，在地址段處添寫IP，2，在destination處選擇WAN口，地址保留*號，表示任意地址。如果我們不需要做進一步的設置，如規(guī)則生效時間，帶寬等，可直接點OK生效，如果需要做進一步設置，選advanced，修改我們需要設置的時間，如果要做帶寬限制，選擇bandwidth，將enable勾選，并輸入相關的帶寬控制要求。（注：由于本條規(guī)則deny，所以帶寬控制不可用）點OK，規(guī)則生效。規(guī)則列表中的第2條即為我們添加的規(guī)則。SonicWall標準版服務器1對1NAT配置如果我們有多余的公網(wǎng)IP地址，并且希望服務器可以單獨擁有一個公網(wǎng)IP地址，即我們需要對服務器做1對1的NAT時，我們需要通過如下的配置來實現(xiàn)：點network，選擇one-to-oneNAT，我們勾選enableone-to-oneNAT點add，在彈出的界面中，我們輸入相關的服務器IP和公網(wǎng)IP，在rangelength處，我們可以添入相關的數(shù)字，如果只有1個服務器，添1，如果添入的數(shù)字為其他數(shù)字如5，則，私網(wǎng)地址處，將從我們添入的地址開始，公網(wǎng)地址處，也將從我們添入的公網(wǎng)地址開始，一一對應，并遞增直到段的長度結(jié)束。點OK后，NAT生效。如下圖。在做完1對1的NAT后，我們選擇到firewall界面，選擇accessrules，來添加相關的規(guī)則，同樣可通過rulewizard來做向?qū)渲茫浣缑嫒缜八?。SonicWall標準版透明模式配置如果需要將防火墻部署成透明模式，在我們登陸防火墻時，在彈出的向?qū)гO置頁面選擇cancel，輸入默認的帳號密碼點login，然后選擇networks我們點LAN對應的編輯條，并在IP地址處輸入給予防火墻的IP地址，并把掩碼做相應的修改，以符合實際情況。點OK，配置生效。此時，我們選擇WAN口的模式，選擇透明模式，選擇后生效，點WAN口的編輯圖標，修改WAN口的網(wǎng)關地址，以便可以和其他網(wǎng)絡進行通訊。點intranet，在這里，如果我們選擇第二個選項，點add后，添加的IP將屬于LAN，其于的IP屬于W