曙光安全產(chǎn)品安裝調(diào)試培訓

課程時間：30分鐘更新日期：2009年2月曙光安全產(chǎn)品安裝調(diào)試培訓掌握TCP/IP協(xié)議，IP地址及子網(wǎng)掩碼等基本知識掌握路由和交換技術(shù)，Internet通訊原理了解防火墻概念，初步的網(wǎng)絡(luò)安全知識具備網(wǎng)絡(luò)管理員經(jīng)驗更佳知識背景要求網(wǎng)絡(luò)拓撲圖示例安全產(chǎn)品的安裝與調(diào)試步驟第一步：必須掌握用戶的網(wǎng)絡(luò)拓撲圖第二步：進行防火墻與其他設(shè)備的連接規(guī)劃第三步：確定防火墻的工作模式網(wǎng)橋、路由、NAT、混合模式第四步：了解IP地址、網(wǎng)絡(luò)規(guī)劃，確定IP地址、端口等過濾規(guī)則控制規(guī)劃第五步：閱讀防火墻用戶操作手冊，掌握設(shè)置細節(jié)防火墻的簡單安全方案

DMZIntranetDMZInternet防火墻測試連接狀態(tài)在管理主機上打開Windows命令提示符界面，輸入命令“ping15”并回車，確保能夠ping通防火墻管理口eth1。防火墻配置連接防火墻Web管理界面使用IE（建議用戶使用6.0以上的版本）在地址欄輸入15并回車出現(xiàn)如圖所示的彈出框，點擊“是”按鈕；防火墻配置防火墻管理界面：防火墻配置默認系統(tǒng)管理員帳號：admin；初始密碼：dawning默認超級管理員帳號：administrator；初始密碼同上系統(tǒng)管理員具備系統(tǒng)管理，安全策略、日志審計等基本操作權(quán)限，超級管理員僅具備賬戶管理權(quán)限。防火墻有7個功能模塊：系統(tǒng)管理、安全策略、日志管理、安全檢測、網(wǎng)絡(luò)計費、虛擬專網(wǎng)、在線幫助。請注意：防火墻型號的不同，可能不具備全部功能模塊。如何配置網(wǎng)橋1.新建網(wǎng)橋選擇系統(tǒng)管理-網(wǎng)絡(luò)配置-接口配置：點擊增加按鈕配置網(wǎng)橋2.設(shè)置網(wǎng)橋?qū)⒕W(wǎng)橋的IP地址與子網(wǎng)掩碼設(shè)置為空，選擇網(wǎng)橋名稱，例如網(wǎng)橋4，點擊提交配置網(wǎng)橋3.選擇網(wǎng)橋接口 將可用接口添加到網(wǎng)橋中，選擇已經(jīng)規(guī)劃到的內(nèi)網(wǎng)口與外網(wǎng)口的接口。配置網(wǎng)橋4.修改接口工作模式點擊進入接口配置后，選擇接口的工作模式，更改為網(wǎng)橋模式（注意：只有新建網(wǎng)橋后，網(wǎng)口的工作模式里才會顯示新建的網(wǎng)橋）配置網(wǎng)橋5.網(wǎng)橋創(chuàng)建完成將內(nèi)網(wǎng)口與外網(wǎng)口的工作模式都修改完成。如何配置管理口點擊規(guī)劃的防火墻管理口，這里為ETH4口。修改IP地址子網(wǎng)掩碼為防火墻管理口地址，選擇控制選項，選擇ping響應(yīng)選項，點擊提交。如何配置缺省網(wǎng)關(guān)選擇網(wǎng)絡(luò)配置-缺省網(wǎng)關(guān)，輸入IP地址，提交（由于管理地址是通過路由回指到三層交換機上，所以網(wǎng)關(guān)地址為上層交換機地址，即服務(wù)器網(wǎng)關(guān)地址）配置安全策略1.添加用戶組選擇安全策略-用戶組配置，點擊增加如何配置安全策略2.輸入用戶組輸入用戶組名稱，用戶IP地址或網(wǎng)段，點擊確定（例如用戶組名稱：company，用戶IP地址：/24）配置安全策略3.設(shè)置安全策略選擇安全策略-規(guī)則配置-過濾規(guī)則，點擊增加配置安全策略4.規(guī)則信息的填寫根據(jù)規(guī)劃好的規(guī)則信息進行填寫防火墻常見問題解答1、開關(guān)機問題，如果防火墻開機后電源指示燈不亮，可能是因為：a.電源線沒有連接好，請檢查供電線路是否良好；b.電源電壓不符合要求，請檢查電源電壓是否符合規(guī)定范圍。2、無法登錄WEB管理界面a.輸入防火墻內(nèi)部IP地址不正確；b.網(wǎng)線有問題；c.登錄方式?jīng)]有采用“HTTPS”；d.防火墻內(nèi)部IP地址與本主機IP地址不在同一網(wǎng)段上。如以上仍不能進入，那么就要根據(jù)你的身份來尋求以下解決方案：如果你不是管理員，根本就沒有權(quán)限進入防火墻系統(tǒng)管理主界面；如果你是系統(tǒng)管理員，有可能該管理主機在防火墻的黑名單中，或者由于登錄錯誤而被防火墻鎖定。防火墻常見問題解答3、無法訪問外網(wǎng)a.網(wǎng)線有問題。請仔細檢查網(wǎng)線是否正常導通，以確認是否更換網(wǎng)線；b.與防火墻連接的集線器或交換機、路由器連接不正確。首先檢查防火墻及其連接集線器或交換機、路由器上的連接指示燈是否亮。否則，可能是集線器、路由器本身有問題；c.防火墻的IP地址和子網(wǎng)掩碼配置錯誤、防火墻網(wǎng)關(guān)沒有正確設(shè)置。請檢查防火墻“網(wǎng)絡(luò)配置”界面中各配置選項的正確性，注意網(wǎng)絡(luò)IP地址與網(wǎng)絡(luò)掩碼必須匹配；d.DNS不能解析或解析錯誤；e.防火墻規(guī)則設(shè)置有問題，請檢查規(guī)則是否開通允許訪問。4、如何處理日志因為防火墻的存儲空間有限以及為了保持防火墻高效的工作性能，防火墻只保存最新的30M日志，如果想保留所有的防火墻日志，請用防火墻遠程日志系統(tǒng)，把防火墻的日志傳到遠程日志服務(wù)器上。防火墻常見問題解答5、網(wǎng)絡(luò)接口連接指示燈不亮a.網(wǎng)絡(luò)連接出了問題；b.集線器或交換機運行可能不正常，請試著把網(wǎng)線插到集線器的其它位置，或者插到另一臺集線器上。6、主機不能PING到防火墻a.網(wǎng)絡(luò)接口配置不正確，請仔細檢查防火墻“網(wǎng)絡(luò)配置”界面中配置選項的正確性；b.網(wǎng)絡(luò)接口屬性設(shè)置不允許PING；c.防火墻包過濾是否允許執(zhí)行ICMP規(guī)則。7、關(guān)于Web管理無法登錄（賬號鎖定）如何解除a.用超級管理員登錄防火墻，把鎖定的管理員帳號刪除；b.通過串口登錄防火墻，把鎖定的管理員帳號刪除；c.等待鎖定時間過期。防火墻常見問題解答8、不能增加一目標網(wǎng)絡(luò)的路由a.檢查目標網(wǎng)絡(luò)地址和網(wǎng)絡(luò)掩碼是否匹配；b.檢查防火墻是否能解析該網(wǎng)關(guān)的MAC。9、IP地址綁定未起作用檢查綁定IP是否經(jīng)過其它路由設(shè)備才到達防火墻。10、增加一個禁止指定主機的規(guī)則，但該主機仍能通過防火墻a.檢查該主機與通信目標主機間的通信通道是否經(jīng)過防火墻；b.檢查是否已有規(guī)則許可該主機通過防火墻；c.檢查測試源主機是否為雙穴主機，是否網(wǎng)卡配有多個IP地址。11、用戶規(guī)則許可但不能通過防火墻a.檢查該用戶登錄主機的IP是否需要防火墻做NAT或者需要設(shè)置網(wǎng)橋、路由等；b.檢查用戶機的網(wǎng)關(guān)和代理設(shè)置是否正確。防火墻常見問題解答12、禁止主機但是禁止無效a.檢查該用戶登錄主機是否有旁路，是否有兩塊以上網(wǎng)卡；b.檢測規(guī)則，是否還有其它規(guī)則對此主機放行。13、用戶口令丟失，無法登錄防火墻使用串口登錄，增加新用戶。設(shè)置新用戶的權(quán)限，密碼。14、防火墻不定期無故死機a.檢查防火墻所在的工作環(huán)境；b.檢查防火墻日志文件是否超載，建議刪除舊有備份文件或者將其導入日志備份