DPtech FW1000系列应用防火墙典型配置v1.3

FW1000系列防火墙典型配置案例iv1.3版本目录第1章产品介绍11.1产品概述11.2产品特点1第2章设备基本配置维护案例32.1登陆防火墙设备WEB界面32.1.1配置需求32.1.2网络拓扑32.1.3配置流程32.1.4配置步骤32.2TELNET/SSH远程管理防火墙62.2.1配置需求62.2.2网络拓扑62.2.3配置流程62.2.4配置步骤62.3限制特定IP/特定协议管理防火墙72.3.1配置需求72.3.2网络拓扑82.3.3配置流程82.3.4配置步骤82.4保存/下载/导入防火墙配置文件102.4.1配置需求102.4.2网络拓扑102.4.3配置流程102.4.4配置步骤112.5WEB页面升级防火墙软件版本122.5.1配置需求122.5.2网络拓扑132.5.3配置流程132.5.4配置步骤132.6命令行升级软件版本142.6.1配置需求142.6.2网络拓扑152.6.3配置流程152.6.4配置步骤152.7CONBOOT升级软件版本162.7.1配置需求16i2.7.2网络拓扑162.7.3配置流程162.7.4配置步骤16第3章基础转发典型配置案例263.1特性简介263.1.1二三层转发的工作机制263.1.2安全域的工作机制263.2二层转发配置案例263.2.1配置需求263.2.2网络拓扑273.2.3配置流程273.2.4配置步骤283.3三层转发配置案例293.3.1配置需求293.3.2网络拓扑293.3.3配置流程303.3.4配置步骤30第4章包过滤典型配置案例324.1特性简介324.2二层包过滤配置案例334.2.1配置需求334.2.2网络拓扑344.2.3配置流程344.2.4配置步骤344.3基于端口包过滤配置案例394.3.1配置需求394.3.2网络拓扑404.3.3配置流程404.3.4配置步骤404.4基于应用包过滤配置案例444.4.1配置需求444.4.2网络拓扑444.4.3配置流程444.4.4配置步骤454.5包过滤综合配置案例484.5.1配置需求484.5.2网络拓扑494.5.3配置流程494.5.4配置步骤50第5章NAT典型配置案例57ii5.1特性简介575.2源NAT配置案例585.2.1配置需求585.2.2网络拓扑595.2.3配置流程595.2.4配置步骤605.3目的NAT配置案例655.3.1配置需求655.3.2网络拓扑655.3.3配置流程655.3.4配置步骤665.4一对一NAT配置案例705.4.1配置需求705.4.2网络拓扑705.4.3配置流程705.4.4配置步骤715.5NAT综合配置案例745.5.1配置需求745.5.2网络拓扑755.5.3配置流程755.5.4配置步骤76第6章链路负载典型配置案例836.1特性简介836.2多运营商链路配置案例836.2.1配置需求836.2.2网络拓扑846.2.3配置流程846.2.4配置步骤85第7章IPSECVPN典型配置案例897.1特性简介897.2网关-网关模式典型配置案例907.2.1配置需求907.2.2网络拓扑907.2.3配置流程907.2.4配置步骤917.3NAT穿越典型配置案例957.3.1配置需求957.3.2网络拓扑967.3.3配置流程967.3.4配置步骤977.4客户端模式配置案例103iii7.4.1配置需求1037.4.2网络拓扑1047.4.3配置流程1047.4.4配置步骤105第8章SSLVPN典型配置案列1128.1SSLVPN在线模式配置案列1128.1.1配置需求1128.1.2组网规划1128.1.3配置流程1128.1.4配置步骤1138.2SSLVPN旁路模式配置案列1178.2.1组网规划1188.2.2配置流程1188.2.3配置步骤1198.3SSLVPNIOS客户端接入配置案列1268.3.1配置需求1268.3.2组网规划1278.3.3配置流程1278.3.4配置步骤1288.4SSLVPN安卓手机接入配置案列1368.4.1配置需求1368.4.2组网规划1378.4.3配置流程1378.4.4配置步骤138第9章双机热备典型配置案例1479.1特性简介1479.2高级双机热备典型配置案例1479.2.1配置需求1479.2.2网络拓扑1489.2.3配置流程1499.2.4配置步骤1499.3静默双机热备典型配置案例1549.3.1配置需求1549.3.2网络拓扑1559.3.3配置流程1569.3.4配置步骤156ivDPtech防火墙产品典型配置案例第1章产品介绍1.1产品概述Web2.0、网络音频/视频、P2P、云计算等各种新应用、新业务层出不穷，传统的基于端口进行应用识别和访问控制的防火墙，已远远无法满足各种新应用下安全防护的需求。为解决此类难题，迪普科技推出了基于全新多核处理器架构的FW1000系列下一代应用防火墙。FW1000对网络层、应用层安全进行融合，并采用独有的“并行流过滤引擎”技术，全部安全策略可以一次匹配完成，即使在应用层功能不断扩展、特征库不断增加的情况下，也不会造成性能的下降和网络时延的增加。FW1000开创了应用防火墙的先河。基于迪普科技自主知识产权的APP-X硬件平台和ConPlatOS安全操作系统，是目前业界性能最高的应用防火墙。无以伦比的高可用性、高性能和高可靠性，使得FW1000系列可以放心规模部署于各种复杂场景；另外，功能丰富并可按需扩展的应用防火墙方案，也简化了网络的安全架构，并大大降低了企业网络总体拥有成本！1.2产品特点业界最高性能，网络无瓶颈：数据中心、云计算的快速发展，越来越多的网络性能都已超过百G，因此对于安全产品也提出了更高的性能要求。FW1000系列应用防火墙基于APP-X硬件平台，采用先进的分布式架构+多核处理器+FPGA*，可提供业界性能最高的安全防护。全面安全防护，确保网络稳定运行：针对用户日益复杂的网络应用，安全风险也变得更加多样化。FW1000在传统防火墙技术上，增加了对应用层的支持，内嵌丰富的应用层过滤与控制引擎，可支持IPS、防病毒、流控等功能，并提供可实时升级的专业特征库，从而实现细粒度的安全管理。独创的N:M虚拟化，应用能力按需调度：1DPtech防火墙产品典型配置案例虚拟化技术是目前业界最受关注的技术之一，越来越多的网络和服务器都已采用虚拟化技术，而针对应用虚拟化的要求，迪普科技具有独创的N:M虚拟化技术，可将多台设备虚拟化成一台设备或将一台设备虚拟化成多台设备，用户可将应用能力资源池化，并根据业务要求灵活的按需调度。VPN全内置，提供最高性价比：面对用户分支互联、移动办公的需求，FW1000系列应用防火墙全内置IPSecVPN、SSLVPN硬件加密功能，在简化网络结构的基础上，还大大提升了用户网络安全建设的性价比。灵活组网能力，适应各种网络环境：FW1000系列应用防火墙支持丰富的网络特性，支持静态路由、策略路由、RIPv1/2、OSPF、BGP等多种路由协议，支持MPLSVPN，支持组播协议，支持IPv6；同时，FW1000产品可支持路由模式、透明模式、混合模式组网，可适应各种复杂组网环境。丰富的NAT能力：面对IPv4地址越来越少的严峻现实，NAT是在IPv6实施前最有效的手段。FW1000具备丰富的NAT能力，支持一对一、一对多、多对多、地址池等NAT方式，并支持FTP、H323、RAS、RTSP、SIP、ICMP、DNS、PPTP、NBT等多种NATALG功能。网络高可靠性保障：FW1000支持关键部件冗余及热插拔，可支持N+1业务板卡冗余，实现RAID级的网络高可靠性*。同时，FW1000还支持基于状态的双机热备，设备发生故障后确保原有的网络连接不会中断，实现真正的无缝切换。2DPtech防火墙产品典型配置案例第2章设备基本配置维护案例2.1登陆防火墙设备Web界面2.1.1配置需求使用计算机登陆设备Web界面。2.1.2网络拓扑2.1.3配置流程(1)配置计算机地址与防火墙设备为同一网段。(2)使用IE访问设备默认地址192.168.0.1/24，在登陆框输入，用户名admin密码admin_default。2.1.4配置步骤(1)配置计算机地址与防火墙设备为同一网段鼠标右键单击【网上邻居】-选择【属性】-右键单击【本地连接】-选择【属性】，在弹出的“本地连接属性”中双击“Internet协议(TCP/IP)”，修改HostAIP地址为192.168.0.10/24，如下图所示3DPtech防火墙产品典型配置案例(2)使用IE访问设备默认地址192.168.0.1/24打开IE浏览器，输入IP地址访问设备Web页面，如下图所示：4DPtech防火墙产品典型配置案例登陆成功后，页面显示如下：说明：1、建议使用IE8.0或以上版本的浏览器，屏幕分辨率最好设置为1024×768及以上。2、WEB网管不支持浏览器自带的后退、前进、刷新等按钮，使用这些按钮可能会导致WEB页面显示不正常。3、设备缺省的管理口IP地址为192.168.0.1。5DPtech防火墙产品典型配置案例4、初次使用本系统时可用缺省用户登录，用户名是admin，密码是admin_default。建议首次登录后修改密码，具体操作方法请参见管理员配置部分。5、用户登录后，如果对WEB界面不进行操作的时间超过5分钟，系统将超时并退回到登录页面，必须重新登录才能继续使用。6、设备支持管理员使用HTTP/HTTPS协议登陆WEB管理界面的总数最多为5个2.2Telnet/SSH远程管理防火墙2.2.1配置需求通过Telnet/SSH远程管理设备。2.2.2网络拓扑2.2.3配置流程(1)配置远程用户管理。(2)使用Telnet登陆设备。(3)使用SSH登陆设备。2.2.4配置步骤(1)配置远程用户管理进入【基本】-选择【系统管理】-【管理员】-【远程用户管理】，勾选“开启Telnet”，勾选“使用用户名密码登陆”，勾选“开启SSH”，单击“确认按钮”，如下图所示：6DPtech防火墙产品典型配置案例(2)使用Telnet登陆设备使用telnet客户端登陆设备，用户名admin密码admin_defalut，如下图所示：(3)使用SSH登陆设备使用SSH客户端登陆设备，用户名admin密码admin_defalut，如下图所示：2.3限制特定IP/特定协议管理防火墙2.3.1配置需求管理主机HostA不受各种限制管理防火墙设备，HostB只能够通过HTTP协议访问防火墙设备，HostD只能通过SSH或者HTTPS协议访问防火墙设备，其他地址均不能访问7DPtech防火墙产品典型配置案例设备。2.3.2网络拓扑2.3.3配置流程(1)登陆设备配置接口地址gige0_0地址为192.168.1.1/24，gige0_1接口地址为211.136.1.1/24。(2)配置远程用户管理，允许使用SSH和telnet访问设备。(3)配置访问设备限制条件，允许指定IP访问设备。(4)配置访问设备限制条件，允许指定IP使用特定的协议访问设备。(5)配置验证。2.3.4配置步骤(1)登陆设备设备接口IP进入【基本】-【网络管理】-【接口配置】-【组网配置】页面，在IP列单击“无”选择“静态IP”，设置IP地址，接口gige0_0192.168.1.1/24，接口gige0_1211.136.1.10/24，单击“确认”按钮，如下图所示：8DPtech防火墙产品典型配置案例(2)配置远程用户管理，允许使用SSH和telnet访问设备进入【基本】-选择【系统管理】-【管理员】-【远程用户管理】，勾选“开启Telnet”，勾选“使用用户名密码登陆”，勾选“开启SSH”，单击“确认按钮”，如下图所示:(3)配置访问设备限制条件，允许指定IP访问设备进入【基本】-【系统管理】-【管理员】-【WEB访问协议设置】页面，在IP地址