02东软防火墙配置手册

东软防火墙配置手册东软防火墙配置手册广州中软信息技术有限公司版本历史版本修订日期修订人描述V0.12010-8-11吴德康文档编写初稿东软防火墙配置手册广州中软信息技术有限公司目录第一章文档说明.............................................................................................................................41.1编写目的............................................................................................................................41.2项目背景............................................................................................................................4第二章配置命令.............................................................................................................................52.1通过WEB登录.................................................................................................................52.2虚拟系统............................................................................................................................62.2.1查看虚拟系统信息.................................................................................................62.2.2创建一个虚拟系统.................................................................................................62.2.3删除一个虚拟系统.................................................................................................72.2.4添加描述.................................................................................................................82.2.5启用/禁用虚拟系统..............................................................................................82.2.6切换虚拟系统.........................................................................................................92.3制定安全策略..................................................................................................................102.3.1IP包过滤..............................................................................................................102.3.2安全策略流程.......................................................................................................122.4地址转换NAT.................................................................................................................142.5高可用性HA...................................................................................................................15东软防火墙配置手册广州中软信息技术有限公司第一章文档说明1.1编写目的编写该手册的主要目的是针对贵州二次安防项目工程技术人员提供东软防火墙基本的操作规范，同时，也可以作为贵州二次安防项目东软防火墙维护人员的参考阅读手册。1.2项目背景本项目是贵州电网公司根据《电力二次系统安全防护规定》（电监会5号令）、《电力系统安全防护总体方案》（国家电力监管委员会[2006]34号文及配套文件）和《南方电网电力二次系统安全防护技术实施规范》等电力二次系统安全防护相关规程规范的要求完成贵州电网公司省/地两级调度中心及220kV及以上电压等级变电站的生产控制大区业务系统接入电力调度数据网系统工程。通过本项目的实施建立健全贵州电网电力二次系统安全防护体系。项目的重点是通过有效的技术手段和管理措施保护电力实时监控系统及调度数据网络的安全，在统一的安全策略下保护重要系统免受黑客、病毒、恶意代码等的侵害，特别是能够抵御来自外部有组织的团体、拥有丰富资源的威胁源发起的恶意攻击，能够减轻严重自然灾害造成的损害，并能在系统遭到损害后，迅速恢复绝大部分功能，防止电力二次系统的安全事件引发或导致电力一次系统事故或大面积停电事故，保障贵州电网安全稳定运行。东软防火墙配置手册广州中软信息技术有限公司第二章配置命令2.1通过WEB登录1.在可通过网络连接到NetEye的计算机上打开Web浏览器。NetEye支持以下四种浏览器：MicrosoftInternetExplorer（6.0SP2或以上版本）MozillaFirefox（2.0或以上版本）Opera（9.2或以上版本）NetscapeCommunicator（9.0或以上版本）2.在浏览器的地址输入区域，输入防火墙的管理IP地址，进入防火墙管理员登录界面。防火墙管理员通过管理IP地址远程访问和管理防火墙。该地址可由防火墙管理员设定。关于其详细信息和配置方法，请参阅第348页的管理IP。NetEye的WebUI只支持SSL（HTTPS）连接方式。为了使用该连接方式，防火墙管理员需要对SSL进行设置。关于其设置方法，请参阅第98页的安全套接字层（SSL）。当在Web浏览器的地址输入区域输入管理IP地址时，防火墙管理员需要在管理IP地址之前加上前缀https://。如果防火墙管理员修改了默认的SSL端口号，还需要在管理IP的后面加上冒号和修改后的SSL端口号。例如，当管理IP为192.168.1.100，SSL端口为默认端口（443）时，输入即可。当SSL端口被修改为4433时，请输入。关于修改SSL端口号的方法，请参阅第163页的设置SSL端口号。3.根据提示，输入用户名和口令。登录到防火墙管理界面，即可通过WebUI管理防火墙。第一次登录防火墙时，防火墙管理员需要输入用户名“root”和口令“neteye”。防火墙管理员在登录时可选择是否使用配置锁。东软防火墙配置手册广州中软信息技术有限公司2.2虚拟系统一台东软NetEye防火墙可以被逻辑地划分成多个虚拟防火墙，每个虚拟防火墙拥有自己的管理员、审计员、安全策略、用户认证数据库等。这些虚拟防火墙即被称为虚拟系统(Vsys)。防火墙在没有创建任何虚拟系统时，是一个单独的物理系统，我们将它称为根系统。根系统管理员可以创建虚拟系统，管理每个虚拟系统的资源。根系统管理员创建一个虚拟系统时，最基本的操作是新建虚拟系统、为虚拟系统分配资源，及进一步为这个虚拟系统创建Vsys管理员2.2.1查看虚拟系统信息1.请选择系统配置虚拟系统，进入虚拟系统页面。2.管理员可查看到虚拟系统的信息，包括虚拟系统标识、最大资源限制、是否是启动状态、接口资源、描述信息：2.2.2创建一个虚拟系统1.请选择系统配置虚拟系统，进入虚拟系统页面：东软防火墙配置手册广州中软信息技术有限公司2.在添加虚拟系统区域的虚拟系统标识文本框内输入虚拟系统的名称，取值范围：1-255，在最大资源限制文本框内输入最大资源限制，取值范围：1%-100%：3.（本步骤可选）如需添加一个管理用户，点击管理用户超链接。关于添加管理用户的详细信息，请参阅第124页的Vsys管理员（VsysAdministrator）。4.点击应用。5.点击保存，保存所做修改。2.2.3删除一个虚拟系统1.请选择系统配置虚拟系统，进入虚拟系统页面。2.如果删除单个或多个虚拟系统，请在虚拟系统页面的系统信息列表中，找到要删除的虚拟系统，勾选其所对应的删除复选框。如需删除表内除根系统外的全部虚拟系统，请勾选虚拟系统列表表头中的删除复选框。勾选后，列表中的全部虚拟系统将被选中。东软防火墙配置手册广州中软信息技术有限公司3.点击应用。4.点击保存，保存所做修改。2.2.4添加描述1.请选择系统配置虚拟系统，进入虚拟系统页面。2.在虚拟系统页面点击需要添加描述的虚拟系统，进入编辑页面。3.在备注文本框内输入虚拟系统的描述信息。4.点击应用。5.点击保存，保存所做修改。2.2.5启用/禁用虚拟系统1.请选择系统配置虚拟系统，进入虚拟系统页面。2.在虚拟系统页面点击需要启动/禁用的虚拟系统，进入编辑页面：3.勾选/取消启动虚拟系统复选框，启用/禁用虚拟系统。4.点击应用。5.点击保存，保存所做修改。东软防火墙配置手册广州中软信息技术有限公司2.2.6切换虚拟系统1.请选择系统切换虚拟系统，进入切换虚拟系统页面。2.点击要切换的虚拟系统名称。如需申请配置锁，勾选获得配置锁复选框。如配置锁被其他管理员占用需要覆盖，勾选覆盖其他管理员的配置锁复选框：3.点击应用。4.点击保存，保存所做修改。东软防火墙配置手册广州中软信息技术有限公司2.3制定安全策略2.3.1IP包过滤包过滤包过滤是一种被广泛应用于网络安全领域的访问控制技术。网络中的一台主机通过发送和接收数据来访问另一个主机或网络，这些数据以“包”为单位进行传输，且每个数据包中都会包含源地址、目的地址等信息。防火墙不但能够识别每一个流经它的数据包中的这些信息，而且能够决定这些数据包如何被处理（如拒绝或允许转发等）。这种技术被称为包过滤技术。策略东软NetEye防火墙软件用户使用指南NetEye基于IP层进行包过滤控制，涵盖了对TCP、UDP、ICMP以及其他IP类协议（如，IGMP和GGP协议）的过滤。对应的过滤策略被称为IP包过滤策略。管理员可以使用该功能对具有特定信息的IP数据包进行控制，从而实现主机及网络间的访问控制。为了便于系统的管理，NetEye将其接口划分成不同的安全域。安全域简化了IP包过滤策略的制定。管理员能够以安全域为单位创建策略，避免了为不同的接口批量创建相同策略的繁杂。关于安全域的详细信息，