TECH2009-8-24hillstone防火墙配置步骤(以hillstoneSA5040为例讲解)厦门领航立华科技有限公司目录31需要从客户方获取的基本信息32配置步骤32.1配置安全域42.2配置接口地址42.3配置路由62.4配置NAT62.4.1源地址NAT62.4.2目的地址NAT83配置策略83.1配置安全域之间的允许策略83.1.1配置trust到Untrust的允许所有的策略93.1.2配置DMZ到Untrust的允许所有的策略93.1.3配置trust到DMZ的允许策略103.1.4配置Untrust到DMZ服务器的允许策略103.1.5配置Untrust到Trust服务器的允许策略113.1.6配置详细策略124配置QOS135配置SCVPN1需要从客户方获取的基本信息·部署位置：互联网出口位置，还是其他，如部署在出口路由器之后等·部署方式：三层接入（需要做NAT，大部分都是这种接入方式），二层透明接入（透明接入不影响客户网络架构），混合接入模式（有几个接口需要配置成透明接口模式，可以支持这种方式）·外网出口信息：几个出口，电信Or网通，外网IP地址资源（多少个），外网网关（防火墙默认路由设置）·安全域划分：一般正常3个安全域，Untrust（外网）、Trust（内网）、Dmz（服务器网段），也可以自定义多个·外网接口IP地址：由客户提供·内网口IP地址：·如果客户内网有多个网段，建议在客户中心交换机配置独立的VLAN网段，不要与客户内部网段相同。·如果客户内网只有1个网段，没有中心交换机，则把防火墙内网口地址设置为客户内网地址段，并作为客户内网网关（适用于中小型网络）·DMZ口IP地址：由客户提供，建议配置成服务器网段的网关；2配置步骤2.1配置安全域默认就有常用的3个安全域了，Trust，Untrust，DMZ2.2配置接口地址2.3配置路由默认路由：其中指定的接口：Untrust（外网）接口，如果有多个出口，可以在这选择不同的接口。其中网关为跟FW互联设备接口的地址，比如59.60.12.33是电信给的出口网关地址。静态路由：网关地址为下一跳地址，客户内部有多个VLAN，需要在这配置静态路由，比如客户内部网有172.16.2.0/24，172.168.3.0/24等多网段，可以指定一条静态路由，Iproute172.16.0.0/16内部核心交换机地址2.4配置NAT2.4.1源地址NAT内部网络访问互联网NAT，选择互联网出口接口为eth0/1，配置接口地址就为NAT地址，并配置动态端口，启用Sticky（启用这个会更好的利用接口的资源）。（只有配置了源地址NAT，内部网络才能上互联网）2.4.2目的地址NATIP映射，把外网一个IP地址完全映射到内部一台服务器，具体如下，创建IP映射端口映射，把访问外网某个地址的指定端口映射到内部服务器的指定端口，具体配置如下：新建——>选择端口映射3配置策略3.1配置安全域之间的允许策略配置初始允许策略（在做测试，或者部署前，首先配置允许策略，让策略先全部允许；测试联通性没问题了，如路由，NAT都没问题了，才来做策略的优化，比如限制允许的服务等）3.1.1配置trust到Untrust的允许所有的策略3.1.2配置DMZ到Untrust的允许所有的策略3.1.3配置trust到DMZ的允许策略3.1.4配置Untrust到DMZ服务器的允许策略3.1.5配置Untrust到Trust服务器的允许策略（有时候我们的客户有需要从Untrust访问Trust内部地址的需求，同样要先做目的NAT，然后配置从Untrust到Trust的允许策略）3.1.6配置详细策略配置地址簿配置服务组，可以自己新建服务组，服务组可以选择预定义好的服务4配置QOS在外网接口，即Untrust口，配置对P2P的下载限制，注意上行带宽要设置为小一点，这样效果会更好5配置SCVPN先建立一个IPpool不能和内网同一网段配置SSLvpnhttp端口注意，接口：untrust隧道路由内网网段，AAA加local添加SSL登陆用户Aaa建立一个SSLvpn的zone建立一个隧道接口配置隧道接口安全zone选择刚建立的zoneSSLip地址是和pool一个网段但不能用pool里面的地址，scvpntunnel选择建立的SCVPN名字建立fromssl域(zone)toanyserviceanypermit的安全策略Web登陆FWuntrusthttps://192.168.1.2:8888端口匹配厦门领航立华科技有限公司目录页
本文档为【山石防火墙配置】，请使用软件OFFICE或WPS软件打开。作品中的文字与图均可以修改和编辑，
图片更改请在作品中右键图片并更换，文字修改请直接点击文字进行修改，也可以新增和删除文档中的内容。
该文档来自用户分享，如有侵权行为请发邮件ishare@vip.sina.com联系网站客服，我们会及时删除。
[版权声明] 本站所有资料为用户分享产生，若发现您的权利被侵害，请联系客服邮件isharekefu@iask.cn，我们尽快处理。
本作品所展示的图片、画像、字体、音乐的版权可能需版权方额外授权，请谨慎使用。
网站提供的党政主题相关内容(国旗、国徽、党徽..)目的在于配合国家政策宣传，仅限个人学习分享使用，禁止用于任何广告和商用目的。
浙公网安备 33021202002483