1防火墙产品基本功能特性与配置

USG防火墙产品基本功能特性与配置www.huawei.comCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:40-47pt副标题:26-30pt字体颜色:反白内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:35-47pt字体:黑体副标题:24-28pt字体颜色:反白字体:细黑体Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 ：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.前言本胶片介绍了USG系列产品主要的安全技术和安全特性，以及各安全特性在USG产品上的配置。包括如：防火墙区域，防火墙工作模式，ASPF技术，NAT技术以及一些扩展技术。Page1Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.培训目标学完本课程后，您应该能：掌握USG产品的主要安全技术和安全特性掌握各安全特性在USG产品上的配置Page2Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录防火墙的基本概念防火墙关键技术防火墙基本功能防火墙扩展功能Page3Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录1.防火墙的基本概念1.1安全区域1.2防火墙工作模式1.3会话Page4Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.防火墙的安全区域Page5Local区域100Trust区域85DMZ区域50UnTrust区域5接口2接口3接口4接口1用户自定义区域Vzone0Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page6Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.接口、网络和安全区域关系Page7Eth1/0/0Eth2/0/0inboundoutboundinboundoutboundEth0/0/0USGLocalinboundoutboundinboundoutboundinboundoutboundVzoneTrust内部网络UntrustServerServerDMZ外部网络inboundoutbound............Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page8Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.安全区域配置－1创建一个安全区域[USG2100]firewallzonenameuserzone设置优先级[USG2100-zone-userzone]setpriority60给安全区域添加接口[USG2100-zone-userzone]addinterfaceGigabitEthernet0/0/1Page9Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.安全区域配置验证查看防火墙安全区域配置[USG2100]displayzoneusernameusernamepriorityis60interfaceofthezoneis(1):GigabitEthernet0/0/1Page10Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.安全区域配置－2在域间下发ACL<USG2100>system-view[USG2100]policyinterzonetrustuntrustoutbound[USG2100-policy-interzone-trust-untrust-outbound]policy1[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitPage11Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录1.防火墙的基本概念1.1安全区域1.2防火墙工作模式1.3会话Page12Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.防火墙的三种工作模式路由模式透明模式混合模式Page13Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.路由模式Page14外部网络服务器PCPC202.10.0.0/24Trust区服务器USGPC10.110.1.0/24202.10.0.110.110.1.254内部网络Untrust区Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.透明模式Page15服务器PCPCTrust区服务器USGPCUntrust区202.10.0.0/24Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.混合模式Page16USG（主）202.10.0.0/24内部网络USG（备）VRRP202.10.0.0/24Trust区服务器PC服务器PCPCUntrust区外部网络Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录1.防火墙的基本概念1.1安全区域1.2防火墙工作模式1.3会话Page17Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.会话（Session）USG防火墙是状态防火墙，采用会话 表 关于同志近三年现实表现材料材料类招标技术评分表图表与交易pdf视力表打印pdf用图表说话 pdf 维持通信状态。会话表包括五个元素：源IP地址、源端口、目的IP地址、目的端口和 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 号(如果支持虚拟防火墙的话还有一个VPN-ID)。当防火墙收到报文后，根据上述五个元素查询会话表，并根据具体情况进行如下操作：条件操作报文的五元组匹配会话表转发该报文报文的五元组不匹配会话表域间规则允许通过转发该报文，并创建会话表表项域间规则不允许通过丢弃该报文Page18会话Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.查看防火墙的Session信息[USG2100]displayfirewallsessiontableverboseCurrentTotalSessions:1telnetVPN:public-->publicTTL:00:10:00Left:00:10:00Interface:InLoopBack0NextHop:127.0.0.1MAC:00-00-00-00-00-00<--packets:1269bytes:66769-->packets:1081bytes:43715128.18.196.6:2855-->128.18.196.200:23Page19会话相关命令重置防火墙的session<USG2100>resetfirewallsessiontableCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.会话相关命令查看防火墙的Sessionaging-time[USG2100]displayfirewallsessionaging-timeSequencePre-definedVPNTimeout(s)----------------------------------------------------------------------1httpAll6002telnetAll600….Page20[USG2100]firewallsessionaging-timeicmp15Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.防火墙长连接会话配置ACL，用于控制需要长连接会话的数据流[USG2100]acl3001[USG2100-acl-adv-3001]rulepermittcpsource10.100.10.20设置长连接的老化时间[USG2100]firewalllong-linkaging-time2在域间应用长连接[USG2100]firewallinterzonetrustuntrust[USG2100-interzone-trust-untrust]long-link3001inboundPage21[USG2100]displayfirewallsessiontableverboseFTPVPN:public->publicRemoteZone:zone1->outTTL:168:00:00Left:168:00:00Interface:E1.200Nexthop:2.0.200.1MAC:00-00-02-00-c8-01<--packets:9bytes:774-->packets:7bytes:60210.100.10.3-->10.100.10.2:21(LongLink)Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录防火墙的基本概念防火墙关键技术防火墙基本功能防火墙扩展功能Page22Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录2.防火墙关键技术2.1ASPFPage23Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.ASPFASPF（ApplicationSpecificPacketFilter）是一种改进的高级通信过滤技术，ASPF不但对报文的网络层的信息进行 检测 工程第三方检测合同工程防雷检测合同植筋拉拔检测方案传感器技术课后答案检测机构通用要求培训 ，还能对丰富的应用层协议进行深度检测，支持多媒体业务的NAT以及安全防范功能，支持的协议包括：H.323协议族、MGCP、SIP、H248、RTSP、HWCC及ICMP、FTP、DNS、 ppt 关于艾滋病ppt课件精益管理ppt下载地图下载ppt可编辑假如ppt教学课件下载triz基础知识ppt P、NBT、ILS、HTTP、SMTP等。基于ACL规则的包过滤可以在网络层和传输层检测数据包，防止非法入侵。ASPF对应用层的协议信息进行检测，通过维护会话的状态和检查会话报文的协议和端口号等信息，阻止恶意的入侵。Page24Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page25Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.多通道协议多通道协议是指某个应用在进行通讯或提供服务时需要建立两个以上的会话（通道），其中有一个控制通道，其他的通道是根据控制通道中双方协商的信息动态创建的，一般我们称之为数据通道或子通道。多通道协议在状态防火墙当中需要特殊处理。单通道协议是指某个应用在进行通讯或提供服务时只需要建立一个会话的应用协议。根据TCP三次握手机制，状态防火墙能够维护会话的五元组信息。Page26Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.ASPF与多通道协议Page27用户192.168.0.1USG防火墙FTPserver19.49.10.10三次握手防火墙创建Servermap表项三次握手Port192.168.0.189,3Port192.168.0.189,3200PortCommandOKRETRSample.txtRETRSample.txt200PortCommandOK150OpeningASCIIconnection150OpeningASCIIconnection检测Servermap表项，命中表项，打开通道SYN192.168.0.1:22787192.168.0.1:22787SYNCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page28Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.三元组ASPFUSG相当于一个六元组(支持VPN情况下，有VPN-ID)的NAT设备，即防火墙上的每个会话的建立都需要六元组：源IP地址、源端口、目的IP地址、目的端口、协议号和VPN-ID。只有这些元素都具备了，会话才能建立成功，报文才能通过。而一些实时通讯工具，如QQ、MSN等，通过NAT设备，需要按三元组处理：源IP地址、源端口、协议号。USG为了适配类似QQ、MSN等通讯机制，支持三元组处理方式，让类似QQ、MSN等的通讯方式能够正常的穿越。除QQ、MSN穿越NAT设备外，其他仅使用源IP地址、源端口、协议号的会话，如TFTP，同样需要配置防火墙三元组ASPF。Page29Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page30Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.ASPF配置进入安全区域域间[USG2100]firewallinterzonetrustuntrust打开ASPF功能[USG2100-interzone-trust-untrust]detectprotocol[USG2100-interzone-trust-untrust]detect{activex-blocking|java-blocking}Page31Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录防火墙的基本概念防火墙关键技术防火墙基本功能防火墙扩展功能Page32Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录3.防火墙基本功能3.1黑名单3.2MAC绑定3.3端口映射3.4IDS联动3.5日志Page33Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.黑名单黑名单特点：根据报文的源IP地址进行过滤简单高效可动态添加删除Page34Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.静态黑名单配置[USG2100]firewallblacklistitem202.169.168.2timeout100[USG2100]firewallblacklistenablePage35服务器192.168.10.2/24PC202.169.168.2/24USGEth1/0/1202.169.168.1/24Eth1/0/0192.168.10.1/24Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.动态黑名单配置Page36服务器192.168.10.2/24PC202.169.168.2/24USGEth1/0/1202.169.168.1/24Eth1/0/0192.168.10.1/24[USG2100]firewalldefendip-sweepenable[USG2100]firewalldefendip-sweepmax-rate1000[USG2100]firewalldefendip-sweepblacklist-timeout20[USG2100]firewallblacklistenableCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.黑名单配置验证[USG2100]displayfirewallblacklistitemTotal:1Manual:1IPSweep:0PortScan:0IDS:0LoginFailed:0PreAuthed:0GetFlood:0tcp-illeage-session:0Unknown:0IPReasonInsertTimeAgeTimeVpn-instance------------------------------------------------------------------------------------------202.169.168.2Manual2009/05/1217:47:35PermanentPage37Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录3.防火墙基本功能3.1黑名单3.2MAC绑定3.3端口映射3.4IDS联动3.5日志Page38Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.MAC绑定问题的提出网络中常有一些假冒IP地址的攻击MAC绑定应用限制条件与二层直接相连的网络Page39Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.MAC绑定配置[USG2100]firewallmac-bindingenable[USG2100]firewallmac-binding202.169.168.200e0-fc00-0100Page40服务器192.168.10.2/24PC202.169.168.2/24USGEth1/0/1202.169.168.1/24Eth1/0/0192.168.10.1/24Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.MAC绑定配置验证[USG2100]displayfirewallmac-bindingitemFirewallMac-bindingitems:Currentitems:3192.168.2.180087-0326-ea9d202.1.1.800e0-fc08-0589202.1.1.900e0-fc98-5679Page41Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录3.防火墙基本功能3.1黑名单3.2MAC绑定3.3端口映射3.4IDS联动3.5日志Page42Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.端口映射问题的提出内部服务器在非知名端口提供知名服务，例如在1021端口提供FTP服务端口映射防火墙并非要更改数据包的端口信息可以用来保护因为知名端口而带来的针对性攻击Page43Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.英文标题:32-35pt颜色:R153G0B0内部使用字体:FrutigerNextLTMedium外部使用字体:Arial中文标题:30-32pt颜色:R153G0B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt颜色:黑色内部使用字体:FrutigerNextLTRegular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt颜色:黑色字体:细黑体配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.端口映射组网示例Page44FTPServer129.38.1.1/24WWW