联想网御防火墙PowerVWeb界面操作基础手册系统配置.doc

第3章 系统配置本章关键介绍防火墙系统配置，由以下部分组成：日期时间，系统参数，系统更新，管理配置，联动，汇报设置，入侵检测和产品许可证。3.1 日期时间防火墙系统时间正确性是很关键。能够采取两种方法来同时防火墙系统时钟1) 和管理主机时间同时2) 和网络时钟服务器同时（NTP协议）图 31配置防火墙时间和管理主机时间同时1. 调整管理主机时钟2. 点击“时间同时”按钮和时钟服务器时间同时有两种方法1. 立即同时2. 周期性自动同时立即同时1. 选中“启用时钟服务器”，输入“时钟同时服务器IP”2. 点击“立即同时”按钮周期性自动同时1. 选中“启用时钟服务器”，输入“时钟同时服务器IP”2. 设定同时周期3. 点击“确定”按钮系统参数注意事项：防火墙很多操作依靠于系统时间，改变系统时间会对这些操作发生影响，比如更改时间后配置管理界面登录超时等。3.2 系统参数系统参数设置防火墙名称和动态域名注册所使用用户名、密码。防火墙名称最大长度是14个英文字符，不能有空格。默认防火墙名称是themis，用户能够自己修改这个名称。动态域名注册所使用用户名、密码最大长度是31个英文字符，不能有空格。动态域名设置在网络配置网络设备物理网络配置中。图 32系统参数配置图3.3 系统更新3.3.1 模块升级防火墙系统升级功效能够快速响应安全需求，确保防火墙功效和安全快速升级。图 33导入升级文件模块升级界面包含以下功效1. 模块升级2. 导出升级历史3. 检验最新升级包4. 重启防火墙模块升级1. 点击“浏览”按钮，选择管理主机上升级包2. 点击“升级”按钮点击“重启防火墙”按钮，重启防火墙完成升级导出升级历史点击“导出升级历史”按钮，导出升级历史做备份。检验最新升级包管理员能够查看”系统目前软件版本”，点”检验最新升级包”，系统会弹出新IE窗口并连接联想安全服务网站（防火墙能够连接Internet）。重启防火墙点击“重启防火墙”按钮，防火墙将重新开启。注意：重启防火墙前，记住要保留目前配置。“保留”快捷键：3.3.2 导入导出图 34导入导出配置文件导入导出界面包含以下功效1. 导出系统配置2. 导入系统配置3. 恢复出厂配置4. 保留配置导出配置点击“导出配置”按钮，导出最终一次保留全部系统配置到管理主机。选中“导出成加密格式”，则加密配置文件。导入配置点击“浏览”按钮，在管理主机上选择要导入配置文件，点击“导入配置”按钮，导入配置文件，系统提醒导入成功，重起防火墙，导入配置生效。注意：导出配置文件带有防火墙软硬件版本信息，不能导入到别版本防火墙中，而且假如一样配置文件被导入到不一样防火墙中，且这些防火墙在同一网络时，可能会引发配置冲突，如IP地址，MAC地址等。恢复出厂配置点击“恢复出厂配置”按钮，防火墙全部配置丢失，恢复到出厂配置，重起防火墙后生效。保留配置点击“保留配置”，保留全部系统配置。也能够按上方保留快捷图标来保留。3.4 管理配置3.4.1 管理主机管理员只有在管理主机上才能对防火墙进行管理，最多支持6个管理主机IP和1个集中管理主机，最少有1个管理主机IP不能被删除。图 35添加、编辑管理主机此界面完成以下功效1. 添加管理主机2. 删除管理主机3. 转到“系统配置汇报设置集中管理”界面添加管理主机1. 输入管理主机IP2. 在“说明”中，输入描述性文字，此步骤可忽略3. 点击“确定”按钮完成添加修改管理主机1. 从“管理主机IP”列表中修改要修改管理主机IP2. 点击“确定”按钮完成修改删除管理主机1. 从“管理主机IP”列表中删除要删除管理主机IP2. 点击“确定”按钮完成删除3.4.2 管理员账号管理员按等级授权管理，说明以下：表 31管理员等级和授权管理员等级授权备注超级管理员增加、删除管理员帐号，不能直接配置管理。默认管理员帐号和密码为administrator：administrator。帐号administrator不能删除。配置管理员配置系统策略、网络配置、在线帮助。无默认帐号策略管理员配置安全策略、资源定义、在线帮助。无默认帐号审计管理员查看防火墙日志信息、在线帮助。无默认帐号默认只能有一个管理员登录防火墙进行配置管理，选择”允很多个管理员同时管理”时，防火墙系统才会允很多个管理员同时登录，但最好不要多个管理员同时进行修改配置。图 36显示管理员账号此界面可完成以下功效1. 添加管理员账号2. 编辑管理员账号3. 删除管理员账号4. 许可或严禁多个管理员同时管理5. 设定管理员登录超时时间图 37添加、编辑管理员账号添加管理员账号1. 点“添加”按钮，打开管理员账号维护界面2. 输入账号、口令，并选择要添加管理员账号类型3. 点“确定”按钮完成，点“添加下一条”能够继续添加管理员账号编辑管理员账号1. 点操作栏中“编辑”快捷图标，打开管理员账号维护界面2. 修改口令或账号类型3. 点“确定”按钮完成删除管理员账号1. 点操作栏中“删除”快捷图标，弹出删除对话框2. 点“确定”按钮完成删除许可或严禁多个管理员同时管理选择“允很多个管理员同时管理”时，防火墙系统才会允很多个管理员同时登录。设定管理员登录超时时间管理员登录后假如长时间没有操作，配置界面会超时，超时时间也在这里设置，缺省值是600秒，最大超时时间可设为86400秒（二十四小时），0是非法值。设置后点击“确定”生效。3.4.3 管理证书本界面完成关键证书管理。管理证书为标准CA证书。不管使用电子钥匙认证，还是直接使用证书认证，均是经过https协议访问，即使用管理证书完成SSL加密。管理员经过电子钥匙认证成功，访问https:/防火墙可管理IP:8888，登录防火墙配置界面，使用防火墙web服务器服务器端证书进行信道加密。防火墙出厂时预置了一套证书（CA中心证书、防火墙证书、防火墙密钥），管理员能够点击CA中心证书链接、防火墙证书链接进行查看。管理员也能够更新此套证书，按”系统配置管理配置管理证书”界面提醒直接导入即可。管理员经过IE完成证书认证，访问https:/防火墙可管理IP:8889，登录防火墙配置界面，使用防火墙web服务器用户端证书进行信道加密。当管理员使用证书方法进行身份认证时，必需在防火墙中导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书），并在管理主机IE中导入管理员证书。管理员能够点击CA中心证书链接、防火墙证书链接进行查看。管理员能够查看导入管理员证书列表。此界面包含以下功效1. 到联想CA中心下载证书2. 导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书）3. CA中心证书、防火墙证书查看4. 管理员证书维护（生效、删除）图 38导入和显示管理证书操作步骤：1. 管理员向CA中心申请证书，选择一套匹配CA中心证书、防火墙证书、防火墙密钥”导入”。2. 管理员要将选择匹配管理员证书”导入”。点”生效”，使用相关管理员证书生效。3. 下次登录防火墙系统前，请将有效管理员证书导入管理主机IE浏览器中，访问https:/防火墙可管理IP:8889，进入防火墙配置管理界面。注意：CA中心证书、防火墙证书、防火墙密钥必需是配套。只接收PEM格式证书。下载证书点“联想CA中心”按钮，打开联想CA中心主页，下载证书导入证书点“浏览”按钮，分别导入一套匹配CA中心证书、防火墙证书、防火墙密钥、管理员证书。CA中心证书、防火墙证书、防火墙密钥必需同时更换。管理员证书维护管理员证书维护包含生效和删除，在“生效”一栏选择要生效证书，点“生效”按钮则生效选中证书。在“操作”一栏中，点“删除”图标，删除此证书。3.4.4 管理方法防火墙提供WEB界面和CLI命令行两种管理方法。能够经过网口访问、串口访问，支持拨号(PPP)连接。WEB管理方法和串口命令行方法默认打开，不可关闭。使用WEB方法管理防火墙，管理主机必需能经过网络访问防火墙，而且其IP地址必需在防火墙上设置（参考：系统配置管理配置管理主机）。使用串口命令行方法管理，在关闭PPP接入情况下，管理主机经过串口连接防火墙CONSOLE口登录；假如打开了PPP接入方法，则转移到AUX口登录。“启用远程SSH”后，管理主机能够经过网络连接（通用网口或PPP连接均可），利用secure crt或putty 等终端管理软件登录防火墙命令行界面进行管理。打开”支持拨号(PPP)接入”选项。前提是Modem连接到电话线路上，并将防火墙CONSOLE口连接Modem，管理主机经过另外一个Modem也接入电话线路，从管理主机向防火墙拨号，拨号成功后，防火墙和管理主机建立了PPP连接。此时，能够从管理主机上利用putty软件登录防火墙命令行界面（远程SSH方法）。图 39显示和配置管理方法3.5 联动3.5.1 IDS产品支持IDS产品联动，包含PUMA协议和产品Puma、OPSEC协议和产品Safemate、天阗产品Venus、天眼产品Netpower。当IDS联动产品发觉入侵攻击行为时，会通知防火墙。防火墙会按IDS产品通知阻断方法、阻断时间和入侵主机相关信息，对入侵主机进行阻断。防火墙阻断方法包含：l 对”源IP地址”阻断l 对”源IP地址、目标IP地址、目标端口、协议”阻断、l 对”源IP地址、目标IP地址、协议、方向（单向、双向、反向）”阻断防火墙阻断协议包含：TCP / UDP / ICMP和全部协议（any）。图 310 IDS产品表 32 IDS产品功效说明域名说明启用“网御通用安全协议（PUMA）入侵检测系统”联动选择正确密钥文件导入后，启用”网御通用安全协议（PUMA）入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认5000/TCP），防火墙能够和之联动。启用“天阗入侵检测系统统” 联动启用” 天阗入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认/UDP），防火墙能够和之联动。启用“天眼入侵检测系统”联动选择正确证书导入后，启用”天眼入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认4000/TCP），防火墙能够和之联动。启用“safemate入侵检测系统”联动选择正确密钥文件导入后，启用”safemate入侵检测系统”，并指定防火墙端服务端口（默认/UDP），防火墙能够和之联动。忽略指定IP地址自动阻断当管理员不期望部分尤其IP被防火墙阻断时，能够在”忽略以下IP地址自动阻断”列表中加入这些IP。假如在配置忽略某IP地址自动阻断之前，已经下了该IP自动阻断规则，则需要将这些自动阻断规则清除，才能实现忽略指定IP地址自动阻断。立即清除全部自动阻断能够立即清除全部自动阻断。注意：每个联动请配置不一样联动端口，如配置成同一端口，则只启用界面上次序靠后联动系统。3.5.2 用户认证服务器为了增强从内网访问外网时访问控制，提供不受服务种类限制用户认证系统，能够为包过滤、双向NAT、代理等访问控制提供用户认证功效。管理员能够启用防火墙当地帐号服务器，也能够启用标准RADIUS服务器。即，防火墙用户认证使用是RADIUS账号库，并支持RADIUS服务器审计功效。图 311用户认证配置图此界面包含以下功效1. 配置认证端口和监控端口2. 选择认证服务器3. 配置RADIUS认证服务器配置认证端口和监控端口使用用户认证服务器，管理员必需配置防火墙用户认证模块监听认证端口、检测用户在线情况监控端口。选择认证服务器管理员能够启用防火墙当地帐号服务器，也能够启用标准RADIUS服务器。默认使用防火墙当地帐号服务器。当地帐号服务器能够提供更多控制功效： 提供基于角色用户策略，并和安全规则策略配合完成强访问控制。关键包含：安全策略和授权服务，其中，安全策略是限制用户在什么时间、什么源IP地址能够登录防火墙系统，而授权服务则定义了该用户经过认证后能够享受服务。 支持对用户帐号流量控制和时间控制 用户端能够修改密码 服务器端检验用户在线状态 支持PAP 和S/Key认证协议配置RADIUS认证服务器启用RADIUS认证服务器，需要配置RADIUS认证服务器所在IP地址、认证端口中、审计端口及和防火墙加密通信密钥。3.6 汇报设置3.6.1 日志服务器防火墙各功效模块提供标准日志统计。启用日志统计后，默认情况下日志存放在防火墙当地。防火墙也能够将日志发往第三方日志服务器， 日志服务器能够和防火墙任意网口连接。防火墙提供随机日志服务器软件，提供强大日志存放和审计功效。图 312日志服务器配置此界面提供以下功效1. 配置日志服务器2. 转到“系统监控日志信息”界面配置日志服务器需要管理员配置日志服务器IP、防火墙和日志服务器通信协议和端口。防火墙默认使用syslog方法向第三方发送日志，端口514 / 协议UDP。转到“系统监控日志信息”界面点“查看日志”按钮，转到“系统监控日志信息”界面3.6.2 报警邮箱能够设置防火墙报警邮箱。在集群模块启用时，能够给防火墙管理员发报警邮件。图 313报警邮箱配置此界面包含以下功效1. 配置报警邮箱2. 转到“网络配置域名服务器”界面配置报警邮箱配置报警邮箱并指定该邮箱所在SMTP服务器IP地址和端口转到“网络配置域名服务器”界面点“修改DNS配置”按钮，转到“网络配置域名服务器”界面。假如不能正常发邮件，请检验DNS配置是否正确。3.6.3 集中管理支持防火墙集中管理（SNMP v2,v3）。防火墙能够和联想网御集中安全管理系统无缝联动。管理员配置集中管理主机IP和各项监控信息阀值。当防火墙运行信息超出阀值后，经过SNMP协议和该集中管理主机发trap信息。监控信息包含：系统名字版本号序列号、CPU利用率、内存利用率、网络接口状态、网络连通状态。经过TRAP信息发给集中管理中心，为网络管理人员提供全方面、易用、高效实时监控网络资源使用情况工具和手段。相关信息也能够在防火墙”系统监控网络接口”界面和”系统监控资源状态”查看。 图 314集中管理配置图表 33集中管理配置元素表域名说明集中管理主机IP集中管理主机IP防火墙名称防火墙名称本机备注对防火墙描述责任人姓名责任人电话CPU利用率阀值假如实际利用率超出该值，则向集中管理主机发送报警信息内存利用率阀值假如实际利用率超出该值，则向集中管理主机发送报警信息磁盘利用率阀值假如实际利用率超出该值，则向集中管理主机发送报警信息输入以上各域内容，点“确定”完成集中管理主机配置。3.7 入侵检测防火墙本身关键在链路层进行访问控制，入侵检测技术是防火墙技术逻辑赔偿。作为一个数据通信监视手段，入侵检测技术对于每一个进出数据包全部要进行解码分析和模式匹配，假如发觉该数据包中含有和已知攻击方法特征库相匹配数据，则断定有入侵事件发生，发出警报提醒管理员注意，并能够自动阻断源IP地址，立即地将攻击者拒之门外。联想网御防火墙将入侵检测技术无缝地集成到本身当中，极大地提升了防火墙检测数据驱动型攻击能力。因为防火墙本身布署特点，只能对经过防火墙数据包进行检测，假如用户需要对整个网络潜在攻击进行监控，提议选择联想网御系列入侵检测产品。入侵检测模块关键功效特点包含：l 实时网络数据流监控实时监视进出防火墙全部通信流，分析网络通信会话轨迹。信息搜集和分析同时进行，快速反应，一旦发觉可疑信息，立即报警并响应。l 网络攻击模式匹配预置已知攻击模式规则库，能检测多个攻击行为，最大程度地防范黑客入侵和内部用户非法使用。规则库能够在线升级，确保能够识别最新黑客攻击手段。l 针对入侵行为实时自动响应能够自动响应入侵事件，除了报警和写日志外，能够做到实时阻断可疑连接，同时防火墙还能够和其它厂商IDS产品如“天阗”、“天眼”IDS实现联动，威力强大。l 灵活检测策略设置内置十六种检测策略，用户能够随意组合使用，做到量体裁衣，突出关键。l 支持用户添加自定义检测规则用户能够依据自己实际情况和感爱好安全事件添加自定义检测规则，表现个性化服务。l 支持高级用户调整检测规则管理员可依据IDS保护网络具体情况，调整检测策略中检测规则，将轻易引发误报规则禁用，愈加好地提升入侵检测效率。l 全天候报警方法可自动将报警信息传送到管理员电子邮箱，显现在移动通讯设备上，实现离线监控。经典应用实例以下：Internet网站主服务器提供WWW和FTP服务内部网图 315经典应用拓扑某企业内部网拓扑图图2-15，防火墙三个网口分别连接到内部网、对外服务器和路由器。内部网主机经过防火墙能够访问对外服务器和Internet；外部网络能够访问对外服务器，但不能访问内部网。企业网络管理员期望启用防火墙入侵检测功效，以发觉多种非法入侵企图，并启用自动响应功效，将出现在“检测结果”中源IP地址自动阻断一段时间。3.7.1 基础配置首先，登录防火墙配置管理界面后，经过左侧菜单栏系统配置入侵检测，即出现入侵检测管理界面。图 315基础配置基础配置能够设置是否开启入侵检测，及监听网口和网段。3.7.2 策略配置策略配置能够许可管理员选择一些策略使之生效，以对付入侵。图 316入侵检测策略配置ids报警邮箱设置和整个系统报警邮箱设置在一起，系统报警邮箱设置在系统配置-汇报设置-报警邮箱下，设置好报警邮箱后，ids系统会在入侵纪录达成100条或时间间隔达成30秒时，自动发送全部入侵纪录到此邮箱中。3.7.3 自定义检测从列表中能够查看目前全部自定义规则，管理员能够生效或失效一条规则，来检测或取消检测某一类入侵事件。管理员能够添加一条自定义规则，以下所表示：图 317自定义入侵规则列表注意事项：l 假如正常网络行为引发某条规则大量误警，能够将该条规则禁用。自动响应功效最好在正常运行一段时间后，当误报已经降低到很低程度时再启用。l 有时FTP服务器或DNS服务器会引发扫描报警，这属于误报，能够调整扫描时间阈值或将这些服务器IP地址添加到忽略扫描报警地址列表中。l 有时在检测结果中会看到对外服务器IP出现在攻击者源地址中，比如从对外服务器80端口到某个外部IP地址高端口，报警信息为发觉了403 forbidden特征字符串。这条报警信息并不意味着对外服务器是攻击者，恰恰相反，正是因为某个外部IP经过防火墙向对外服务器提议了非法web请求，造成服务器返回“403 严禁访问”信息，所以攻击者是外部IP地址主机。不过因为防火墙自动响应功效只阻断检测结果中源IP地址，所以为了确保服务器不被阻断，最好将服务器IP地址放入忽略自动阻断地址列表中。3.7.4 扫描检测配置管理员点击“扫描检测配置”，将扫描时间阈值由3分钟内发觉5次端口连接调整为10秒钟内发觉3次端口连接。以下图所表示。图 318扫描检测配置3.7.5 自动响应配置管理员能够启用自动响应功效，并设置阻断时间为12秒。以下图所表示：图 319自动响应功效设置完成后，自动响应功效生效。一旦有触发检测规则可疑事件发生，出现在检测结果中源IP地址立即被自动列入系统黑名单中，提议者通信被防火墙阻断，可疑行为将无法继续进行下去。管理员能够自定义阻断时间（以秒为单位），假如不填写时间，则视为永远不解除阻断。清除已经阻断IP地址，能够清除防火墙系统全部已经阻断IP地址，包含ids联动系统阻断地址。注意：攻击者能够伪造地址进行攻击，所以开启改项功效有可能造成对被伪造IPDOS攻击或网络通信异常，所以推荐通常情况下不要打开此项功效。3.7.6 检测结果管理员点击界面中“检测结果”，能够查看全部入侵，页面以下所表示。图 320检测结果3.8 产品许可证经过本页面能够将您获取到防火墙模块许可证上载，并导入到防火墙。上载成功后，请您保留系统配置，并重启防火墙，以使新模块生效。图 321产品许可证上载页面