博达防火墙使用说明书

防火墙使用说明书

防火墙使用说明书

目录

第1章简介 (1)

1.1 关于博达防火墙 (1)

1.1.1 病毒防护 (1)

1.1.2 WEB内容过滤 (1)

1.1.3 垃圾邮件过滤 (1)

1.1.4 防火墙 (2)

1.1.5 VLAN和域 (3)

1.1.6 IPS (3)

1.1.7 VPN (3)

1.1.8 双机热备 (3)

1.1.9 安全安装，配置和管理 (3)

1.2 文档约定 (4)

第2章防火墙配置方法 (5)

2.1 连接PC和防火墙 (5)

2.2 登录配置防火墙 (6)

第3章 WEB管理界面 (8)

3.1 基于WEB的管理页面 (8)

系统管理 -> 网络 -> 域 (8)

第4章系统管理状态 (12)

4.1 状态 (12)

4.1.1 查看系统状态 (12)

4.1.2 更改系统信息 (14)

4.2 会话 (14)

第5章系统管理网络 (16)

5.1 域 (16)

5.1.1 域的设置 (17)

5.2 接口 (18)

5.2.1 接口设置 (18)

5.3 管理地址 (22)

5.3.1 管理地址的设置 (23)

5.4 别名地址 (23)

5.4.1 别名地址的设置 (24)

5.5 IP池 (25)

5.5.1 IP池的设置 (25)

5.6 DNS (26)

第6章系统管理 DHCP (28)

6.1 服务 (28)

6.1.1 配置DHCP服务 (28)

I

防火墙使用说明书

6.2 分配范围 (29)

6.2.1 配置DHCP分配范围 (30)

6.3 排除范围 (31)

6.3.1 配置排除范围 (32)

6.4 IP/MAC绑定 (32)

6.4.1 配置IP/MAC绑定 (33)

第7章系统管理配置 (34)

7.1 时间设置 (34)

7.2 选项 (35)

7.3 HTTP登录端口 (36)

7.4 高可靠性 (36)

7.4.1 HA基本设置 (37)

7.4.2 HA节点 (37)

7.4.3 心跳接口 (39)

7.4.4 链路检测 (41)

7.5 VRRP (42)

7.5.1 配置VRRP组 (42)

7.5.2 配置VRRP虚拟IP (44)

7.5.3 配置VRRP监控端口 (44)

7.5.4 配置VRRP监控IP (45)

7.6 SNMP (46)

7.6.1 SNMP代理基本设置 (46)

7.6.2 配置SNMP团体 (47)

7.7 生成树 (48)

7.7.1 配置网桥 (49)

7.7.2 网桥端口 (49)

7.7.3 配置网桥端口 (50)

第8章系统管理管理员设置 (51)

第9章系统管理维护 (53)

9.1 备份与恢复 (53)

9.1.1 保存配置 (53)

9.1.2 备份配置 (54)

9.1.3 恢复配置 (55)

9.2 升级 (55)

9.3 授权文件 (55)

9.4 支持 (56)

9.5 命令检测 (56)

9.6 关机 (57)

第10章设置用户 (58)

10.1 用户 (58)

10.2 RADIUS服务器 (59)

10.3 用户组 (60)

II

防火墙使用说明书

第11章认证用户 (63)

第12章路由 (65)

12.1 静态路由 (65)

12.2 策略路由 (66)

第13章防火墙 (70)

13.1 策略 (70)

18．点击“确定”完成 (73)

13.2 地址 (74)

13.2.1 地址 (74)

13.2.2 地址组 (75)

13.3 服务 (77)

13.3.1 预定义 (77)

13.3.2 定制 (77)

13.3.3 组 (79)

13.4 时间表 (80)

13.4.1 单次时间 (80)

13.4.2 循环时间 (81)

13.5 保护设置 (82)

1．进入防火墙->保护设置 (84)

2．点击“新建”按钮，进入新建保护设置页面 (84)

13.6 应用层过滤 (84)

13.6.1 协议 (84)

13.6.2 组 (85)

13.7 NAT策略 (86)

13.7.1 SNAT (86)

13.7.2 虚拟IP (88)

13.7.3 NAT策略的生效 (90)

13.8 MAC绑定 (90)

13.8.1 MAC绑定 (90)

13.8.2 ARP扫描 (92)

13.8.3 ARP扫描状态 (93)

第14章虚拟专网 (94)

14.1 IPSEC (94)

14.1.1 阶段1 (94)

14.1.2 阶段2 (97)

14.1.3 手动模式 (99)

14.1.4 VPN隧道 (100)

14.1.5 阶段1状态 (102)

14.1.6 阶段2状态 (103)

14.1.7 IPSEC使用中的特殊情况 (104)

14.2 PPTP (104)

14.2.1 PPTP分配地址范围 (104)

III

防火墙使用说明书

14.2.2 PPTP状态 (105)

14.3 L2TP (106)

14.3.1 L2TP分配地址范围 (106)

14.3.2 L2TP状态 (107)

14.4 证书 (108)

14.4.1 本地证书 (108)

14.4.2 CA证书 (110)

第15章入侵防御 (112)

15.1 特征 (112)

15.2 异常 (113)

第16章防病毒 (115)

16.1 病毒库管理 (115)

16.1.1 升级配置 (115)

16.1.2 病毒库文件 (115)

16.2 HTTP设置 (116)

16.3 SMTP设置 (116)

16.4 POP3设置 (118)

第17章 WEB防护 (119)

WEB防护下添加匹配顺序的说明： (119)

17.1 HTTP设置 (119)

17.2 扩展名 (120)

17.2.1 例外扩展名 (120)

17.2.2 禁用扩展名 (121)

17.2.3 自定义 (121)

17.3 MIME类型 (122)

17.3.1 例外MIME (122)

17.3.2 禁用MIME (123)

17.3.3 自定义 (123)

17.4 站点过滤 (124)

17.5 URL过滤 (125)

17.6 关键词过滤 (126)

第18章垃圾邮件过滤 (128)

18.1 SMTP设置 (128)

18.2 POP3设置 (129)

18.3 垃圾邮件过滤设置 (131)

18.4 黑名单 (132)

18.5 白名单 (133)

18.6 RBL列表 (134)

18.7 关键词 (135)

第19章应用代理 (137)

19.1 Telnet网关 (137)

19.1.1 Telnet设置 (137)

IV

防火墙使用说明书

19.1.2 允许IP (137)

19.2 FTP网关 (138)

19.2.1 FTP设置 (139)

19.2.2 允许IP (139)

第20章日志与报告 (141)

20.1 日志配置 (141)

20.1.1 日志设置 (141)

20.1.2 邮件告警 (142)

20.1.3 日志过滤 (144)

20.2 日志访问 (146)

20.2.1 配置日志 (146)

20.2.2 事件日志 (147)

20.2.3 流量日志 (149)

第21章退出系统 (151)

第22章 WEB认证 (152)

22.1 登录认证页面 (152)

22.2 认证成功 (152)

第23章附录A 案例配置 (154)

V

防火墙使用说明书

第1章简介

博达防火墙支持基于网络的应用级的服务部署，包括病毒防护和全面的内容扫描过滤。博达防火墙增强了网络安全性，防止不需要的网络服务的使用，最大程度降低网络风险，确保网络有效地通讯。博达防火墙包括防火墙，IPSEC，防病毒等功能服务。

本章将介绍以下内容：

z关于博达防火墙

z帮助文档资料

z最近的帮助文档

z客户服务及服务热线

1.1 关于博达防火墙

博达防火墙是一个极易管理的网络安全设备，它提供一套完整的，包括各种级别的服务，主要分为两大类：

z应用级的服务，如病毒防护和内容过滤等。

z网络级的服务，如防火墙策略过滤，VPN，流量控制等。

博达防火墙对事件处理进行优化，采用全新的内容分析技术，明显提高了网络性能、安全性及内容过滤能力。独特的体系架构，实时地监控网络中进出入的数据，最大地保护网络，使公司服务部署在安全的范围之内。

博达防火墙还支持一些高级功能，如802.1Q的VLAN，双机热备等。

1.1.1 病毒防护

博达防火墙病毒防护功能会自动检测通过博达防火墙的网页(HTTP)和电子邮件(SMTP, POP3)的内容。它通过模式匹配找出病毒。如果找到符合特征的病毒，防火墙会根据已设定的规则，对病毒作出相应的动作：或者丢弃，或者放行并给用户提示。

另外，用户通过指定允许通过的文件类型也可以增强病毒防护功能。

1.1.2 WEB内容过滤

防火墙的WEB内容过滤功能能够深入检测HTTP的数据流内容，包括站点，网址和网页内容。如果当前的站点或网址已被列入黑名单，或者网页内容中的关键字加权值总和处于被禁止的范围，则该页面不能被访问，取而代之的是防火墙的一个提示警告页面。用户可以配置过滤的站点、网址和关键字。

用户还可以对访问的页面中的包括的文件和MIME进行过滤。例外扩展名指定了可以通过的文件类型，禁止扩展名即是不允许通过的文件类型；例外MIME表示允许的MIME类型，禁止的MIME即是不允许的MIME类型。除此之外，用户也可以配置上传文件大小，记录HTTP 请求的日志。

1.1.3 垃圾邮件过滤

防火墙的垃圾邮件过滤能够扫描POP3，SMTP电子邮件内容。你可以根据EMAIL地址，邮件内容来过滤垃圾邮件。垃圾邮件可以被特别提示或者清除。

1

防火墙使用说明书使用贝耶斯自学习功能能够更加有效地检测垃圾邮件。

如果防火墙发现一封垃圾邮件，它可以在邮件中加入头标记或者重写邮件主题。邮件接收人可以通过他们邮件客户端软件过滤含有这么标记的邮件。防火墙也可以配置成直接删除垃圾邮件。

1.1.4 防火墙

博达防火墙能有效保护你的网络使它免受互联网的威胁。当对防火墙完成基本的配置后，防火墙默认是禁止内部网络的用户直接访问互联网的。你可以按需要很方便地配置各种对互联网的控制访问。

博达防火墙策略可以进行以下控制：

z控制网络的所有进出入数据

z对数据进行病毒检查和过滤

z可以启用或禁用策略

z当单条策略生效时进行控制

z接收或禁止指定地址的数据

z控制已有或自定义的服务及服务组合

z用户通过认证后才能访问服务

z在策略中指定连接数限制及流量控制

z在策略中启用流量日志

z应用级防护（包括HTTP、SMTP和POP3）

博达防火墙可以运行在NAT/路由模式、透明模式以及混合模式下。

1. NAT/路由模式

在防火墙运行在NAT/路由模式时，它相当于一个三层设备。这意味着每个接口都位于一个不同的IP子网，对于其它设备来说，每个接口相当于一个路由设备。这种设置是防火墙最常见的。

在NAT/路由模式时，你可以创建NAT模式策略和路由模式的策略。

z NAT模式时，策略通过地址转换把从安全网络到不安全网络的地址隐藏起来。

z路由模式时，策略接受或禁止网络间的连接，但没有进行地址转换。

2. 透明模式

当博达防火墙运行在透明模式时，防火墙没有改变网络的三层拓扑结构。这意味着所有的接口都位于相同的网络，对于别的设备来说，每个接口相当于一个网桥。一般来说，防火墙运行在透明模式时主要用来提供病毒防护和内容过滤功能，而在其之前已经存在另外一个防火墙方案。

透明模式时，防火墙仍然能象NAT模式那样为网络提供基本的保护。防火墙会根据策略放行或阻塞它收到的数据包。防火墙可以接入网络的任何一个地方，而且不需要对网络或者其它设备作改动。然而，一些高级防火墙功能仍然只能在NAT/路由模式时才起作用。

3. 混合模式

混合模式是同时包含了路由模式和透明模式的配置模式，即同时包含路由接口和二层网桥接口。使用混合模式可以综合透明模式和路由模式的优点，扩展防火墙的工作模式。

2

防火墙使用说明书1.1.5 VLAN和域

博达防火墙支持IEEE 802.1Q兼容的虚拟局域网（VLAN）技术。域可以理解为网络接口的集合，我们可以把网络接口或几个VLAN归于一个域中。使用VLAN技术，防火墙可以为单个VLAN或多个VLAN（域）提供安全的服务，并能管理不同VLAN，不同域之间的数据及连接。防火墙能把策略应用域和域之间以及同一个域的内部。防火墙也可以对VLAN内部网络进行用户认证，内容过滤和病毒防护。

博达防火墙支持运行在NAT/路由和透明模式时也支持VLAN。在NAT/路由模式时，你可以从VLAN子接口中接收和发送数据。

1.1.6 IPS

博达防火墙入侵检测系统（IPS）根据各种入侵特征来防止可能的入侵活动并保护你的系统。你可以对具有特征的数据进行通过、丢弃、重置、重置客户端或重置服务器端等动作，也可以把这些动作记入到日志中。

1.1.7 VPN

虚拟专网（VPN）能为你分布在广域网中的各种办公网络之间建立起安全的网络连接，和安全的通信，在公司外面的用户可以通过VPN安全地连接到公司内部网络。

1.1.8 双机热备

博达防火墙支持双机热备功能（HA），为网络提供高可靠性。双机热备是通过serial和UDP 的心跳包来检测对端设备（防火墙）的可用性，支持主-从和主-主两种模式。通过心跳包，来检测对端设备的运行状态。任何一台设备出现异常，另外一台设备都可以承载对端设备原来的载荷。

1.1.9 安全安装，配置和管理

当博达防火墙第一次启动时，它已经含有一些IP地址及安全策略的基本配置。请连接到WEB管理界面，查看系统运行状态，并且根据你的网络的实际情况对它重新配置，完成后防火墙就能对你的网络产生保护作用。使用WEB管理界面你能对防火墙进行大多数的高级配置。

你也可以使用命令管理界面（CLI）方式来配置防火墙。

1. WEB界面

在任何一台支持浏览器的电脑上，通过HTTP或安全HTTPS可以连接到防火墙上，进行配置和管理防火墙。WEB管理界面目前只支持中文语言。你可以通过配置指定任意一个接口作为HTTP或HTTPS的管理接口。

通过WEB管理界面，你可以对防火墙进行大部分的配置。通过WEB界面也能监视防火墙的运行状态。通过WEB界面更改配置会立即生效，不需要重启防火墙或重启服务。当你对某个配置满意时，你可以把它下载来。下载下来的配置文件在可以用来防火墙配置的恢复。

2. 命令行界面

通过数据线把一台主机串口连接到防火墙RS-232串口控制终端可以进入防火墙的命令行管理界面。在一个网络环境中，你也可以通过Telnet或SSH连接到防火墙的命令行界面，包括互联网。

正如WEB界面那样，命令行界面同样支持对防火墙进行配置和查看系统的运行状态。另外，用命令行界面你能进行WEB界面不支持的高级操作。管理员操作手册包含基本和高级的命令的用法，欲需要更详细信息，请参考博达防火墙命令行参考手册。

3

防火墙使用说明书3. 日志及报告

博达防火墙支持流量及事件的各种级别日志记录。主要功能有：

z报告与防火墙连接的流量信息

z报告使用的网络服务

z报告策略允许的流量

z报告策略拒绝的流量

z报告事件，例如配置修改，其它管理员登录，IPSEC隧道流通，病毒检查攻击和阻止页面访问记录

z报告入侵检查到的攻击

z发邮件给管理员报告病毒事件，入侵和防火墙或者VPN事件或其它非法事件。

日志也可以发送到远程日志服务器。

1.2 文档约定

本文档对配置命令的语法采用以下格式：

z尖括号<>表示变量

例如：

restore2fm

你可能输入：

restore2fm myfile.bak

z竖线和大括号{ | }用来分隔可替换的、相互的不包含或需要的关键词，例如： set opmode { nat | transparent }

1.3 博达防火墙文档

请到博达网站下载最新的文档：1ed33de9102de2bd960588ee

1.4 客户服务及技术支持

请访问博达网站查看最新的服务支持：1ed33de9102de2bd960588ee

4

防火墙使用说明书

第2章防火墙配置方法

2.1 连接PC和防火墙

将防火墙接上电源并打开开关加电。检查power指示灯，如果未亮，请检查电源连接是否正常；如果已亮，则使用交叉/直连网线将电脑和防火墙的E0口相连接。然后按以下步骤操作：

A.检查E0口的指示灯，如果已亮转步骤B；否则检查网线、网卡是否有故障。

B.在计算机网卡上配置IP地址和子网掩码，步骤如下：

?开始 －> 控制面板 －> 网络连接，左键双击打开网络连接

?右键单击其中“本地连接”图标，在弹出的上下文菜单中单击“属性”菜单。

?选中“Internet协议（TCP/IP）”。如图（图1-1）：

图1-1

?单击“属性”按键，设置计算机的IP地址：192.168.1.100，子网掩码：255.255.255.0。然后点击确定，完成网卡设置，如图(图1-2)：

5

防火墙使用说明书

图1-2

C.测试计算机与防火墙是否连通

?开始 －> 运行 －> 键入“cmd” －> 确定

?在命令提示符使用ping命令测试是否连通。执行：ping 192.168.1.1 如果显示：

Reply from 192.168.1.1: bytes=32 time<10ms TTL=64

表示连接成功，转下一步进入配置，否则表示可能未能正确连接。请检查TCP/IP设置是否正确，网线是否有故障。

2.2 登录配置防火墙

通过Web浏览器（如Internet Explorer）进行防火墙的配置。

打开Internet Explorer浏览器，在地址栏中输入192.168.1.1:2000/将会出现登录面。

6

防火墙使用说明书

图系统登录

输入正确的用户名与密码后即登录（默认的用户名为：admin；密码为：admin）。登录成功后浏览器即会显示具体的配置页面。

7

防火墙使用说明书

第3章 WEB管理界面

在任何一台支持浏览器的电脑上，通过HTTP或HTTPS可以进入WEB管理界面，对防火墙配置管理。目前防火墙只支持中文一种语言。你可以指定防火墙哪一个接口开启HTTP或HTTPS管理端口。

图 WEB登录初始化页面

通过WEB管理界面，你可以对防火墙进行大部分的配置。通过WEB界面也能监视防火墙的运行状态。通过WEB界面更改配置会立即生效，不需要重启防火墙或重启服务。当你对某个配置满意时，你可以把它下载来。下载下来的配置文件在可以用来防火墙配置的恢复。

3.1 基于WEB的管理页面

基于WEB的管理界面由菜单和页面组成，它们一般都含有多个标签。以系统管理为例，它展开后包含几个子菜单。当你选择一个子菜单时，就会打开与之关联页面的第一个标签。如果想查看其它标签，直接点击其它标签的名字。

在本手册中，到一个指定的页面的顺序是：先到打开特定的菜单栏目，再到子菜单和它的标签，如：

系统管理 -> 网络 -> 域

8

防火墙使用说明书

图：WEB管理界面范例。

1. WEB管理菜单

本菜单提供了防火墙大部分主要配置的入口：

系统管理配置系统的网络功能如域和接口，管理地址，DNS，DHCP，时间，管理用户，系统升级维护。

设置用户创建防火墙策略中需要认证的用户账号、用户组或Radius服务器。

认证用户配置允许哪个用户组的用户认证。

路由配置静态路由或策略路由。

防火墙配置防火墙策略和保护设置，也包含NAT地址转换及MAC地址绑定。

虚拟专网配置虚拟专网VPN。

入侵防御配置入侵检查系统。

防病毒配置病毒防护。

WEB防护配置WEB防护及内容过滤。

垃圾邮件过滤配置垃圾邮件过滤。

应用代理配置TELNET和FTP的应用代理

日志与报告配置日志与报告。

退出系统注销退出系统。

9

防火墙使用说明书2. 列表

很多WEB管理页面都是列表形式，如域、接口、防火墙策略，认证用户等等。

图：接口列表

列表显示了项目的一些信息，在列表的最右列，是对项目的可操作图标。在上图中，你可以对单条项目进行删除或编辑操作。

如果想新建一个项目，就点击“新建”按钮。点击“新建”按钮会打开一个对话框，让你填写项目的各种信息。“新建”按钮打开的对话框跟“编辑”图标打开的对话框类似。

3. 图标

WEB管理界面不但含有按钮，还有不少图标来满足用户和系统的交互。以下是一些WEB 管理界面常见的图标的含义：

图标名称描述

编辑编辑项目，点击后会出现项目信息对话框。

删除删除项目，点击后会出现确认删除对话框。

插入插入项目，点击后会在当前项目前上插入新的项目。

移动移动项目，点击后会出现移动顺序对话框。

下载点击后将下载文件。

显示显示文本项目内容。

开始开始执行某个动作。

加入组把处于左边组的可选项目加入到右边组里

从组删除把位于右边组的项目删除，删除的项目重新出现在左边组里，

可以被选择。

4. 状态栏

状态栏就是WEB管理界面最下端那栏。

图：状态栏

状态栏显示：

10

防火墙使用说明书z系统自从上次启动后运行了多长时间。

5. 配置注意事项

当需要修改或者删除防火墙的设置时，有些配置由于是关联起来的，修改删除时要按照顺序修改，否则有可能修改或者删除失败。一般被别的配置引用的配置不能修改，要先修改引用的配置，再修改被引用的配置。

6. 本手册的组织结构

本手册将照WEB管理菜单介绍WEB管理页面，每一个系统菜单的项目都有相应的介绍页面。

11

防火墙使用说明书

第4章系统管理状态

你可以连接到WEB管理界面查看当前的系统状态。状态页面显示了当前系统状态、设备状态、系统资源、接口状态和系统最近10条事件日志及会话情况。

4.1 状态

状态页面就象系统的仪表，通过观察状态页面，我们可以知道当前系统的总体运行情况。系统所有具有读权限的用户都能查看系统状态页面。

具有写权限的用户（配置用户），可以更改状态页面的一些属性如主机名，也可以对系统升级。下面介绍：

z查看系统状态

z更改系统信息

4.1.1 查看系统状态

图系统状态查看页面

1. 系统状态

持续运行时间系统从上次启动到现在持续运行的时间。

日期防火墙系统当前时间。

当前用户当前登录的用户。

2. 设备状态

厂商名称防火墙厂商名称

12

防火墙使用说明书设备类型防火墙设备的类型

序列号防火墙序列号

主机名防火墙系统的主机名

软件版本防火墙系统软件版本。

IPS入侵检查 IPS入侵检查软件版本。

病毒库更新时间病毒特征库更新时间

3. 接口状态

接口显示系统默认接口名称

IP地址/掩码显示接口的IP地址及掩码，如果接口没配地址即显示为空

接口状态显示接口的状态

链路状态显示接口的物理状态

工作模式显示接口的工作模式，若接口未激活显示为Unknown

、

4. 系统资源

CPU占用率系统当前CPU占用率

内存占用率系统当前内在占用率

磁盘占有率磁盘占有率

活动会话系统当前活动会话数目。

5. 事件日志

日期事件日志产生的日期

时间事件日志产生的时间

模块事件日志所属的子模块

信息事件日志消息的具体内容

13

防火墙使用说明书6. 自动刷新周期

自动刷新周期启用自动刷新周期后，状态页面可以定时自动刷新。

Go 应用选择的自动刷新时间周期。

刷新手动刷新状态页面。

4.1.2 更改系统信息

具有读写权限的配置管理员通过状态页面可以更改的信息有：

z改变主机名称

z升级系统版本

1. 改变主机名称

防火墙的主机名称在状态页面和命令行界面提示符中都有显示。SNMP中也使用到主机名称。请参考SNMP一章。

默认的主机名是FIREWARE。

1. 进入系统管理 > 状态>设备状态。

2. 找到主机名那行，点更改。

3. 输入新的主机名。

4. 点击”确定”按钮。

改变后的主机名会立即显示在系统状态页面和命令行的提示符里，也会加到SNMP系统名里。

2. 升级软件版本

升级版本详细内容请参看“升级”一章：系统管理 > 维护 > 升级。

4.2 会话

会话列表显示当前系统所有的连接会话信息。

图会话列表查看页面

14

防火墙使用说明书列项说明

源IP 设置查找的源IP

源端口设置查找的源端口

转换后源IP 设置查找的转换后的源IP

转换后源端口设置查找的转换后的源端口

目的IP 设置查找的目的IP

目的端口设置查找的目的端口

转换后目的IP 设置查找的转换后的目的IP

转换后目的端口设置查找的转换后的目的端口

协议连接的服务协议，如TCP，UDP或者ICMP

NAT转换是否使用了NAT转换

查看会话列表：

1. 系统管理 > 状态 > 会话

WEB管理界面的会话列表显示所有的活动会话，每页显示40个。

2. 通过点击上一页，下一页，首页，尾页图标来查看其它页会话。

3. 通过填写IP地址和端口来查找会话。

15

本文来源：https://www.bwwdw.com/article/pk7q.html