power防火墙
网御星云(联想网御)PowerV防火墙 -OSPF配置实例资料
Power V 防火墙 OSPF 配置实例 (3.4.3.8
第 1页
第 2页
1.案例背景
Power V防火墙具有 OSPF 路由功能,并可以通过添加多个区域的方式与其他网络设备进行互联互通。
2.案例拓扑
3.配置步骤
3.1 FW1配置
1、网络接口配置,配置 fe3接口地址为 192.168.29.1,配置 fe4接口地址为10.0.2.246
2、策略配置,配置允许内网访问外网的包过滤规则。
3、 OSPF 路由配置
4.验证
以上操作之后就可以从防火墙上动态学习到路由器那边的路由, 在 OSPF 路由监控里可以看到学习到的路由。
第 3页
5.注意事项
在启动 OSPF 的时,如需修改网络配置,则须先停止 OSPF 功能。
防火墙如果有 4个以上的网口,则只有前 4个网口可以做 OSPF 接口。
防火墙做 HA 配置,主从墙切换后,从墙学习不到 OSPF 路由,要重新启动下OSPF 功能。
启动 OSPF ,一定不可以开启多播路由。
第 4页。
Power V防火墙产品说明
联想网御强五(PowerV)系列防火墙网御强五系列防火墙是网御产品中的重要一员，它是专门为企业级用户打造的高可用的安全产品。
它利用精心设计的网御防火墙操作系统，基于IA架构，充分发挥了硬件的高效数据交换能力和系统并行处理能力，实现了高性能与高安全性的完美结合。
◆产品图片：◆产品特点：1、强适用性网络部署灵活，适应多种复杂网络环境和接入模式。
支持各种应用代理及多种基于动态协议的复杂应用。
提供灵活多样的VPN客户端接入方式。
2、强安全性采用增强型抗攻击技术，可防范各种常见类型的网络攻击。
3、强可靠性拥有国内唯一的防火墙HA集群技术，可实现四个防火墙集群的主动负载均衡。
4、强扩展性软件设计采用安全功能模块化和核心模块核外化技术，模块升级简便，充分保障用户的投资利益。
5、强管理性支持多种管理方式，提供完善的日志管理和审计功能，有效降低管理成本注：强五系列产品“并发连接数”可根据用户需求定制升级,具体型号的参数未列做说明！◆典型应用：典型应用一：高可靠全链路冗余应用环境电信网络和许多骨干网络的可靠性要求很高，不允许出现因为设备的故障造成网络的不可用，因此在电信网络和骨干网络中加入防火墙的时候也必须考虑到这个问题，下图为联想网御防火墙Power V在骨干网络中应用的例子。
正常情况下两台防火墙均处于工作状态，可以分别承担相应链路的网络通讯。
当其中一台防火墙发生意外宕机、网络故障、硬件故障等情况时，该防火墙的网络通讯自动切换到另外一台防火墙，从而保证了网络的正常使用。
切换过程不需要人为操作和其他系统的参与，切换时间可以以秒计算。
同时，防火墙之间的其中一条链路用于实现状态表传送，当一台防火墙故障时，这台防火墙上的连接可以透明的、完整的迁移到另一台防火墙上，用户不会觉察到有任何变化。
防火墙之间的另外一条链路用于数据通讯，增加网络链路的冗余，增强可靠性。
典型应用二：骨干网内网分隔环境据赛迪(CCID)统计报告，网络攻击有70%以上来自于企业内部，因此，保护公司网络的安全不仅要保护来自互联网的侵害而且要防止内部的攻击。
联想网御防火墙PowerVWeb界面操作手册_2开始
2.1 网御防火墙 PowerV 概述
随着宽带网络的飞速发展、 网络安全问题的突出和人们安全意识的提高，
以防火墙为代
表的网络安全设备已经成为不可或缺的设备。
网御防火墙 PowerV 在防火墙硬件板级设计、防火墙安全体系结构、配置管理操作系统、 配套的管理软
件等方面有重大创新。可广泛应用于电信、金融、电力、交通、政府等行业的 网络环境。
URL 过滤 URL 过滤和网页关键字过滤，支持基于时间控制的关键字智能过滤。
规则及配置信息的导入导出、备份恢复
可以把配置的各项数据从防火墙导出做备份；
需要时可以把以前的配置信息导入到
防火墙，恢复到以前的状态，也可以导入到另一台相同型号的防火墙，从而给防火墙管 理员的工作带来很大
的便利和很好的安全保证。
2.1.1 产品特点
联想网御防火墙 PowerV 是联想防火墙的换代产品，该产品的特点是高安全性，高可用 性和高性能的
“三高”
“管理者的”防火墙，是国内一流的防火墙。
高安全
高可用性
高性能
2.1.2 主要功能
网御防火墙 PowerV 系统为了满足用户的复杂应用和多种需求，采用模块化设计， 包括基本功能
网御防火墙 Po werV
Web 界面操作手册
第 2 章如何开始
本章包括联想网御防火墙 PowerV 硬件安装和随机附带的软件安装介绍,
配置管理界面的方法。这些有助于管理员完成防火墙软硬件的快速安装和启用。
ቤተ መጻሕፍቲ ባይዱ
如果您想尽快配置使用联想网御防火墙，
可跳过概述部分，直接阅读
以及开机登录 2.5 章（第 12 页）。
SSL 加密信道对配置信息进行加
密处理，保证数据的安全性和完整性（防篡改）
联想网御LSPE-FW技术培训V2.0
22
案例2.透明接入
透明接入拓扑图
fe2
C:192.168.1.100
联想网御Power V防火墙案例培训
（软件版本：3.4.6.8）
2011年6月 王耀宇
1
Power v-1428硬件架构
• 1.硬件采用专用架构平台，采用专用的处理 芯片，具有自主设计硬件架构的能力
• 2.标准1U机箱，标配4个SFP插槽，8个 10/100/1000BASE-T端口，标配单电源
2
电子钥匙登录
在IE地址栏输入https://10.1.5.254:8888,等待约十秒 左右, 弹出一个一个对话框提示接受证书，选择接受即可 出现联想网御防火墙登录画面,密码默认为leadsec@7766 。
9
案例1.电子钥匙、证书、串口登录
问题： 电子钥匙认证问题 处理方法: 电子钥匙连接防火墙时提示“认证失败，请检查 IP地址及网络”,处理方法:防火墙设置的管理主机的 IP地址和目前正在使用的管理主机地址不一致造成, 更改管理主机ip。
29
案例2.透明接入
透明接入
30
案例2.透明接入
透明接入
31
案例2.透明接入
透明接入
至此，工作站192.168.1.100可以访问服 务器192.168.200的HTTP服务
32
案例2.透明接入
透明接入注意事项1
• 防火墙与其它以太网设备连接时，如低端光纤收 发器、低端ADSL路由器等，可能会出现链路层协 商问题。表现为：网络延迟、数据包丢包、网络 抖动等。 • 出现此类问题，可以将防火墙接口的链路工作模 式由自适应强制为100M全双工、100M半双工、 10M全双工、 10M半双工并逐一下测试。如下图
Power V系列防火墙技术指标
关联安全
支持关联安全标准(CSC)
可实现与IDS等设备的联动，要求提供防火墙与IDS设备联动的技术专利号
可与终端管理系统协同工作，实现对终端的网络准入认证控制
管理配置
支持友好的Web图形界面配置
支持远程SSH、Telnet和串口命令行配置
支持数字证书和电子钥匙两种管理员认证方式，支持管理员权限分级
要求支持P2P视频播放控制并提供细粒度带宽控制，识别和控制PPLive、QQLive、PPStream等常见P2P视频播放软件
要求支持即时通讯软件控制并提供细粒度带宽控制，识别和控制QQ、MSN等常用IM软件，一键式阻断IM软件机密文件传输
要求支持在线游戏、炒股控制，识别和控制魔兽、CS、征途、联众等数十种在线游戏软件，大智慧、同花顺等数十种炒股软件
技术指标
指标要求
硬件架构
产品形态、芯片架构、机箱等
接 口
网络接口、串口、USB接口、电源
性 能
吞吐率(bps)
最大并发连接数
每秒新建连接数
IPSec VPN隧道数
SSL VPN并发用户数
系统要求
要求具备自主研发的安全操作系统，并提供该安全操作系统的软件著作权及彩页作为证明
★要求支持多系统引导，并可在WEB界面上直接配置启动顺序
SSL VPN能进行个性门户（portal）定制化处理，可替换图片、文字等
VRC(VPN客户端)
IPSec VPN客户端可与所有支持标准IPSec协议的VPN网关互联互通
支持基于动态令牌的双因子认证
支持基于USB Key的证书认证方式
支持国密办专用算法SM1
★IPSec VPN客户端支持Microsoft Windows 2000/XP、Vista、Win7等操作系统
联想网御防火墙PowerV-Web界面操作手册-3系统配置
第3章系统配置本章主要介绍防火墙的系统配置，由以下部分组成：日期时间，系统参数，系统更新，管理配置，联动，报告设置，入侵检测和产品许可证。
3.1 日期时间防火墙系统时间的准确性是非常重要的。
可以采取两种方式来同步防火墙的系统时钟1)与管理主机时间同步2)与网络时钟服务器同步（NTP协议）图3-1配置防火墙时间与管理主机时间同步1.调整管理主机时钟2.点击“时间同步”按钮与时钟服务器时间同步有两种方式1.立即同步2.周期性自动同步立即同步1.选中“启用时钟服务器”，输入“时钟同步服务器IP”2.点击“立即同步”按钮周期性自动同步1.选中“启用时钟服务器”，输入“时钟同步服务器IP”2.设定同步周期3.点击“确定”按钮系统参数注意事项：防火墙的很多操作依赖于系统时间，改变系统时间会对这些操作发生影响，比如更改时间后配置管理界面登录超时等。
3.2 系统参数系统参数设置防火墙名称和动态域名注册所使用的用户名、密码。
防火墙名称的最大长度是14个英文字符，不能有空格。
默认的防火墙名称是themis，用户可以自己修改这个名称。
动态域名注册所使用的用户名、密码的最大长度是31个英文字符，不能有空格。
动态域名的设置在网络配置>>网络设备的物理网络配置中。
图3-2系统参数配置图3.3 系统更新3.3.1 模块升级防火墙系统升级功能可以快速响应安全需求，保证防火墙功能与安全的快速升级。
图3-3导入升级文件模块升级界面包括以下功能1.模块升级2.导出升级历史3.检查最新升级包4.重启防火墙模块升级1.点击“浏览”按钮，选择管理主机上的升级包2.点击“升级”按钮点击“重启防火墙”按钮，重启防火墙完成升级导出升级历史点击“导出升级历史”按钮，导出升级历史做备份。
检查最新升级包管理员可以查看”系统当前软件版本”，点”检查最新升级包”，系统会弹出新的IE窗口并连接联想安全服务网站（防火墙可以连接Internet）。
Power V6000-F2340-Y防火墙技术参数
支持应用层访问控制，包括P2P软件、IM软件、炒股软件、网游软件等
网络适应性
支持透明、路由、混合三种工作模式
支持静态路由，动态路由（OSPF、RIP等），VLAN间路由，单臂路由，组播路由等
★内置ISP地址列表，可轻松完成基于ISP的策略路由（要求截图）
IPv6/IPv4双协议栈
支持IPv6地址、地址组配置，要求截图证明；
支持持IPv6安全控制策略设置，能针对IPV6的目的/源地址、目的/源服务端口、服务、扩展头属性等条件进行安全访问规则的设置，要求截图证明。
支持IPv6静态路由，要求截图证明
支持IPv6/IPv4翻译策略技术，包括支持静态NAT-PT、动态NAT-PT、NAPT-PT技术，要求截图证明
要求支持虚拟系统技术，每个虚拟系统vFW具备独立的管理权限、安全策略、等功能，互不干扰（要求界面截图）
访问控制
基于状态检测的动态包过滤
支持基于用户、用户组的访问控制，用户认证要求支持Radius、LDAP、Windows AD域等方式，并内置动态令牌认证服务器，支持基于动态令牌的双因子认证（要求WEB界面截图）
服务器负载均衡支持轮询、加权值、最小连接、源/目的地址Hash等至少7种算法（要求截图）
3G安全接入
★支持3G(CDMA2000)协议，支持用户通过3G提供上行网络接入，要求截图证明
WiFi接入
★支持802.11B,802.11G协议，支持设备作为WiFi热点（即AP），为客户机提供无线安全接入服务
★支持用户可配置的WEBUI接口，提供多套皮肤设置
高可用性
支持链路备份、链路聚合功能，可以在用户的多条网络出口之间进行自动的切换；
联想网御Power V系列配置案例集1(WEB界面管理防火墙)
1.1 配置需求使用电脑登陆设备WEB管理界面。
1.2 网络拓扑1.3 登录方式1.3.1电子钥匙登陆（1）电脑通过网线连接到设备默认管理口eth0口上。
（2）电脑地址配置成10.1.5.200/255.255.255.0。
（3）打开光盘找到ikey driver目录下INSTDRV.exe程序，双击安装电子钥匙驱动（此时不插电子钥匙），打开administrator目录下的ikeyc程序，提示用户输入PIN 码，默认的是“12345678”，将电子钥匙插到电脑上，输入防火墙IP 10.1.5.254，点击连接即可。
原始状态灯为红色,连接进行中为黄色,如果连接成功,灯会变为绿色。
（4）在IE中输入“https://10.1.5.254:8888”即可进入登陆界面，默认用户名密码administrator/bane@7766。
1.3.2电子证书登陆（1）电脑通过网线连接到设备默认管理口eth0口上。
（2）电脑地址配置成10.1.5.200/255.255.255.0。
（3）打开光盘，找到admin.p12文件，双击安装，密码“hhhhhh”。
（4）打开IE—【internet选项】—【隐私】—【启用弹出窗口阻止程序】不勾选。
（5）在IE中输入https://10.1.5.254:8889“选择刚才安装的证书即可进入登陆界面，默认用户名密码administrator/bane@7766。
1.4注意事项（1）建议使用IE8.0或以上版本浏览器。
（2）登陆时注意使用的是https协议。
（3）确保电脑当前的时间与北京时间一致。
（4）用户登录后，如果对 WEB 界面不进行操作的时间超过 5 分钟，系统将超时并回到登录页面，必须重新登录才能继续使用。
（5）首次登陆电脑地址必须是10.1.5.200/255.255.255.0。
1.4非管理口远程管理防火墙1.5.1配置需求防火墙默认的管理口是eth0，通过配置设置可以将其他接口作为远程管理口。
联想网御防火墙PowerVWeb界面操作手册网络配置
是否允许TRACEROUTE设备的IP
是否启用
是否启用设备
图49别名设备列表
图410别名设备可配置的属性
4.1.6
冗余设备的目的是将两个物理设备做为一个虚拟的设备，这两个物理设备同一时间只有一个处于启用状态，如果处于启用状态的设备失效，则另一个设备启用。冗余设备可以工作在全冗余模式下，在全冗余模式下，加入冗余设备的两个物理设备的IP地址，掩码，MAC地址（如果冗余设备设置了MAC地址）都将使用冗余设备的IP地址，掩码和MAC地址。如果不是工作在全冗余模式，这两个设备使用它自己的参数。冗余设备默认不工作在全冗余模式下。
4.1.1
物理设备初始情况下工作在路由模式，也就是说该设备上绑定有IP地址，可以与其它设备进行数据包的路由转发。其中第一个物理设备（fe1或某些型号是ge1）是默认的可管理设备。它的默认IP地址是10.1.5.254，子网掩码为255.255.255.0，这个地址允许管理，PING和TRACEROUTE（默认管理主机的IP地址是10.1.5.200，请参考系统配置>>管理配置>>管理主机）。物理设备也可以切换到透明模式。当桥接设备当中只有一个桥设备brg0时，切换到透明模式的物理设备会自动加入到桥接设备brg0中；如果把物理设备从透明模式切换到路由模式，系统自动将这个设备从桥接设备的设备列表中删除。
链路工作模式
设备的链路工作模式，有以下三种
1：自适应
2：全双工
3：半双工
链路速度
设备的链路速度，有以下三种
1：10
2：100
3：1000
MTU
设备的MTU（最大传输单位）。百兆网络设备可设置的范围是68到1504，千兆网络设备可设置的范围是64到16128。
联想网御强五防火墙PowerV配置-带宽管理
共享带宽A1-1 保证带宽10Mbps 最大带宽20Mbps
非共享带宽A1 最大带宽 20Mbps 设备A 100Mbps
共享带宽A1-2 保证带宽5Mbps 最大带宽20Mbps
非共享带宽A2 最大带宽 10Mbps 共享带宽A2-1
举个例子，设备 A 口实际带宽为 100Mbps，下面一个非共享带宽 A1 的最大带 宽设置为 20Mbps。非共享带宽 A1 下面的共享带宽资源 A1-1 的保证带宽设置为 10Mbps， 最大带宽设置为 20Mbps； 而共享带宽资源 A1-2 的保证带宽设置为 5Mbps， 最大带宽设置为 20Mbps。 当共享带宽资源 A1-1 实际利用的带宽很少的时候，比如仅为 3Mbps 时，共享 带宽资源 A1-2 所需的实际带宽很大的时候，超出保证带宽 10Mbps，由于 A1-1 的 保证带宽没有完全用完，此时 A1-2 可以借用 A1-1 的带宽，实际带宽最高可以达到 17Mbps。小结一下，如果其共享带宽资源 A1-1 的保证带宽没有用完时，可以被其 它共享带宽资源借用，此为共享带宽的概念之一。 如果共享带宽资源 A1 所包含连接的数据包相应出口的连接流量上来时，比如 流量达到 10Mbps 时；此时首先要保证共享带宽资源 A1-1 和 A1-2 的保证带宽，然 后再共享在保证带宽之外的剩余的带宽 （20-10-5=5） 。 所以共享带宽资源 A1-1 的流 量为 10Mbps 时，共享带宽资源 A1-2 的流量应该降至 10M，即 A1-2 在其保证带宽 5Mbps 基础上，还使用了保证带宽之外的剩余的带宽 5Mbps。 如果共享带宽资源 A1-1、A1-2 的流量均超出对应的保证带宽，即 A1-1 超出 10Mbps，A1-2 超出 5Mbps。首先均保证两者的保证带宽，然后 A1-1 和 A1-2 根据 优先级共享和分配在保证带宽之外的剩余的带宽 5Mbps。这部分带宽就在 A1-1 和 A1-2 之间互相借用及共享，即共享带宽的概念概念之二。 带宽资源组里包含不同设备的共享带宽定义，被规则引用资源组时，匹配规则的流 量在设备 A 为出口时， 引用 A 设备的带宽控制定义， 匹配规则的流量在设备 B 为出 口时，引用 B 设备的带宽控制定义。 最终需在带宽管理规则中引用。
高性能防火墙解决方案——VPN-1 Power为最苛刻的环境提供全面安全保护
152008.02Forward ），也就是说安全网关在做内容扫描的时候先要把所有数据包都接收下来，将它们重组成一个完整的文件，之后对其进行扫描，扫描完毕后再将该文件拆解成数据包并将它们发送出去。
上述步骤里扫描这一步是相当快的，而真正造成延迟较大的原因是数据接收这个环节。
因为数据的接收与安全网关的处理能力关系不大，主要是受制于互联网的数据传输速度，是用户无法控制的。
因此，用户部署此类安全网关后在浏览网页的时候总是觉得有明显的迟滞就是由于上述原因。
相对传统的扫描算法，CP Secu re 的内容安全网关采用了与传统批处理式扫描算法（Batch-based Scanning ）不同的扫描技术:串流扫描算法（Stream-based Scanning ），该算法高性能防火墙解决方案——V PN -1Pow er为最苛刻的环境提供全面安全保护V PN-1Po wer 安全网关提供了一种积极防御方案，它使您能够保护要求最高的站点——例如核心网络和数据中心。
新的应用不断引入、新的威胁不断出现，Check Point 统一安全结构的中心要素VPN-1Pow er 适应了这种变化——主动保护新技术，例如I M 和VoI P ，防止所有类型的攻击。
VPN-1Power 有先进的安全加速技术，能够确保不危及安全的情况下企业信息有效流动，同时集成了防火墙、VPN 和入侵防护解决方案，该方案可以保护企业安全，保证信息可用。
积极防御各种威胁VPN-1Power 利用真正综合的安全来防止下一代威胁和攻击，这种综合安全建立在FireWall-1和SmartDefense 入侵防护技术之上。
FireWall-1和SmartDefense 密切合作，就如同他们是一个应用程序——共同对抗现有的各种网络威胁。
F W 基于拥有专利的状态检测防火可以在保持很高吞吐率的同时大大减少网络延迟和超时的问题。
串流扫描技术是安全网关在接收到一部分数据包时候就开始进行内容扫描，使得接收、扫描、发送三个步骤并行，大大减少了CPU 的闲置时间，也降低了用户的迟滞感。
powershell防火墙规则
powershell防火墙规则PowerShell 是一种强大的命令行工具和脚本语言，可以用于管理 Windows 操作系统的各种功能，包括防火墙规则。
在PowerShell 中，你可以使用一系列命令来管理防火墙规则，包括创建、修改、删除和查看规则等操作。
要创建新的防火墙规则，你可以使用 New-NetFirewallRule 命令。
例如，要创建一个允许从特定 IP 地址访问某个端口的规则，你可以使用类似以下的命令：powershell.New-NetFirewallRule -DisplayName "Allow Specific IP" -Direction Inbound -LocalPort 80 -Protocol TCP -Action Allow -RemoteAddress 192.168.1.100。
这个命令将创建一个名为 "Allow Specific IP" 的规则，允许TCP 协议的流量通过本地端口 80，并且只允许来自 192.168.1.100 地址的流量。
要修改现有的防火墙规则，可以使用 Set-NetFirewallRule 命令。
例如，要将现有规则的远程地址范围修改为 192.168.1.0/24，你可以使用以下命令：powershell.Set-NetFirewallRule -DisplayName "Allow Specific IP" -RemoteAddress 192.168.1.0/24。
这个命令将修改名为 "Allow Specific IP" 的规则，将远程地址范围修改为 192.168.1.0/24。
要删除现有的防火墙规则，可以使用 Remove-NetFirewallRule 命令。
例如，要删除名为 "Block Port 8080" 的规则，可以使用以下命令：powershell.Remove-NetFirewallRule -DisplayName "Block Port 8080"这个命令将删除名为 "Block Port 8080" 的规则。
国产厂商硬件防火墙对比解析综述
国产厂商硬件防火墙对比解析综述防火墙从形式上可分为软件防火墙和硬件防火墙。
此次，我们主要介绍硬件防火墙。
防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备。
它又分为普通硬件级别防火墙和“芯片”级硬件防火墙两种。
所谓“芯片”级硬件防火墙，是指在专门设计的硬件平台，其搭建的软件也是专门开发的，并非流行的操作系统，因此可以达到较好的安全性能保障。
目前，在这一层面我们介绍国内几家厂商，天融信、启明星辰、联想网御、华为、安氏领信等厂商。
此次，我们将以100~500人的规模为应用对象，对各厂商的适应的“芯片”级硬件防火墙进行对比分析，分别从厂商概述、产品定位、应用领域、产品特点和功能、运行环境、典型应用、产品推荐和市场价格等多方面进行横向对比分析。
其实，选购和讨论硬件防火墙并不能单纯以规模来判断，还应该考虑防火墙产品结构、数据吞吐量和工作位置、性能级别、应用功能等诸多因素。
一、厂商概述国内硬件防火墙的品牌较多，但较早一批专注于信息安全的厂商却不多，尤其是“芯片”级的防火墙更少了。
如果以架构划分，芯片级防火墙基于专门的硬件平台，专有的ASIC芯片使它们比其他种类的防火墙速度更快，处理能力更强，性能更高，因此漏洞相对比较少。
不过价格相对较贵，做这类防火墙的国内厂商并不多，如天融信。
另外一种方式是以X86平台为代表的通用CPU芯片，是目前使用较广泛的一种方式。
这类型厂商较多，如启明星辰、联想网御、华为等。
一般而言，产品价格相对上一种较低。
第三类就是网络处理器(NP)，一般只被用于低端路由器、交换机等数据通信产品，由于开发难度和开发成本低，开发周期短等原因，因此，进入这一门槛的标准相对较低，也拥有部分客户群体。
1. 天融信以ASIC平台产品为主国产份额第一天融信的自主防火墙系统，首次提出TOPSEC联动技术体系。
网络卫士防火墙历经了包过滤、应用代理、核检测等技术阶段。
目前，以安全操作系统 TOS为基础，开发了NGFW4000-UF及NGFW4000系列，融合了防火墙、防病毒、入侵检测、VPN、身份认证等多种安全解决方案。
网御POWER-V 系列防火墙配置IP、端口应射简易文档
小网御POWER-V 系列防火墙配置IP、端口应射简易文档(适用于对外发布服务)注意事项：1：请确认您的防火墙硬件型号为POWER-V 系列(包括POWER-V 203、303、304、306、404、406、408)2：请您在参照文档开始操作前，确认对防火墙的配置权限。
即拥有USB口电子加密锁。
同时在管理主机上安装过“网御防火墙管理员认证程序”3：确保在配置过程中管理主机与防火墙的连接状态。
4：文档中所使用的拓扑图如下，配置目的为对IP为10.1.5.200的内网“服务器”1.1.1.1的某项服务做IP、或是端口映射。
同时假设分配给防火墙的外网IP为一、认证登录1.1 启用管理员认证程序,并输入“用户PIN值”点击确定。
(出厂默认为12345678)2.1 出现认证程序界面后点击连接。
待出现认证通过的提示后，指示灯会变为绿色。
3.1 在IE浏览器地址栏中输入https://10.1.5.254:88883.2会出现如下图的登录界面。
在默认没有设置过的情况后口令与用户名相同都是administrator2.1 先在菜单中选中“网络配置-网络设备”已经由防火墙默认) 点击fe2行最后的操作栏图标后弹出如下界面。
2.3 在上图中，主要需要配置的是网络接口的IP地址。
在IP地址输入1.1.1.1、在掩码输入对应的掩码。
这里输入255.255.255.0。
跟据需要选择其他选项(用于管理、允许PING、允许Traceroute) 然后选中“是否启用”点击确定后。
网络设备的界面中fe2的设备会显示已经启用。
三、基本配置2(资源定义)3.1 添加服务器地址在资源定义->地址->服务器地址中进行设定。
3.2 名称可以随意。
请注意，必须使用字母开头，并且暂时不支持中文。
在标识为1的行中输入服务器的内网IP即可。
备注是对服务器的说明，可以随意。
3.3 对需要对外发布的服务做定义。
如果是使用常见服务比如HTTP、FTP等服务，防火墙有预定义服务，就不需再做定义。
联想网御防火墙Power V Web界面在线手册
注意事项： 防火墙的很多操作依赖于系统时间，改变系统时间会对这些操作发生影响，比如更改时
间后配置管理界面登录超时等。
1.2 系统参数
在“系统配置>>系统参数”中配置。 系统参数设置防火墙名称和动态域名注册所使用的用户名、密码。 防火墙名称的最大长度是 14 个英文字符，不能有空格。默认的防火墙名称是 themis，
删除管理员账号 1. 点操作栏中“删除”的快捷图标，弹出删除对话框 2. 点“确定”按钮完成删除
允许或禁止多个管理员同时管理 选择“允许多个管理员同时管理”时，防火墙系统才会允许多个管理员同时登录。
设定管理员登录超时时间 管理员登录后如果长时间没有操作，配置界面会超时，超时时间也在这里设置，缺省值
是 600 秒，最大超时时间可设为 86400 秒（24 小时），0 是非法值。设置后点击“确定”生 效。
下载证书 点“联想 CA 中心”按钮，打开联想 CA 中心的主页，下载证书
联想集团有限公司
7
网御防火墙 Power V
Web 界面操作手册
导入证书 点“浏览”按钮，分别导入一套匹配的 CA 中心证书、防火墙证书、防火墙密钥、管理
员证书。CA 中心证书、防火墙证书、防火墙密钥必须同时更换。
管理员证书维护 管理员证书维护包括生效和删除，在“生效”一栏选择要生效的证书，点“生效”按钮
重启防火墙 点击“重启防火墙”按钮，防火墙将重新启动。
注意：重启防火墙前，记住要保存当前配置。“保存”快捷键：
1.3.2 导入导出
导入导出界面包含以下功能 1. 导出系统配置 2. 导入系统配置 3. 恢复出厂配置 4. 保存配置
联想网御POWER_V_UTM防火墙功能使用图文手册
联想网御Power V UTM防火墙功能使用图文手册声明本手册所含内容若有任何改动，恕不另行通知。
在法律法规的最大允许范围内，联想网御科技（北京）有限公司除就本手册和产品应负的瑕疵担保责任外，无论明示或默示，不作其它任何担保，包括（但不限于）本手册中推荐使用产品的适用性和安全性、产品的适销性和适合某特定用途的担保。
在法律法规的最大允许范围内，联想网御科技（北京）有限公司对于您的使用或不能使用本产品而发生的任何损坏（包括，但不限于直接或间接的个人损害、商业利润的损失、业务中断、商业信息的遗失或任何其它损失），不负任何赔偿责任。
本手册含受版权保护的信息，未经联想网御科技（北京）有限公司书面允许不得对本手册的任何部分进行影印、复制或翻译。
联想网御科技（北京）有限公司中国北京海淀区中关村南大街6号中电信息大厦8层目录第1章登录防火墙管理界面 (1)1.1串口登录防火墙 (1)1.2 WEB方式登录防火墙 (3)第2章防火墙透明或路由模式的更改 (7)2.1登录防火墙WEB管理界面 (7)2.2更改防火墙运行模式 (8)第3章在VLAN环境中使用防火墙 (10)3.1拓扑 (10)3.2配置要求 (10)3.3配置步骤 (10)第4章防火墙包过滤策略 (15)4.1拓扑 (15)4.2配置要求 (15)4.3配置步骤 (15)第5章NAT源地址转换 (17)5.1拓扑 (17)5.2配置要求 (17)5.3配置步骤 (17)第6章虚拟IP 目的地址转换 (19)6.1拓扑 (19)6.2配置要求 (19)6.3配置步骤 (19)第7章通过防火墙访问INTERNET (21)7.1拓扑 (21)7.2配置要求 (21)第8章带宽控制 (27)8.1拓扑 (27)8.2配置要求 (27)8.3配置步骤 (27)第9章IPMAC绑定 (29)9.1拓扑 (29)9.2配置要求 (29)9.3配置步骤 (29)第10章用户认证 (38)10.1拓扑 (38)10.2配置要求 (38)10.3配置步骤 (38)第11章HA A-P模式 (44)11.1拓扑 (44)11.2配置要求 (44)11.3配置步骤 (44)第12章HA A-A模式 (48)12.1拓扑 (48)12.2配置要求 (48)12.3配置步骤 (48)第13章IPSEC VPN CLIENT-GW密钥认证 (52)13.1拓扑 (52)13.2配置要求 (52)13.3配置步骤 (52)第14章IPSEC VPN CLIENT-GW 证书认证 (57)14.2配置要求 (57)14.3配置步骤 (57)第15章IPSEC VPN GW-GW 与CISCO互通 (66)15.1拓扑 (66)15.2配置要求 (66)15.3配置步骤 (66)第16章IPSEC VPN GW-GW 证书与POWER V 400防火墙互通 (71)16.1拓扑 (71)16.2配置要求 (71)16.3配置步骤 (71)第17章PPTP (80)17.1拓扑 (80)17.2配置要求 (80)17.3配置步骤 (80)第18章IPS (83)18.1拓扑 (83)18.2配置要求 (83)18.3配置步骤 (83)第19章IPS阻止QQ，MSN，BT流量 (86)19.1拓扑 (86)19.2配置要求 (86)19.3配置步骤 (86)第20章病毒检查 (90)20.1拓扑 (90)20.2配置要求 (90)第21章病毒/入侵特征库升级 (93)21.1导入病毒特征库升级文件 (93)21.2导入入侵特征库升级文件 (94)第22章WEB过滤 (95)22.1拓扑 (95)22.2配置要求 (95)22.3配置步骤 (95)第23章防垃圾邮件 (98)23.1拓扑 (98)23.2配置要求 (98)23.3配置步骤 (98)第1章登录防火墙管理界面1.1串口登录防火墙物理线路连接：使用标配的串口线，一头接防火墙的CONSOLE口，另一头接计算机的串口。
防火墙参数与报价
15800
4.查基于源/目的安全域、源/目的地址、服务、应用、描述等条件，对策略进行搜索
5.提供虚拟交换机技术，并能够实现不同VLAN之间的标签转换技术。
6.提供SmartDNS，ISP动态探测功能，使外网访问内部服务器的流量可以在多条链路上实现智能分担
7.提供出站就近负载均衡技术，可动态探测链路响应速度并选择最优链路进行转发
5、入侵防护漏洞规则特征库数量在4000条以上，入侵防护漏洞特征具备中文相关介绍，包括但不限于漏洞描述，漏洞名称，危险等级，影响系统，对应CVE编号，参考信息和建议的解决方案；
6、支持针对B/S架构应用抵御SQL注入、XSS、系统命令等注入型攻击；支持跨站请求伪造CSRF攻击防护；支持对ASP,PHP,JSP等主流脚本语言编写的webshell后门脚本上传的检测和过滤；支持对网站的扫描防护和防止恶意爬虫攻击；支持其他类型的Web攻击，如文件包含，目录遍历，信息泄露攻击等；7、支持对终端种植了远控木马或者病毒等恶意软件进行检测，并且能够对检测到的恶意软件行为进行深入的分析，展示和外部命令控制服务器的交互行为和其他可疑行为；
8.防火墙策略命中数统计和冗余策略智能检测功能
9.提供BFD协议与Static/OSPF/BGP协议的联动
10.支持基于IP和应用协议对发送流量、接受流量、总流量、并发会话数、新建会话进行每小时、每天、每月的统计，并以趋势图的形式直观显示
11.接口支持按64字节、128字节、256字节、512字节等数据包流量统计有效
11.支持按照应用类型流量，URL分类流量统计，并独立显示TOP10的应用及所占比例，可按照应用识别特征库分类显示所有或部分分类的流量趋势曲线;支持对针对数据库的XSS攻击、SQL注入攻击行为进行审计
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
支持状态同步技术，不损失安全性
支持基于VRRP技术的热备和负载均衡
双机热备
在NAT、路由、透明模式下支持A-A,A-S模式，且切换时间小于1秒
可在热备和集群工作模式下支持多台防火墙的配置手动、自动同步
交货时间：2010.6.20日前
售后服务：7X24小时快速响应
实现基于策略的HTTP、FTP、TELNET、SMTP、POP3等透明代理和深度过滤
IP/MAC
绑定
实现IP/MAC地址绑定，且支持IP/MAC地址对的自动探测和唯一性检查
用户认证
支持基于客户端的本地认证、无客户端软件的WEB认证，并支持Radius等第三方认证
内置动态令牌认证服务器，支持基于动态令牌的双因子认证
系统监控
支持对CPU、内存、磁盘、网口、用户在线状态、连接数、路由表等信息的监控
日志报警
支持设备内存储和专用事件分析服务器两种日志管理方式
支持中文日志，提高日志可读性
支持分级报警，支持SNMP Trap和邮件等报警方式
集中管理
可通过专用的集中管理系统实现对防火墙的集中设备监控、集中日志审计、安全报警以及防火墙、VPN部分策略的分发等功能
支持多出口路由负载均衡
NAT
支持双向NAT、动态地址转换和静态地址转换，并支持多对一、一对多和一对一等多种方式的地址转换
VLAN
支的互换，支持Vlan Trunk
带宽管理
基于IP地址、服务、网口、时间等定义带宽分配策略
支持最小保证带宽和最大限制带宽
可与终端管理系统协同工作，实现对终端的网络准入认证控制
管理配置
系统管理
支持友好的Web图形界面配置
支持远程SSH和串口命令行配置
支持数字证书和电子钥匙两种管理员认证方式，支持管理员权限分级
支持SNMP管理，与当前通用的网络管理平台兼容
可导出可读的配置文件并进行打印存档
可进行配置文件的备份、下载、恢复和上传
升级模式支持
特征库支持网站模式离线升级，在线模式自动、手动升级
访问控制
状态检测
基于源/目的IP地址、MAC地址、域名、端口或协议、服务、网口、时间、用户的访问控制
基于源/目的IP地址、端口、服务、网口、时间、应用等安全策略的带宽控制
支持基于策略的网间隔离功能，同一时间内网主机只能访问某一隔离区
透明代理
实时监控Web目录的变化情况，包括文件或文件夹的创建，修改，删除等操作
脚本后门扫描
根据特征扫描能查出99%以上的脚本后门
绿色上网
P2P下载控制
识别和控制迅雷、BT、eDonkey、eMule等常见P2P下载软件
P2P视频播放控制
识别和控制PPLive、QQLive、PPStream等常见P2P视频播放软件
内容过滤
深度过滤
支持内核级深度内容检测技术
网页过滤
支持对网页关键字和Java、JavaScript、ActiveX进行过滤
邮件过滤
支持对邮件地址、主题、正文、附件名、附件内容等进行关键字匹配过滤
支持基于反中转的垃圾邮件识别和过滤
FTP过滤
支持对FTP上传和下载文件的控制
网络适应性
接入模式
支持透明、路由、混合三种工作模式
网络接口：4个10/100BASE-T端口
串口：1个RJ45串口
电源：单电源
最大无故障时间(MTBF)：≥120,000小时
性能参数
吞吐率(bps)：400M
最大并发连接数：150万
每秒新建连接数：1.5万
IPSec VPN隧道数：2000（需另购IPSec VPN模块）
SSL VPN并发用户数：50（需另购SSL VPN模块）
支持基于USB Key的证书认证方式
支持国密办专用算法SM1
IPSec VPN客户端支持Microsoft Windows 2000/XP、Vista等操作系统
入侵检测与防御
入侵检测
集成基于统一安全引擎（USE）的IDS模块，具备1600种以上攻击特征库规则
蠕虫防护
采用基于摘要索引的内容加速算法（DCA算法）进行蠕虫病毒过滤
.power防火墙
名称：Power V-227-T防火墙
详细功能配置表：
功能类别
功能详细描述
操作系统
专用系统
具备自主研发的安全操作系统
引导选项
支持多系统引导，并可配置启动顺序
容灾备份
支持系统分区备份，支持将系统A克隆至系统B
配置恢复
支持多个系统配置文件，可导入导出恢复配置
产品规格
硬件规格
产品形态：标准1U机架式设备
可通过专用的集中管理系统，实现对网络拓扑的管理，基于域的权限分配和报表自动生成，以及设备的历史状况回放
可提供专用的软件实现对防火墙接入用户认证的集中管理，至少可同时管理2048台防火墙
高可用性
负载均衡
支持多重冗余协议(MRP)，实现链路备份、端口冗余、双机热备份、集群备份等
支持防火墙多WAN口备份和负载均衡
支持DHCP Client、DHCP Relay、DHCP Server
支持PPPoE接入，并具备自动断线重连技术
支持多透明桥，支持端口联动
路由
支持静态路由，动态路由（OSPF、RIP等），VLAN间路由，单臂路由，组播路由等
支持200个以上的路由表、30000个以上的路由策略选择
支持基于源/目的地址、接口、Metric、服务的策略路由
虚拟防火墙
划分虚拟系统
可将一台物理设备，划分为多个虚拟防火墙系统
网口
独享与共享模式
采用独享和共享网口模式，最大化复用防火墙资源
独立资源
拥有独立的系统资源、管理员、安全策略、用户认证数据库等
漏洞扫描
（安保
专家）
内网主机漏洞扫描
后门、服务探测、文件共享、系统补丁、IE漏洞等主动式扫描
主动防御
Web监控与防篡改
支持分层的带宽管理
动态协议
在各种工作模式下均支持H.323（H.323 GK）、SIP、FTP、MMS、RTSP、UPnP、XDMCP、TNS等多种动态协议
VPN
IPSec VPN
支持标准IPSec协议，能够与CISCO、NETSCREEN等知名厂商的VPN设备互联互通
支持预共享密钥、证书等认证方式且支持X-Auth扩展认证
即时通讯软件控制
识别和控制QQ、MSN等常用IM软件，一键式阻断IM软件机密文件传输
在线游戏、炒股控制
识别和控制魔兽、CS、征途、联众等数十种在线游戏软件，大智慧、同花顺等数十种炒股软件
WEB分类库
支持基于分类库的URL访问控制，可以对色情、反动等多种负面网站按类别进行选择控制
支持50多种分类库，800万级网址智能特征库
支持连接排行榜
抗DDoS/DoS攻击
可识别和防御syn flood、Ping flood、udp flood、teardrop、sweep、land-base、ping of death、smurf、winnuke、圣诞树、碎片等多种攻击
关联安全应用
关联安全
支持关联安全标准(CSC)
可实现与IDS等设备的联动
支持3DES、DES、AES等多种加密算法
支持AH和ESP封装模式以及MD5、SHA1、SHA2等通用摘要算法
支持DH1024、DH2048、RSA1024、RSA2048等非对称加密算法
支持多出口VPN，且支持NAT穿越
支持隧道接力，并可通过隧道接力实现分级的树状VPN结构部署
GRE/PPTP/L2TP
采用基于TCP连接数管理的侦测技术，对感染蠕虫病毒的异常主机进行定位
实现对blaster，nachi，nimda，codered，sasser，slapper，sqlexp，zotob等主流蠕虫病毒的识别、过滤和拦截
连接管理
支持同一主机源会话、目的会话的分别管理
支持动态学习，支持动态协议数据会话的区分管理
支持GRE、PPTP、L2TP等VPN连接
SSL VPN
支持SSL VPN和IPSec VPN同时使用
采用无客户端认证方式实现隧道安全连接
能进行个性门户（portal）定制化处理，可替换图片、文字等
VRC(VPN客户端)
IPSec VPN客户端可与所有支持标准IPSec协议的VPN网关互联互通
支持基于动态令牌的双因子认证