飞塔防火墙安装部署指南
飞塔配置安装使用手册
飞塔配置安装使用手册FortiGuard产品家族fortinet 的产品家族涵盖了完备的网络安全解决方案包括邮件，日志，报告，网络管理，安全性管理以及fortigate 统一安全性威胁管理系统的既有软件也有硬件设备的产品。
更多fortinet产品信息，详见/products.FortiGuard服务订制fortiguard 服务定制是全球fortinet安全专家团队建立,更新并管理的安全服务。
fortinet安全专家们确保最新的攻击在对您的资源损害或感染终端用户使用设备之前就能够被检测到并阻止。
fortiguard服务均以最新的安全技术构建，以最低的运行成本考虑设计。
fortiguard 服务订制包括：1、fortiguard 反病毒服务2、fortiguard 入侵防护（ips）服务3、fortiguard 网页过滤服务4、fortiguard 垃圾邮件过滤服务5、fortiguard premier伙伴服务并可获得在线病毒扫描与病毒信息查看服务。
FortiClientforticlient 主机安全软件为使用微软操作系统的桌面与便携电脑用户提供了安全的网络环境。
forticlient的功能包括：1、建立与远程网络的vpn连接2、病毒实时防护3、防止修改windows注册表4、病毒扫描forticlient还提供了无人值守的安装模式，管理员能够有效的将预先配置的forticlient分配到几个用户的计算机。
FortiMailfortimail安全信息平台针对邮件流量提供了强大且灵活的启发式扫描与报告功能。
fortimail 单元在检测与屏蔽恶意附件例如dcc（distributed checksum clearinghouse）与bayesian扫描方面具有可靠的高性能。
在fortinet卓越的fortios 与fortiasic技术的支持下，fortimail反病毒技术深入扩展到全部的内容检测功能，能够检测到最新的邮件威胁。
飞塔防火墙边界实施方案
飞塔防火墙边界实施方案一、背景介绍随着网络安全威胁日益增多，企业面临着越来越复杂的网络安全挑战。
作为企业网络安全的重要组成部分，防火墙在网络边界起着至关重要的作用。
飞塔防火墙作为一种新型的网络安全设备，具有高性能、高可靠性和高安全性的特点，已经成为企业网络安全的首选之一。
本文将针对飞塔防火墙在企业网络边界的实施方案进行详细介绍。
二、飞塔防火墙边界实施方案1. 网络边界划分在实施飞塔防火墙之前，首先需要对企业网络边界进行合理的划分。
根据企业的实际情况，将内部网络和外部网络进行明确的划分，确定好边界的位置和范围。
2. 防火墙规划根据网络边界的划分，对飞塔防火墙进行规划，确定好防火墙的部署位置和数量。
同时，需要根据企业的实际需求，配置相应的防火墙策略，包括访问控制、流量管理、安全审计等。
3. 防火墙部署在规划完成后，需要进行飞塔防火墙的部署工作。
根据规划确定的部署位置，对防火墙进行安装和配置，确保防火墙能够有效地对网络流量进行过滤和检测。
4. 安全策略制定针对企业的实际需求，制定相应的安全策略，包括入侵检测、应用识别、反病毒、反垃圾邮件等。
同时，需要对安全策略进行定期的审计和更新，确保防火墙能够及时应对新的安全威胁。
5. 监控和管理在飞塔防火墙实施完成后，需要建立相应的监控和管理机制，对防火墙的运行状态进行实时监测，及时发现和处理安全事件。
同时，需要对防火墙进行定期的维护和管理，确保防火墙能够持续稳定地运行。
三、总结飞塔防火墙作为企业网络安全的重要组成部分，其边界实施方案需要充分考虑企业的实际需求，合理规划防火墙的部署位置和安全策略，确保防火墙能够有效地保护企业网络安全。
同时，需要建立完善的监控和管理机制，对防火墙的运行状态进行实时监测和管理，及时发现和处理安全事件，确保企业网络的安全稳定运行。
以上就是飞塔防火墙边界实施方案的详细介绍，希望能够对企业网络安全的实施工作有所帮助。
飞塔 FortiGate-1000A安装使用手册
I N S T A L L G U I D E FortiGate-1000A andFortiGate-1000AFA2FortiOS 3.0 MR4FortiGate-1000A and FortiGate-1000AFA2 Install GuideFortiOS 3.0 MR415 February 200701-30004-0284-20070215© Copyright 2007 Fortinet, Inc. All rights reserved. No part of this publication including text, examples, diagrams or illustrations may be reproduced, transmitted, or translated in any form or by any means, electronic, mechanical, manual, optical or otherwise, for any purpose, without prior written permission of Fortinet, Inc.TrademarksDynamic Threat Prevention System (DTPS), APSecure, FortiASIC, FortiBIOS, FortiBridge, FortiClient, FortiGate, FortiGate Unified Threat Management System, FortiGuard, FortiGuard-Antispam, FortiGuard-Antivirus, FortiGuard-Intrusion, FortiGuard-Web, FortiLog, FortiAnalyzer, FortiManager, Fortinet, FortiOS, FortiPartner, FortiProtect, FortiReporter, FortiResponse, FortiShield, FortiVoIP, and FortiWiFi are trademarks of Fortinet, Inc. in the United States and/or other countries. The names of actual companies and products mentioned herein may be the trademarks of their respective owners.Regulatory complianceFCC Class A Part 15 CSA/CUSRisk of Explosion if Battery is replaced by an Incorrect Type.ContentsFortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideContentsContents (3)Introduction (7)About the FortiGate unit (7)FortiGate-1000A (7)FortiGate-1000AFA2 (8)Register your FortiGate unit (8)Fortinet Family Products (8)FortiGuard Subscription Services (8)FortiClient (9)FortiMail (9)FortiAnalyzer (9)FortiReporter (10)FortiBridge (10)FortiManager (10)About this document (10)Document conventions (10)Typographic conventions (11)Fortinet documentation (12)Fortinet documentation CDs (13)Fortinet Knowledge Center (13)Comments on Fortinet technical documentation (13)Customer service and technical support (13)Installing the FortiGate unit (15)Package Contents (15)FortiGate-1000A/FA2 (15)Mounting (16)Air Flow (16)Mechanical loading (17)Powering on the FortiGate unit (17)Powering off the FortiGate unit (18)Connecting the FortiGate unit (18)Web-based manager (18)Front control buttons and LCD (18)Command line interface (18)Connecting to the web-based manager (19)System Dashboard (20)Connecting to the CLI (20)LCD front control buttons (21)Using the front control buttons and LCD (21)FortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideContents Factory defaults............................................................................... 23Factory default NAT/Route mode network configuration............................ 24Factory default Transparent mode network configuration........................... 24Factory default firewall configuration .......................................................... 25Factory default protection profiles............................................................... 25Restoring the default settings........................................................................ 26Restoring the default settings using the web-based manager.................... 26Restoring the default settings using the CLI............................................... 26Configuring the FortiGate............................................................... 27Planning the FortiGate configuration............................................................ 27NAT/Route mode........................................................................................ 27NAT/Route mode with multiple external network connections.................... 28Transparent mode....................................................................................... 29Preventing the public FortiGate interface from responding to ping requests 30NAT/Route mode installation......................................................................... 31Preparing to configure the FortiGate unit in NAT/Route mode................... 31DHCP or PPPoPE configuration................................................................. 32Using the web-based manager................................................................... 32Configuring basic settings .................................................................... 32Adding a default route.......................................................................... 33Verifying the web-based manager configuration.................................. 34Verify the connection............................................................................ 34Using the front control buttons and LCD..................................................... 34Adding a default gateway using the front control buttons and LCD...... 35Verifying the front control buttons and LCD.......................................... 35Verify the connection............................................................................ 35Using the command line interface............................................................... 35Configuring the FortiGate unit to operate in NAT/Route mode............. 35Adding a default route.......................................................................... 37Verify the connection............................................................................ 37Connecting the FortiGate unit to the network(s)......................................... 38Configuring the networks............................................................................ 38Transparent mode installation....................................................................... 39Preparing to configure Transparent mode.................................................. 39Using the web-based manager................................................................... 39Using the front control buttons and LCD..................................................... 40Adding a default gateway using the LCD ............................................. 40Verifying the front control buttons and LCD.......................................... 41Verify the connection............................................................................ 41Using the command line interface............................................................... 41Reconnecting to the web-based manager............................................ 42Connecting the FortiGate unit to your network ........................................... 42Verify the connection. (43)ContentsFortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideNext Steps (43)Set the date and time (43)Updating antivirus and IPS signatures (44)Updating antivirus and IPS signatures from the web-based manager.. 45Updating the IPS signatures from the CLI (45)Scheduling antivirus and IPS updates (45)Adding an override server (46)FortiGate Firmware (49)Upgrading to a new firmware version (49)Upgrading the firmware using the web-based manager (49)Upgrading the firmware using the CLI (50)Reverting to a previous firmware version (51)Reverting to a previous firmware version using the web-based manager .. 51Reverting to a previous firmware version using the CLI (52)Installing firmware images from a system reboot using the CLI (53)Restoring the previous configuration (56)The FortiUSB key (56)Backup and Restore from the FortiUSB key (56)Using the USB Auto-Install feature (57)Additional CLI Commands for the FortiUSB key (58)Testing a new firmware image before installing it (58)Index (63)FortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideContentsIntroductionAbout the FortiGate unit FortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideFortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install Guide Fortinet Family ProductsIntroductionIntroduction Fortinet Family ProductsFortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install Guide•FortiGuard Web Filtering•FortiGuard Antispam Service•FortiGuard Premier ServiceAn online virus scanner and virus encyclopedia is also available for yourreference.FortiClientFortiClient™ Host Security software provides a secure computing environment forboth desktop and laptop users running the most popular Microsoft Windowsoperating systems. FortiClient offers many features including:•creating VPN connections to remote networks•configuring real-time protection against viruses•guarding against modification of the Windows registry•virus scanningFortiClient also offers a silent installation feature, enabling an administrator toefficiently distribute FortiClient to several users’ computers with preconfiguredsettings.FortiMailFortiMail™ Secure Messaging Platform provides powerful, flexible heuristicscanning and reporting capabilities to incoming and outgoing email traffic. TheFortiMail unit has reliable, high performance features for detecting and blockingmalicious attachments such as Distributed Checksum Clearinghouse (DCC)scanning and Bayesian scanning. Built on Fortinet’s award winning FortiOS andFortiASIC technology, FortiMail antivirus technology extends full contentinspection capabilities to detect the most advanced email threats.FortiAnalyzerFortiAnalyzer™ provides network administrators with the information they need toenable the best protection and security for their networks against attacks andvulnerabilities. The FortiAnalyzer unit features include:•collects logs from FortiGate devices and syslog devices•creates hundreds of reports using collected log data•scans and reports vulnerabilities•stores files quarantined from a FortiGate unitThe FortiAnalyzer unit can also be configured as a network analyzer to capturereal-time traffic on areas of your network where firewalls are not employed. Youcan also use the unit as a storage device where users can access and share files,including the reports and logs that are saved on the FortiAnalyzer hard disk.FortiGate-1000A and FortiGate-1000AFA2 FortiOS 3.0 MR4 Install GuideAbout this documentIntroductionFortiReporterFortiReporter™ Security Analyzer software generates easy-to-understand reportsand can collect logs from any FortiGate unit, as well as over 30 network andsecurity devices from third-party vendors. FortiReporter reveals network abuse,manages bandwidth requirements, monitors web usage, and ensures employeesare using the office network appropriately. FortiReporter allows IT administratorsto identify and respond to attacks, including identifying ways to proactively securetheir networks before security threats arise.FortiBridgeFortiBridge™ products are designed to provide enterprise organizations withcontinuous network traffic flow in the event of a power outage or a FortiGatesystem failure. The FortiBridge unit bypasses the FortiGate unit to make sure thatthe network can continue processing traffic. FortiBridge products are easy to useand deploy, and you can customize the actions a FortiBridge unit takes when apower failure or a FortiGate system failure occurs.FortiManagerThe FortiManager™ system is designed to meet the needs of large enterprises(including managed security service providers) responsible for establishing andmaintaining security policies across many dispersed FortiGate installations. Withthis system, you can configure multiple FortiGate devices and monitor their status.You can also view real-time and historical logs for the FortiGate devices, includingupdating firmware images of managed FortiGate devices. The FortiManagerSystem emphasizes ease of use, including easy integration with third partysystems.About this documentThis document explains how to install and configure your FortiGate unit onto yournetwork. This document also includes how to install and upgrade new firmwareversions on your FortiGate unit.This document contains the following chapters:•Installing the FortiGate unit – Describes setting up and powering on a FortiGate unit. •Factory defaults – Provides the factory default settings for the FortiGate unit. •Configuring the FortiGate – Provides an overview of the operating modes of the FortiGate unit and how to integrate the FortiGate unit into your network. •FortiGate Firmware – Describes how to install, update, restore and testfirmware for the FortiGate device.Document conventionsThe following document conventions are used in this guide:•In the examples, private IP addresses are used for both private and public IP addresses.•Notes and Cautions are used to provide important information:Introduction About this documentFortinet documentation IntroductionFortinet documentationThe most up-to-date publications and previous releases of Fortinet productdocumentation are available from the Fortinet Technical Documentation web siteat .The following FortiGate product documentation is available:•FortiGate QuickStart GuideProvides basic information about connecting and installing a FortiGate unit.•FortiGate Install GuideDescribes how to install a FortiGate unit. Includes a hardware reference,default configuration information, installation procedures, connectionprocedures, and basic configuration procedures. Choose the guide for yourproduct model number.•FortiGate Administration GuideProvides basic information about how to configure a FortiGate unit, includinghow to define FortiGate protection profiles and firewall policies; how to applyintrusion prevention, antivirus protection, web content filtering, and spamfiltering; and how to configure a VPN.•FortiGate online helpProvides a context-sensitive and searchable version of the AdministrationGuide in HTML format. You can access online help from the web-basedmanager as you work.•FortiGate CLI ReferenceDescribes how to use the FortiGate CLI and contains a reference to allFortiGate CLI commands.•FortiGate Log Message ReferenceAvailable exclusively from the Fortinet Knowledge Center, the FortiGate LogMessage Reference describes the structure of FortiGate log messages andprovides information about the log messages that are generated by FortiGateunits.•FortiGate High Availability User GuideContains in-depth information about the FortiGate high availability feature andthe FortiGate clustering protocol.•FortiGate IPS User GuideDescribes how to configure the FortiGate Intrusion Prevention System settingsand how the FortiGate IPS deals with some common attacks.•FortiGate IPSec VPN User GuideProvides step-by-step instructions for configuring IPSec VPNs using the web-based manager.•FortiGate SSL VPN User GuideCompares FortiGate IPSec VPN and FortiGate SSL VPN technology, anddescribes how to configure web-only mode and tunnel-mode SSL VPN accessfor remote users through the web-based manager.•FortiGate PPTP VPN User GuideExplains how to configure a PPTP VPN using the web-based manager.Introduction Customer service and technical support•FortiGate Certificate Management User GuideContains procedures for managing digital certificates including generatingcertificate requests, installing signed certificates, importing CA root certificatesand certificate revocation lists, and backing up and restoring installedcertificates and private keys.•FortiGate VLANs and VDOMs User GuideDescribes how to configure VLANs and VDOMS in both NAT/Route andTransparent mode. Includes detailed examples.Fortinet documentation CDsAll Fortinet documentation is available from the Fortinet documentation CDshipped with your Fortinet product. The documents on this CD are current atshipping time. For up-to-date versions of Fortinet documentation see the FortinetKnowledge Center.Fortinet Knowledge CenterAdditional Fortinet technical documentation is available from the FortinetKnowledge Center. The knowledge center contains troubleshooting and how-toarticles, FAQs, technical notes, and more. Visit the Fortinet Knowledge Center at.Comments on Fortinet technical documentationPlease send information about any errors or omissions in this document, or anyFortinet technical documentation, to techdoc@.Customer service and technical supportFortinet Technical Support provides services designed to make sure that yourFortinet systems install quickly, configure easily, and operate reliably in yournetwork.Please visit the Fortinet Technical Support web site at to learn about the technical support services that Fortinet provides.Customer service and technical support IntroductionInstalling the FortiGate unit Package ContentsInstalling the FortiGate unitThis section provides information on installing and setting up the FortiGate unit onyour network. This section includes the following topics:•Package Contents•Air Flow•Mechanical loading•Powering on the FortiGate unit•Connecting the FortiGate unitPackage ContentsReview the contents of your FortiGate package to ensure all components wereincluded.FortiGate-1000A/FA2The FortiGate-1000A/FA2 package contains the following items:•FortiGate-1000A/FA2 Unified Threat Management System•one orange crossover Ethernet cable (CC300248)•one gray straight-through Ethernet cable (CC300249)•one RJ-45 to DB-9 serial cable (CC300302)•SFP Transceivers (FortiGate-1000AFA2 only)•two 19-inch rack mount brackets•one power cable•FortiGate-1000A/FA2 QuickStart Guide•Fortinet Tools and Documentation CDPackage ContentsInstalling the FortiGate unit The FortiGate-1000A/FA2 unit can be mounted in a standard 19-inch rack. It U of vertical space in the rack. The FortiGate-1000A/FA2 unit can alsoControlManagementModem Port(FortiGate-1000AFA2 only)x2 SFP Transceivers(FortiGate-1000AFA2 only)USER MANUALInstalling the FortiGate unit Powering on the FortiGate unitMechanical loadingFor rack installation, make sure the mechanical loading of the FortiGate unit isevenly distributed to avoid a hazardous condition.Powering on the FortiGate unitThe FortiGate unit does not have an on/off switch.To power on the FortiGate unit1Connect the power cables to the power connections on the back of the FortiGateunit.2Connect the power cables to power outlets.Each power cable should be connected to a different power source. If one powersource fails, the other may still be operative.After a few seconds, SYSTEM STARTING appears on the LCD.The main menu setting appears on the LCD when the system is running.The FortiGate unit starts and the Power LEDs light up.Table 2: LED indicatorsMenu [ Fortigat -> ]NAT, StandaloneLED State DescriptionPower Green The FortiGate unit is powered on.Off The FortiGate unit is powered off.1 to 10 Ports Green The correct cable is in use, and the connected equipment has power.Flashing green Network activity at this interface.Off No link established.Port A1 and Port A2 on the FortiGate-1000AFA2only Green The correct cable is in use, and the connected equipmenthas power.Flashing Green Network activity at this interface.Green The correct cable is in use, and the connected equipment has power.Off No link established.Connecting the FortiGate unitInstalling the FortiGate unit Powering off the FortiGate unitAlways shut down the FortiGate operating system properly before turning off thepower switch to avoid potential hardware problems.To power off the FortiGate unit1From the web-based manager, go to System > Status .2In the Unit Operation display, select Shutdown, or from the CLI enter: execute shutdown 3Disconnect the power cables from the power supply.Connecting the FortiGate unitThere are three methods of connecting and configuring the basic FortiGatesettings:•the web-based manager •the front control buttons and LCD •the command line interface (CLI)Web-based managerYou can configure and manage the FortiGate unit using HTTP or a secure HTTPSconnection from any computer running Microsoft Internet Explorer 6.0 or recentbrowser. The web-based manager supports multiple languages.You can use the web-based manager to configure most FortiGate settings, andmonitor the status of the FortiGate unit.Front control buttons and LCDYou can use the front control buttons and LCD on the FortiGate unit to configureIP addresses, default gateways and switch operating modes. The LCD shows youwhat mode you are in without having to go to the command line interface or theweb-based manager. For more information on the front control buttons and LCD,see “LCD front control buttons” on page 21.Command line interfaceYou can access the FortiGate command line interface (CLI) by connecting amanagement computer serial port to the FortiGate serial console connector. Youcan also use Telnet or a secure SSH connection to connect to the CLI from anynetwork that is connected to the FortiGate unit, including the Internet.Note: If only one power supply is connected, an audible alarm sounds to indicate a failedpower supply. Press the red alarm cancel button on the rear panel next to the power supplyto stop the alarm.Installing the FortiGate unit Connecting the FortiGate unitConnecting to the web-based manager Configuration changes made with the web-based manager are effectiveimmediately, without resetting the firewall or interrupting service.To connect to the web-based manager, you require:• a computer with an Ethernet connection•Microsoft Internet Explorer version 6.0 or higher or any recent version of themost popular web browser• a crossover Ethernet cable or an Ethernet hub and two Ethernet cablesTo connect to the web-based manager1Set the IP address of the computer with an Ethernet connection to the static IPaddress 192.168.1.2 with a netmask of 255.255.255.0.2Using the crossover cable or the Ethernet hub and cables, connect the internalinterface of the FortiGate unit to the computer Ethernet connection.3Start Internet Explorer and browse to the address https://192.168.1.99.(remember to include the “s” in https://).To support a secure HTTPS authentication method, the FortiGate unit ships with aself-signed security certificate, and is offered to remote clients whenever theyinitiate a HTTPS connection to the FortiGate unit. When you connect, theFortiGate unit displays two security warnings in the browser.The first warning prompts you to accept and optionally install the FortiGate unit’sself-signed security certificate. If you do not accept the certificate, the FortiGateunit refuses the connection. If you accept the certificate, the FortiGate login pageappears. The credentials entered are encrypted before they are sent to theFortiGate unit. If you choose to accept the certificate permanently, the warning isnot displayed again.Just before the FortiGate login page is displayed, a second warning informs youthat the FortiGate certificate distinguished name differs from the original request.This warning occurs because the FortiGate unit redirects the connection. This isan informational message. Select OK to continue logging in.Figure 2:FortiGate loginNote: Before starting Internet Explorer, (or any recent version of the most popular webbrowser), ping to your FortiGate unit to see if the connection between the computer and theFortiGate unit is working properly.Connecting the FortiGate unitInstalling the FortiGate unit 4Type admin in the Name field and select Login.System DashboardAfter logging into the web-based manager, the web browser displays the systemdashboard. The dashboard provides you with all system status information in onelocation. For details on the information displayed on the dashboard, see theFortiGate Administration Guide .Connecting to the CLIAs an alternative to the web-based manager, you can install and configure the FortiGate unit using the CLI. Configuration changes made with the CLI are effective immediately, without resetting the firewall or interrupting service. To connect to the FortiGate CLI you require: • a computer with an available communications port •the RJ-45 to DB-9 serial cable included in your FortiGate package •terminal emulation software such as HyperTerminal for Microsoft Windows To connect to the CLI 1Connect the RJ-45 to DB-9 serial cable to the communications port of your computer and to the FortiGate console port. 2Start HyperTerminal, enter a name for the connection, and select OK.3Configure HyperTerminal to connect directly to the communications port on your computer and select OK. 4Select the following port settings and select OK:5Press Enter to connect to the FortiGate CLI. The login prompt appears. 6Type admin and press Enter twice.The following prompt is displayed:Welcome!Type ? to list available commands. For information about how to use the CLI, see the FortiGate CLI Reference .Note: The following procedure uses Microsoft Windows HyperTerminal software. You can apply these steps to any terminal emulation program. Bits per second 9600Data bits 8Parity None Stop bits 1Flow control NoneInstalling the FortiGate unit LCD front control buttons LCD front control buttonsYou can use the front control buttons and LCD to configure the basic settings onyour FortiGate unit. This configuration method provides an easy and fast methodto configure your FortiGate unit. You can configure:•IP addresses•netmasks•default gateways•operating modes•restore factory default settingsThe LCD provides information on the FortiGate unit’s operating mode andwhether or not it is part of a High Availability (HA) cluster. Figure 3 shows thedefault LCD main menu setting of a FortiGate unit, operating in NAT/Route modeand not connected to a HA cluster.Figure 3:Default LCD main menu settingsTable 3: LCD main menu definitionsThe front control buttons control how you enter and exit the different menus whenconfiguring the different ports and interfaces. The front control buttons alsoenables you to increase or decrease each number for configuring IP addresses,default gateway addresses, or netmasks. The following table defines each buttonand what it does when configuring the basic settings of your FortiGate unit.Table 4: Front control button definitionsUsing the front control buttons and LCDWhen the LCD displays the main menu setting, you can begin to configure the IPaddresses, netmasks, default gateways, and if required, change the operatingmode. Use the following procedures as a guide when configuring your FortiGateunit in “Configuring the FortiGate” on page 27.Menu The menu the LCD currently displays.[Fortigat ->]The FortiGate unit’s host name.NAT The current operational mode of the FortiGate unit.Standalone The FortiGate unit is not part of a HA cluster. For more information on standalone mode and HA, see the FortiGate AdministrationGuide . Enter Enables you to move forward through the configuration process.Esc Enables you to move backward, or exit out of the menu you are in.Up Allows you to increase the number for an IP address, default gateway address or netmask.Down Allows you to decrease the number for an IP address, default gateway address or netmask.Menu [ Fortigat -> ]NAT, Standalone。
Fortigate500防火墙配置指导
其中，
横向标识源IP，纵向标识目的IP，一般只需限制来自外网的IP访问内网IP。点击第一行第2个“Edit”，后，进入具体配置界面：
其中，
Source：标识源IP，一般为External_All，即外网所有IP，
Destionation：标识目的IP，一般为映射IP，因为外网不能直接访问内网IP，只能访问映射IP；
[转]Fortigate500防火墙配置指导
(2010-09-10 10:44:28)
标签：
it
FortiGate500防火墙是美国飞塔公司的一款高性能防火墙，它可以使用CLI配置界面，也具有完整的WEB管理。下面我们以WEB管理配置防火墙为例讲述甘肃移动的配置步骤。
1、FortiGate500的基本配置步骤
Members：标识组合服务所包含的具体服务。想将某服务组合到当前组合中，则在左边选中之，然后点击右向箭头；反之，如果想将某服务从当前组合服务中去掉，则在右边选中之，然后点击左向箭头。
分别加入以下服务组：
service group Source port Des port Protocol
1.1防火墙加电，进入web配置
将便携机配置固定IP：172.1.1.2/24，然后利用交叉网线连接至Fortigate500的Port1口，在IE地址栏输入：https://172.1.1.1即进入web配置。
缺省用户名为admin，缺省密码为空。
1.2区域的配置
左边窗口选择“system->;network”，然后在右边窗口选择“interface”，点击“internal”行的最右边标记，进入修改页面，其操作界面如下：
policy Internal DMZ G-local-sp-a G-qxt-a ANY Always accept nat
飞塔防火墙方案
简介飞塔防火墙是一种网络安全设备，用于保护企业网络免受网络攻击和恶意活动的影响。
本文档将详细介绍飞塔防火墙的特点、工作原理以及在企业网络中的部署方案。
特点飞塔防火墙具有以下特点：1.多层防御：飞塔防火墙采用了多层的安全防护机制，包括包过滤、应用层代理、VPN等，可以有效地防止来自内外部的网络威胁。
2.流量监控：飞塔防火墙可以对网络流量进行实时监控和分析，识别可疑的网络活动并采取相应的措施，从而提升网络安全性。
3.灵活的权限控制：飞塔防火墙支持基于角色和策略的权限控制，可以根据不同用户的需求进行定制化配置，确保网络资源的合理使用。
4.高可用性：飞塔防火墙设备支持冗余配置，当一台设备故障时能够自动切换到备用设备上，以确保网络服务的连续性和可靠性。
工作原理飞塔防火墙的工作原理如下：1.流量过滤：飞塔防火墙根据预设的策略，对流经设备的网络流量进行过滤。
它会检查每个网络数据包的源地址、目标地址、端口号等信息，并按照设定的规则决定是否允许通过或拒绝。
2.应用层代理：飞塔防火墙可以作为应用层代理，对特定的网络应用进行深度检查和控制。
它可以分析网络数据包的应用层协议，防止恶意代码和攻击行为对企业网络造成损害。
3.VPN支持：飞塔防火墙可以提供虚拟专用网络（VPN）的支持。
通过VPN，企业可以建立安全的远程访问通道，实现远程办公和资源共享，同时保障数据的机密性和完整性。
4.日志记录：飞塔防火墙会记录每个数据包的通过与拦截情况，以及系统和应用的运行状态。
这些日志可用于网络安全事件的调查和分析，以及合规性审计。
部署方案在企业网络中，可以采用以下部署方案来使用飞塔防火墙：1.边界防火墙：将飞塔防火墙部署在企业网络的边界位置，作为内部网络和外部网络之间的安全屏障。
它可以过滤来自外部网络的流量，防止潜在的网络攻击和恶意行为。
2.内部防火墙：在企业网络内部的关键节点上部署飞塔防火墙，以提供局部的安全保护。
这种部署方式适用于对内部网络的保护要求较高的场景，如数据中心。
飞塔防火墙配置
1、虚拟域（VDOMS）----虚拟防火墙配置：（1）首先web 登陆防火墙（真机https://+ip，虚拟机http://+ip），虚拟机用户名：admin，密码：没（空的）。
登陆到管理面板找到虚拟域，默认禁用，点击启用为启动。
（2）然后启动虚拟域后，虚拟重新登陆，用户名和密码不变。
点开VDOM 界面，上面可以新建一个虚拟域（就是新的虚拟防火墙）。
防火墙名和模式，NAT为3层，透明为2层。
3、在左手边系统菜单下面有当前VDOM角色，有全局和VDOM可以选。
2、VDOM 启用后，点击全局配置模式---------网络----接口，可以把接口分配给不同的虚拟域（1）全局点开接口后，选择着需要更改虚拟域的接口，选择上方编辑（2）点开端口编辑，能配置端口IP和相应管理协议还可以设置端口监控，web 代理、分片等。
附加IP地址就是例如一个公网24位的地址，运营商给了10个可以用IP：10.10.10.1 -10地址模式上填写：10.10.10.1 ，剩余10.10.10.2-10就可以通过附加IP地址填写。
3、除了对现有接口进行编辑，也能新建接口，新建接口后能选择接口类型，（根据深信服上端口配置，均为3层口，这次配置具体端口是什么类型，需要客户确认）其余配置和编辑端口时一样。
4、需要对虚拟防火墙进行路由、策略配置需要寻找当前VDOM角色：静态路由配置，配置完静态路由后，能点开当前路由查看路由表：5、防火墙object 虚地址（为外网访问内网服务器做的端口转换）6、policy 这边所做的就是NAT 和其他放通的策略。
可以完成参照深信服防火墙的策略来做。
7、全局模式下，配置HA（1）集群设置：群名和密码，主备要完全一致，启动会话交接（就是主挂了的时候，被会直接把会话复制过去，然后起来运行）（2）主备设置，设备优先级默认128，优先级高的，设备为主，记得勾选储备管理端口集群成员(这样就能对集群的设备进行单个管理)(3)选择端口作为心跳线，例如选择PORT4口,然后把心跳线对接，同步配置就可以。
Fortinet 飞塔防火墙操作管理员手册V4.3
手把手学配置FortiGate设备FortiGate CookbookFortiOS 4.0 MR3目录介绍 (1)有关本书中使用的IP地址 (3)关于FortiGate设备 (3)管理界面 (5)基于Web的管理器 (5)CLI 命令行界面管理 (5)FortiExplorer (6)FortiGate产品注册 (6)更多信息 (7)飞塔知识库（Knowledge Base） (7)培训 (7)技术文档 (7)客户服务与技术支持 (8)FortiGate新设备的安装与初始化 (9)将运行于NAT/路由模式的FortiGate设备连接到互联网 (10)面临的问题 (10)解决方法 (11)结果 (13)一步完成私有网络到互联网的连接 (14)面临的问题 (14)解决方法 (15)结果 (16)如果这样的配置运行不通怎么办？ (17)使用FortiGate配置向导一步完成更改内网地址 (20)面临的问题 (20)解决方法 (20)结果 (22)NAT/路由模式安装的故障诊断与排除 (23)面临的问题 (23)解决方法 (23)不更改网络配置部署FortiGate设备（透明模式） (26)解决方法 (27)结果 (30)透明模式安装的故障诊断与排除 (31)面临的问题 (31)解决方法 (32)当前固件版本验证与升级 (36)面临的问题 (36)解决方法 (36)结果 (39)FortiGuard服务连接及故障诊断与排除 (41)面临的问题 (41)解决方法 (42)在FortiGate设备中建立管理帐户 (48)面临的问题 (48)解决方法 (48)结果 (49)FortiGate设备高级安装与设置 (51)将FortiGate设备连接到两个ISP保证冗余的互联网连接 (52)面临的问题 (52)解决方法 (53)结果 (60)使用调制解调器建立到互联网的冗余连接 (63)面临的问题 (63)解决方法 (64)结果 (70)使用基于使用率的ECMP在冗余链路间分配会话 (70)面临的问题 (70)解决方法 (71)结果 (73)保护DMZ网络中的web服务器 (74)面临的问题 (74)解决方法 (75)结果 (81)在不更改网络设置的情况下配置FortiGate设备保护邮件服务器（透明模式） (86)解决方法 (87)结果 (92)使用接口配对以简化透明模式下安装 (96)面临的问题 (96)解决方法 (97)结果 (101)不做地址转换的情况下连接到网络（FortiGate设备运行于路由模式） (101)面临的问题 (101)解决方法 (102)结果 (107)对私网中的用户设置显式web代理 (107)面临的问题 (107)解决方法 (108)结果 (110)私有网络的用户访问互联网内容的web缓存建立 (110)面临的问题 (110)解决方法 (111)结果 (112)应用HA高可用性提高网络的可靠性 (113)面临的问题 (113)解决方法 (114)结果 (118)升级FortiGate设备HA群集的固件版本 (120)面临的问题 (120)解决方法 (121)结果 (123)使用虚拟局域网（VLAN）将多个网络连接到FortiGate设备 (124)面临的问题 (124)解决方法 (124)结果 (129)使用虚拟域,在一台FortiGate设备实现多主机 (130)面临的问题 (130)解决方法 (130)结果 (137)建立管理员帐户监控防火墙活动与基本维护 (138)面临的问题 (138)解决方法 (139)结果 (140)加强FortiGate设备的安全性 (142)面临的问题 (142)解决方法 (143)为内部网站和服务器创建本地DNS服务器列表 (152)面临的问题 (152)解决方法 (152)结果 (154)使用DHCP根据MAC地址分配IP地址 (154)面临的问题 (154)解决方法 (155)结果 (156)设置FortiGate设备发送SNMP陷阱 (157)面临的问题 (157)解决方法 (157)结果 (160)通过数据包嗅探方式（数据包抓包）发现并诊断故障 (161)面临的问题 (161)解决方法 (162)通过数据包嗅探方式（数据包抓包）进行高级的故障发现与诊断 (170)面临的问题 (170)解决方法 (171)创建、保存并使用数据包采集过滤选项（通过基于web的管理器嗅探数据包） (179)面临的问题 (179)解决方法 (180)调试FortiGate设备配置 (184)面临的问题 (184)解决的方法 (185)无线网络 (195)FortiWiFi设备创建安全的无线访问 (196)面临的问题 (196)解决方法 (197)结果 (200)通过FortiAP在FortiGate设备创建安全无线网络 (200)面临的问题 (200)解决方法 (201)结果 (205)使用WAP-enterprise安全提高WiFi安全 (207)面临的问题 (207)解决方法 (208)结果 (211)使用RADIUS建立安全的无线网络 (212)面临的问题 (212)解决方法 (213)结果 (217)使用网页认证建立安全的无线网络 (218)面临的问题 (218)解决方法 (219)结果 (222)在无线与有线客户端之间共享相同的子网 (224)面临的问题 (224)解决方法 (224)结果 (227)通过外部DHCP服务器创建无线网络 (228)面临的问题 (228)解决方法 (229)结果 (232)使用Windows AD验证wifi用户 (234)面临的问题 (234)解决方法 (234)结果 (244)使用安全策略和防火墙对象控制流量 (245)安全策略 (245)定义防火墙对象 (247)限制员工的互联网访问 (250)面临的问题 (250)结果 (255)基于每个IP地址限制互联网访问 (255)面临的问题 (255)解决方法 (256)结果 (259)指定用户不执行UTM过滤选项 (260)面临的问题 (260)解决方法 (260)结果 (263)校验安全策略是否应用于流量 (264)面临的问题 (264)解决方法 (265)结果 (267)以正确的顺序执行安全策略 (270)面临的问题 (270)解决方法 (271)结果 (273)允许只对一台批准的DNS服务器进行DNS查询 (274)面临的问题 (274)解决方法 (275)结果 (278)配置确保足够的和一致的VoIP带宽 (279)面临的问题 (279)解决方法 (280)结果 (283)使用地理位置地址 (285)面临的问题 (285)解决方法 (286)结果 (288)对私网用户(静态源NAT)配置提供互联网访问 (288)面临的问题 (288)解决方法 (289)结果 (290)对多个互联网地址(动态源NAT)的私网用户配置提供互联网访问 (292)面临的问题 (292)解决方法 (292)不更改源端口的情况下进行动态源NAT(一对一源地址NAT) (295)面临的问题 (295)解决方法 (296)结果 (297)使用中央NAT表进行动态源NAT (298)面临的问题 (298)解决方法 (299)结果 (301)在只有一个互联网IP地址的情况下允许对内网中一台web服务器的访问 (303)面临的问题 (303)解决方法 (304)结果 (305)只有一个IP 地址使用端口转换访问内部web 服务器 (307)面临的问题 (307)解决方法 (308)结果 (310)通过地址映射访问内网Web 服务器 (311)面临的问题 (311)解决方法 (312)结果 (313)配置端口转发到FortiGate设备的开放端口 (316)面临的问题 (316)解决方法 (317)结果 (320)对某个范围内的IP地址进行动态目标地址转换(NAT) (321)面临的问题 (321)解决方法 (322)结果 (323)UTM选项 (325)网络病毒防御 (327)面临的问题 (327)解决方法 (328)结果 (329)灰色软件防御 (330)解决方法 (331)结果 (331)网络旧有病毒防御 (332)面临的问题 (332)解决方法 (332)结果 (333)将病毒扫描检测文件的大小最大化 (334)面临的问题 (334)解决方法 (335)结果 (336)屏蔽病毒扫描中文件过大的数据包 (337)面临的问题 (337)结果 (338)通过基于数据流的UTM扫描提高FortiGate设备的性能 (338)面临的问题 (338)解决方法 (339)限制网络用户可以访问的网站类型 (342)面临的问题 (342)解决方案 (342)结果 (343)对设定用户取消FortiGuard web过滤 (344)面临的问题 (344)结果 (346)阻断Google、Bing以及Yahoo搜索引擎中令人不快的搜索结果 (347)面临的问题 (347)解决方法 (347)结果 (348)查看一个URL在FortiGuard Web过滤中的站点类型 (348)面临的问题 (348)解决方法 (349)结果 (349)设置网络用户可以访问的网站列表 (350)面临的问题 (350)解决方法 (351)使用FortiGuard Web过滤阻断对web代理的访问 (353)面临的问题 (353)解决方法 (353)结果 (354)通过设置Web过滤阻断对流媒体的访问 (354)面临的问题 (354)解决方法 (355)结果 (355)阻断对具体的网站的访问 (356)面临的问题 (356)解决方法 (356)结果 (358)阻断对所有网站的访问除了那些使用白名单设置的网站 (358)面临的问题 (358)解决方案 (359)结果 (361)配置FortiGuard Web过滤查看IP地址与URL (361)面临的问题 (361)解决方法 (362)结果 (362)配置FortiGuard Web过滤查看图片与URL (364)面临的问题 (364)解决方法 (364)结果 (365)识别HTTP重新定向 (365)面临的问题 (365)解决方法 (366)结果 (366)在网络中实现应用可视化 (366)面临的问题 (366)解决的方法 (367)结果 (367)阻断对即时消息客户端的使用 (368)面临的问题 (368)结果 (369)阻断对社交媒体类网站的访问 (370)面临的问题 (370)解决方法 (371)结果 (371)阻断P2P文件共享的使用 (372)面临的问题 (372)解决方法 (372)结果 (373)启用IPS保护Web服务器 (374)面临的问题 (374)解决方法 (375)结果 (378)扫描失败后配置IPS结束流量 (378)面临的问题 (378)解决方法 (379)结果 (379)DoS攻击的防御 (380)面临的问题 (380)解决方法 (381)结果 (382)过滤向内的垃圾邮件 (382)面临的问题 (382)解决方法 (383)结果 (384)使用DLP监控HTTP流量中的个人信息 (384)面临的问题 (384)解决方法 (385)结果 (387)阻断含有敏感信息的邮件向外发送 (387)面临的问题 (387)解决方法 (388)结果 (388)使用FortiGate漏洞扫描查看网络的漏洞 (389)解决方法 (389)结果 (391)SSL VPN (392)对内网用户使用SSL VPN建立远程网页浏览 (393)面临的问题 (393)解决方法 (394)结果 (398)使用SSL VPN对远程用户提供受保护的互联网访问 (399)面临的问题 (399)解决方法 (400)结果 (403)SSL VPN 通道分割：SSL VPN 用户访问互联网与远程私网使用不同通道 (405)面临的问题 (405)解决方法 (405)结果 (409)校验SSL VPN用户在登录到SSL VPN时具有最新的AV软件 (411)面临的问题 (411)解决方法 (411)结果 (412)IPsec VPN (414)使用IPsec VPN进行跨办公网络的通信保护 (415)面临的问题 (415)解决方法 (416)结果 (420)使用FortiClient VPN进行到办公网络的安全远程访问 (421)面临的问题 (421)解决方法 (422)结果 (428)使用iPhone通过IPsec VPN进行安全连接 (430)面临的问题 (430)解决方法 (430)结果 (436)使用安卓（Android）设备通过IPsec VPN进行安全连接 (438)面临的问题 (438)结果 (443)使用FortiGate FortiClient VPN向导建立到私网的VPN (444)面临的问题 (444)解决方法 (445)结果 (449)IPsec VPN通道不工作 (450)面临的问题 (450)解决方法 (451)认证 (463)创建安全策略识别用户 (464)面临的问题 (464)解决方法 (464)结果 (466)根据网站类别识别用户并限制访问 (467)面临的问题 (467)解决方法 (468)结果 (468)创建安全策略识别用户、限制到某些网站的访问并控制应用的使用 (470)面临的问题 (470)解决方法 (471)结果 (472)使用FortiAuthenticator配置认证 (474)面临的问题 (474)解决方案 (475)结果 (478)对用户帐户添加FortiT oken双因子认证 (478)面临的问题 (478)解决方法 (479)结果 (482)添加SMS令牌对FortiGate管理员帐户提供双因子认证 (483)面临的问题 (483)解决方法 (484)结果 (486)撤消“非信任连接”信息 (487)解决方法 (488)日志与报告 (490)认识日志信息 (491)面临的问题 (491)解决方法 (492)创建备份日志解决方案 (497)面临的问题 (497)解决方法 (498)结果 (500)将日志记录到远程Syslog服务器 (502)面临的问题 (502)解决方法 (503)结果 (505)SSL VPN登录失败的告警邮件通知 (506)面临的问题 (506)解决方法 (507)结果 (509)修改默认的FortiOS UTM报告 (510)面临的问题 (510)解决方法 (510)结果 (512)测试日志配置 (513)面临的问题 (513)解决方法 (513)结果 (515)介绍本书《手把手学配置FortiGate设备》意在帮助FortiGate设备的管理员以配置案例的形式实现基本以及高级的FortiGate设备配置功能。
FortiGate飞塔防火墙 简明配置指南
FortiGate飞塔防火墙简明配置指南说明：本文档针对所有飞塔 FortiGate设备的基本上网配置说明指南。
要求：FortiGate® 网络安全平台，支持的系统版本为FortiOS v3.0及更高。
步骤一：访问防火墙连线：通过PC与防火墙直连需要交叉线（internal接口可以用直通线），也可用直通线经过交换机与防火墙连接。
防火墙出厂接口配置：Internal或port1：192.168.1.99/24，访问方式：https、ping把PC的IP设为同一网段后（例192.168.1.10/24），即可以在浏览器中访问防火墙https://192.168.1.99防火墙的出厂帐户为admin，密码为空登陆到web管理页面后默认的语言为英文，可以改为中文在system----admin----settings中，将Idle TimeOut（超时时间）改为480分钟，Language 为simplified chinses （简体中文）。
如果连不上防火墙或不知道接口IP，可以通过console访问，并配置IP连线：PC的com1（九针口）与防火墙的console（RJ45）通过console线连接，有些型号的防火墙console是九针口，这时需要console转RJ45的转接头超级终端设置：所有程序----附件----通讯----超级终端连接时使用选择com1，设置如下图输入回车即可连接，如没有显示则断电重启防火墙即可连接后会提示login，输入帐号、密码进入防火墙查看接口IP：show system interface配置接口IP：config system interfaceedit port1或internal 编辑接口set ip 192.168.1.1 255.255.255.0 配置IPset allowaccess ping https http telnet 配置访问方式set status upend配置好后就可以通过网线连接并访问防火墙步骤二：配置接口在系统管理----网络中编辑接口配置IP和访问方式本例中内网接口是internal，IP，192.168.1.1 访问方式，https ping http telnet本例中外网接口是wan1，IP，192.168.100.1访问方式，https ping步骤三：配置路由在路由----静态中写一条出网路由，本例中网关是192.168.100.254步骤四：配置策略在防火墙----策略中写一条出网策略，即internal到wan1并勾选NAT即可。
Fortigate防火墙简单配置指导
华为技术安全服务Fortigate防火墙简明配置指导书华为技术华为技术有限公司二〇一三年六月版权声明©2003 华为技术有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书的部分或全部，并不得以任何形式传播。
作者信息修订记录目录第一章、产品简介 (4)第二章、FORTIGATE防火墙简明配置指导 (8)1、恢复缺省 (8)2、串口配置 (8)3、交叉网线连port3，进入web配置 (9)4、配置外口网关 (9)5、配置路由 (10)6、配置虚拟外网IP (10)7、配置端口服务 (11)8、组合服务 (11)9、将组合服务关联到映射IP (12)第一章、产品简介FortiGate安全和内容控制系列产品，是利用一种新的体系结构方法研发的，具有无与伦比的价格/性能比；是完全的、所有层网络安全和内容控制的产品。
经过一些安全行业深受尊重的安全专家多年的研究开发，FortiGate解决方案突破了网络的“内容处理障碍”。
提供了在网络边界所有安全威胁类型（包括病毒和其它基于内容的攻击）的广泛保护。
并且具备空前的消除误用和滥用文字的能力，管理带宽和减少设备与管理的费用。
常规的安全系统，像防火墙和VPN 网关在防止称为网络层攻击是有效的，它通过检查包头信息来保证来自信任源合法请求的安全。
但在现今，绝大多数破坏性的攻击包括网络层和应用层或基于内容的攻击进行联合攻击，例如病毒和蠕虫。
在这些更多诡辩的攻击中，有害的内容常常深入到包内容，通过许多表面上“友好的”很容易穿过传统防火墙的数据包传播。
同样的，有效的网络保护依靠辨认复杂和狡猾的若干信息包模式样本，并且需要除了网络层实时信息，还有分解和分析应用层内容（例如文件和指令）的能力。
然而，在现今的网络速度下，完成高效率的内容处理所必需的处理能力要超过最强大网络设备的性能。
结果，使用常规解决方案的机构面临着“内容处理障碍”，这就迫使他们在桌面和服务器上加强内容服务的配置。
3分钟搞定飞塔50B防火墙配置
3分钟搞定飞塔50B防火墙配置飞塔防火墙的默认管理IP地址为192.168.1.99（internal口），可以将电脑与其internal 口进行连接，https://192.168.1.99就可以登录了，默认用户名为admin，密码为空。
该指导会完成以下功能的描述，其他功能需自己慢慢体会。
一．配置界面改中文二．配置PPPoE和固定IP三．封端口四．禁止P2P，在线视频五．升级防火墙系统软件六．配置文件的备份和回复七．恢复初始设置八．恢复密码如下图，初始配置界面是英文，通过选择System——Admin——Settings——Display setting——language——Simplified Chinese——Apply二、PPPoE和固定IP设置如下图，设置网络——接口——wan1——编辑这里先配置用户名和密码，拨号成功后会获得IP地址，网关等，注意PPPoE拨号不用写路由。
其他保持默认。
如果选择固定IP就用自定义。
防火墙策略防火墙策略里面有很多选项，这里就不一一讲解了，只说我们会用到的方面。
防火墙是有一个默认的策略在里面，all到all的全部都放通。
这里可以对策略进行配置，做到精确匹配。
这里可以配置每个主机的地址，调用在策略上方便管理。
封端口在服务——定制——新建这里我新建了一个服务是封17991端口流量整形器可以做共享和每IP的流量控制。
具体可以自行操作。
虚拟IP的设置：虚拟IP主要的作用是把内网主机的端口，映射到外网IP的端口地址，典型应用主要在总部，总部将内部主机17991，3000端口等映射出外网，让营业部的通信平台进行连接。
保护内容表防护墙的保护内容表的内容是在UTM中进行设备，然后在这里统一调用的。
所以我们要现在UTM功能区里做好内容。
这里是保护内容表里可以关联的UTM内容下面看一下UTM如何设置比较重要的是应用控制这个选项：这里我新建了一个策略1，内容是禁止P2P，media和game新建应用条目可以做选择。
飞塔防火墙配置手册
出厂默认的DHCP服务器配置 ......................................... 21 出厂默认的NAT/ 路由模式的网络配置 ................................ 21 出厂默认的透明模式的网络配置 ..................................... 23 出厂默认防火墙设置 ............................................... 23 出厂默认的防火墙保护内容设置 ..................................... 23 恢复出厂默认设置 ................................................. 24
FortiGate-60/60M/ADSL, FortiWiFi-60, FortiGate-100A
V3.0 MR1 设备安装手册
INSTALLGUI
V3.0 MR1 FortiGate-60系列以及FortiGate-100 A设备安装手册
2006年4月10日 01- 30001-0266-20060410
设置公共FortiGate接口对Ping命令请求不作出响应 .................... 29
NAT/路由模式安装 ................................................. 30
配置FortiGate设备的NAT/路由模式准备 ........................................................ 30 配置使用DHCP或PPPoE................................................................................... 31
FORTINET飞塔防火墙集群化实施方案(中文版)
FORTINET防火墙集群实施方案翻译/排版/整理: 路芸隆HA主动-被动集群设置HA主动-被动(A-P)集群可以使用GUI或CLI设置。
这个例子使用以下网络拓扑:要使用GUI设置HA A-P群集，请执行以下操作：1.按照拓扑图所示进行所有必要的连接。
2.登录其中一个FortiGates。
4.除设备优先级外，所有这些设置都必须相同集群中的FortiGates, 将其余设置保留为其默认值。
他们可以改变集群运行后。
5.单击确定。
FortiGate协商建立HA集群。
与随着HA集群的协商，FortiGate可能会暂时丢失。
FGCP更改FortiGate接口的MAC地址。
6.出厂重置将在群集中的其他FortiGate，配置GUI访问，然后重复步骤1至5，省略设置设备优先级即可加入集群。
要使用CLI设置HA A-P群集，请执行以下操作：1.按照拓扑图所示进行所有必要的连接。
2.登录其中一个FortiGates。
更改主机名可以更轻松地识别其中的单个群集单元集群操作。
5.将其余设置保留为默认值。
他们可以改变集群运行后。
6.在其他FortiGate设备上重复步骤1至5以加入集群。
HA高可用性双活群集设置可以使用GUI或CLI设置HA Active-Active（A-A）群集。
本示例使用以下网络拓扑：要使用GUI设置HA A-A群集，请执行以下操作：1.按照拓扑图所示进行所有必要的连接。
2.登录其中一个FortiGates。
4.除设备优先级外，所有这些设置都必须相同集群中的FortiGates。
将其余设置保留为其默认值。
集群运行后可以更改它们。
5.单击确定。
FortiGate协商建立HA集群。
随着HA群集协商以及FGCP更改FortiGate接口的MAC地址，与FortiGate 的连接可能会暂时丢失。
6.出厂重置将在群集中的另一个FortiGate，配置GUI访问，然后重复步骤1至5，省略设置设备优先级，以加入群集。
飞塔防火墙双机操作步骤-300D
飞塔防火墙双机操作步骤-300DHA配置步骤步骤1、配置设备1的HA进入菜单" 系统管理--配置--高可用性；模式选择"主动-被动"模式，优先级配置200（主机高于从机）；组名：SYQ-300D/密码：123456；勾选"启用会话交接"。
模式：单机模式、主动-被动、主动-主动。
修改单机模式为HA模式的时候，需要确保所有接口的"IP地址模式"处于"自定义"的方式，不能有启用PPPOE和DHCP的方式。
如果无法在命令行下配置A-P、A-A模式，命令行会提示："The system may run in HA A-A or HA A-P mode only when all interfaces are NOT using DHCP/PPPoE as an addressing mode."步骤2、配置设备2的HA进入菜单" 系统管理--配置--高可用性；模式选择"主动-被动"模式，优先级配置100；组名：SYQ-300D/密码：123456；勾选"启用会话交接"。
步骤3、组建HAa）连接心跳线，FGT-主的port2、port4，连接到FGT-从的port2、port4；b）防火墙开始协商建立HA集群，此时会暂时失去和防火墙到连接，这是因为在HA协商过程中会改变防火墙接口到MAC地址。
可以通过更新电脑的arp表来恢复连接，命令为arp -d。
c）连接业务口链路。
d）组建好HA后，两台防火墙配置同步，具有相同的配置，通过访问主防火墙来进行业务配置，如IP地址，策略等，更新的配置会自动同步。
步骤4、查看HA集群进入菜单" 系统管理--配置--高可用性"，就可以看到HA的建立情况。
飞塔防火墙安装部署指南
Server Network
ＷＡＮ１ ＤＨＣＰ获得 ＤＭＺ 192.168.3.（100+X） 192.168.3.0 /24
Private Network
10.0.x.0 /24
Class Server Student PC
实验一 设备初始化为出厂设置
1、图形界面中的设置 通过https://192.168.1.99登 录系统
•
试用以下辅助选项 config ? con[tab] 返回上一次命令 向上箭头或者CTRL-P 返回下一个命令 向下箭头或者CTRL-N 返回一行的头部 CTRL-A 返回一行的尾部 CTRL-E 回退一个字符 CTRL-B 前进一个字符 CTRL-F 删除当前的字符 CTRL-D 取消命令和退出 CTRL-C
初始设置——配置接口IP
• 三种方式: Static (e.g. 192.168.1.99 / 255.255.255.0) DHCP PPOE 每个接口支持多个二 级IP地址，可以配置 独立的管理权限
•
初始设置——时区与时间
• 系统管理>状态 系统日期 • 修改时区与时间
时区是非常重要，它是通 过时区来确定升级服务器 的
Fortigate-60 # config system interface (interface)# edit wan2 (wan2)# set ip 192.177.11.12 255.255.255.248 (wan2)# end Fortigate-60 #
熟悉命令行（3）——Get
• 显示参数和当前值
实验四、配置网络的IP地址
• 按照实验拓扑连接网 线 • 设置WAN1接口自动获 得IP和网关 • 设置内网接口IP为 10.0.X.254/24 • 修改主机的IP地址为 10.0.X.1/24网关为 10.0.X.254 • 设置DMZ接口的IP地址 为192.168.3.(100+X)
飞塔防火墙11-部署vdom
Course 201 v4.0
说明
虚拟域的设置可以使一台FortiGate设备能够根据服务商的管理安全 服务对多个网络提供独立的防火墙与路由服务。 VDOM的优势在于： • 简化管理 • 保持安全性 • 便捷的VDOM添加与减少
启用虚拟域
• 系统>状态>系统状态，点击“启用”
启用虚拟域后的全局设置界面
给虚拟域分配接口
• 一个虚拟域必须包含至少两 个接口，可以是物理接口也 可以是VLAN接口。缺省的情 况下，所有接口都属于根虚 拟域。 • 所要分配的接口不能是已经 在防护墙策略或者路由中已 经使用的 • 系统>网络>接口 选择虚拟域 • 每个虚拟域都包括一个名为 SSLVPN的虚拟接口。对于根 虚拟域，该接口的名称为 ssl.root.
• 启用后，系统会要求重新登陆，登录后的界面如下：
全局设置的内容
分配给该虚拟域的接口
设置管理域 修改虚拟域设置
登录到虚拟域的管理界面
登录到虚拟域的管理界面
回到全局设置界面
• 注意一下，虚拟域与全局的分工
新建虚拟域
• 点击“新建”，输入虚拟域的名称
给虚拟域分配资源
• 全局资源（用户、服 务、时间表等）被所 有VDOM平分 • 0表示不限制
分配管理员到VDOM
在全局设置里，系统管理>管理员设置>新建管理员 虚拟域处选择相应的虚拟域 注意，super_admin访问内容表只能应用于root域
管理域的作用与更改管理域
FortiGate设备的管理虚拟域是一些默认的流量类型发出端，所述这些类型的流 量包括： • SNMP • 日志流量 • 警报邮件 • 基于FDN更新 • 基于NTP的时间设置
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验六，定制管理界面
定制一个只有防火墙和路由功能的管理界面
FORTIGATE防火墙部署指南
深圳市新开思信息技术有限公司 TEL:400-666-3148
登录和密码是大小敏感的
设置管理员（2）
• • 根据访问权限表来设置管理员的帐号 信任主机可以限制使用该帐号的主机的ＩＰ地址
实验室部署拓扑
124.42.37.19 192.168.11.254
INTERNET
FortiAnalyzer
Gateway Firewall
Intranet
192.168.11.0 /24
缺省的用户名是 “admin”，密码为空
• • • • •
其他接口的IP有或没有 缺省路由：192.168.100.1 DNS设置为Fortinet原始设置 时区: GMT-8 FortiGate 100A型号以下具有
有一个缺省NAT防火墙策略，从“internal to external”允许所有流量 在internal接口上启用了DHCP服务器
2、命令行下的配置 Execute factoryreset
实验二、设置主机名
设置主机名为userX，X表示在座的号码 图形界面下的配置
命令行下的设置步骤
实验三、熟悉某些命令
• • • 设置你的PC的ip地址为 192.168.1.110 255.255.255.0 网关为192.168.1.99，关闭PC上的防火墙 类的软件 在防火墙的命令行下运行get system status 在防火墙的命令行下运行exec ping 192.168.1.110
Server Network
ＷＡＮ１ ＤＨＣＰ获得 ＤＭＺ 192.168.3.（100+X） 192.168.3.0 /24
Private Network
10.0.x.0 /24
Class Server Student PC
实验一 设备初始化为出厂设置
1、图形界面中的设置 通过https://192.168.1.99登 录系统
• 在Internal接口上设置DHCP为内网PC 分配地址
如右图，在系统/DHCP/internal接口上 创建DHCP服务器 修改主机自动获得IP地址 在主机上运行ipconfig /all 到系统/DHCP/地址租期中查看ip分配 的情况（该分配的IP即使重启设备也）
实验五、常用的命令
• Show system interface • Get system interface • Get system interface wan1 • Show sys dhcp server internal-dhcp-server • Get system dhcp server internal-dhcp-server • Show sys dns • Get sys dns 注意比较Show和Get之间的区别
•
NTP服务器 203.117.180.36
DHCP 服务器 / 中继
• • 可以在有固定IP的接口上启用 DHCP server 一个接口上可以配置多个DHCP服务器
•
中继DHCP请求到远程的DHCP服务器
初始设置——配置静态路由
• 缺省网关 用于访问公网，FortiGate访问FortiGuard和DNS servers
•
基于目的和子网长度的路径判断
可以指定出口和距离 (1-255)
同一目标的多条路由可以并存，但是只有一条是优先的
熟悉命令行（1）——结构
• 通过SSH, Telnet, 或者serial console • 分支结构
config system interface edit port1 set vdom "root" set ip 172.20.110.251 255.255.255.0
FORTIGATE防火墙部署指南
深圳市新开思信息技术有限公司 TEL:400-666-3148
FORTIGATE防火墙部署指南
深圳市新开思信息技术有限公司 TEL:400-666-3148
设备的物理结构
• 所有型号都具有:
初始设置——配置接口IP
• 三种方式: Static (e.g. 192.168.1.99 / 255.255.255.0) DHCP PPOE 每个接口支持多个二 级IP地址，可以配置 独立的管理权限
•
初始设置——时区与时间
• 系统管理>状态 系统日期 • 修改时区与时间
时区是非常重要，它是通 过时区来确定升级服务器 的
Fortigate-60 # config system interface (interface)# edit wan2 (wan2)# set ip 192.177.11.12 255.255.255.248 (wan2)# end Fortigate-60 #
熟悉命令行（3）——Get
• 显示参数和当前值
如何管理——串口管理
• • • • 将计算机通过串口线与防火墙的console口相连， 如果计算机不支持串口的话，可以购买USB转串口设备 选择附件——超级终端，新建一个连接 端口设置采用“还原为默认值”后的设置即可
如何管理——图形界面（1）
• • • • 用于维护和管理来访问防火墙 基于接口来配置 缺省状态下，只有 “internal”可以通过图形界面和命令行来访问 缺省的帐号是“admin”，密码为空
实验四、配置网络的IP地址
• 按照实验拓扑连接网 线 • 设置WAN1接口自动获 得IP和网关 • 设置内网接口IP为 10.0.X.254/24 • 修改主机的IP地址为 10.0.X.1/24网关为 10.0.X.254 • 设置DMZ接口的IP地址 为192.168.3.(100+X)
实验四、配置网络的IP（续）
为子菜单建立页面，该页面上可以添加各种功能模块
WebUI定制化(5)——布局和功能模块
• 设计布局和内容只适用于自己定制的子菜单项，不能对内置的 菜单项和子菜单项进行修改。 • 内置的菜单项可以掩藏。
WebUI定制化(6)——保存和效果
• 保存当前的设置，然后将该保护内容表赋予某管理员 • 用该管理员帐号登录
网络接口
• RJ45 • SFP / XFP (高端型号)
串口标准
• RJ45 / DB9 (9600, 8, N, 1, None)
• 有些型号具有的特点:
• • • • • 集成的交换接口 LCD USB接口 硬盘 AMC
出厂的缺省设置
• 管理员通过SSH和HTTPS通过访问internal接口的IP地址 192.168.1.99
WebUI定制化(1)——新建授权表
显示和隐藏预览
WebUI定制化(2)——隐藏已有菜单项
•
隐藏后变成虚的，在使用该内容表的管理员登录后，就看不到该菜单项
WebUI定制化(3)——新建菜单项
• 点击下侧的+，则会添加菜单项 • 点击菜单的右侧向下箭头，可以隐藏该菜单或者创建子菜单项
WebUI定制化(4)——新建页面
branch
table
parameter
熟悉命令行（2）——根命令
• 配置的命令
config edit next end exit abort
•
•
要查看能够使用的命令，请用 “?”
补全命令的输入 请用<tab>
熟悉命令行（3）——config
• 可以进行设置
• 设置wan2的IP:
(internal)# get name : internal vdom : root cli-conn-status : 0 mode : static dhcp-relay-service : dhcp-relay-ip : dhcp-relay-type : ip : 192.168.96.254 255.255.255.0 allowaccess : ping https http telnet
熟悉命令行（3）——Show
• 显示设置的命令
(internal)# show config system interface edit "internal" set vdom "root" set ip 192.168.96.254 255.255.255.0 set allowaccess ping https http telnet set type physical next end
熟悉命令行（3）——Execute
• 执行某些命令，例如:
execute factoryreset execute ping execute backup
设置管理员（1）
• • 配置防火墙和帐号 可以通过CLI / GUI来访问防火墙
•
•
帐号是存在本地或者Radius server或使用PKI
•
试用以下辅助选项 config ? con[tab] 返回上一次命令 向上箭头或者CTRL-P 返回下一个命令 向下箭头或者CTRL-N 返回一行的头部 CTRL-A 返回一行的尾部 CTRL-E 回退一个字符 CTRL-B 前进一个字符 CTRL-F 删除当前的字符 CTRL-D 取消命令和退出 CTRL-C来自如何管理——图形界面（2）
可以再增加流量图等内容
设备面板
菜单项
系统状态
警告信息
许可证信息
会话与内容层管理信息
如何管理——图形界面（3）
• 帮助——点击串口右上角的
如何管理——图形界面（3）
拓扑
• 创建描述连线的详细图片
• 使用FortiGate当前的子网 / FQDN