飞塔防火墙组策略操作设定说明书
飞塔-防火墙策略
防火墙策略
接口
服务 NAT / Route 保护内容表
如何创建防火墙策略 – 接口与IP地址
• 两种类型的地址:
IP / IP Range FQDN——域名的方式
• 定义IP范围的多种方式:
192.168.1.99 192.168.1.0/255.255.255.0 192.168.1.0/24 192.168.1.99-192.168.1.105 192.168.1.[99-105]
默认值是enable，所以所有策略都必须一一认证
认证的次数？例
以上两条策略访问不同的目的地址，而认证用户组是一个。 • 如果auth-policy-exact-match设置成enable，则访问dst1和dst2都分
别需要认证 • 如果auth-policy-exact-match设置成disable，则访问dst1和dst2只需
如何设置防火墙认证——用户
• 用户对象是认证的一个方法 • 用户组是用户对象的容器
识别组成员 保护内容表和类型实现对成员的认证属性
• FortiGate基于组的方式控制对资源的访问
用户组和防火墙策略定义了对用户的认证过程
如何设置防火墙认证——用户种类
• 支持以下类型的认证:
本地用户
multicast-policy
实验一
Fortigate防火墙策略
默认值是enable，所以所有策略都必须一一认证
认证的次数？例
以上两条策略访问不同的目的地址，而认证用户组是一个。 • 如果auth-policy-exact-match设置成enable，则访问dst1和dst2都分 别需要认证 • 如果auth-policy-exact-match设置成disable，则访问dst1和dst2只需 要认证一次
multicast-policy
IPv6新特性
IPv6新特性
• • • • 透明模式 管理访问 DNS服务 UTM
防病毒 HTTP is OK URL过滤（FortiGuard、本地分类） IPS特征 & 应用控制（DoS策略 & Sniff策略）No
•
config firewall interface-policy6 config firewall sniff-interface-policy6 动态路由
认证的次数？
• 默认情况下，例如v3.0MR5+，认证是基于策略的：当一个用户 已经在策略1中认证过，当他使用策略2时，需要重新认证。 • 有一条命令可以改变以上情况，变为全局认证 – top3 777
config system global set auth-policy-exact-match disable end
防火墙策略
接口
fortigate 简易设置手册
fortigate 简易设置手册
一、更加语言设置：
1、首先把PC的网卡IP修改成192.168.1.*的网段地址，在IE中输入：
https://192.168.1.99进入设置界面，如下图：
2、进入设置界面后，点击红框标注的位置（系统管理→状态→管理员设置），
进入如下图：在红框标注的位置进行语言选择。
二、工作模式的设置：
Fortigate防火墙可以工作在以下几种模式：路由/NAT模式、透明模式；
要修改工作模式可在下图标注处进行更改，然后设置相应的IP地址和掩码等。
三、网络接口的设置：
在系统管理→点击网络，就出现如下图所示，在下图所指的各个接口，您可以自已定义各个接口IP地址。
点击编辑按钮，进入如下图所示：
在下图地址模式中，在LAN口上根据自已需要进行IP地址的设置，接着在管理访问中指定管理访问方式。
在WAN口上，如果是采用路由/NAT模式可有两种方式：
1、采用静态IP的方式：如下图：
在红框标注的地方，选中自定义，输入ISP商给你的IP地址、网关、掩码。
在管理访问的红框中，指定您要通过哪种方式进行远程管理。
如果你从ISP商获得多个IP的话，你可以在如下图中输入进去。
在如下图红框标注的地方，输入IP地址和掩码以及管理访问方式，点击ADD 即可。
注: 采用静态IP地址的方式，一定要加一条静态路由，否则就不能上网。如下图：
2、如采用ADSL拨号的方式，如下图：
当你选中PPOE就会出现如下图所示的界面：
在红框标注的地址模式中，输入ADSL用户和口令，同时勾选上‘从服务器上重新获得网关‘和改变内部DNS。
fortigate02-防火墙策略
独立的shaper
• Traffic shaper从防火墙策略中独立出来
DUT_Beta4_0 # show firewall traffic-shaper config firewall traffic-shaper
edit "limit_GB_25_MB_50_LQ" set guaranteed-bandwidth 25 set maximum-bandwidth 50 set priority low set per-policy enable (*)
的证书，而非服务器颁发 • 目前build141可以正常工作，
MR1不可以，可以支持Firefox, IE 6.0不可以。
HTTP multiplex(多路复用)一
HTTP multiplex(多路复用)二
没有选中 如果选中
Vdom的资源限制
每个虚拟域的资源 全局的资源
修改 恢复出厂值
POST三种处理方式
• Diagnose
AMC 诊断工具
SSL内容扫描与监测
两种模式可以选 • URL Filtering （URL过滤） • to limit HTTPS content filtering to URL filtering • only. Select this option if all you wan t to do is apply URL web • filtering to HTTPS traffic. If you select this option you cannot • select any Anti-Virus options for HTTPS. Under Web Filtering • you can select only Web URL Filter and Block Invalid URLs • for HTTPS. Selecting this option also limits the FortiGuard • Web Filtering options that you can select for HTTPS. • Deep Scan (深度扫描) • to decrypt HTTPS • traffic and perform additional scanning of the content of the • HTTPS traffic. Select this option if you want to apply all • applicable protection profile options to HTTPS traffic. Using • this option requires adding HTTPS server certificates to the • FortiGate unit so that HTTPS traffic can be unencrypted.
飞塔防火墙策略
精品课件
实验
• 我们将DMZ 192.168.3.254 80 映射到192.168.11.1X1的80端 口上 192.168.3.254 443 映射到192.168.11.1X2 443
• 内部用户10.0.X.1 通过公网地址192.168.11.1X3访问 internet
.10
.20
.30
Internal Network 172.16.20.0 /24
.1
204.50.168.90
Internet
Original source IP: 172.16.20.20
Source IP received by Internet server: 204.50.168.90
精品课件
• 在 NAT/Route模式下，防火墙策略还需要判断是否对数据流进行NAT。
• 有以下类型的动作：
▪ Accept ▪ Deny ▪ SSL——ssl vpn的策略 ▪ IPSec——Ipsec vpn的策略
精品课件
防火墙策略使用“Any”接口
• 源或目的接口都可以设置为“any” • 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策
也可以通过组的方式 将多个服务组合在 一起
精品课件
如何创建防火墙策略 – 定制时间表
Fortinet 飞塔防火墙操作管理员手册V4.3
手把手学配置FortiGate设备FortiGate Cookbook
FortiOS 4.0 MR3
目录
介绍 (1)
有关本书中使用的IP地址 (3)
关于FortiGate设备 (3)
管理界面 (5)
基于Web的管理器 (5)
CLI 命令行界面管理 (5)
FortiExplorer (6)
FortiGate产品注册 (6)
更多信息 (7)
飞塔知识库（Knowledge Base） (7)
培训 (7)
技术文档 (7)
客户服务与技术支持 (8)
FortiGate新设备的安装与初始化 (9)
将运行于NAT/路由模式的FortiGate设备连接到互联网 (10)
面临的问题 (10)
解决方法 (11)
结果 (13)
一步完成私有网络到互联网的连接 (14)
面临的问题 (14)
解决方法 (15)
结果 (16)
如果这样的配置运行不通怎么办？ (17)
使用FortiGate配置向导一步完成更改内网地址 (20)
面临的问题 (20)
解决方法 (20)
结果 (22)
NAT/路由模式安装的故障诊断与排除 (23)
面临的问题 (23)
解决方法 (23)
不更改网络配置部署FortiGate设备（透明模式） (26)
解决方法 (27)
结果 (30)
透明模式安装的故障诊断与排除 (31)
面临的问题 (31)
解决方法 (32)
当前固件版本验证与升级 (36)
面临的问题 (36)
解决方法 (36)
结果 (39)
FortiGuard服务连接及故障诊断与排除 (41)
面临的问题 (41)
解决方法 (42)
在FortiGate设备中建立管理帐户 (48)
fortigate防火墙怎么样设置
fortigate防火墙怎么样设置
fortigate防火墙的设置好坏，会影响到我们电脑的安全，那么要怎么样去设置呢?下面由店铺给你做出详细的fortigate防火墙设置方法介绍!希望对你有帮助!
fortigate防火墙设置方法一：
近期经常有群友和坛友反映将FortiOS升级到4.0 MR2后经常出现资源利用率很高的情况，大家可以参考下面的一些建议;
1，FortiGate设备应该有足够的资源应对攻击资源利用率最好不要超过65% get sys performance status 在65%到85%是正常的。
2，只开启用得着的管理服务如果不用SSH或SNMP，就不要启用,避免开放可用的端口.。
3，将用得最多或最重要的防火墙策略尽量靠前防火墙策略是至上而下执行的。
4，只开启那些必要的流量日志流量日志会降低系统性能。
5，只开启那些必须的应用层协议检查应用层检查对系统性能是敏感的。
6，最小化发送系统告警信息如果已经配置了syslog或FAZ日志,尽可能不要配置SNMP或Email告警。7，AV/IPS特征库更新间隔为4或6小时并启用允许服务器推升级。
8，精简保护内容表数量。
9，删除不必要的保护内容表。
10，精简虚拟域数量删除不必要的虚拟域低端设备最好不要用虚拟域。
11，如果性能显示不足就避免启用流量整形流量整形将降低流量处理性能
如何优化防火墙内存使用率
1，尽量不启用内存日志
2，尽量不启用不必要的AV扫描协议
3，减小扫描病毒文件的上限值，大多数带病毒的文件文件都小于
2、3M
4，删除不用的DHCP服务
飞塔防火墙策略
<br>
<br>
<br>
<br>
<br>
<br>
<br>
<br>
<br>
<br>
FortiGate-100D 200D 300D 500D FIPS 140-2安全策略说明书
FIPS 140-2 Security Policy
FortiGate-100D/200D/300D/500D
FortiGate-100D/200D/300D/500D FIPS 140-2 Non-Proprietary Security Policy Documents FIPS 140-2 Level 2 Security Policy issues, compliancy and requirements for FortiGate-200D (C4KV72)
FortiGate-300D (C1AB49)
FortiGate-100D/200D/300D/500D FIPS 140-2 Security Policy
01-525-297558-20151027
Copyright© 2016 Fortinet, Inc. All rights reserved. Fortinet®, FortiGate®, FortiCare® and FortiGuard®, and certain other marks are registered trademarks of Fortinet, Inc., in the U.S. and other jurisdictions, and other Fortinet names herein may also be registered and/or common law trademarks of Fortinet. All other product or company names may be trademarks of their respective owners. Performance and other metrics contained herein were attained in internal lab tests under ideal conditions, and actual performance and other results may vary. Network variables, different network environments and other conditions may affect performance results. Nothing herein represents any binding commitment by Fortinet, and Fortinet disclaims all warranties, whether express or implied, except to the extent Fortinet enters a binding written contract, signed by Fortinet’s General Counsel, with a purchaser that expressly warrants that the identified product will perform according to certain expressly-identified performance metrics and, in such event, only the specific performance metrics expressly identified in such binding written contract shall be binding on Fortinet. For absolute clarity, any such warranty will be limited to performance in the same ideal conditions as in Fortinet’s internal lab tests. In no event does Fortinet make any commitment related to future deliverables, features or development, and circumstances may change such that any forward-looking statements herein are not accurate. Fortinet disclaims in full any covenants, representations, and guarantees pursuant hereto, whether express or implied. Fortinet reserves the right to change, modify, transfer, or otherwise revise this publication without notice, and the most current version of the publication shall be applicable.
飞塔防火墙策略
Accept Deny SSL——ssl vpn的策略 IPSec——Ipsec vpn的策略
防火墙策略使用“Any”接口
• 源或目的接口都可以设置为“any” • 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策略
全局视图
• “any”接口不能用于VIP或IP-pool
• 重定向网页是用户接受免责声明后，转向在这里输入的网址
认证的次数？
• 默认情况下，例如v3.0MR5+，认证是基于策略的：当一个用户 已经在策略1中认证过，当他使用策略2时，需要重新认证。
• 有一条命令可以改变以上情况，变为全局认证 – top3 777
config system global set auth-policy-exact-match disable end
如何设置防火墙认证——用户组
用户组名称 类别设为防火墙 保护内容表与用
户组绑定 设置组成员
如何设置防火墙认证——用户认证子策略
• 启用基于用户的子策略 • 可以针对不同的用户组使用不同的
时间表 服务 保护内容表 流量控制 流量日志
功能描述
• 所有启用用户认证的防火墙策略将成为“基于用户认证的策 略”
• 可以将一条策略拆分成多个子项：
用户组 时间表 服务 保护内容表 流量控制 流量日志
飞塔防火墙策略
将应用层的安全附加在防火墙策略上—— 保护内容表
AV IM P2P URL IPS AV
Internet
IPS AV AS VPN
Internet Client
Internal Network
Internet Server
DMZ
保护内容表 – 说明
• 可以进行更细粒度的应 用层的内容检测技术
• 防火墙> 保护内容表 • 保护内容表涵盖病毒、 IPS、Web过滤、内容归 档、IM/P2P、VoIP、与 以上相关的日志
映射服务器——设置虚拟IP
绑定的外部接口
一对一映射
外部的IP地址 内部的IP地址
端口映射
外部IP端口 内部服务器端口
映射服务器——设置服务器的负载均衡
选择使用服务器 负载均衡 外部的IP 分配流量的方式 外部的IP端口 内部的服务器列 表
映射服务器——添加允许访问服务器的策 略
• 策略是从外向内建立的 • 目标地址是服务器映射的 虚拟IP
.30
Internal Network 172.16.20.0 /24
Internet Server
如何设置源地址转换——不使用接口地址
• 地址翻译成指定范围的IP地址 • 防火墙>虚拟IP >IP池 • 如何来验证 Diagnose sniffer packet any „icmp‟ 4 Ping www.sina.com.cn
飞塔防火墙配置
1、虚拟域（VDOMS）----虚拟防火墙
配置：
（1）首先web 登陆防火墙（真机https://+ip，虚拟机http://+ip），虚拟机用户名：admin，密码：没（空的）。
登陆到管理面板找到虚拟域，默认禁用，点击启用为启动。
（2）然后启动虚拟域后，虚拟重新登陆，用户名和密码不变。
点开VDOM 界面，上面可以新建一个虚拟域（就是新的虚拟防火墙）。
防火墙名和模式，NAT为3层，透明为2层。
3、
在左手边系统菜单下面有当前VDOM角色，有全局和VDOM可以选。
2、VDOM 启用后，点击全局配置模式---------网络----接口，可以把接口分配给不
同的虚拟域
（1）全局点开接口后，选择着需要更改虚拟域的接口，选择上方编辑
（2）点开端口编辑，能配置端口IP和相应管理协议
还可以设置端口监控，web 代理、分片等。附加IP地址就是例如一个公
网24位的地址，运营商给了10个可以用IP：10.10.10.1 -10
地址模式上填写：10.10.10.1 ，剩余10.10.10.2-10就可以通过附加IP地
址填写。
3、除了对现有接口进行编辑，也能新建接口，新建接口后能选择接口类型，（根
据深信服上端口配置，均为3层口，这次配置具体端口是什么类型，需要客户确认）
其余配置和编辑端口时一样。
4、需要对虚拟防火墙进行路由、策略配置需要寻找当前VDOM角色：
静态路由配置，配置完静态路由后，能点开当前路由查看路由表：
5、防火墙object 虚地址（为外网访问内网服务器做的端口转换）
6、policy 这边所做的就是NAT 和其他放通的策略。
飞塔防火墙的防火墙策略
config system switch-interface edit "switch-1" set member "port4" "port5" next end
config system interface edit "switch-1" set vdom "root" set ip 10.166.0.204 255.255.254.0 set allowaccess ping https set type switch next end
源自文库
交换机所有接口上都启用Spanning tree
软交换接口(7)——避免L 软交换接口(7)——避免Loop (7)——避免
• 为了避免loop，需要开启FortiGate接口上的stpforward • 配置软交换组中的物理接口
config system interface edit "port3" set vdom "root" set stpforward enable
软交换接口(8)—— 软交换接口(8)—— Troubleshooting (8)
• Sniffing
可以在物理或软交换接口上使用 如果在软交换接口上使用sniffer命令，内部的交换流量不会捕获
飞塔防火墙策略
用户监视 -> Firewall
• v4.0的GUI下可以监视已认证的用户
如何设置防火墙认证——认证时间与协议
• 当没有已经认证的用户在没有数据流的情况下，经过“验证超 时“后，就需要重新认证
• 能够弹出用户名和密码的允许认证协议如上 • 采用证书方式认证
认证超时
• 与v3.0相同
config system global set auth-keepalive enable
• 有以下类型的动作：
▪ Accept ▪ Deny ▪ SSL——ssl vpn的策略 ▪ IPSec——Ipsec vpn的策略
防火墙策略使用“Any”接口
• 源或目的接口都可以设置为“any” • 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策略
全局视图
• “any”接口不能用于VIP或IP-pool
防火墙策略
接口
服务 NAT / Route 保护内容表
如何创建防火墙策略 – 接口与IP地址
• 两种类型的地址:
▪ IP / IP Range ▪ FQDN——域名的方式
• 定义IP范围的多种方式:
▪ 192.168.1.99 ▪ 192.168.1.0/255.255.255.0 ▪ 192.168.1.0/24 ▪ 192.168.1.99-192.168.1.105 ▪ 192.168.1.[99-105]
Fortigate防火墙策略
防火墙策略使用“Any”接口
• • 源或目的接口都可以设置为“any” 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策略 全局视图
•
“any”接口不能用于VIP或IP-pool
实验三
• 使用mcast.exe验证组播策略
C:\>mcast /GRPS:239.1.1.1 /SRCS:10.10.11.128 /NUMPKTS:1000 /INTVL:50 /SEND 其中：/GRPS 指定组播地址 /SRCS 指定组播源地址 /NUMPKTS 指定总共发送组播报文的数目 /INTVL 指定发送组播报文的间隔时间，单位为毫秒 /SEND 配置为发送方 在接收端（组播成员） C:\>mcast /GRPS:239.1.1.1 /RECV 其中：/RECV 配置为接受方
认证事件日志
• 格式化后
• 原始
注意：如果一个用户停留在认证界面长时间不操作，也会产生事件日志
1 2009-03-18 21:54:06 warning authenticateUser failed to authenticate within the allowed period
用户监视 -> Firewall
流量控制
• 当前的流量整形器 – 被用户共享。例如：
FortiGate飞塔防火墙 简明配置指南
FortiGate飞塔防火墙简明配置指南
说明：本文档针对所有飞塔 FortiGate设备的基本上网配置说明指南。
要求：FortiGate® 网络安全平台，支持的系统版本为FortiOS v3.0及更高。
步骤一：访问防火墙
连线：通过PC与防火墙直连需要交叉线（internal接口可以用直通线），也可用直通线经过交换机与防火墙连接。防火墙出厂接口配置：Internal或port1：192.168.1.99/24，访问方式：https、ping
把PC的IP设为同一网段后（例192.168.1.10/24），即可以在浏览器中访问防火墙https://192.168.1.99
防火墙的出厂帐户为admin，密码为空
登陆到web管理页面后默认的语言为英文，可以改为中文
在system----admin----settings中，将Idle TimeOut（超时时间）改为480分钟，Language 为simplified chinses （简体中文）。
如果连不上防火墙或不知道接口IP，可以通过console访问，并配置IP
连线：PC的com1（九针口）与防火墙的console（RJ45）通过console线连接，有些型号的防火墙console是九针口，这时需要console转RJ45的转接头
超级终端设置：所有程序----附件----通讯----超级终端
连接时使用选择com1，设置如下图
输入回车即可连接，如没有显示则断电重启防火墙即可
连接后会提示login，输入帐号、密码进入防火墙
查看接口IP：show system interface
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Diagnose debug application vs 7
SSL Offload
• 仅FG110C FG310B FG620B FG3016B FG3600A FG 3810A FG 5002A 支持 • 两种模式 客户端到FG加密，FG到Server不加 密 客户端到FG加密， FG到Server加密 • 客户端到FG加密采用的是FG颁 发的证书，而非服务器颁发 • 目前build141可以正常工作， MR1不可以，可以支持Firefox, IE 6.0不可以。
DUT_Beta4_0 # diagnose firewall shaper list
name limit_GB_25_MB_50_LQ maximum-bandwidth 50 KB/sec guaranteed-bandwidth 25 KB/sec current-bandwidth 0 B/sec priority 3 dropped 0 name limit_GB_25_MB_50_LQ maximum-bandwidth 50 KB/sec guaranteed-bandwidth 25 KB/sec current-bandwidth 50 KB/sec priority 3 policy 1 dropped 214 name limit_GB_25_MB_50_LQ maximum-bandwidth 50 KB/sec guaranteed-bandwidth 25 KB/sec current-bandwidth 50 KB/sec priority 3 policy 4 dropped 569
多种分配方式
• First Alive 根据健康检查状况，永远把流量转向第 一个保持存活的服务器 • Last RTT 根据健康检查的ping获得的RTT来判断 将流量传到哪台服务器
• Last Session 按照权重来分配会话，比如分别设置两 个服务器的权重为2和10，则会话按 照2：10的方式来分配
基于用户认证的子策略——例
• 说明 根据不同的用户组部署不同的保护内容表和流量控制
基于接口的DoS策略
特点： • 基于接口部署
• 可以指定服务
流量控制增强
Traffic Shaper
FW Policy
APP Control – P2P
流量控制的方向
• 如果只设置流量控制，而没有设置Reverse Direction Traffic Shapping，则该流量控制是针对上下行同时起作用的 • 如果设置了Reverse Direction Traffic Shapping，则上行的速度 有流量控制来起作用，而Reverse Direction Traffic Shapping则 控制下行速度
虚拟IP的间隔式ARP广播
• 通过配置发送ARP广播的方式让路由器自动地更新ARP表。通 过命令行可以设置发送ARP广播的频率。间隔时间设置为0时， 则关闭ARP广播 config firewall vip edit new_vip (configure the virtual IP) set gratuitous-arp-interval <interval_seconds> end
独立的shaper
• Traffic shaper从防火墙策略中独立出来
DUT_Beta4_0 # show firewall traffic-shaper config firewall traffic-shaper edit "limit_GB_25_MB_50_LQ" set guaranteed-bandwidth 25 set maximum-bandwidth 50 set priority low set per-policy enable (*) next end
排错：丢包
这是shaper设为 “每策略”的结 果
2 instances 因为有2条防火 createas 2 FWP 墙使用了这一个 refer to this shaper，所以有 shaper 这2个条目
排错：丢包 – debug flow
DUT_Beta4_0 # diagnose debug enable DUT_Beta4_0 # diagnose debug flow show console enable DUT_Beta4_0 # diagnose debug flow filter addr 10.143.0.5 DUT_Beta4_0 # diagnose debug flow trace start 1000 DUT_Beta4_0 # id=20085 trace_id=11 msg="源自文库d-root received a packet(proto=17, 10.141.0.11:3735->10.143.0.5:5001) from port5." id=20085 trace_id=11 msg="Find an existing session, id-0000eabc, original direction" id=20085 trace_id=11 msg="exceeded shaper limit, drop"
健康检查
TCP • 通过不传数据的空连接来检测 Ping • Ping包 HTTP • Get一个内容然后进行匹配
不同的保持方式（Persistence ）—— Cookie
• None • HTTP Cookie • SSL
不同的保持方式（Persistence ）—— SSL
根据SSL ID来分配流量 只能在支持SSL offload功能中使用
流量控制增强
流量控制流 程
v3.0
v4.0
出口队列
• • • • • 每个非NP的物理接口上4个出口队列（v3.0有6个队列） 队列指派是绝对的。（v3.0是相对的） 队列计算请见上页图形 ToS和TS的队列号目前是1 (high) , 2 (medium) , 3 (low) 队列0用于设备自身产生的流量
(*) 缺省情况下，该shaper应用到所有调用它的策略中
独立的 shaper
新菜单
Shaper 列表
排错：丢包
DUT_Beta4_0 shaper # diagnose firewall
跟踪每个 shaper的丢 包情况
name limit_GB_25_MB_50_LQ maximum-bandwidth 50 KB/sec guaranteed-bandwidth 25 KB/sec current-bandwidth 51 KB/sec priority 3 dropped 1291985
Block阻断方式
禁止Post动作
Comfort方式
Comfort模式查看http进程的动作 : >Diag debug app http -1: <000.000000> [2]: 10.156.0.19:3362 --> 192.168.181.3:80: [CLTRDRDY ] Event HTTP_REQUEST_EVENT <000.000000> [2]: 10.156.0.19:3362 --> 192.168.181.3:80: [CLTRDRDY ] HTTP_REQUEST_STATE <000.000000> [2]: 10.156.0.19:3362 --> 192.168.181.3:80: [LOOPEND ] Event BUFFER_EVENT <000.000000> [2]: 10.156.0.19:3362 --> 192.168.181.3:80: [LOOPEND ] HTTP_REQUEST_BUFFER_STATE 抓包分析:
虚拟IP的ARP广播
服务器负载均衡——新建虚拟服务器
虚拟服务器支持的
多种分配方式
• Static 根据发起请求的源IP来分配流量，对于某一源IP来说，在没有达到 目的IP的会话限制前，不会轮询到下一个目的IP • Round Robin 根据发起的会话来分配，根据会话来轮换目标IP • Weighted 按照权重来分配会话，比如分别设置两个服务器的权重为2和10， 则会话按照2：10的方式来分配
HTTP multiplex(多路复用)一
HTTP multiplex(多路复用)二
没有选中
如果选中
Vdom的资源限制
每个虚拟域的资源
全局的资源
修改 恢复出厂值
POST三种处理方式
• Normal 正常允许 • Block 阻断POST动作 • Comfort 对于Post采用定时发送数据包的方式保持连接
防火墙策略
OS 4.0
防火墙策略使用“Any” 接口
支持“Any”接口
• Any相当于所有接口的集合
两种查看方式——Section或者Global
• 使用了Any作为接口只能支持Global view • “any”接口不能用于VIP或IP-pool
防火墙策略使用“Any”接口
• • 源或目的接口都可以设置为“any” 如果任何一条防火墙策略使用了“any”接口，则只能使用防火墙策 略全局视图
• Diagnose
AMC 诊断工具
SSL内容扫描与监测
两种模式可以选 • URL Filtering （URL过滤） • to limit HTTPS content filtering to URL filtering • only. Select this option if all you wan t to do is apply URL web • filtering to HTTPS traffic. If you select this option you cannot • select any Anti-Virus options for HTTPS. Under Web Filtering • you can select only Web URL Filter and Block Invalid URLs • for HTTPS. Selecting this option also limits the FortiGuard • Web Filtering options that you can select for HTTPS. • Deep Scan (深度扫描) • to decrypt HTTPS • traffic and perform additional scanning of the content of the • HTTPS traffic. Select this option if you want to apply all • applicable protection profile options to HTTPS traffic. Using • this option requires adding HTTPS server certificates to the • FortiGate unit so that HTTPS traffic can be unencrypted.
•
“any”接口不能用于VIP或IP-pool
支持“Any”接口
• Any相当于所有接口的集合
两种查看方式——Section或者Global
• 使用了Any作为接口只能支持Global view
基于用户认证的子策略
• •
启用基于用户的子策略 可以针对不同的用户组使用不同的
时间表 服务 保护内容表 流量控制 流量日志
DUT_Beta4_0 # sho firewall policy config firewall policy edit 1 set srcintf "port5" set dstintf "port6" set srcaddr "VM11" set dstaddr "VM5" set action accept set schedule "always" set service "ANY" set traffic-shaper "limit_GB_25_MB_50_LQ" next end
设置comfort的时间间隔和数量
AMC Bypass
• 测试过build 92和141均无法支持AMC-CX4，无法切换到正常 模式，只能停留在Bypass模式上
config system amc set sw1 asm-cx4 set watchdog-recovery [enable | disable} set watchdog-recovery-period <holddown_time> End