用户问题排查基本流程和信息收集-HillstoneNetworks
Hillstone山石网科新手入门指南StoneOS_5.5R2
系统管理员拥有读、执行和写权限，可以在任何模式下对设备所有功能模块进行配置、查看当前或者历史配置信息。 创建系统管理员，请按照以下步骤进行操作： 1. 点击“系统>设备管理”。
新手入门指南
3
2. 在<管理员>标签页，点击”新建“按钮。
在<管理员配置>对话框填写系统管理员的基本信息
选项
步骤一：连接设备 1. 将设备的接口（如ethernet0/1）连接到运营商网络中，一般情况下，外网接口选择属于untrust安全域。
将设备另一个接口（如ethernet0/0）连接到内网中，默认情况下，ethernet0/0属于trust安全域。 2. 连接电源为设备上电。 3. 通过内网接口访问系统WebUI界面，请参阅"访问WebUI界面" 在第2页。 步骤二：配置接口。 1. 点击“网络>接口”。 2. 双击ethernet0/1接口。
在<目的路由配置>对话框填写目的路由的基本配置信息。
选项
配置值
目的地
0.0.0.0
子网掩码
0.0.0.0（表示匹配所有的网段）
网关
202.10.1.1
8
新手入门指南
3. 点击“确定”按钮。
通过3G方式连通网络
对于一台装有3G数据卡的设备，当设备工作在路由模式下时，可以通过3G拨号方式接入3G网络。 注意: 请先向运营商索取3G参数（接入点、用户名、密码、拨号串）。
3
创建可信主机
4
升级StoneOS版本
5
特征库升级
5
如何连通网络
6
在路由模式下连通网路
6
通过3G方式连通网络
9
山石网科通信技术(北京) Hillstone助力网吧业网络 安全接入与管控 说明书
Hi山石网科通信技术(北京)有限公司Hillstone 助力网吧业网络安全接入与管控网吧安全解决方案2008年 6月销售/服务热线：400-650-0259 Hillstone网吧行业安全解决方案Hillstone助力网吧业网络安全接入与管控一、概述随着互联网产业的蓬勃发展，传统网吧在速度、稳定性、安全性方面等都不尽如人意，已经很难承载网民们喜爱的各式各样的互联网服务了，包括视频聊天、网络游戏等。
同时，随着网吧市场的竞争加剧，高速网吧的概念逐渐清晰，网吧业主纷纷注资于网吧的线路改造，不断提升的网络带宽需求也加大了网吧业主的经济负担。
有调查表明，网吧业主的信息服务水平在很大程度上影响着网吧用户对该网吧的喜欢程度和忠诚度。
因此对于网吧业主来说，建设一个高速、高安全、高可靠、可管理、易维护的宽带网络，是构建网吧的主要目标，选取专业的网络设备和专业的解决方案是重中之重，这就需要有专业的网络设备厂商来参与策划和实施。
二、需求分析网吧是比较特殊的网络环境，路由器作为网吧的核心接入设备，必须要满足和适合网吧的特点，概括起来有以下几个方面：•规模大，用户多，设备不间断运行大型网吧的机器数量在500台以上，运营商提供的接入带宽往往满足不了需求，需要有效控制带宽，精打细算使用。
网吧多为游戏、聊天和网页浏览等，传输的均是小数据包，因此需要较大的并发连接数和极高的包转发能力。
•需要带宽管理功能网吧业主最苦恼的莫过于网速慢的问题，虽然不断增加成本扩充带宽，但却仍有用户抱怨游戏卡、上网慢，简单的接入功能无法满足网吧现状，一款带有流量分析、流量管理的安全路由器才是用户迫切需要的。
•需要高稳定性网吧作为服务型营业场所，服务质量至关重要，而随着网吧行业不断发展，市场相对饱和后加剧竞争，频繁断线或大延迟网络将直接影响网吧的声誉和收益。
•多线路接入和负载均衡为扩大接入带宽和优化电信/网通访问速度，很多网吧采用多链路接入方式，需要支持多链路负载均衡和电信/网通链路优选的设备来支持。
2024版Hillstone山石网科基础配置手册50
定期检查软件更新，及时下载并安装最新的软件补丁 和升级包，以确保设备安全性和性能。
备份与恢复
在进行软件升级前，务必备份设备配置文件和数据， 以便在升级失败或出现问题时能够及时恢复。
03
网络接口与通信配
置
物理接口配置
接口类型选择
根据网络设备和传输介质的不同，选择合适的接口类型，如 Ethernet、Fast Ethernet、Gigabit Ethernet等。
易用性管理界面
提供直观易用的管理界面和丰富的配 置选项，降低用户配置和管理难度
02
基础配置准备
设备安装与连接
01
02
03
设备开箱检查
确认设备型号、数量、附 件等是否齐全，并检查设 备外观是否完好。
设备安装
根据设备规格和安装环境， 选择合适的安装方式和位 置，确保设备稳定可靠。
设备连接
使用合适的线缆将设备与 网络、电源等连接，确保 连接正确、牢固。
中被分片或丢弃。
网关和DNS设置
配置设备的默认网关和DNS服务器地 址，确保设备能够正常访问外部网络 和应用。
端口安全配置
启用端口安全功能，限制接口的MAC 地址学习数量，防止MAC地址欺骗和 攻击。
04
安全策略部署与优
化
防火墙策略配置
防火墙基本配置
包括接口配置、路由配置、NAT配置等
访问控制策略
06
管理与维护操作指
南
设备管理界面介绍
设备管理主界面
展示设备整体运行状态、主要性能指标和实时告警信息。
配置管理界面
提供设备各项配置的详细设置，包括网络、安全、用户等。
监控与报告界面
实时监控设备运行状态，生成各类报告，便于管理员分析。
山石hillstone-日常维护手册(234)
Hillstone防火墙维护手册Hillstone 山石网科20XX年X月目录1概述 (3)2Hillstone防火墙日常维护 (4)** 防火墙硬件部分日常维护 (5)** 防火墙机房要求 (5)** 防火墙电源检查 (5)** 防火墙风扇 (5)** 防火墙前面板指示灯检查 (6)** 防火墙模块及数据接口检查 (7)** 防火墙系统部分日常维护 (7)** 防火墙OS版本检查 (7)** 防火墙温度和风扇检查 (8)** 防火墙session利用率检查 (8)** 防火墙CPU利用率检查 (8)** 防火墙内存利用率检查 (9)** 防火墙接口状态检查 (9)** 防火墙路由检查 (11)** 防火墙fib状态检查 (11)** 防火墙日志检查 (12)** 常见故障排查指南 (13)** 防火墙CPU过高的处理 (13)** 设备session数过多的处理 (14)** HA异常的处理 (14)** 内网用户丢包的处理 (15)** 目的NA T不生效的处理 (16)** 设备无法管理的处理 (16)** 策略配置与优化(policy) (16)** 故障处理工具 (17)** 系统诊断工具 (17)** debug诊断与排错 (18)** 防火墙备份和恢复 (22)** 防火墙配置备份 (22)** 防火墙配置恢复 (23)** 防火墙出厂配置 (24)** 防火墙软件升级 (24)** 防火墙常用命令 (28)** 查看设备序列号 (28)** 重启防火墙 (29)** 查看防火墙接口状态 (30)** 查看防火墙安全区域 (30)** 查看防火墙路由表 (31)** 查看防火墙安全策略311概述防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，对于企业关键的实时业务系统，要求网络能够提供7*24小时的不间断保护，保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。
Hillstone山石网科基础配置手册5.0
Hillstone山石网科多核安全网关基础配置手册version 5.0目录第1章设备管理 (1)设备管理介绍 (1)终端Console登录 (1)WebUI方式登录 (1)恢复出厂设置 (2)通过CLI方式 (2)通过WebUI方式 (2)通过CLR按键方式 (4)StoneOS版本升级 (4)通过网络迅速升级StoneOS（TFTP） (4)通过WebUI方式升级StoneOS (6)许可证安装 (8)通过CLI方式安装 (8)通过WebUI方式安装 (8)第2章基础上网配置 (11)基础上网配置介绍 (11)接口配置 (11)路由配置 (12)策略配置 (14)源NAT配置 (15)第3章常用功能配置 (17)常用配置介绍 (17)PPPoE配置 (17)DHCP配置 (19)IP-MAC绑定配置 (21)端到端IPsec VPN配置 (23)SCVPN配置 (30)DNAT配置 (37)一对一IP映射 (38)一对一端口映射 (40)多对多端口映射 (43)一对多映射（服务器负载均衡） (46)第4章链路负载均衡 (48)链路负载均衡介绍 (48)基于目的路由的负载均衡 (49)基于源路由的负载均衡 (50)智能链路负载均衡 (50)第5章QoS配置 (53)QoS介绍 (53)IP QoS配置 (53)应用QoS配置 (55)混合QoS配置 (58)QoS白名单配置 (59)第6章网络行为控制 (60)URL过滤（有URL许可证） (60)配置自定义URL库 (63)URL过滤（无URL许可证） (64)网页关键字过滤 (65)网络聊天控制 (69)第7章VPN高级配置 (72)基于USB Key的SCVPN配置 (72)新建PKI信任域 (72)配置SCVPN (77)制作USB Key (78)使用USB Key方式登录SCVPN (80)PnPVPN (82)用户配置 (83)IKE VPN配置 (84)隧道接口配置 (88)路由配置 (88)策略配置 (89)PnPVPN客户端配置 (90)第8章高可靠性 (92)高可靠性介绍 (92)高可靠性配置 (93)关于本手册手册内容本手册为Hillstone山石网科多核安全网关的基础配置手册，对Hillstone山石网科多核安全网关的主要功能模块配置进行介绍，帮助用户快速掌握安全网关的WebUI配置。
线上故障排查与日志分析
线上故障排查与日志分析在当今数字化时代，许多企业和组织都依赖于线上系统和应用程序的正常运行。
然而，线上故障的发生是不可避免的。
当系统出现问题时，快速而准确地排查问题并找到解决方案至关重要。
本文将介绍线上故障排查的基本步骤以及如何通过日志分析来帮助定位和解决问题。
一、线上故障排查步骤1. 收集问题描述：在排查线上故障之前，首先需要从用户或相关人员处收集问题的描述。
这些描述可以包括故障发生的具体时间、发生的频率、影响的范围以及出现的错误信息等。
准确的问题描述可以帮助我们更快地找到问题的根源。
2. 分析日志信息：系统的各个组件和模块在运行过程中会产生大量的日志信息。
通过分析这些日志信息，我们可以快速了解故障发生的原因。
在分析过程中，需要注意查找与故障相关的关键字、错误码或异常堆栈信息等。
这些关键信息有助于缩小定位范围。
3. 重现问题：在排查线上故障时，如果能够重现问题，将有助于我们更精确地定位和解决问题。
根据用户的问题描述和日志分析的结果，我们可以尝试重现问题，并观察问题发生时的现象和错误信息。
通过不断地尝试和观察，我们可以逐步缩小问题范围，找到问题的根源。
4. 找到解决方案：当问题定位完成后，我们需要找到解决方案并实施修复。
解决方案可以包括代码的修改、配置的调整或者硬件设备的更换等。
在实施解决方案之前，需要进行充分的测试和验证，确保修复后的系统能够正常运行。
5. 总结和优化：在解决线上故障后，我们需要进行总结和优化。
通过对故障的分析和解决过程的总结，可以帮助我们更好地应对未来的类似问题。
同时，也可以针对系统的瓶颈和不稳定因素进行优化和改进，提高系统的可靠性和稳定性。
二、日志分析在线上故障排查中的作用日志是系统运行时产生的记录信息，包含了系统的运行状态、异常信息和事件记录等。
通过对这些日志进行分析，我们可以深入了解故障的原因和发生的过程，从而快速定位问题并解决。
1. 异常监控：通过监控系统的日志信息，我们可以实时了解系统是否出现异常或错误。
Hillstone Networks,Inc. 云·格CloudHive安全产品部署手册说明书
Hillstone Networks,Inc.云·格CloudHive安全产品部署手册Version2.3Copyright2016Hillstone Networks,Inc..All rights reserved.Information in this document is subject to change without notice.The software described in this document is furnished under a license agreement or nondisclosure agreement.The software may be used or copied only in accordance with the terms of those agreements.No part of this publication may be reproduced, stored in a retrieval system,or transmitted in any form or any means electronic or mechanical,including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks,Inc..Hillstone Networks,Inc.联系信息公司总部（北京总部）：地址：北京市海淀区宝盛南路1号院20号楼5层邮编：100192联系我们：/about/contact_Hillstone.html关于本手册本手册介绍Hillstone Networks,Inc.云·格CloudHive安全产品的安装部署方法。
Hillstone Networks Inc. StoneOS 日志信息参考指南说明书
Hillstone Networks Inc.StoneOS 日志信息参考指南Version 5.5R6Copyright 2018 Hillstone Networks Inc. All rights reserved.Information in this document is subject to change without notice. The software described in this document is furnished under a license agreement or nondisclosure agreement. The software may be used or copied only in accordance with the terms of those agreements. No part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form or any means electronic or mechanical, including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks Inc.Hillstone Networks Inc联系信息公司总部（北京总部）：地址：北京市海淀区宝盛南路1号院20号楼5层邮编：100192联系我们：/about/contact_Hillstone.html关于本手册本手册介绍Hillstone Networks公司的防火墙系统StoneOS的日志信息。
Hillstone 安全网关 Web 界面配置指导
Web界面配置指导Version 4.0Hillstone山石网科目录一、设备的登录 (2)二、基本上网配置 (3)三、端口映射 (8)四、IPSECVPN两种模式的配置 (14)五、SCVPN配置 (19)六、WEB认证上网功能配置 (23)七、URL日志记录 (26)八、IP-MAC绑定实现IP或MAC变更不能上网 (28)九、设备恢复出厂操作 (30)十、AAA服务器使用AD域类型的配置 (31)十一、SCVPN调用两个AAA服务器中的用户认证登录 (34)十二、HA配置注意事项 (35)一、设备的登录设备默认的管理接口为ethernet0/0，登录的ip为192.168.1.1,，默认的管理账号为hillstone，密码为hillstone。
把本地电脑网卡填写IP为192.168.1.2，使用web、telnet、ssh均可登录，，在浏览器中输入192.168.1.1 就可以通过WEBui的方式登录管理设备。
注意：如果是SG6000-NAV 系列的http的服务端口统一为9090，https的服务端口统一为8443。
所以默认登录该设备的WEBui的方式为http://192.168.1.1:9090,或h ttps://192.168.1.1:8443登录的账号密码都为hillstone二、基本上网配置1.设置接口信息购买的宽带地址是静态IP，一般会营业厅会告知IP地址、子网掩码、网关、DNS。
例如IP地址200.0.0.188 子网掩码255.255.255.0 或24，网关200.0.0.1DNS 202.106.0.20配置外网接口，ethernet0/1 为连接外网的接口【网络】>>【接口】，在接口列表中选择ethernet0/1，点击该接口后面的“编辑”按钮显示接口配置界面如下：配置完基本信息，点击“确认”上面是静态IP的使用，如果是ADSL拨号，【网络】>>【PPPoE客户端】新建填写使用的用户名和密码外网接口调用PPPoE，选择【设置路由】启用，勾选后不需要创建第2步的目的路由配置内网口，比如ethernet0/3连接内网：ethernet0/3的配置界面如下：配置完基本信息，点击“确认”2.增加内网上网的目的路由【网络】>>【路由】>>【目的路由】，填写完信息，点击“确认”3．增加内网用户上网的NAT配置【防火墙】>>【NAT】>>【源NAT】，点击“新建”选择“基本配置”：选择出接口，点击“确认”。
Hillstone山石网科防火墙日常运维操作手册
目录一、设备基础管理 (1)1.1设备登录 (1)1.1.1 通过CLI管理设备 (1)1.1.2 通过WebUI管理设备 (2)1.2管理员帐号及权限设置 (4)1.2.1 新增管理员 (4)1.2.1 修改管理员密码 (5)1.3 License安装 (6)1.4设备软件升级 (7)1.5设备配置备份与恢复 (9)1.5.1 备份设备配置 (9)1.5.2 恢复设备配置 (12)1.6系统诊断工具的使用 (14)二、对象配置 (16)2.1 配置地址薄 (16)2.2 配置服务簿 (17)三、网络配置 (21)3.1 配置安全域 (21)3.2 配置接口 (22)3.3 配置路由 (23)3.4 配置DNS (24)四、防火墙配置 (26)4.1 配置防火墙策略 (26)4.1.1 新增防火墙安全策略 (26)4.1.2 编辑防火墙安全策略 (27)4.2 配置NAT (28)4.2.1 配置源NAT (28)4.2.2 配置目的NAT (31)4.3 防火墙配置举例 (35)五、QOS配置 (44)5.1 配置IP QOS (45)5.2 配置应用QOS (46)六、常用日志配置 (48)一、设备基础管理1.1设备登录安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。
CLI同时支持Console、telnet、SSH等主流通信管理协议。
1.1.1 通过CLI管理设备通过Console 口配置安全网关时需要在计算机上运行终端仿真程序（系统的超级终端、SecureCRT等）建立与安全网关的连接，并按如下表所示设置参数（与连接Cisco设备的参数一致）：通过telnet或者SSH管理设备时，需要在相应接口下启用telnet或SSH 管理服务，然后允许相应网段的IP管理设备（可信主机）。
对接口启用telnet或SSH管理服务的方法如下：首先在网络—>网络连接模式下的页面下方勾选指定接口，点击图示为的编辑按钮，然后在弹出的接口配置窗口中对接口启用相应的管理服务，最后确认即可：1.1.2 通过WebUI管理设备WebUI同时支持http和https两种访问方式，首次登录设备可通过默认接口ethernet0/0 （默认IP 地址192.168.1.1/24，该接口的所有管理服务默认均已被启用）来进行，登录方法为：1. 将管理PC 的IP 地址设置为与192.168.1.1/24 同网段的IP 地址，并且用网线将管理PC与安全网关的ethernet0/0 接口进行连接。
山石hillstone-日常维护手册（234）
⼭⽯hillstone-⽇常维护⼿册（234）Hillstone防⽕墙维护⼿册Hillstone ⼭⽯⽹科20XX年X⽉⽬录1概述 (3)2Hillstone防⽕墙⽇常维护 (4)** 防⽕墙硬件部分⽇常维护 (5)** 防⽕墙机房要求 (5)** 防⽕墙电源检查 (5)** 防⽕墙风扇 (5)** 防⽕墙前⾯板指⽰灯检查 (6)** 防⽕墙模块及数据接⼝检查 (7)** 防⽕墙系统部分⽇常维护 (7)** 防⽕墙OS版本检查 (7)** 防⽕墙温度和风扇检查 (8)** 防⽕墙session利⽤率检查 (8)** 防⽕墙CPU利⽤率检查 (8)** 防⽕墙内存利⽤率检查 (9)** 防⽕墙接⼝状态检查 (9)** 防⽕墙路由检查 (11)** 防⽕墙fib状态检查 (11)** 防⽕墙⽇志检查 (12)** 常见故障排查指南 (13)** 防⽕墙CPU过⾼的处理 (13)** 设备session数过多的处理 (14)** HA异常的处理 (14)** 内⽹⽤户丢包的处理 (15)** ⽬的NA T不⽣效的处理 (16)** 设备⽆法管理的处理 (16)** 策略配置与优化(policy) (16)** 故障处理⼯具 (17)** 系统诊断⼯具 (17)** debug诊断与排错 (18)** 防⽕墙备份和恢复 (22)** 防⽕墙配置备份 (22)** 防⽕墙配置恢复 (23)** 防⽕墙出⼚配置 (24)** 防⽕墙软件升级 (24)** 防⽕墙常⽤命令 (28)** 查看设备序列号 (28)** 重启防⽕墙 (29)** 查看防⽕墙接⼝状态 (30)** 查看防⽕墙安全区域 (30)** 查看防⽕墙路由表 (31)** 查看防⽕墙安全策略311概述防⽕墙作为企业核⼼⽹络中的关键设备，需要为所有进出⽹络的信息流提供安全保护，对于企业关键的实时业务系统，要求⽹络能够提供7*24⼩时的不间断保护，保持防⽕墙系统可靠运⾏及在故障情况下快速诊断恢复成为维护⼈员的⼯作重点。
Hillstone SCVPN调试说明
Hillstone SCVPN调试说明1Secure Connect VPN介绍为解决远程用户安全访问私网数据的问题，安全网关提供基于SSL 的远程登录解决方案Secure Connect VPN，简称为SCVPN。
SCVPN 功能可以通过简单易用的方法实现信息的远程连通。
Hillstone 山石网科多核安全网关的SCVPN 功能包含设备端和客户端两部分。
配置了SCVPN功能的安全网关作为设备端，具有以下功能：♦接受客户端连接；♦为客户端分配IP 地址、DNS 服务器地址和WINS 服务器地址；♦进行客户端用户的认证与授权；♦进行客户端主机的安全检测；♦对IPSec 数据进行加密与转发。
安全网关SCVPN 的客户端工具为Hillstone Secure Connect。
用户可以通过浏览器下载该客户端，然后将其安装到PC，连接设备端成功后，用户就可以通过SCVPN 功能安全的传输数据信息。
不同型号的安全网关默认情况下支持的同时在线最大VPN 客户端数不同，如果想增加支持的客户端数，请向代理商购买相应的许可证。
1.1 SCVPN设备端配置安全网关的SCVPN 功能配置包括以下各部分：♦地址池配置♦UDP 端口号配置♦SCVPN 实例配置♦绑定SCVPN 实例到隧道接口♦配置客户端USB KEY 证书认证♦配置主机验证功能♦配置主机安全检测功能♦配置自动选择最优通道功能♦强制断开客户端SCVPN 连接详细配置说明，请参见《Hillstone山石网科安全网关使用手册》2 常见问题及解决方案2.1 Client 与server的通讯逻辑不匹配原因分析原因1：scvpn地址池中的地址和远端pc的本地网卡地址冲突原因2：scvpn的tunnel 接口地址与scvpn pool 地址不在同一个网段解决方法修改Hillstone安全网关设备上scvpn pool的地址设置，尽可能不使用像192.168.1.0或192.168.0.0这类客户端常用的IP，来避免IP冲突检查Hillstone安全网关设备上SCVPN的tunnel 接口地址是否和scvpn pool 地址在同一网段2.2 服务器证书还没生效原因分析Hillstone安全网关的时间与SCVPN用户系统时间不匹配解决方法通过web 同步Hillstone安全网关的系统时间，把设备的时间调整正确，然后重启设备如果还不行，请手动删除SCVPN用户PC上安装目录（如“C:\Program Files\Hillstone\Hillstone Secure Connect\cert”）下的所有文件，再尝试进行连接。
Hillstone安全审计平台使用手册_1.0R2P3
Ｈｉｌｌｓｔｏｎｅ安全审计平台使用手册 Hillstone山石网科HSA-UG1113-1.0R2P3C-01前言 内容简介 感谢您选用Hillstone山石网科的网络安全产品。
本手册为Hillstone安全审计平台的使用手册，对安全审计平台的使用与配置做了详细的介绍。
本手册的内容包括：· 1 产品介绍· 2 部署方式· 3 功能及操作· 4 配置应用实例手册约定为方便用户阅读与理解，本手册遵循如下约定：·警告：表示如果该项操作不正确，可能会给安全网关或安全网关操作者带来极大危险。
因此操作者必须严格遵守正确的操作规程。
·注意：表示在安装和使用安全网关过程中需要注意的操作。
该操作不正确，可能影响安全网关的正常使用。
·说明：为用户提供有助于理解内容的说明信息。
内容目录 1产品介绍 (2)1.1简介 (2)1.2系统组成 (2)1.3运行环境 (2)1.3.1硬件参数 (3)1.3.2软件环境 (3)1.3.3WebUI浏览器支持 (3)2部署方式 (4)3功能及操作 (5)3.1功能及操作介绍 (5)3.2登录及退出 (5)3.3用户管理 (7)3.3.1新建普通管理员 (7)3.3.2编辑管理员 (7)3.3.3删除普通管理员 (8)3.4全局配置 (8)3.5日期和时间 (10)3.6导入和导出 (11)3.6.1配置FTP服务器 (11)3.6.2导入日志信息 (12)3.6.3导出日志信息 (13)3.7日志转发配置 (15)3.8NAT日志查询 (16)3.9IM上下线日志查询 (18)3.10URL日志查询 (20)3.11NAT444日志查询 (22)3.12系统日志 (24)3.13许可证 (25)3.13.1查看许可证信息 (25)3.13.2申请许可证请求 (26)3.13.3安装许可证 (26)3.14版本升级与切换 (27)3.14.1查看系统状态 (27)3.14.2升级版本 (28)3.14.3切换版本 (28)3.15重启和关机 (29)4配置及应用实例 (30)4.1组网需求 (30)4.2配置步骤 (30)1 产品介绍1.1 简介随着企业网络规模的逐步扩大，越来越多的安全设备部署到网络中，这些设备在运行过程中不断产生大量的日志信息。
hillstone+基础配置文档
1.登录hillstone管理界面hillstone默认e0/0口为管理接口，默认管理地址192.168.1.1 默认管理帐号：hillstone 密码：hillstone2.设置地址簿在页面右上角“对象用户”内选择“地址薄”在“地址薄”对话框内选择“新建”在“名称”内为本地内网自定义一个名称，建议为“local”“成员”选择为“ip/掩码”，在空白框内输入集团提供的内网地址段以及掩码选择“添加”并确定。
3.设置接口在页面左上角选择“网络连接”，选择ethernet0/1设为内网接口。
选择“编辑”进入到“接口配置”对话框“绑定安全域”选择“三层安全域”“安全域”选择“trust”Ip配置：“类型”选择“静态ip”在空白处输入接口Ip地址、网络掩码“管理方式”全部勾选。
“逆向路由”选择“自动”DHCP 配置在“网络连接”，选择内网接口，选择“编辑”选择“dhcp”进入“dhcp配置”对话框“类型”选择“dhcp服务器”输入“网关”、“网络掩码”、“dns”、“地址池地址”等信息注意：如果自己内部有dns服务器，请将dns1设为内部dns的地址dns2设置为192.168.0.6或192.168.0.8如果内部没有dns服务器，请将dns1设置为192.168.0.6dns2设置为192.168.0.8选择“高级配置”选项卡“租约”默认为3600秒，建议设成4小时14400秒在“网络连接”中选择一个接口设为外网接口，选择“编辑”（这里以ethernet0/2为例）进入“接口配置”对话框“绑定安全域”选择“三层安全域”“安全域”选择“untrust”Ip配置：“类型”（根据运营商提供的链路类型选择“静态ip”或“pppoe”）静态ip:输入运营商所提供的公网ip地址以及掩码，管理方式：除http外全部勾选Pppoe:输入运营商所提供的帐号以及密码，勾选“pppoe”服务器提供的网关信息设置为默认路由。
山石网科防火墙常见问题及解答手册（FAQ）说明书
Version1.0Copyright 2022Hillstone Networks.All rights reserved.Information in this document is subject to change without notice.The software described in this document is fur-nished under a license agreement or nondisclosure agreement.The software may be used or copied only in accord-ance with the terms of those agreements.No part of this publication may be reproduced,stored in a retrievalsystem,or transmitted in any form or any means electronic or mechanical,including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks.Hillstone Networks本文档仅面向山石网科内部读者，禁止外传及用于任何商业用途。
联系信息北京苏州地址：北京市海淀区宝盛南路1号院20号楼5层地址：苏州高新区科技城景润路181号邮编：100192邮编：215000联系我们：/about/contact_Hillstone.html关于本手册本手册为山石网科防火墙设备使用过程中的常见问题及解答。
获得更多的文档资料，请访问：https://针对本文档的反馈，请发送邮件到：*************************山石网科https://TWNO:TW-FAQ-AKXE-CN-V1.0-6/27/2022用内部使用内部使用内部使用内部使用内部使用内部使用内部使用内部使用目录目录常见问题及解答介绍目标读者10更多资源10产品优势及定位A系列防火墙优势及定位问答121.A系列防火墙产品定位是什么？122.A系列防火墙有哪些主要特点，这些特点有哪些优势？123.A系列智能下一代防火墙有哪些应用场景？13K系列防火墙优势及定位问答144.K系列防火墙产品定位是什么？145.K系列防火墙有哪些主要功能亮点？14X系列防火墙优势及定位问答156.X系列数据中心防火墙产品定位是什么？157.X系列数据中心防火墙有哪些主要特点，这些特点有哪些优势？158.X系列数据中心防火墙在软件上有哪些优势功能？159.X系列数据中心防火墙有哪些应用场景？1610.X系列防火墙在选型时，参照客户现网业务流量该如何选择配置模型？16功能类问答硬件平台18TOC -1用内部使用内部使用内部使用内部使用内部使用内部使用内部使用内部使用1.A系列产品的型号及支持的扩展模块有哪些？182.A系列设备可以安装哪些硬盘？183.A系列设备支持的电源情况？184.K系列产品的型号及支持的扩展模块有哪些？195.K系列设备可以安装哪些硬盘？196.K系列设备支持的电源情况？197.X系列防火墙的CPU是什么架构？208.X系列产品的型号及支持的扩展模块有哪些？209.X系列设备需要哪些扩展模块才能正常工作？2110.X系列设备的扩展模块是否支持热插拔？2111.X10800和X9180电源线是16A的还是10A的？2112.X系列QSM扩展模块与IOM/SIOM扩展模块在实现QoS功能上有什么区别？2113.E系列设备最多可以安装几块万兆接口扩展模块？2114.防火墙设备支持40G光模块型号TRAN-QSFP+BiDi吗？2215.防火墙哪些光接口支持拆分？2216.如何拆分100GE(QSFP28)光接口和40GE(QSFP+)光接口？2217.防火墙哪些光接口支持降速？2318.防火墙光接口如何进行降速？2419.防火墙哪些光接口支持光转电？2520.防火墙光接口如何进行光转电？2521.防火墙设备的硬盘可以保存多久的日志信息？2622.山石网科设备可以使用其他厂商的光模块吗？26TOC -2用内内部使用内部使用内部使用内部使用内部使用内部使用内部使用23.光纤连接器的接口有哪些类型？2624.B系列产品的型号及支持的扩展模块有哪些？2725.C系列产品的型号及支持的扩展模块有哪些？27规格参数/许可证/特征库2726.A系列设备的IPS特征库数量为多少个？2727.A系列防火墙能满足10万以上用户的添加和管理吗？2828.A系列的病毒库能支持到300W吗？2829.StoneOS支持的VSYS有无数量限制？2830.A5500支持的VSYS最大数量是多少？2831.防火墙的IPS、AV、僵尸网络防御（C2）特征库分别是和哪些厂商合作的？2832.如何查看垃圾邮件过滤功能的特征库？2933.如何查看特征库的历史升级情况?2934.部分功能测试许可到期后功能仍可以正常使用吗？2935.僵尸网络防御许可证过期后，还能使用该功能吗？2936.僵尸网络防御特征库数量是多少？2937.僵尸网络防御特征库会自动更新到最新版本吗？3038.防火墙许可证导入后是否需要重启设备？30版本升级3139.防火墙升级版本前要注意什么？3140.防火墙正式平台许可证过期，对版本升级有影响吗？3241.A系列防火墙能使用StoneOS 5.5R8软件版本吗？3242.A系列防火墙升级是否有限制？32TOC -3用内内部使用内部使用内部使用内部使用内部使用内部使用内部使用系统管理3343.A系列和X系列防火墙设备是否可以强制断电？3344.StoneOS支持其他语言吗？3345.系统的默认管理员可以编辑或删除吗？3346.防火墙支持哪些配置管理方式？3347.如何查看设备的推荐版本？3348.如何查询设备售后服务到期时间和硬件保修时间？3449.如何查看当前运行的版本和运行时间？3450.如何关闭系统调试功能？3451.如何查看设备的配置信息？3452.如何查看SNMP OID值？34零信任3553.零信任支持基于哪些维度进行权限控制？3554.零信任支持哪些双因子认证方式？3555.零信任使用什么客户端接入？3556.因为终端状态原因而无法访问特定资源的用户，可以通过调整终端设备的配置获取访问权限吗？35策略3557.防火墙安全域之间默认是允许信息传输的吗？3558.策略规则的匹配顺序是什么？3659.防火墙是否支持导入安全策略？3660.未匹配到任何防火墙安全策略的流量默认是允许通过还是拒绝通过？3661.防火墙是否支持策略的五元组快速查询以及针对策略未命中时间进行查询？36TOC -4用内内部使用内部使用内部使用内部使用内部使用内部使用内部使用62.什么是失效策略？3663.防火墙最大策略数量和策略中的源/目的IP或者端口数量有关联吗？3764.策略规则调用的源地址条目/目的地址条目数量有限制吗？3765.在两个内网区域间通过防火墙做内网隔离，如何配置防火墙策略？37VSYS3766.VSYS支持Netflow吗？3767.防火墙中存在多个VSYS时，可以实现单个VSYS重启吗？3868.VSYS的数量增加，是否会影响根VSYS的性能？38路由3869.路由的优先级顺序是什么？3870.哪些类型的路由支持IPv6？3871.哪些类型的路由支持BFD功能？38VPN3872.StoneOS支持哪些VPN？3873.SSL VPN支持对接手机身份验证器吗？如Google Authenticator。
山石网科远程安全评估系统用户手册说明书
Version 5.5-1.9.1Copyright 2021 Hillstone Networks. All rights reserved.Information in this document is subject to change without notice. The software described in this document is furnished under a license agreement or nondisclosure agreement. The software may be used or copied only in accordance with the terms of those agreements. No part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form or any means electronic or mechanical, including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks.Hillstone Networks本文档禁止用于任何商业用途。
GPL软件使用声明山石网科远程安全评估系统正常运行，包含3款GPL协议的软件（NMAP、hydra、openVAS）。
本公司愿意将GPL软件提供给已购买产品且愿意遵守GPL协议的客户，请需要GPL软件的客户提供（1）已经购买的产品序列号；（2）有效送达GPL软件地址和联系人，包括但不限于姓名、公司、电话、电子邮件、地址、邮编等；（3）人民币70元的U盘费和快递费，客户即可获得产品所包含的GPL软件。
Hillstone多核安全网关命令手册说明书
Hillstoneဝᆀపࣶਖ਼ڔཝᆀਈෘഎ၄ݿྟୈۈ۾：StoneOS 5.0R3关于本手册本手册为Hillstone山石网科多核安全网关命令手册。
详细描述StoneOS中用到的所有命令，具体内容有命令的格式、使用方法、参数、默认值和使用实例等。
文档约定在本手册中，StoneOS命令语法描述使用以下约定：·大括弧（{ }）：指明该内容为必要元素。
·方括弧（[ ]）：指明该内容为可选元素。
·竖线（|）：分隔可选择的互相排斥的选项。
·粗体：粗体部分为命令的关键字，是命令行中不可变部分，用户必须逐字输入。
·斜体：斜体部分为需要用户提供值的参数。
命令实例约定：·命令实例中需要用户输入部分用粗体标出。
·需要用户提供值的变量用斜体标出。
·命令实例包括不同平台的输出，可能会有些许差别。
目录怎样使用StoneOS CL I (1)CLI介绍 (1)命令模式和提示符 (1)执行模式 (1)全局配置模式 (1)子模块配置模式 (1)CLI命令模式切换 (1)命令行错误信息提示 (2)命令行的输入 (2)命令行的缩写形式 (2)自动列出命令关键字 (2)自动补齐命令关键字 (3)命令行的编辑 (3)查看历史命令 (3)快捷键 (3)过滤CLI输出信息 (4)分页显示CLI输出信息 (4)设置终端属性 (5)设置连接超时时间 (5)重定向输出 (5)StoneOS系统管理命令 (6)access (6)admin (6)admin host (7)admin user (8)allow-pwd-change (8){app | ips signature} stat-report (9)arp (10)bandwidth (11)bandwidth-threshold (12)delay-threshold (12)external-bypass enable (13)clock time (14)clock summer-time (15)clock zone (16)configure (16)console timeout (17)cpu (17)debug (19)delete configuration (20)desc (20)dns (21)dst-addr-based-session-counter (22)exec admin user password update (23)exec console baudrate (23)exec format (24)exec detach (24)exec customize (25)exec license apply (25)exec license install (26)exec license uninstall (27)exec webauth kickout (27)exit (28)expire (28)export configuration (29)group (30)hostname (30)http (31)http port (32)https port (33)https trust-domain (33)ike-id (34)import configuration (34)import customize (35)import image (36)interface (37)ip (37)language (39)match (39)monitor (41)nbt-cache enable (41)nbtstat ip2name (42)network-manager enable (42)network-manager host (43)ntp authentication (44)ntp authentication-key (44)ntp enable (45)ntp max-adjustment (45)ntp query-interval (46)ntp server (47)password (47)password（user） (48)password-policy (48)ping (49)privilege (50)reboot (51)role (51)role-expression (52)role-mapping-rule (52)rollback configuration backup (53)save (54)smtp (54)snmp-server contact (55)snmp-server engineID (55)snmp-server group (56)snmp-server host (57)snmp-server location (58)snmp-server manager (58)snmp-server port (59)snmp-server trap-host (59)snmp-server user (60)ssh port (61)ssh timeout (61)tcp (62)telnet authorization-try-count (63)telnet connection-interval (64)telnet timeout (65)threshold (66)traceroute (66)track (67)user (68)user-binding (69)user-group (69)webauth force-timeout (70)webauth http (71)webauth http-port (71)webauth https (72)webauth https-port (72)webauth reauth (73)webauth redirect (73)webauth sso-ntlm (74)webauth sso-ntlm-timeout (75)webauth timeout (75)web timeout (76)系统结构命令 (77)deny-session deny-type (77)deny-session percentage (77)deny-session timeout (78)fragment chain (79)fragment timeout (79)tcp-mss (80)tcp-rst-bit-check (80)tcp-seq-check-disable (81)tcp-syn-check (82)tcp-syn-bit-check (82)安全网关应用模式命令 (84)exec vrouter enable/disable (84)ip vrouter (84)forward-tagged-packet (85)l2-nonip-action (86)virtual-wire enable (86)virtual-wire set (87)vswitch (88)安全网关网络部署模式命令 (89)tap control-interface (89)tap lan-address (89)zone （绑定接口到Tap域） (90)zone （创建Tap域） (90)域（Zone）命令 (92)bind (92)vrouter (92)zone (93)接口（Interface）命令 (94)aggregate aggregate number (94)arp timeout (94)authenticated-arp (95)bgroup bgroup number (96)clear mac (96)combo (97)duplex (97)ftp (98)ftp port (99)holddown (99)holdup (100)interface aggregate number (101)interface aggregate number.tag (101)interface bgroup number (102)interface ethernet m/n (102)interface ethernetX/Y-pppoeZ (103)interface ethernet m/n.tag (104)interface loopback number (104)interface redundant number (105)interface redundant number.tag (105)interface tunnel number (106)interface vlan id (106)interface supervlan X (107)ip address (108)ip mtu (109)lacp (109)lacp max-bundle (110)lacp min-bundle (111)lacp system-priority (112)lacp period-short (112)load-balance mode (113)mac-clone (114)manage (114)mirror to (115)mirror filter (116)primary (117)proxy-arp (117)redundant redundant number (118)reverse-route (119)shutdown (119)speed (120)tunnel (121)webauth auth-arp-prompt (122)zone (122)地址（Address）命令 (124)address (124)host (124)ip (125)member (126)range (126)rename (127)服务（Service）命令 (128)app cache (128)app cache disable (129)app cache static disable (129)application-identify (130)clear app cache table (130)description (131)icmp (131)icmp type (132)longlife-sess-percent (133)protocol (134)servgroup (134)service (135)service service-name (136)tcp | udp application (137)策略（Policy）命令 (139)absolute (139)action (139)clear policy hit-count (140)clear policy hit-count default-action (141)default-action (141)description (142)disable (142)dst-addr (143)dst-host (143)dst-ip (144)dst-range (145)dst-zone (145)enable (146)log (147)import customize webredirect (147)move (148)name (149)periodic (149)periodic (150)policy-global (151)policy-qos-tag tag (151)role (152)user (152)user-group (153)rule (154)rule id (155)schedule (156)schedule (156)service (157)src-addr (157)src-host (158)src-ip (159)src-range (159)src-zone (160)web-redirect (161)安全控制命令 (163)arp (163)arp-disable-dynamic-entry (164)arp-inspection (164)arp-inspection rate-limit (165)arp-inspection trust (165)arp-inspection vlan (166)arp-l2mode (167)arp-learning (167)behavior-profile (168)clear arp (168)clear arp-spoofing-statistics (169)clear dhcp-snooping binding (170)dhcp-snooping（BGroup或者VSwitch接口） (170)dhcp-snooping（物理接口） (171)dhcp-snooping rate-limit (172)dhcp-snooping vlan (172)exec mac-address dynamic-to-static (173)exec urlfilter apply (173)export urlfilter-database (174)gratuitous-arp-send ip (175)host-blacklist (175)host-blacklist ip (176)host-blacklist mac (177)im (178)import urlfilter-database (178)mac-address-static (179)mac-learning (180)urlfilter (180)urlfilter domain-only (181)urlfilter rule type blacklist (181)urlfilter rule type keyword (182)urlfilter rule type whitelist (183)urlfilter unlimit-ip (183)urlfilter unlimit-ip (184)urlfilter whitelist-only (184)url-profile (185)认证与授权命令 (186)aaa-server (186)accounting (186)accounting enable (187)accounting port (188)accounting secret (188)admin auth-server (189)admin auth-server radius-server-name (190)agent (190)auth-method (191)auto-sync (191)backup-aaa-server (192)backup1 (193)backup2 (194)base-dn (194)debug aaa (195)group-class (195)host (196)login-dn (197)login-password (197)member-attribute (198)naming-attribute (198)port （Active-Directory / LDAP） (199)port （RADIUS） (199)retries (200)role-mapping-rule (201)secret (201)timeout (202)user-black-list (202)802.1X 认证协议命令 (204)aaa-server (204)dot1x allow-multi-logon (204)dot1x allow-multi-logon number (205)dot1x auto-kickout (205)dot1x control-mode (206)dot1x enable (207)dot1x max-user (207)dot1x port-control (208)dot1x profile (209)dot1x timeout (210)exec dot1x kickout (210)quiet-period (211)reauth-period (212)retransmission-count (212)server-timeout (213)tx-period (213)网络地址转换（NAT）命令 (215)dnatrule (215)dnatrule move (216)expanded-port-pool (217)nat (217)nat-enable (218)no dnatrule id (219)no snatrule id (219)snatrule （NAT） (220)snatrule（NAT444） (222)snatrule move (223)应用层识别与控制命令 (225)alg (225)alg h323 session-time (225)IPSec协议命令 (227)accept-all-proxy-id (227)anti-replay (227)authentication (228)auto-connect (229)compression deflate （manual） (229)compression deflate （P2） (230)connection-type (230)df-bit (231)dpd (232)encryption （P1） (232)encryption （manual） (233)encryption （P2） (234)encryption-key (235)group （P2） (236)hash （P1） (236)hash （manual） (237)hash （P2） (238)hash-key (239)id (239)interface (240)ipsec proposal (241)ipsec-proposal (241)isakmp peer (242)isakmp-peer (242)isakmp proposal (243)isakmp-proposal (244)lifesize (244)lifetime （P1） (245)lifetime（P2） (245)local-id (246)mode （协商模式） (247)mode （操作模式） (247)nat-traversal (248)peer (248)peer-id (249)pre-share (250)protocol (250)spi (251)track-event-notify (252)trust-domain (252)tunnel ipsec name auto (253)tunnel ipsec name manual (253)type (254)vpn-track (255)Secure Connect VPN命令 (256)aaa-server (256)anti-replay (256)address (257)allow-multi-logon (258)allow-multi-logon number (258)client-auth-trust-domain (259)client-cert-authentication (260)df-bit (261)dns (261)exclude address (262)exec scvpn approve-binding (263)exec scvpn clear-binding (263)exec scvpn increase-host-binding (264)exec scvpn kickout (265)exec scvpn no-host-binding-check (265)exec scvpn no-user-binding-check (266)exec sms send test-message to (266)export aaa user-password (267)export scvpn user-host-binding (268)host-check (268)https-port (269)idle-time (270)import pki cacert (271)import aaa user-password (271)import scvpn user-host-binding (272)interface (273)ip-binding role (273)ip-binding user (274)link-select (275)move (275)phone (276)pool (277)redirect-url (277)scvpn host-check-profile (278)scvpn pool (279)scvpn-udp-port (280)sms-auth enable (280)sms-auth expiration (281)sms modem (281)split-tunnel-route (282)ssl-protocol (283)trust-domain (283)tunnel scvpn (285)tunnel scvpn (285)user-host-verify (286)wins (287)拨号VPN命令 (288)exec generate-user-key rootkey (288)generate-route (288)ike_id (289)user (290)PnPVPN命令 (291)dhcp-pool-address (291)dhcp-pool-gateway (291)dhcp-pool-netmask (292)dns (293)peer_id fqdn (293)split-tunnel-route (294)tunnel-ip-address (295)user (295)wins (296)GRE命令 (297)destination (297)interface (297)next-tunnel ipsec (298)source (298)tunnel gre (299)L2TP命令 (301)aaa-server (301)accept-client-ip (301)address (302)allow-multi-logon (303)avp-hidden (303)clear l2tp (304)dns (304)exclude address (305)exec l2tp kickout (306)interface (306)ip-binding user (307)ppp-lcp-echo interval (308)keepalive (309)move (309)next-tunnel ipsec (310)pool (311)ppp-auth (311)l2tp pool (312)local-name (312)secret (313)transmit-retry (314)tunnel-authentication (314)tunnel l2tp (315)tunnel l2tp (316)tunnel-receive-window (316)wins (317)攻击防护命令 (318)ad all (318)ad arp-spoofing (318)ad dns-query-flood (319)ad huge-icmp-pak (321)ad icmp-flood (321)ad ip-directed-broadcast (322)ad ip-fragment (323)ad ip-option (324)ad ip-spoofing (324)ad ip-sweep (325)ad land-attack (326)ad ping-of-death (326)ad port-scan (327)ad session-limit (328)ad syn-flood (329)ad syn-proxy (331)ad tcp-anomaly (332)ad tear-drop (332)ad tear-drop (333)ad udp-flood (334)ad winnuke (335)clear ad zone (336)clear session-limit (337)交换命令 (338)bridge priority (338)enable (338)forward-delay (339)hello (339)interface vlan id (340)maximum-age (340)stp (341)stp cost (342)stp enable (342)stp priority (343)sub-vlan (343)supervlan (344)switchmode (344)vlan (345)路由命令 (347)access-list route (347)access-list name description (347)aggregate-address (348)area authentication (349)area default-cost (349)area range (350)area stub (351)area virtual-link (351)area virtual-link authentication (352)auto-cost reference-bandwidth (353)bind pbr-policy (354)clear ip bgp (354)continue (355)default-information originate (356)default-information originate (356)default-metric (357)default-metric（BGP） (357)description (358)distance（BGP） (359)distance (360)distance (360)distance ospf (361)domain (362)dst-addr (362)dst-host (363)dst-ip (364)dst-range (364)ecmp enable (365)ecmp-route-select (365)eif (366)enable (367)exec isp-network clear-predefine (367)iif (368)import vrouter (368)ip (369)ip igmp-proxy enable (370)ip igmp-proxy {router-mode | host-mode} (371)ip igmp-snooping enable (371)ip igmp-snooping {router-mode | host-mode | auto | disable} (372)ip multicast-routing (373)ip mroute (373)ip ospf authentication (374)ip ospf authentication-key (375)ip ospf cost (375)ip ospf dead-interval (376)ip ospf hello-interval (377)ip ospf message-digest-key (377)ip ospf priority (378)ip ospf retransmit-interval (378)ip ospf transmit-delay (379)ip rip authentication mode (380)ip rip authentication string (380)ip rip receive version (381)ip rip send version (381)ip rip split-horizon (382)ip route isp-name (384)ip route source (384)ip route source in-interface (385)ip vrouter (386)isp-network (387)llb inbound smartdns (388)llb-outbd-prox-detect (388)llb-outbd-prox-route (389)llb outbound proximity-route (390)match（OSPF） (390)match（PBR） (391)match id (392)max-route (393)move (394)neighbor（BGP） (394)neighbor A.B.C.D peer-group (395)neighbor {A.B.C.D | peer-group} activate (395)neighbor {A.B.C.D | peer-group} default-originate (396)neighbor {A.B.C.D | peer-group} description (396)neighbor {A.B.C.D | peer-group} next-hop-self (397)neighbor {A.B.C.D | peer-group} password (398)neighbor {A.B.C.D | peer-group} remote-as (398)neighbor {A.B.C.D | peer-group} shutdown (399)neighbor {A.B.C.D | peer-group} timers (399)neighbor（RIP） (400)nexthop (401)network（BGP） (401)network（RIP） (402)network area (403)passive-interface (403)pbr-policy (404)redistribute（BGP） (404)redistribute（RIP） (405)redistribute（OSPF） (406)route-map (406)route enable/disable (407)role (408)router bgp (409)router ospf (409)router rip (410)router-id （BGP） (411)router-id （OSPF） (411)service (412)set (412)src-addr (413)src-host (414)src-ip (414)src-range (415)subnet (416)timers (416)timers basic (417)timers spf (418)unknown-multicast drop (418)user (419)user-group (419)version (420)网络参数命令 (422)ac (422)address (422)authentication (423)auto-config interface (423)auto-connect (424)clear host (425)ddns enable (425)ddns name (426)dhcp-client ip (426)dhcp-client route (427)dhcp-relay enable (428)dhcp-relay server (428)dhcp-server enable (429)dhcp-server pool (429)dns (430)dns-proxy (430)domain (431)gateway (432)exclude address (432)idle-interval (433)ip address dhcp (433)ip dns-proxy black-list enable (434)ip dns-proxy white-list enable (434)ip dns-proxy black-list domain (435)ip dns-proxy white-list domain (435)ip address pppoe (436)ip domain lookup (437)ip domain name (437)ip domain retry (438)ip domain timeout (438)ip host (439)ip name-server (439)ip dns-proxy domain (440)ipmac-bind (441)lease (441)maxupdate interval (442)minupdate interval (443)netmask（DHCP） (443)netmask（PPPoE） (444)news (444)pop3 (445)pppoe enable group (445)pppoe-client group (446)pppoe-client group (446)relay-agent (447)route (448)server (448)schedule (449)service (450)smtp (450)static-ip (451)type (451)user（DDNS） (452)user（PPPoE） (452)wins (453)虚拟系统命令 (454)enter-vsys (454)export-to (454)profile (455)session (456)vsys（创建） (457)vsys（接口） (458)vsys-profile (458)vsys-shared (459)QoS管理命令 (460)bandwidth (460)class (460)class-map (461)exception-list (462)disable (462)flex-qos (463)flex-qos low-water-mark (463)flex-qos max-bandwidth (464)flex-qos-up-rate (465)ip-qos (465)match address (466)match application (467)match cos (467)match dscp (468)match ip-range (468)match policy-qos-tag (469)match precedence (470)match-priority (470)match role (471)police (472)priority (473)qos-profile (473)qos-profile (474)qos-profile（嵌套QoS Profile） (475)random-detect (476)role-qos (476)set cos (477)set dscp (478)set precedence (479)shape (479)shaping-for-egress (480)PKI配置命令 (482)crl (482)crl configure (482)enrollment (483)export pki （PKI信任域信息） (483)export pki （本地证书） (484)import pki （PKI信任域信息） (485)import pki （本地证书） (486)keypair (487)pki authenticate (487)pki crl request (488)pki enroll (488)pki export (489)pki import (490)pki import pkcs12 (490)pki key generate (491)pki key zeroize (491)pki key zeroize noconfirm (492)pki trust-domain (492)subject commonname (493)subject country (493)subject localityname (494)subject organization (495)subject organizationunit (495)subject stateorprovincename (496)url (496)高可靠性命令 (498)arp (498)description (498)exec ha sync (499)ha cluster (499)ha group (500)ha link interface (501)ha link ip (501)ha non-group (502)ha sync rdo session (503)ha traffic delay (503)ha traffic enable (504)hello interval (504)hello threshold (505)interface (506)manage ip (506)monitor track (507)preempt (507)priority (508)send gratuitous-arp (509)病毒过滤命令 (510)anti-malicious-sites (510)av enable (510)av max-decompression-recursion (511)av-profile (512)av signature update mode (512)av signature update schedule (513)av signature update server (513)exec av (514)exec av signature update (515)file-type (515)import av signature (516)label-mail (517)mail-sig (518)protocol-type (518)IPS命令 (520)attack-level (520)banner-protect enable (521)brute-force auth (521)brute-force lookup (522)command-injection-check (523)deny-method (523)exec block-ip remove (524)exec block-service remove (524)exec ips (525)external-link-check (527)ips enable (527)ips log disable (528)ips mode (529)ips profile (529)ips signature (530)ips sigset (530)max-arg-length (531)max-bind-length (532)max-black-list (533)max-cmd-line-length (533)max-content-type-length (534)max-content-filename-length (535)max-content-type-length (536)max-failure (536)max-input-length (537)max-path-length (538)max-reply-line-length (539)max-request-length (539)max-rsp-line-length (540)max-scan-bytes (541)max-text-line-length (541)max-uri-length (542)max-white-list (543)protocol-check (543)signature id (544)signature id number disable (545)sigset (546)sql-injection-check (546)virtual-host (547)web-acl (548)web-acl-check (548)xss-check enable (549)网络行为控制命令 (551)behavior (551)behavior-profile (551)bin-type (552)category (553)clear logging nbc (554)clear sslproxy notification (554)contentfilter（进入内容过滤配置模式） (555)contentfilter（绑定内容过滤Profile到策略规则） (555)contentfilter-profile (556)exec contentfilter apply (557)exec url-db update (557)exclude-html-tag (558)export log nbc (558)export pki (559)ftp (560)http (561)im (561)import pki (562)import sslproxy (563)import url-db (564)im-profile (564)keyword (565)keyword-category（URL过滤） (566)keyword-category（网页关键字） (567)keyword-category（Web外发信息） (567)keyword-category（邮件过滤） (568)logging (569)logging nbc to (569)mail (571)mail any (572)mail attach (572)mail control (573)mail enable (574)mail max-attach-size (575)mail others (576)mail-profile (576)mail {sender | recipient} (577)mail whitelist (578)msn | ymsg | qq (579)nbc-user-notification (579)remove database (580)ssl-decode (581)ssl-notification-disable (582)sslproxy (582)sslproxy exempt-match-subject (583)sslproxy-profile (583)sslproxy require-match-subject (584)sslproxy {require-mode | exempt-mode} (585)sslproxy trust-domain (585)sslproxy trustca-delete (586)url（添加URL条目） (586)url（绑定URL过滤Profile到策略规则） (587)url-category（新建URL类别） (588)url-category（URL过滤） (588)url-category（网页关键字） (589)url-category（Web外发信息） (589)url-db update mode (590)url-db update schedule (591)url-db update server (591)url-db-query (592)url-db-query server (593)url-profile (593)webpost (594)webpost all (595)webpost-profile (595)web-surfing-record (596)统计命令 (597)active (597)export statistics-set (597)filter (598)group-by (600)statistics address (601)statistics servgroup (602)statistics-set (602)target-data (603)日志命令 (605)export log event (605)logging (606)logging app-identification (607)logging alarm to (607)logging configuration to (608)logging content [hostname | username] (609)logging debug to (610)logging email to (610)logging event to (611)logging network to (612)logging facility (613)logging security to (613)logging sms (614)logging syslog (615)logging traffic to (616)logging traffic to syslog (616)GTP防护命令 (618)apn (618)gtp-profile（创建GTP Profile） (618)gtp-profile（绑定GTP Profile到策略规则） (619)imsi (620)imei (621)internal-inspect (621)message-type (622)message gtp-in-gtp-deny (623)message length (623)message log (624)message rate (624)message sanity-check (625)msisdn-filter (626)rat (626)rai (627)uli (628)IPv6命令 (630)ad huge-icmp-pak (630)ad ip-fragment (630)ad ip-spoofing (631)ad ipv6 nd-spoofing (633)ad icmp-flood (633)ad land-attack (634)ad ping-of-death (635)ad port-scan (636)ad syn-flood (636)ad syn-proxy (638)ad tcp-anomaly (639)ad tear-drop (639)ad udp-flood (640)address (641)clear ipv6 host (642)clear ipv6 neighbor (642)clear ipv6 nd-spoofing-statistics (643)clear ipv6 pmtu (643)destination (644)dnatrule (644)dnatrule (NAT64) (646)dnatrule move (647)dst-ip (648)dst-range (648)exec ipv6 nd-dynamic-to-static (649)export configuration (650)export image (650)export license (651)export log (652)export pki (652)export scvpn user-host-binding (653)export urlfilter-database (654)icmpv6 type (654)import application-signature (655)import configuration (656)import image (656)import ispfile (657)import license (658)import pki (658)import scvpn user-host-binding (659)import urlfilter-database (660)interface (660)ip (661)ip vrouter (662)ipv6 address (662)ipv6 address autoconfig (663)ipv6 dns-proxy domain (664)ipv6 dns64-proxy id (665)ipv6 enable (665)ipv6 general-prefix (666)ipv6 host (667)ipv6 mtu (667)ipv6 name-server (668)ipv6 neighbor (669)ipv6 nd adv-linkmtu (669)ipv6 nd hoplimit (670)ipv6 nd dad attempts (670)ipv6 nd-disable-dynamic-entry (671)ipv6 nd hoplimit (672)ipv6 nd-inspection (672)ipv6 nd-inspection deny-ra (673)ipv6 nd-inspection rate-limit (673)ipv6 nd-inspection trust (674)ipv6 nd-learning (675)ipv6 nd {managed-config-flag | other-config-flag} (675)ipv6 nd prefix (676)ipv6 nd ns-interval (677)ipv6 nd ra interval (678)ipv6 nd ra lifetime (678)ipv6 nd ra suppress (679)ipv6 nd reachable-time (680)ipv6 pmtu ageout-time (680)ipv6 pmtu enable (681)ipv6 route (682)ipv6 route source (682)ipv6 route source in-interface (683)ipv6 nd router-preference (684)no dnatrule id (685)no snatrule id (685)ping ipv6 (686)policy (687)range (687)rule (688)rule id (689)service (689)show dnat (690)show dnat server (691)show ipv6 dns (691)show ipv6 host (692)show ipv6 interface (693)show ipv6 neighbor (694)show ipv6 nd-spoofing-statistics (694)show ipv6 pmtu (695)show snat (695)show snat resource (696)snatrule (697)snatrule move (698)snmp-server ipv6-host (699)snmp-server ipv6-trap-host (700)snmp-server user (701)src-ip (702)src-range (702)Show命令 (704)show aaa-server (704)show access-list route (705)show ad zone (705)show address (707)show admin host (708)show admin user (708)show alg (709)show app cache status (710)show app logging (710)show arp (711)show arp-spoofing-statistics (711)show auth-user (712)show auth-user dot1x (712)show auth-user interface (714)show auth-user l2tp (714)show auth-user static (715)show auth-user scvpn (715)show auth-user webauth (716)show auth-user vrouter (717)show av-profile (717)show av signature info (718)show av zone-binding (718)show behavior-object (719)show behavior-profile (719)show block-ip (720)show block-notification (720)show block-service (721)show class-map (722)show clock (722)show configuration (723)show configuration running (723)show configuration backup (724)show configuration record (724)show console (725)show contentfilter-profile (726)show contentfilter category (727)show contentfilter count (727)show contentfilter keyword (728)show cpu (728)show database (729)show debug (729)show dhcp-server (730)show dhcp-snooping binding (730)show dhcp-snooping configuration (731)show dnat (731)show dnat server (732)show dns (733)show dns-address (733)show dot1x (734)show dp-filter ip (734)show external-bypass (735)show fib (736)show file (737)show flow deny-session (737)show fragment (738)show ftp (738)show gtp-profile (739)show ha cluster (740)show ha flow statistics (741)show ha group (741)show ha link status (742)show ha protocol statiscitc (742)show ha sync state (743)show ha sync statistic (744)show ha traffic (745)show host-blacklist (745)show http (746)show im-object (746)show im-profile (747)show image (747)show interface (748)show interface bind-tunnels (748)show interface supervlanX (749)show inventory (750)show ip bgp (750)show ip bgp neighbor (751)show ip bgp paths (751)show ip bgp summary (752)show ip hosts (752)show ip igmp-proxy (753)show ip igmp-snooping (753)show ip mroute (754)show ip ospf (755)show ip ospf database (755)show ip ospf database (756)show ip ospf interface (756)show ip ospf neighbor (757)。
Hillstone山石网科上网行为管理白皮书
Hillstone山石网科上网行为管理白皮书第一篇：Hillstone山石网科上网行为管理白皮书Hillstone山石网科上网行为管理白皮书概述互联网的兴起与普及为人们的工作和生活提供了极大的便利，与此同时，经由内部访问互联网导致的带宽滥用、效率下降、信息泄漏、法律风险、安全隐患等问题日益凸显。
例如，在企业内部，部分员工利用工作时间在线炒股、玩在线游戏、欣赏音乐和视频、通过P2P工具下载、使用即时通讯工具无节制地网络聊天、通过网络外泄公司机密；在网吧等一些公共上网场所，人们可以随意浏览不健康网站、发表不负责任的言论、甚至参与非法网络活动……针对互联网所带来的上述问题，StoneOS提供许可证控制的上网行为管理功能。
该功能通过对用户的网络访问行为进行控制和管理，有效解决因接入互联网而可能引发的各种问题，优化对互联网资源的应用。
产品功能StoneOS上网行为管理功能对网络游戏、在线聊天、在线炒股、P2P下载、网页访问、邮件外发及论坛发帖等各种网络行为进行全面控制管理，并可以根据需要针对不同用户、不同网络行为、不同时间进行灵活的管理策略设置和日志记录，同时能够配合Hillstone山石网科集中网络安全管理系统（HSM）对网络行为日志进行查询统计与审计分析，从而为网络管理者的决策和管理提供重要的数据依据。
上网行为管理策略StoneOS上网行为管理功能主要通过策略机制实现，网络管理者可以针对不同用户制定适合的上网行为管理策略规则，系统则会根据策略规则对网络应用流量进行行为控制和管理。
上网行为管理策略规则共分为三类：网络应用控制策略规则、网页内容控制策略规则和外发信息控制策略规则，每类中又包含若干子控制策略规则。
策略规则名称、优先级、用户、时间表、网络行为以及控制动作构成上网行为管理策略规则的基本元素。
通过WebUI配置上网行为管理策略规则，需要进行下列基本元素的配置：♦策略规则名称–上网行为管理策略规则的名称。
山石网科tunnel隧道问题汇总
客户端登录问题的一般排查过程v2.0作者：李鹏磊写在最前面：本次加入的内容：关于设置tunnel接口失败的处理办法。
现在客户端由于和客户的具体环境关系很大，很容易受到别的软件和客户电脑设置的影响而无法正常使用，我在接手客户端工作的这段时间里也遇到了很多这样的情况，现在稍稍做一些总结分享一下，帮助大家排查问题，提高工作效率。
1.确认pc操作系统已经完全激活如果windows系统处于待激活状态，系统的一些功能是被禁用的，有可能会对scvpn 的登录造成影响，主要是win7和win8需要注意这个问题。
2.关闭UAC具体过程：控制面板->用户帐户->（用户帐户->）更改用户帐号控制设置->从不通知。
该操作需要重启后生效。
3.关闭病毒防护软件的实时文件检测功能建议直接关闭此类软件。
4.提升当前windows用户的管理员权限具体过程：控制面板->用户帐户这里可以看到当前用户的权限，建议使用拥有管理员权限的帐号。
5.恢复IE的默认设置具体过程：Ie->选项->Internet选项->高级->重置6.设置设备地址为安全站点。
具体过程：Ie->选项->Internet选项->安全->受信任的站点->站点（下面第一图）受信任的站点->输入设备地址->添加（下面第二图）7. 查看本地服务列表中Hillstone Secure Connect 服务是否存在，如果存在是否为自动并已启动，如果不存在请重新安装客户端并刷新列表。
如果存在但不是自动并已启动，请手动更改状态。
更改状态的过程：双击服务项->修改“启动类型”为自动->修改“服务状态”为已启动->点击“应用”保存设置。
设置tunnel接口失败。
根据前端的反馈，这个问题出现的情况很多，也比较复杂，我单独来讲一下。
1.问题出现的原因：Tunnel即隧道，设置tunnel接口失败即设置隧道接口失败，这在vpn创建过程中是即为关键的一步，scvpn客户端执行这一步是使用netsh interface ip set命令进行设置的。
山石网科Vpn基本配置与简单排错
Vpn基本配置与简单排错前言本手册来源于在山石学习期间做实验与工作时候遇到的问题总结，web配置以5.R4版本为主，其中内容层次不深，只希望对还在学习的同学有一点借鉴作用此类文章是第一次书写，写的不周全的地方还请包含，如果中间有错误的地方请及时联系我任鹏实习生Hillstoneipsecvpn（web ui和cli）Webui配置方法：1.配置端到端的vpn第一步需要建立ipsecVPN隧道，如下图：选择IPsec VPN 新建（俩边都是固定公网ip的情况下）配置第一阶段对端的时候注意：1.接口选择公网接口2.模式模式可以任意选择，但是俩端模式必须相同3.类型静态ip4.对端地址对方公网地址5.该环境下的vpn不需要填写本地id和对端的FQDN6.提议任意填写，但是俩端必须相同7.秘钥任意填写，但是俩端必须相同一阶段完成，配置二阶段隧道二阶段注意事项1．二阶段提议俩端要相同2．代理id 如果俩端都是我们山石的设备可以选择自动（juniper也可以）和别的厂家的vpn不能选择自动需要手动填写对端id和本地id （都是内网地址）3. 选择高级配置开启自动连接配置完ipsecvpn隧道后将协议绑定到隧道中如下图：创建隧道接口隧道接口创建隧道名称只能填1-8 建议写描述方便以后查看安全域建议自定义一个vpn安全域方便与策略管理隧道接口ip地址如果两端走静态路由访问可以不填ip地址（对方有特殊要求除外）如果俩端走动态路由的访问一定要填写ip地址，且隧道ip地址要与对端隧道ip地址在同一网段隧道绑定静态或者这个接口下只绑定一个vpn时不需要填写网关动态或者绑定多接口的时候需要填写网关完成以上配置后再添加路由和策略在没有策略路由，源路由和源接口的路由情况下：建立一条目的地址是对方私网的地址，下一条为tunnel隧道的路由如果有上述路由，请用优先级高的路由进行流量引流策略放行根据个人设置的安全域进行放行放行隧道接口安全域到内网安全域的策略再放行一条反向的策略如果有特殊需求，可以自行更改自此之上为web界面配置方法。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
故障信息收集和排查总体流程 ............................................................................................................. 4 1.基本必须信息收集.............................................................................................................................. 4 2.设备自动重启信息收集...................................................................................................................... 5 3.业务中断排查思路.............................................................................................................................. 6 4.功能模块失效排查思路和信息收集.................................................................................................. 7
4.1 NAT 不生效................................................................................................................................. 7 4.2 策略不生效问题基本排查思路 ................................................................................................. 8 4.3 路由问题 ...................................................................................................................................... 8 4.4 IPSEC VPN 问题基本排查思路和信息收集............................................................................. 9
4.12.1 L2TP over IPSec ............................................................................................................ 16 4.12.2 L2TP ................................................................................................................................. 16 5.性能问题............................................................................................................................................ 16 5.1 CPU 高....................................................................................................................................... 16 5.2 设备登录管理慢 ....................................................................................................................... 18 5.2.1 网络质量 ............................................................................................................................ 18 5.2.2 Core0 利用率过高............................................................................................................. 18 5.2.3 硬件问题 ............................................................................................................................ 19 5.3 设备内存不足 ........................................................................................................................... 19 6.访问某业务慢、某业务不正常........................................................................................................ 20 6.1 不能访问某网站 ....................................................................................................................... 20 6.2 某业务访问慢 ........................................................................................................................... 21 7. HSA/HSM 典型问题 ...................................................................................................................... 22 7.1 HSA 不接受日志....................................................................................................................... 22 7.2 HSA 磁盘占满（1.0 版本） .................................................................................................... 23 7.3 HSM 注册不正常...................................................................................................................... 24 8. 硬件故障.......................................................................................................................................... 25
IPSEC 协商不成功 ......................................................................................................................... 9 多出口网络 IPSEC 协商不成功 .................................................................................................... 9 4.5 AAA、WEBAUTH、SNMP 和 LDAP 问题........................................................................... 10 4.6 HA 问题 ..................................................................................................................................... 11 4.7 AV 特征库无法升级.................................................................................................................. 12 4.8 SCVPN 数据不通 ................................................................................................................. 14 4.9 App 识别错误问题 ................................................................................................................... 14 4.10 应用层功能失效(ALG、URL 过滤等)问题.......................................................................... 15