fortinet防火墙完全配置02-防火墙策略

合集下载

fortinet飞塔防火墙配置

Fortinet产品家族fortinet 的产品家族涵盖了完备的网络安全解决方案包括邮件，日志，报告，网络管理，安全性管理以及fortigate 统一安全性威胁管理系统的既有软件也有硬件设备的产品。

更多fortinet产品信息，详见/products.FortiGuard服务订制fortiguard 服务定制是全球fortinet安全专家团队建立,更新并管理的安全服务。

fortinet安全专家们确保最新的攻击在对您的资源损害或感染终端用户使用设备之前就能够被检测到并阻止。

fortiguard服务均以最新的安全技术构建，以最低的运行成本考虑设计。

fortiguard 服务订制包括：1、fortiguard 反病毒服务2、 fortiguard 入侵防护（ips）服务3、 fortiguard 网页过滤服务4、fortiguard 垃圾邮件过滤服务5、fortiguard premier伙伴服务并可获得在线病毒扫描与病毒信息查看服务。

FortiClientforticlient 主机安全软件为使用微软操作系统的桌面与便携电脑用户提供了安全的网络环境。

forticlient的功能包括：1、建立与远程网络的vpn连接2、病毒实时防护3、防止修改windows注册表4、病毒扫描forticlient还提供了无人值守的安装模式，管理员能够有效的将预先配置的forticlient分配到几个用户的计算机。

FortiMailfortimail安全信息平台针对邮件流量提供了强大且灵活的启发式扫描与报告功能。

fortimail 单元在检测与屏蔽恶意附件例如dcc（distributed checksum clearinghouse）与bayesian扫描方面具有可靠的高性能。

在fortinet卓越的fortios 与fortiasic技术的支持下，fortimail反病毒技术深入扩展到全部的内容检测功能，能够检测到最新的邮件威胁。

2.飞塔防火墙防火墙配置

防火墙
Fortinet Confidential
防火墙介绍
Fortinet Confidential
防火墙技术分类
• 包过滤技术(Packet filtering) 包过滤防火墙工作在网络层，对数据包的源及目地 IP 具有识别和控制作用，对于传输层，也只能识别数据包是 TCP 还是 UDP 及所用的端口信息。 • 代理网关技术(Proxy) 应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP 连接，应用层的协议会话过程必须符合代理的安全策略要求。 • 状态检测技术(Stateful) 在防火墙建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。
系统管理-物理网络接口1
Fortinet Confidential
系统管理-物理网络接口2
Fortinet Confidential
系统管理- Vlan接口
Fortinet Confidential
系统管理- 802.3ad汇聚接口1
Fortinet Confidential
系统管理- 802.3ad汇聚接口2
系统管理-冗余接口2
Router 1
Router 2
Router 1
Router 2
主接口失效后，冗余接口中的其他接口将激活
正常情况，只有冗余接口的主接口处于工作状态。
主接口失效后，冗余接口2开始工作。

（完整版）FortiGate防火墙常用配置命令

（完整版）FortiGate防火墙常用配置命令FortiGate 常用配置命令一、命令结构config Configure object. 对策略，对象等进行配置get Get dynamic and system information. 查看相关关对象的参数信息show Show configuration. 查看配置文件diagnose Diagnose facility. 诊断命令execute Execute static commands. 常用的工具命令，如ping exit Exit the CLI. 退出二、常用命令1、配置接口地址:FortiGate # config system interfaceFortiGate (interface) # edit lanFortiGate (lan) # set ip 192.168.100.99/24FortiGate (lan) # end2、配置静态路由FortiGate (static) # edit 1FortiGate (1) # set device wan1FortiGate (1) # set dst 10.0.0.0 255.0.0.0FortiGate (1) # set gateway 192.168.57.1FortiGate (1) # end3、配置默认路由FortiGate (1) # set gateway 192.168.57.1FortiGate (1) # set device wan1FortiGate (1) # end4、添加地址FortiGate # config firewall addressFortiGate (address) # edit clientnetnew entry 'clientnet' addedFortiGate (clientnet) # set subnet 192.168.1.0 255.255.255.0 FortiGate (clientnet) # end5、添加ip池FortiGate (ippool) # edit nat-poolnew entry 'nat-pool' addedFortiGate (nat-pool) # set startip 100.100.100.1FortiGate (nat-pool) # set endip 100.100.100.100FortiGate (nat-pool) # end6、添加虚拟ipFortiGate # config firewall vipFortiGate (vip) # edit webservernew entry 'webserver' addedFortiGate (webserver) # set extip 202.0.0.167FortiGate (webserver) # set extintf wan1FortiGate (webserver) # set mappedip 192.168.0.168 FortiGate (webserver) # end7、配置上网策略FortiGate # config firewall policyFortiGate (policy) # edit 1FortiGate (1)#set srcintf internal //源接口FortiGate (1)#set dstintf wan1 //目的接口FortiGate (1)#set srcaddr all //源地址FortiGate (1)#set dstaddr all //目的地址FortiGate (1)#set action accept //动作FortiGate (1)#set schedule always //时间FortiGate (1)#set service ALL //服务FortiGate (1)#set logtraffic disable //日志开关FortiGate (1)#set nat enable //开启natend8、配置映射策略FortiGate # config firewall policyFortiGate (policy) #edit 2FortiGate (2)#set srcintf wan1 //源接口FortiGate (2)#set dstintf internal //目的接口FortiGate (2)#set srcaddr all //源地址FortiGate (2)#set dstaddr FortiGate1 //目的地址，虚拟ip映射，事先添加好的FortiGate (2)#set action accept //动作FortiGate (2)#set schedule always //时间FortiGate (2)#set service ALL //服务FortiGate (2)#set logtraffic all //日志开关end9、把internal交换接口修改为路由口确保关于internal口的路由、dhcp、防火墙策略都删除FortiGate # config system globalFortiGate (global) # set internal-switch-mode interfaceFortiGate (global) #end重启--------------------------------------1、查看主机名，管理端口FortiGate # show system global2、查看系统状态信息，当前资源信息FortiGate # get system performance status3、查看应用流量统计FortiGate # get system performance firewall statistics4、查看arp表FortiGate # get system arp5、查看arp丰富信息FortiGate # diagnose ip arp list6、清楚arp缓存FortiGate # execute clear system arp table7、查看当前会话表FortiGate # diagnose sys session stat 或FortiGate # diagnose sys session full-stat；8、查看会话列表FortiGate # diagnose sys session list9、查看物理接口状态FortiGate # get system interface physical10、查看默认路由配置FortiGate # show router static11、查看路由表中的静态路由FortiGate # get router info routing-table static12、查看ospf相关配置FortiGate # show router ospf13、查看全局路由表FortiGate # get router info routing-table all-----------------------------------------------1、查看HA状态FortiGate # get system ha status2、查看主备机是否同步FortiGate # diagnose sys ha showcsum---------------------------------------------------3.诊断命令：FortiGate # diagnose debug application ike -1---------------------------------------------------execute 命令：FortiGate #execute ping 8.8.8.8 //常规ping操作FortiGate #execute ping-options source 192.168.1.200 //指定ping数据包的源地址192.168.1.200FortiGate #execute ping 8.8.8.8 //继续输入ping 的目标地址，即可通过192.168.1.200的源地址执行ping操作FortiGate #execute traceroute 8.8.8.8FortiGate #execute telnet 2.2.2.2 //进行telnet访问FortiGate #execute ssh 2.2.2.2 //进行ssh 访问FortiGate #execute factoryreset //恢复出厂设置FortiGate #execute reboot //重启设备FortiGate #execute shutdown //关闭设备。

fortigate防火墙配置ppt课件

5
Internal 2 192.168.1.0/24
FortiGate透明模式
Transparent
59.108.29.1
Port1
Wan Port2
59.108.29.184
Internal 1 10.11.101.0/24
6
Internal 2 192.168.1.0/24
数据包处理流程
7
NP数据包处理流程
32
防火墙-流量整形器
33
防火墙-策略
34
防火墙-策略的顺序
35
▪ IPS特征匹配 ▪ IPSEC SSL/TLS协议处理器 ▪ IKE ▪ 认证模块SHA2界面与配置
FortiGate路由模式
59.108.29.182
NAT/Route
Port1 10.11.101.1
Wan
Port2 192.168.1.1
Internal 1 10.11.101.0/24
Passive 工作不工作不工作
Static 不工作不工作建议使用
14
查看链路聚合工作状态
ha-a-981 # diagnose netlink aggregate name linkaggregate LACP flags: (A|P)(S|F)(A|I)(I|O)(E|D)(E|D) (A|P) - LACP mode is Active or Passive (S|F) - LACP speed is Slow or Fast (A|I) - Aggregatable or Individual (I|O) - Port In sync or Out of sync (E|D) - Frame collection is Enabled or Disabled (E|D) - Frame distribution is Enabled or Disabled

飞塔防火墙配置

飞塔防火墙配置摘要：第一部分：办公网络及10兆共享配置信息：1.10兆共享外网接口ip地址：111.160.195.2 255.255.255.2482.与核心交换机接口ip地址：192.168.7.1 255.255.255.03.全公司上网通过10兆共享接口访问internet,做NAT复用地址转换4.Web服务器做负载均衡，需将防火墙2个端口划为一个网段5.将元易诚用户和供应商用户的VPN账号权限分开，根据用户来划分不同的网段。

元易诚用户网段：192.168.20.1-20 安全策略不限制富基供应商：192.168.30.1-10 只允许访问：192.168.1.251-254、192.168.1.19乐天供应商：192.168.40.1-10 只允许访问：192.168.1.144 192.168.9.1（web发布服务器）北方网供应商：192.168.50.1-10 192.168.8.1-3（两台web服务器做负责均衡）6.添加5条路由：第一条：192.168.1.0 0.0.0.255 192.168.7.2第二条：192.168.2.0 0.0.0.255 192.168.7.2第三条：192.168.5.0 0.0.0.255 192.168.7.2第四条：192.168.6.0 0.0.0.255 192.168.7.2第五条：0.0.0.0 0.0.0.0 111.160.195.17.外网接口屏蔽ping功能，启用病毒扫描保护8.做流量限制第二部分：银河购物中心与商管公司的网络数据信息1.购物中心商户网络接入部分分为四个部分：会员中心和服务台部分、商户pc机部分，pos机部分，信息发布部分。

其中会员中心和服务台部分与商管公司网络交互不做限制，商户pc机部分只允许访问指定的ftp服务器（192.168.1.19）.Pos和信息发布部分只允许访问erp数据库（192.168.1.254）.2.安防网过来的数据只可以访问192.168.2~6.0的网段第三部分: 10兆独享配置信息1.10兆独享外网接口ip地址：2.10兆独享接口与内网物业web服务器接口做NAT静态地址装换、并开启相应端口、如80803.10兆独享接口与内网web服务器接口做NAT静态地址转换、并开启相应端口、如：80端口4.10兆独享接口启用web安全防护功能，如：DoS攻击、SQL注入攻击功能等等5.外网接口屏蔽ping功能，启用病毒扫描保护。

飞塔防火墙配置

1、虚拟域（VDOMS）----虚拟防火墙配置：（1）首先web 登陆防火墙（真机https://+ip，虚拟机http://+ip），虚拟机用户名：admin，密码：没（空的）。

登陆到管理面板找到虚拟域，默认禁用，点击启用为启动。

（2）然后启动虚拟域后，虚拟重新登陆，用户名和密码不变。

点开VDOM 界面，上面可以新建一个虚拟域（就是新的虚拟防火墙）。

防火墙名和模式，NAT为3层，透明为2层。

3、在左手边系统菜单下面有当前VDOM角色，有全局和VDOM可以选。

2、VDOM 启用后，点击全局配置模式---------网络----接口，可以把接口分配给不同的虚拟域（1）全局点开接口后，选择着需要更改虚拟域的接口，选择上方编辑（2）点开端口编辑，能配置端口IP和相应管理协议还可以设置端口监控，web 代理、分片等。

附加IP地址就是例如一个公网24位的地址，运营商给了10个可以用IP：10.10.10.1 -10地址模式上填写：10.10.10.1 ，剩余10.10.10.2-10就可以通过附加IP地址填写。

3、除了对现有接口进行编辑，也能新建接口，新建接口后能选择接口类型，（根据深信服上端口配置，均为3层口，这次配置具体端口是什么类型，需要客户确认）其余配置和编辑端口时一样。

4、需要对虚拟防火墙进行路由、策略配置需要寻找当前VDOM角色：静态路由配置，配置完静态路由后，能点开当前路由查看路由表：5、防火墙object 虚地址（为外网访问内网服务器做的端口转换）6、policy 这边所做的就是NAT 和其他放通的策略。

可以完成参照深信服防火墙的策略来做。

7、全局模式下，配置HA（1）集群设置：群名和密码，主备要完全一致，启动会话交接（就是主挂了的时候，被会直接把会话复制过去，然后起来运行）（2）主备设置，设备优先级默认128，优先级高的，设备为主，记得勾选储备管理端口集群成员(这样就能对集群的设备进行单个管理)(3)选择端口作为心跳线，例如选择PORT4口,然后把心跳线对接，同步配置就可以。

飞塔防火墙防火墙配置

系统管理-访问内容表
系统管理-管理员设置1
系统管理-管理员设置2
系统管理-固件升级
路由-静态路由
路由-策略路由
路由-当前路由表
防火墙-地址
防火墙-地址组
防火墙-预定义与定制
防火墙-服务组
防火墙-时间表
防火墙-流量整形器
防火墙-策略
防火墙-策略的顺序
防火墙-会话时间调整
20,000
100C
40,000
5000
38-42 8-12 500
16-18.5 6-9 100
产品介绍-3950B
3950B 前端面板
3950B 背部面板
2 2 特性
FMC-XD2
7
FMC-XG2
20 20 特性
FMC-C20
FMC-F20
8
模块内部专有处理器
• 4 网络处理器芯片 • 接口级的数据加速服务 • 低延迟, 百万级会话线速性能 • 加解密处理 • 异常检测，数据包重组 • 流量整形及队列优先级 • 2 安全处理器芯片 • 多核多线程安全处理 • 提供 4以外的功能服务 • 应用控制 • 入侵检测特征分析 • 拒绝服务攻击保护 • 多播加速
9
产品介绍-3950B结构
NP/SP
NP/SP
NP/SP
NP/SP
NP/SP
NP
FMC 0
PHY
FMC 1
PHY
FMC 2
PHY
FMC 3
PHY
FMC 4
I
On Board
S
F
PHY
PHY
4x1G
产品介绍-3040B
3040B 前端面板
3040B 背部面板

Fortigate防火墙安全配置基线

.Fortigate防火墙安全配置基线1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录第1章概述 (1)1.1目的 (1)1.2适用围 (1)1.3适用版本 (1)1.4实施 (1)1.5例外条款 (1)第2章、口令管理与认证授权 (2)2.1管理* (2)2.1.1用户管理* (2)2.1.2删除无关的* (2)2.1.3登录超时* (3)2.1.4密码错误自动锁定* (4)2.2口令 (5)2.2.1口令复杂度 (5)2.3授权 (6)2.3.1远程维护的设备使用加密协议 (6)第3章日志安全要求 (7)3.1日志服务器 (7)3.1.1启用日志服务器 (7)3.1.2配置远程日志服务器 (7)3.2告警配置要求 (8)3.2.1配置对防火墙本身的攻击或部错误告警 (8)3.2.2配置DOS和DDOS攻击告警 (9)3.2.3配置扫描攻击检测告警* (9)3.3安全策略配置要求 (10)3.3.1访问规则列表最后一条必须是拒绝一切流量 (10)3.3.2配置访问规则应尽可能缩小围 (11)3.3.3VPN用户按照访问权限进行分组* (11)3.3.4配置NAT地址转换* (12)3.3.5关闭仅开启必要服务 (13)3.3.6禁止使用any to anyall允许规则 (13)3.4攻击防护配置要求 (14)3.4.1配置应用层攻击防护* (14)3.4.2配置网络扫描攻击防护* (15)3.4.3限制ping包大小* (15)3.4.4启用对带选项的IP包及畸形IP包的检测 (16)第4章IP协议安全要求 (17)4.1管理IP限制 (17)4.1.1管理IP限制 (17)第5章SNMP安全 (18)5.1SNMP管理 (18)5.1.1使用SNMPV2或以上版本 (18)5.2SNMP访问控制 (19)5.2.1SNMP访问控制 (19)第6章评审与修订 (20)第1章概述1.1目的本文档旨在指导系统管理人员进行Fortigate防火墙的安全配置。

FortiClient 配置说明

FortiClient IPSEC VPN 配置说明 (3)飞塔如何配置SSL VPN (7)1．1 SSL VPN功能介绍 (7)1．2 典型拓扑结构如下 (7)1．3 SSL VPN支持的认证协议有： (8)1．4 SSL VPN 和IPSEC VPN比较 (8)2．Web模式配置 (8)2．1启用SSL VPN (9)2．2新建SSL VPN用户 (9)2．3 新建SSL VPN用户组 (9)2．4 建立SSL VPN策略 (10)2．5 如何设置防火墙默认的SSL VPN登陆端口，具体如下： (10)2．6 登陆SSL VPN Web模式后的界面如下： (11)3．隧道模式配置 (11)3．1 修改SSL VPN设置 (12)3．2 修改SSL VPN用户组 (12)3．3 配置相关的隧道模式SSL VPN防火墙策略 (12)3．4 配置相关的隧道模式SSL VPN的静态路由 (13)3．5 如何在客户端启用SSL VPN隧道模式 (14)3．5．1 从外网通过https://防火墙外网口地址:10443 登陆到防火墙Web模式的SSL VPN入口，进入到SSL VPN Web模式界面下面，如下图显示： (14)3．5．2 点击左上角的“激活SSL-VPN通道模式”，如下图显示： (14)3．5．3 SSL VPN隧道启动前后客户端系统路由表的变化 (15)3．6 关于隧道模式的SSL VPN的通道分割功能 (16)3．6．1 通道分割模式启动后客户端路由表的变化 (16)3．6．2 通道分割功能下面可以基于用户组的IP地址分配功能 (17)4．SSL VPN客户端 (18)4．1 Windows下面的SSL VPN客户端 (18)4．2 Linux/Mac下面的SSL VPN客户端 (19)5．FortiGate 4.0新功能介绍 (20)5．1 新的FortiGate 4.0防火墙SSL VPN登陆界面设置 (20)5．1．1 大体上的界面配置如下： (20)5．1．2 如何配置Web模式登陆界面的风格和布局模式（Theme and Layout） (21)5．1．3 配置Widget (22)5．1．4 如何配置SSL VPN 的Web模式应用程序控制 (22)5．1．5 SSL VPN界面配置里面的高级选项 (22)6．其他关于SSL VPN的功能 (25)6．1 SSL VPN用户监控 (25)6．2 用户认证超时和通讯超时时间 (25)6．3 常用的SSL VPN诊断命令 (25)怎么通过TFTP刷新飞塔OS (25)飞塔CLI命令行概述 (27)飞塔如何升级防火墙硬件？ (29)最快速恢复飞塔管理员密码 (30)FortiGate自定义IPS阻断迅雷HTTP下载 (30)飞塔如何启用AV,IPS功能及日志记录功能？ (33)塔设备入门基础 (37)飞塔重要资料集中录 (40)飞塔如何使用CLI通过TFTP升级Fortigate防火墙系统文件 (42)飞塔IP和MAC地址绑定方法二 (43)飞塔MSN、BT屏蔽方法（V3.0） (44)飞塔基于时间的策略控制实例 (46)飞塔如何配置SSL的VPN(3.0版本) (48)如何升级飞塔（FortiGate）防火墙软件版本 (51)如何升级飞塔（FortiGate）防火墙软件版本 (53)飞塔（FortiGate）防火墙只开放特定浏览网站 (54)飞塔（FortiGate）如何封MSN QQ P2P (60)在飞塔（FortiGate）上使用花生壳的动态域名功能 (71)飞塔FortiGate端口映射 (74)飞塔FortiGate IPSec VPN 动态路由设置步骤 (76)飞塔（Fortinet）SSL VPN 隧道模式使用说明 (88)FortiClient IPSEC VPN 配置说明本文档针对IPsec VPN 中的Remote VPN 进行说明，即远程用户使用PC中的FortiClient软件，通过VPN拨号的方式连接到公司总部FortiGate设备，访问公司内部服务器。

飞塔防火墙的防火墙策略

飞塔防火墙的防火墙策略
多播流量的控制
•多播流量在缺省状态下不能透明穿越防火墙 •部署多播策略允许多播流量 •可以对多播流量进行nat
•在透明模式下，也可以不通过策略方式，而直接设置全局选项multicastforward enable •是否更改多模的ttl
飞塔防火墙的防火墙策略
基于RADIUS的防火墙认证
•
ENABLE
FORWARD CHANGE
•SID PORT_NUM PRIO STATE
STP FASTSTART PATHCOST TRANSITION DETECTION
•--------------------------------------------------------------------------------
飞塔防火墙的防火墙策略
软交换接口(1)——概念
• 软交换接口模式 • 在物理接口之间创建桥连接 • 每个软交换接口可以指定一个逻辑IP地址 • MR6中只能使用命令方式配置 • 不能用于HA monitor或心跳接口
飞塔防火墙的防火墙策略
软交换接口(2)——配置
• 在MR7加入GUI支持
•config system switch-interface
飞塔防火墙的防火墙策略
2021/1/3
飞塔防火墙的防火墙策略
二层协议的穿越——基于接口控制
• 非ip的二层协议的穿过
• FortiGate本身不能够参与STP 协议，但是可以设置其通过
• 控制vlan数据包是否直接放过 • 控制arp广播包穿过
•config system interface •edit interface_name •set l2forward enable •set stpforward enable •set vlanforward enable •set arpforward enable •end

FortiClient 配置说明

fortigate防火墙配置

主接口失效后，冗余接口2开始工作。
系统管理-区Zone
Fortinet Confidential
系统管理- DHCP服务器
Fortinet Confidential
系统管理- FortiGate选项
Fortinet Confidential
系统管理-访问内容表
Fortinet Confidential
系统管理- 802.3ad汇聚接口1
Fortinet Confidential
系统管理- 802.3ad汇聚接口2
802.3ad 两端设定使用状态
Active Passive Static
Active 建议使用
工作不工作
Passive 工作不工作不工作
Static 不工作不工作建议使用
系统管理-管理员设置1
Fortinet Confidential
系统管理-管理员设置2
Fortinet Confidential
系统管理-固件升级
Fortinet Confidential
路由-静态路由
Fortinet Confidential
路由-策略路由
Fortinet Confidential
Fortinet Confidential
系统管理-冗余接口1
Fortinet Confidential
系统管理-冗余接口2
Router 1
Router 2
Router 1
主接口失效后，冗余接口中的其他接口将激活
Router 2
正常情况，只有冗余接口的主接口处于工作状态。
Fortinet Confidential
FortiGate路由模式

FortiGate飞塔防火墙简明配置指南

FortiGate飞塔防火墙简明配置指南说明：本文档针对所有飞塔 FortiGate设备的基本上网配置说明指南。

要求：FortiGate® 网络安全平台，支持的系统版本为FortiOS v3.0及更高。

步骤一：访问防火墙连线：通过PC与防火墙直连需要交叉线（internal接口可以用直通线），也可用直通线经过交换机与防火墙连接。

防火墙出厂接口配置：Internal或port1：192.168.1.99/24，访问方式：https、ping把PC的IP设为同一网段后（例192.168.1.10/24），即可以在浏览器中访问防火墙https://192.168.1.99防火墙的出厂帐户为admin，密码为空登陆到web管理页面后默认的语言为英文，可以改为中文在system----admin----settings中，将Idle TimeOut（超时时间）改为480分钟，Language 为simplified chinses （简体中文）。

如果连不上防火墙或不知道接口IP，可以通过console访问，并配置IP连线：PC的com1（九针口）与防火墙的console（RJ45）通过console线连接，有些型号的防火墙console是九针口，这时需要console转RJ45的转接头超级终端设置：所有程序----附件----通讯----超级终端连接时使用选择com1，设置如下图输入回车即可连接，如没有显示则断电重启防火墙即可连接后会提示login，输入帐号、密码进入防火墙查看接口IP：show system interface配置接口IP：config system interfaceedit port1或internal 编辑接口set ip 192.168.1.1 255.255.255.0 配置IPset allowaccess ping https http telnet 配置访问方式set status upend配置好后就可以通过网线连接并访问防火墙步骤二：配置接口在系统管理----网络中编辑接口配置IP和访问方式本例中内网接口是internal，IP，192.168.1.1 访问方式，https ping http telnet本例中外网接口是wan1，IP，192.168.100.1访问方式，https ping步骤三：配置路由在路由----静态中写一条出网路由，本例中网关是192.168.100.254步骤四：配置策略在防火墙----策略中写一条出网策略，即internal到wan1并勾选NAT即可。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

• 地址翻译成指定范围的IP地址 • 防火墙>虚拟IP >IP池 • 如何来验证 Diagnose sniffer packet any ‘icmp’ 4 Ping
映射服务器——设置虚拟IP 映射服务器——设置虚拟IP ——设置虚拟
绑定的外部接口
一对一映射
外部的IP地址内部的IP地址 IP
端口映射
外部IP端口
内部服务器端口
映射服务器——设置服务器的负载映射服务器——设置服务器的负载 —— 均衡
选择使用服务器负载均衡外部的IP 分配流量的方式外部的IP端口
内部的服务器列表
映射服务器——添加允许访问服务映射服务器——添加允许访问服务 —— 器的策略
• 策略是从外向内建立的 • 目标地址是服务器映射的虚拟IP
• 免责声明是在用户正确地输入用户名和密码后，弹出一个页面对访问Internet作出一个说明，该说明可以是免责内容，也可以作为广告使用 • 重定向网页是用户接受免责声明后，转向在这里输入的网址
如何设置防火墙认证——认证时间如何设置防火墙认证——认证时间 —— 与协议
• 当没有已经认证的用户在没有数据流的情况下，经过“验证超时“后，就需要重新认证 • 能够弹出用户名和密码的允许认证协议如上 • 采用证书方式认证
Accept Deny SSL——ssl vpn的策略 IPSec——Ipsec vpn的策略
如何创建IPv6和多播策略如何创建IPv6和多播策略 IPv6
• • • 所有的IPV6和多播都是通过命令行来配置的 IPV6地址可以配置到任一接口 IPV6对象和策略
policy6 address6 addrgrp6
• 不需要启用NAT
实验
• 将内部服务器10.0.X.1映射到192.168.11.10X，让旁人ping 192.168.11.10X，然后抓包分析 Diagnose sniffer packet any ‘icmp’ 4
基于策略的流量控制
• 在防火墙策略中启动流量控制设置。如果您不对防火墙策略设置任何的流量控制，那么默认情况下，流量的优先级别设置为高级。流量控制设置只有对设置 • 防火墙策略中的流量控制选项动作为Accept，IPSEC以设置为三个优先级别（低、中、及SSL-VPN的策略可用。高）。 • 确定防火墙策略中所有基本带宽之和需要低于接口所承载的最大容量。
将应用层的安全附加在防火墙策略 ——保护内容表上——保护内容表
保护内容表 – 说明
• 可以进行更细粒度的应用层的内容检测技术 • 防火墙> 保护内容表 • 保护内容表涵盖病毒、 IPS、Web过滤、内容归档、IM/P2P、VoIP、与以上相关的日志
保护内容表 – 应用到防火墙策略
• 保护内容表可以被应用到允许的防火墙策略 • 如果使用防火墙认证的话，则将保护内容表应用到用户组 • 可以创建多个保护内容表: • 单一的保护内容表可以被应用到多个策略上
如何设置防火墙认证——自动刷新如何设置防火墙认证——自动刷新 ——
• Keepalive 命令行下设置： Config sys global Set auth-keepalive en End
如何设置源地址转换
• 缺省情况下，端口地址翻译为外部接口IP地址
.10
.20
.1
204.50.168.90 Internet
•
FQDN域名方式
防火墙本身的DNS用来解析FQDN地址对象的 FQDN解析的缓存时间是由DNS服务器决定的
如何创建防火墙策略 – 选择与定制服务
FortiGate本身内置了六十多个预定义的服务
用户也可以自行定义服务，以下协议可以定制:
TCP/UDP ICMP IP
也可以通过组的方式将多个服务组合在一起
• 支持以下类型的认证:
本地用户
• 建立在防火墙上的用户名和密码
RADIUS用户
• 取自Radius的用户名和密码
LDAP / AD用户
• 取自LDAP服务器的用户名和密码
TACACS+
• 取自TACACS服务器的用户名和密码
FSAE / NTLM (AD)用户
• 可以实现单点登录
PKI
• 基于CA证书(不需要用户名和密码)
Original source IP: 172.16.20.20 Source IP received by Internet server: 204.50.168.90
.30
Internal Network 172.16.20.0 /24
Internet Server
如何设置源地址转换——不使用接如何设置源地址转换——不使用接 —— 口地址
防火墙策略
接口
服务 NAT / Route 保护内容表
接口与IP IP地如何创建防火墙策略 – 接口与IP地址
• 两种类型的地址:
IP / IP Range FQDN——域名的方式
•
定义IP范围的多种方式:
192.168.1.99 192.168.1.0/255.255.255.0 192.168.1.0/24 192.168.1.99-192.168.1.105 192.168.1.[99-105]
实验
• 我们将DMZ 192.168.3.1 80 映射到192.168.11.1X1的80端口上 192.168.3.1 443 映射到192.168.11.1X2 443 • 内部用户10.0.X.1 通过公网地址192.168.11.1X3访问internet • 内部用户10.0.X.2 通过公网地址192.168.11.1X4访问Internet 10.0.X.2 192.168.11.1X4 Internet
如何创建防火墙策略 – 定制时间表
• 防火墙的基于时间的控制
如何创建防火墙策略 – 选择动作
• • 数据包是根据接口、地址、协议、时间四项进行匹配的，一旦匹配成功后，就根据“Action”来决定操作，不再向下匹配。在建立防火墙策略是，应尽可能范围小的放在前面，范围大的放在后面。
• •
在 NAT/Route模式下，防火墙策略还需要判断是否对数据流进行NAT。有以下类型的动作：
如何设置防火墙认证——用户如何设置防火墙认证——用户 ——
• 用户对象是认证的一个方法 • 用户组是用户对象的容器
识别组成员保护内容表和类型实现对成员的认证属性
• FortiGate FortiGate基于组的方式控制对资源的访问
用户组和防火墙策略定义了对用户的认证过程
如何设置防火墙认证——用户种类如何设置防火墙认证——用户种类 ——
防火墙策略
Course 201
创建防火墙策略的原则
• 策略是按照进出流量的接口部署的 • 流量如果没有匹配的防火墙策略的话，是不能穿过设备的 • 正确理解状态监测，防火墙的策略应以数据流的发起方来判断建立的方向也就是说，当需要内部网访问外部略即可
如何设置防火墙认证——用户组如何设置防火墙认证——用户组 ——
用户组名称类别设为防火墙保护内容表与用户组绑定设置组成员
如何设置防火墙认证——用户组与如何设置防火墙认证——用户组与 —— 防火墙绑定
在防火墙策略里启用认证
选择用户组
选择是否支持Windows域用户，FSAE或者NTLM
如何设置防火墙认证——免责声明如何设置防火墙认证——免责声明 ——
•
多播策略
multicast-policy
实验一
• 10.0.x.1只能够访问，而不能访问其他的网站
• 提示：注意以下DNS的问题 • 没有匹配策略成功的话，那么是拒绝的。
实验二
• dmz区有一个代理服务器192.168.3.1 8080，用户希望员工通过代理服务器上Internet，不允许其他的方式上网。

fortinet防火墙完全配置02-防火墙策略

fortinet飞塔防火墙配置

2.飞塔防火墙防火墙配置

（完整版）FortiGate防火墙常用配置命令

fortigate防火墙配置ppt课件

飞塔防火墙配置

飞塔防火墙配置

飞塔防火墙防火墙配置

Fortigate防火墙安全配置基线

FortiClient 配置说明

飞塔防火墙的防火墙策略

FortiClient 配置说明

fortigate防火墙配置

FortiGate飞塔防火墙 简明配置指南

FortiGate飞塔防火墙简明配置指南