Hillstone山石网科防火墙日常运维操作手册

目录一、设备基础管理 (1)1.1设备登录 (1)1.1.1 通过CLI管理设备 (1)1.1.2 通过WebUI管理设备 (2)1.2管理员帐号及权限设置 (4)1.2.1 新增管理员 (4)1.2.1 修改管理员密码 (5)1.3 License安装 (6)1.4设备软件升级 (7)1.5设备配置备份与恢复 (9)1.5.1 备份设备配置 (9)1.5.2 恢复设备配置 (12)1.6系统诊断工具的使用 (14)二、对象配置 (16)2.1 配置地址薄 (16)2.2 配置服务簿 (17)三、网络配置 (21)3.1 配置安全域 (21)3.2 配置接口 (22)3.3 配置路由 (23)3.4 配置DNS (24)四、防火墙配置 (26)4.1 配置防火墙策略 (26)4.1.1 新增防火墙安全策略 (26)4.1.2 编辑防火墙安全策略 (27)4.2 配置NAT (28)4.2.1 配置源NAT (28)4.2.2 配置目的NAT (31)4.3 防火墙配置举例 (35)五、QOS配置 (44)5.1 配置IP QOS (45)5.2 配置应用QOS (46)六、常用日志配置 (48)一、设备基础管理1.1设备登录安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。

CLI同时支持Console、telnet、SSH等主流通信管理协议。

1.1.1 通过CLI管理设备通过Console 口配置安全网关时需要在计算机上运行终端仿真程序（系统的超级终端、SecureCRT等）建立与安全网关的连接，并按如下表所示设置参数（与连接Cisco设备的参数一致）：通过telnet或者SSH管理设备时，需要在相应接口下启用telnet或SSH 管理服务，然后允许相应网段的IP管理设备（可信主机）。

对接口启用telnet或SSH管理服务的方法如下：首先在网络—>网络连接模式下的页面下方勾选指定接口，点击图示为的编辑按钮，然后在弹出的接口配置窗口中对接口启用相应的管理服务，最后确认即可：1.1.2 通过WebUI管理设备WebUI同时支持http和https两种访问方式，首次登录设备可通过默认接口ethernet0/0 （默认IP 地址192.168.1.1/24，该接口的所有管理服务默认均已被启用）来进行，登录方法为：1. 将管理PC 的IP 地址设置为与192.168.1.1/24 同网段的IP 地址，并且用网线将管理PC与安全网关的ethernet0/0 接口进行连接。

2. 在管理PC 的Web 浏览器中访问地址http://192.168.1.1 并按回车键。

出现的登录页面如下图所示：Hillstone登录界面同时提供中文和英文语言支持，因此需要在上图上点击“中”或者国旗图标来选择中文界面，选择后界面如下：3. 输入用户名和密码。

安全网关提供的默认用户名和密码均为“hillstone”。

4. 在语言栏选择Web 页面语言环境，<中文>或<English>。

5. 点击『登录』按钮进入安全网关的主页。

注意：非首次登录设备可将设备的相应接口（一般是内网接口）的相应管理服务（建议至少启用http、ping、telnet三种管理服务）启用，然后通过http://设备接口IP来管理设备。

1.2管理员帐号及权限设置安全网关设备由系统管理员（Administrator）管理、配置。

系统管理员的配置包括创建管理员、配置管理员的特权、配置管理员密码、以及管理员的访问方式。

安全网关拥有一个默认管理员“hillstone”，用户可以对管理员“hillstone”进行编辑，但是不能删除该管理员。

管理员权限规定如下：管理员特权为管理员登录设备后拥有的权限。

StoneOS 允许的权限有RX （读-执行）和RXW（读-执行-写）。

♦RX（读-执行）：读和执行权限。

拥有该权限的管理员可以通过show 命令查看当前或者历史配置信息，可以在执行模式下运行import、export 和save 等命令。

♦RXW（读-执行-写）：读、执行和写权限。

该权限的管理员除拥有RX 权限外，还可以在任何配置模式下对设备进行配置。

另外，用户可以细化管理员的“写”权限，即使管理员仅能执行IP-MAC 配置。

1.2.1 新增管理员点击配置页面主页（登录后的初始页面）右上方的系统管理选项卡，并在系统弹出的选项中选择设备管理，然后在弹出的设备管理界面中点击右上方的添加按钮，系统会弹出新增管理员配置界面。

在新弹出的界面中依次输入管理员用户名和密码，定义管理权限，最后勾选对其开放的登录类型（建议将所有的登录类型都开放），点击确认即可。

1.2.1 修改管理员密码在设备管理配置界面选择需要修改密码的管理员，然后点击右边的编辑按钮，在弹出的编辑窗口口输入新密码，确认即可1.3 License安装安全网关提供两种安装新License的方式：手动或者选择文件。

点击配置页面主页（登录后的初始页面）右上方的系统管理选项卡，并在系统弹出的选项中选择许可证，即可安装新的License。

一般情况下提供的License是一个文件，这时点击页面右下方的上传许可证文件，然后点击浏览并选中提供的License文件并确认，系统即开始安装，安装完毕会弹出相应提示，告知本次安装是否成功。

如若提供的License是一个字符串（以license:开头、==结尾），则完整复制整个字符串（从license:到==），然后选择手动输入，并将复制的字符串粘帖进空白区域，最后点击确定，系统即开始安装，安装完毕会弹出相应提示，告知本次安装是否成功。

1.4设备软件升级点击配置页面主页（登录后的初始页面）右上方的系统管理选项卡，并在系统弹出的选项中选择版本升级，即可进入版本升级向导页面，从而对设备进行软件升级。

升级前可通过代理商、400服务热线、Hillstone工程师索取相应系统软件，并确认设备是否已过保（过保的设备不能升级有效期外的系统软件）。

如下图所示，点击版本升级按钮，然后在版本升级向导页面中根据需要选择升级到最新的软件版本或还原为已保存的软件版本（Hillstone提供双系统支持，可通过还原来使用系统中另外一个版本的系统文件）。

一般升级版本直接选择升级到最新的软件版本，然后点击页面下方的下一步按钮。

如上图所示，点击下一步后系统会提示我们选择备份软件版本，同时上传新的软件文件。

选择后备份的软件版本之后接着选择保存在本地的系统软件（后缀名为bin，请确认OS软件与设备硬件型号匹配一致），然后点击下一步，确认后系统即开始上传新版本软件，上传完毕系统会自动退出版本升级页面。

如方便可在升级时选择立即重新启动设备，如不方便则可以选择暂不重新启动设备，然后在合适时间重启设备即可。

1.5设备配置备份与恢复1.5.1 备份设备配置点击配置页面主页（登录后的初始页面）右上方的系统管理选项卡，并在系统弹出的选项中选择配置备份还原，然后在向导页面选择备份当前配置，点击下一步并添加描述，即可完成对设备配置的备份。

备份完成后可在系统管理的配置文件管理选项卡中查看系统当前可用的配置文件，Startup表示系统启动时加载的配置文件，Backup即为备份的配置文件。

为降低因意外导致的风险，建议选择其中之一导出到本地保存备份。

注意：为避免因意外（如雷击）等导致设备不能正常启动所带来的不必要麻烦，建议每次更新配置后及时对配置文件作备份。

另一种备份当前的配置文件方法是：点击配置文件管理中的当前系统配置选项卡，然后点击右边的导出按钮，即可将配置文件以文本形式保存到本地。

1.5.2 恢复设备配置恢复配置文件时，选择系统管理中的配置备份还原选项卡，然后在向导页面选择恢复系统配置，点击下一步并选择系统中存在的备份配置文件或上传本地保存的备份配置文件。

恢复配置文件后需要重启设备生效，因此在接下来的下一步中，系统会提示选择立即重新启动设备或暂不重新启动设备，我们可根据情况灵活选择，但只有重启设备后恢复的配置文件才会生效。

1.6系统诊断工具的使用安全网关提供基本的诊断工具（如DNS查询、ping、traceroute等），便于用户确认网络和路由是否处于连通状态。

点击配置页面主页（登录后的初始页面）右上方的系统管理选项卡，并在系统弹出的选项中选择系统工具，从下图可看出系统提供的三大基本测试工具：在每个测试工具后面的空白框出输入测试目标，然后点击测试按钮，界面下方的空白出即输出相应的测试结果。

二、对象配置2.1 配置地址薄在StoneOS 系统中，IP 地址是StoneOS 多个功能模块配置的重要组成元素，例如策略规则、网络地址转换规则以及会话数限制等。

因此，为方便引用IP 地址，实现灵活配置，StoneOS 支持地址簿功能。

StoneOS 系统拥有一个全局地址簿。

用户需要为全局地址簿定义地址条目,以便完成相关功能模块的配置。

新增地址簿时，点击配置页面主页（登录后的初始页面）右上方的对象用户选项卡，并在系统弹出的选项中选择地址薄，然后在弹出的地址薄编辑界面中点击新建按钮，即可添加与指定IP网段或地址对应的地址薄。

如下图所示，填写地址簿名称、地址薄成员（有IP/掩码、IP范围、主机名称、地址条目四类可选）、描述（可选）后，点击添加按钮并确定，即可在地址薄中查看到添加的地址薄。

2.2 配置服务簿服务（Service）是具有协议标准的信息流，简而言之就是一种具体的应用。

服务具有一定的特征，例如相应的协议、端口号等，举例来讲，FTP服务使用TCP 传输协议，其目的端口号是21。

服务是StoneOS多个功能模块配置的重要组成元素，例如防火墙策略规则、网络地址转换规则和应用QoS管理等。

StoneOS 提供了百余种预定义服务以及10余种预定义服务组（Service Group），同时用户也可以根据自己的需要创建自定义服务或服务组。

一般而言系统预定义的服务难以覆盖到实际网络环境中涉及的各种服务，因此为便于通过安全网关对这些服务进行一定层面的访问控制，我们需要将这些服务定义出来，即自定义服务。

新增自定义服务时，点击配置页面主页（登录后的初始页面）右上方的对象用户选项卡，并在系统弹出的选项中选择服务薄，即可进入服务簿编辑页面：如上图所示，点击该页面新建按钮，然后在弹出的选项卡中选择服务，系统会弹出服务配置页面。

在该页面中填写服务名称，然后点击添加，即可编辑服务成员的详细参数。

用户需指定的自定义服务条目的参数包括：–名称–传输协议–TCP或UDP类型服务的源和目标端口号或者ICMP 类型服务的type和code值–超时时间因此服务配置页面中我们需要一一定义这些参数，以便设备能定义并识别该类应用。