网御星云LSPE-FW技术培训

案例1. 登录管理
WEB管理---登录
当防火墙与IE证书均导入成功后，我们在管理主机打开IE 浏览器并输入https:// 10.1.5.254:8889，出现选择证书 提示后点击“确定”画面。密码默认为bane@7766
密码错误导致的锁定问题
• 用户登录3.6.0.2版本防火墙web界面，默认情 况下如果连续输入错误的用户名密码3次，防火 墙系统将锁定该用户直到防火墙重启。该参数 在管理员账号管理可最大修改为10次
1
2 非法字段 Clean
重置 阻断 允许通过
2
非法字段
记录 !
我不是蠕虫！
3
2
OK 记录
26
3
/downloads/×××.rmvb
优势特点－虚拟化防火墙/VPN网关产品
虚拟化安全网关的技术优势
产品适应性： 便于云计算中心内部署和扩展
产品部署模式： 路由、透明、混合 可控制虚拟机之间的信息交换
WEB管理---登录管理
设备支持的登录管理方式： HTTPS SSH Telnet console PPP（不建议使用） 默认管理接口： eth3：10.1.6.254 Eth0：10.1.5.254 默认管理IP： 10.1.5.200
案例1. 登录管理
WEB管理---浏览器证书导入
导入防火墙证书要导入相对应的IE浏览器证书.在管理主机 本地双击浏览器证书(admin.p12)，按照提示进行安装，需 要输入密码时输入“hhhhhh”，当出现导入成功后点 击确定完成。
C
IP：C1
IP：S1
客户端
IP：C
防火墙
服务器
IP：S
防火墙主要技术介绍

包过滤技术
数据包的形式:
包头

数 据
防火墙能利用包头的信息进行过滤，仅允许符
合规则的数据包通过防火墙

规则可细分为源地址/目的地址、源端口/目的
端口、协议、连接方向等项目
防火墙主要技术介绍

什么叫状态检测？
每个网络连接包括以下信息： 源地址、目的地址；
安全策略
路由模式
防火墙主要技术介绍
混合模式
防火墙主要技术介绍
源地址转换
什么是 NAT？ （源地址转换） 网络地址转换(NAT,Network Address Translation)属接入广域网技术， 是一种将私有（保留）地址转化为合法IP地址的转换技术，它被广泛应用 于各种类型Internet接入方式和各种类型的网络中。
防火墙主要技术介绍-并行编程模型化
22
防火墙主要技术介绍
Super V应多核时代应运而生： 高性能 提高单处理器的主频 网络处理器 多核多线程处理器 Super V的远见： 考虑到多核编程的灵活性 考虑到产品升级换代的问题 考虑到业务布局的灵活性
Super V诞生
Super V的重大价值：
透明接入拓扑图
eth2
C:192.168.1.100
eth3
S:192.168.1.200
Brg：192.168.1.254
• 透明接入模式防火墙配置需求： • 防火墙配置的eth2\eth3口配置为透明模式。 • 允许工作站C:192.168.1.100访问服务器S:192.168.1.200 的HTTP服务。 • 工作站C:192.168.1.100不能访问服务器S:192.168.1.200 的其它服务。
WEB管理---无法管理问题 管理主机无法管理防火墙问题说明
墙接口与默认管理主机不在同 一网段；而管理主机列表中没 有能管理墙的主机
管理主机通过web管理防火墙的必要条件
1.管理主机使用合适的浏览器，导入 了管理员证书 2.管理主机可以连通防火墙管理IP(路 由可达) 3.防火墙上绑定该IP的接口启用了管 理功能 4.管理主机的IP地址在防火墙的管理 主机列表中
万兆安全业务处理性能 Windrunner并行运算
扩展灵活
23
防火墙主要技术介绍-技术原理
简单包过滤技术
检 查 项 IP 包的源地址 IP 包的目的地址 TCP/UDP 源端口
包过滤防火墙 IP 包 检测包头 符合 不符合 安全策略：过滤规则 路由表 检查路由 转发
丢弃
防火墙主要技术介绍-技术原理
状态检测过滤流程
状态检测包过滤防火墙 会话连接状态缓存表 符合 下一步 处理
IP 包
检测包头
符合
不符合
安全策略：过滤规则
丢弃
防火墙主要技术介绍-技术原理
综合安全过滤
网络蠕虫 FTP过滤 过滤
基于内容增量检测技术的防火墙
增量状态表
HTTP过滤 邮件过滤
会话ID
检测状态
会话策略
安全引擎
1
http://www.×××/index.html/
案例1. 登录管理
WEB管理---日志存储类型
支持将感兴趣的日志保留并导出
案例1. 登录管理
WEB管理---日志分类查看
保存配置
• 修改过设备的配置后需要保存，否则重新启动 后会丢失未保存过的修改
保存配置
• 点击保存按钮后请耐心等待操作进度提示完成 后再进行其他操作
案例1. 登录管理
WEB管理---模块配置导入导出
6
丰富的调试维护手段
7
Power V防火墙安装调试
目录
1. 登录管理 2. 透明接入 3. 路由&NAT接入 4. 路由设置 5. 安全策略 6. VPN设置 7. HA设置 8. 会话管理 9. 病毒防护设置 10.攻击防护设置 11.注意事项
防火墙功能介绍
案例1. 登录管理
案例1. 登录管理
防火墙主要技术介绍
C S IP：C1 C IP：S1
源地址转换
S
包 过 滤
客户端
IP：C
防火墙
服务器
IP：S
源 地 址 转 换
C
S IP：C1
S1 IP：S1
S
客户端
IP：C
防火墙
服务器
IP：S
防火墙主要技术介绍

源地址转换
源地址转换的好处： 节约地址资源
隐藏内部网络地址 源地址转换的用途：
从受信任网络访问非受信任网络
防火墙功能介绍
案例2. 透明接入
案例2. 透明接入
透明接入—概述 • 透明接入多部署于拓扑相对固定网络，为了不改变 原有网络拓扑，常采用此部署方式（防火墙本身作 为网桥接入网络）。 • 按照此方式部署后的防火墙如出现软硬件故障，可 以紧急将防火墙撤离网络，不必更改其他路由、交 换设备的配置。 • 按照目前的网络情况，透明接入主要用于在网络骨 干建设完毕的网络中加入应用防护设备，如UTM 。
管理主机
防火墙出厂时默认的管理主机地址是10.1.5.200，当接 入一个新的网络环境中时，首先要进行管理主机的配置 。可根据实际环境填写管理主机的范围，主机地址在该 范围内是管理该设备的一个必要条件 例子：可以增加：地址为7.0.0.0 子网掩码为255.0.0.0的管 理主机
案例1. 登录管理
防火墙基本概念介绍
防火墙能做什么
什么是防火墙？
保障授权合法用户的通信与访问 禁止未经授权的非法通信与访问 记录经过防火墙的通信活动
防火墙不能做什么
不能控制不经防火墙的通信与访问
不能防范来自网络内部的攻击
不能主动防范新的安全威胁
防火墙基本概念介绍
什么是防火墙？
防火墙主要技术介绍
透明模式
防火墙主要技术介绍
优势
虚拟化环境支持： 支持Vmware、Xen、KVM等 国内外主流云计算平台 产品形态：
基于License控制 Firewall功能模块化
防火墙主要技术介绍-技术原理
1 2
灵活高性能的安全规则 丰富的防火墙特性 强大的VPN 细致的QoS流量管理 可靠的多机热备
Super V主要功能特性
3
4
5
高性能的抗攻击
案例1. 登录管理
WEB管理---首页信息
案例1. 登录管理
WEB管理---仪表盘
案例1. 登录管理UTM
WEB管理UTM---仪表盘2
案例1. 登录管理
WEB管理---接口流量曲线
案例1. 登录管理
WEB管理---最新事件
模块许可开通
• • • 默认情况下很多功能没有开通，需要在模块许可功能中开启 如果是UTM设备，则需要开启防病毒和IPS功能 开启功能后需要刷新页面才能看到相应的菜单
注意，如果您拿到的是双电源的设备，只接一根电源的话， 设备会发出蜂鸣声报警，可以按一下电源插口旁边的红色 按钮来取消报警
当上述准备工作完成后，我们在管理主机打开IE 浏览器并输入https://10.1.5.254:8889，出现选择证书提示后,选择 名称为“10.1.5.200”的证书，再点击“确定”按钮。 注意：请使用IE8.0的浏览器来管理设备，其他浏览器可能会出现异常
防止数据窃听和篡改
Anti-Spam
Web Filter
防火墙主要技术介绍-硬件发展
通用处理器架构 ASIC架构 NP网络处理器架构 多核硬件架构
18
防火墙主要技术介绍-自主知识产权VSP
防火墙主要技术介绍-硬件架构
防火墙主要技术介绍-硬件架构
• 上图的硬件架构具有下面特点：
– 系统中集中多个CPU（，这些CPU可以并发地执行多个指令， 不象单CPU采用时分复用或者流水线方式达到逻辑上并发执行 指令，各个CPU有自己独立的指令单元，相互之间没有依赖； – 每个CPU内部有多个线程T1…Tn，每个线程有自己独立的算术 逻辑单元、寄存器组和控制单元，如果一个Chip上有m个CPU， 每个CPU有n个Thread，那么一个Chip上相当于有m×n个虚拟 CPU；所以Super V一共具备N个可独立进行运算的vCPU，成 为高性能安全网关处理系统核心