HillStone最新配置手册

HillStone SA-2001配置手册

1 网络端口配置 (2)

2 防火墙设置 (12)

3 VPN配置 (14)

4 流量控制的配置 (25)

4.1P2P限流 (25)

4.2禁止P2P流量 (26)

4.3IP流量控制 (29)

4.4时间的设置 (30)

4.5统计功能 (33)

5 基础配置 (36)

本文是基于安全网关操作系统为Version 3.5进行编写，如版本不同，配置过程有可能不一样。

1 网络端口配置

SA-2001安全网关前面板有5个千兆电口、1个配置口、1个CLR按键、1个USB接口以及状态指示灯。下图为SA-2001的前面板示意图：

序号标识及说明序号标识及说明

1 PWR：电源指示灯 5 CLR：CLR按键

2 STA：状态指示灯 6 CON：配置口

3 ALM：警告指示灯7 USB：USB接口

4 VPN：VPN状态指示灯8 e0/0-e0/4：以太网电口

将网线接入到E0/0。防火墙的ethernet0/0接口配有默认IP地址192.168.1.1/24，但该端口没有设置为DHCP服务器为客户端提供IP地址，因此需要将PC机的IP地址设置为同一网段，例如192.168.1.2/24才能连上防火墙。

通过IE打开192.168.1.1，然后输入默认的用户名和密码（均为hillstone）登录后的首页面。可以看到CPU、内存、会话等使用情况。

很多品牌的防火墙或者路由器等，在默认情况下内网端口都是划分好并且形成一个小型交换机的，但是hillstone的产品却需要自己手工设置。在本文档中，我们准备将E0/0划分为UNTRUST口连接互联网，E0/1～E0/4总共4个端口我们则划到一个交换机中并作为TRUST口连接内网。

在网络－接口界面中，新建一个bgroup端口，该端口是一个虚拟的端口。

因为bgroup1接口需要提供路由功能，因此需要划入到三层安全域（trust）中。输入由集团信息中心提供的IP地址。在管理设置中，尽量将各个管理功能的协议打开，尤其是HTTP 功能。

建好bgroup1之后，对网络－接口页面中的e0/1～e0/4分别修改，依次将它们划归为bgroup1。

设置好交换机功能后，还需要设置DHCP功能，以便PC机接入时可以自动获取IP地址。新建一个DHCP地址池

根据集团信息中心提供的IP地址段设置IP地址池。租约里尽量将时间设大一些，这样在追查记录的时候，不会因为PC机的IP地址频繁发生变动而难以追踪。

确定之后，POOL1的地址则建好了，不过，还需要修改DNS才能让PC机可以访问到集团内网。编辑POOL1进入高级配置界面。

DNS1和DNS2分别设置为集团总部的10.0.1.11和10.0.1.13两个DNS。

设置完地址池之后，需要将该地址池捆绑到bgroup1以便让bgroup1可以为PC机分配IP地址。

确认以上步骤操作成功后，将原来连接到E0/0的网线任意插入到E0/1~E0/4的一个端口中，看看PC机是否可以获取到IP地址了。通过IPCONFIG/ALL命令可以看到，PC机这时候已经获取到IP及DNS了。

将原来的IE浏览器关闭，重新打开IE浏览器、输入网关地址（即bgroup1的地址）并输入用户名密码。

确认完E0/1-4的任意一个TRUST口能获取IP后，即可修改E0/0为对外连接端口。本文档中是以E0/0为ADSL拨号连接为示例。新建一个PPPOE配置

输入ADSL的用户名及密码。将自动重连间隔修改为1，否则ADSL不会自动重拨。

默认配置中，E0/0是属于trust域的，需要将该端口修改为untrust并将PPPOE捆绑到该端口。点击网络－接口，并修改E0/0的设置。启用设置路由。管理的协议中，原来默认均开启了e0/0所有的管理端口，我们可以在稍后确认所有的配置均调试完毕后关闭一些协议以增强防火墙的安全性。

点击确定后，可以看到e0/0已经划入到untrust的安全域中。

2 防火墙设置

源NAT规则指定是否对符合条件的流量的源IP地址做NAT转换。通过基本选项的配置指定源NAT规则中流量应符合的条件。符合条件的流量才能按照规则指定的行为进行转换。

HillStone安全网关与其他品牌的防火墙在策略配置中的其中一个区别就是NAT设置。其他防火墙一般都是自动设置好，但在HillStone中，必须要手工将上网行为和访问内网的NA T策略明确区分才行。

建立一条让项目PC可以访问互联网时进行NA T转换的策略。

在防火墙－NAT－源NAT中新建一条基本配置的策略

源地址选择ipv4.bgroup1_subnet，出接口仍然是选择e0/0。行为选择NAT（出接口IP）

NA T策略建立好之后，在防火墙－策略中需要新建访问策略。源安全域选择trust，目的安全域选择untrust，点击新建

服务簿中选择ANY，即默认允许所有的网络应用均可使用。

行为默认为允许

3 VPN配置

设置完网络端口的配置之后，开始设置VPN。HillStone的VPN设置跟5GT或者FVS114有点区别，需要手工先设置合适的P1提议和P2提议。点击VPN－IPSec VPN。

在P1提议中新建一个提议，如gemdale-p1。集团现在均使用pre-shared key-MD5-3DES-Group2的加密策略。

同样的方式再新建一个P2。选用ESP-MD5-3DES-No PFS

新建完P1和P2之后，开始新建一个IPSec VPN。在IKE VPN列表中点新建

输入对端名称gemdale（可以随便起名，不同防火墙设备均可以设置相同的名字。为方便识别，这里可以统一设置为gemdale）。接口设置为对外连接的端口－E/0。模式为野蛮模式（aggressive mode）。静态IP61.144.195.60指向集团总部防火墙。本地ID一定要设置，一般由集团信息中心提供（常为城市＋项目名＋用途，如上海赵巷项目部为shzhaoxxmb）。对端ID可以不用设置。提议1则选用前面新增的gemdale-p1。共享密钥为便于记忆可以设置与本地ID一致。（这些设置均须与集团信息中心协商）