联想网御防火墙PowerVWeb界面操作基础手册系统配置.doc

第3章 系统配置
本章关键介绍防火墙系统配置，由以下部分组成：日期时间，系统参数，系统更新，管理配置，联动，汇报设置，入侵检测和产品许可证。
3.1 日期时间

防火墙系统时间正确性是很关键。

能够采取两种方法来同时防火墙系统时钟
1) 和管理主机时间同时
2) 和网络时钟服务器同时（NTP协议）

图 31配置防火墙时间
和管理主机时间同时
1. 调整管理主机时钟
2. 点击“时间同时”按钮

和时钟服务器时间同时有两种方法
1. 立即同时
2. 周期性自动同时

立即同时
1. 选中“启用时钟服务器”，输入“时钟同时服务器IP”
2. 点击“立即同时”按钮

周期性自动同时
1. 选中“启用时钟服务器”，输入“时钟同时服务器IP”
2. 设定同时周期
3. 点击“确定”按钮系统参数

注意事项：
防火墙很多操作依靠于系统时间，改变系统时间会对这些操作发生影响，比如更改时间后配置管理界面登录超时等。
3.2 系统参数
系统参数设置防火墙名称和动态域名注册所使用用户名、密码。
防火墙名称最大长度是14个英文字符，不能有空格。默认防火墙名称是themis，用户能够自己修改这个名称。
动态域名注册所使用用户名、密码最大长度是31个英文字符，不能有空格。动态域名设置在网络配置>>网络设备物理网络配置中。

图 32系统参数配置图
3.3 系统更新
3.3.1 模块升级
防火墙系统升级功效能够快速响应安全需求，确保防火墙功效和安全快速升级。

图 33导入升级文件
模块升级界面包含以下功效
1. 模块升级
2. 导出升级历史
3. 检验最新升级包
4. 重启防火墙

模块升级
1. 点击“浏览”按钮，选择管理主机上升级包
2. 点击“升级”按钮
点击“重启防火墙”按钮，重启防火墙完成升级
导出升级历史
点击“导出升级历史”按钮，导出升级历史做备份。

检验最新升级包
管理员能够查看”系统目前软件版本”，点”检验最新升级包”，系统会弹出新IE窗口并连接联想安全服务网站（防火墙能够连接Internet）。

重启防火墙
点击“重启防火墙”按钮，防火墙将重新开启。
注意：重启防火墙前，记住要保留目前配置。“保留”快捷键：

3.3.2 导入导出

图 34导入导出配置文件
导入导出界面包含以下功效
1. 导出系统配置
2. 导入系统配置
3. 恢复出厂配置
4. 保留配置

导出配置
点击“导出配置”按钮，导出最终一次保留全部系统配置到管理主机。选中“导出成加密格式”，则加密配置文件。

导入配置
点击“浏览”按钮，在管理主机上选择要导入配置文件，点击“导入配置”按钮，导入配置文件，系统提醒导入成功，重起防火墙，导入配置生效。注意：导出配置文件带有防火墙软硬件版本信息，不能导入到别版本防火墙中，而且假如一样配置文件被导入到不一样防火墙中，且这些防火墙在同一网络时，可能会引发配置冲突，如IP地址，MAC地址等。

恢复出厂配置
点击“恢复出厂配置”按钮，防火墙全部配置丢失，恢复到出厂配置，重起防火墙后生效。

保留配置
点击“保留配置”，保留全部系统配置。也能够按上方保留快捷图标来保留。
3.4 管理配置
3.4.1 管理主机
管理员只有在管理主机上才能对防火墙进行管理，最多支持6个管理主机IP和1个集中管理主机，最少有1个管理主机IP不能被删除。

图 35添加、编辑管理主机
此界面完成以下功效
1. 添加管理主机
2. 删除管理主机
3. 转到“系统配置>>汇报设置>>集中管理”界面

添加管理主机
1. 输入管理主机IP
2. 在“说明”中，输入描述性文字，此步骤可忽略
3. 点击“确定”按钮完成添加

修改管理主机
1. 从“管理主机IP”列表中修改要修改管理主机IP
2. 点击“确定”按钮完成修改

删除管理主机
1. 从“管理主机IP”列表中删除要删除管理主机IP
2. 点击“确定”按钮完成删除
3.4.2 管理员账号
管理员按等级授权管理，说明以下：
表 31管理员等级和授权
管理员等级
授权
备注
超级管理员
增加、删除管理员帐号，不能直接配置管理。
默认管理员帐号和密码为administrator：administrator。
帐号administrator不能删除。
配置管理员
配置系统策略、网络配置、在线帮助。
无默认帐号
策略管理员
配置安全策略、资源定义、在线帮助。
无默认帐号
审计管理员
查看防火墙日志信息、在线帮助。
无默认帐号

默认只能有一个管理员登录防火墙进行配置管理，选择”允很多个管理员同时管理”时，防火墙系统才会允很多个管理员同时登录，但最好不要多个管理员同时进行修改配置。

图 36显示管理员账号
此界面可完成以下功效
1. 添加管理员账号
2. 编辑管理员账号
3. 删除管理员账号
4. 许可或严禁多个管理员同时管理
5. 设定管理员登录超时时间

图 37添加、编辑管理员账号
添加管理员账号
1. 点“添加”按钮，打开管理员账号维护界面
2. 输入账号、口令，并选择要添加管理员账号类型
3. 点“确定”按钮完成，点“添加下一条”能够继续添加管理员账号

编辑管理员账号
1. 点操作栏中“编辑”快捷图标，打开管理员账号维护界面
2. 修改口令或账号类型
3. 点“确定”按钮完成

删除管理员账号
1. 点操作栏中“删除”快捷图标，弹出删除对话框
2. 点“确定”按钮完成删除

许可或严禁多个管理员同时管理
选择“允很多个管理员同时管理”时，防火墙系统才会允很多个管理员同时登录。

设定管理员登录超时时间
管理员登录后假如长时间没有操作，配置界面会超时，超时时间也在这里设置，缺省值是600秒，最大超时时间可设为86400秒（二十四小时），0是非法值。设置后点击“确定”生效。
3.4.3 管理证书
本界面完成关键证书管理。管理证书为标准CA证书。
不管使用电子钥匙认证，还是直接使用证书认证，均是经过https协议访问，即使用管理证书完成SSL加密。
管理员经过电子钥匙认证成功，访问https://防火墙可管理IP:8888，登录防火墙配置界面，使用防火墙web服务器服务器端证书进行信道加密。防火墙出厂时预置了一套证书（CA中心证书、防火墙证书、防火墙密钥），管理员能够点击CA中心证书链接、防火墙证书链接进行查看。管理员也能够更新此套证书，按”系统配置>>管理配置>>管理证书”界面提醒直接导入即可。
管理员经过IE完成证书认证，访问https://防火墙可管理IP:8889，登录防火墙配置界面，使用防火墙web服务器用户端证书进行信道加密。当管理员使用证书方法进行身份认证时，必需在防火墙中导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书），并在管理主机IE中导入管理员证书。管理员能够点击CA中心证书链接、防火墙证书链接进行查看。管理员能够查看导入管理员证书列表。

此界面包含以下功效
1. 到联想CA中心下载证书
2. 导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书）
3. CA中心证书、防火墙证书查看
4. 管理员证书维护（生效、删除）

图 38导入和显示管理证书
操作步骤：
1. 管理员向CA中心申请证书，选择一套匹配CA中心证书、防火墙证书、防火墙密钥”导入”。
2. 管理员要将选择匹配管理员证书”导入”。点”生效”，使用相关管理员证书生效。
3. 下次登录防火墙系统前，请将有效管理员证书导入管理主机IE浏览器中，访问https://防火墙可管理IP:8889，进入防火墙配置管理界面。

注意：CA中心证书、防火墙证书、防火墙密钥必需是配套。只接收PEM格式证书。

下载证书
点“联想CA中心”按钮，打开联想CA中心主页，下载证书

导入证书
点“浏览”按钮，分别导入一套匹配CA中心证书、防火墙证书、防火墙密钥、管理员证书。CA中心证书、防火墙证书、防火墙密钥必需同时更换。

管理员证书维护
管理员证书维护包含生效和删除，在“生效”一栏选择要生效证书，点“生效”按钮则生效选中证书。在“操作”一栏中，点“删除”图标，删除此证书。

3.4.4 管理方法
防火墙提供WEB界面和CLI命令行两种管理方法。能够经过网口访问、串口访问，支持拨号(PPP)连接。
WEB管理方法和串口命令行方法默认打开，不可关闭。
使用WEB方法管理防火墙，管理主机必需能经过网络访问防火墙，而且其IP地址必需在防火墙上设置（参考：系统配置>>管理配置>>管理主机）。
使用串口命令行方法管理，在关闭PPP接入情况下，管理主机经过串口连接防火墙CONSOLE口登录；假如打开了PPP接入方法，则转移到AUX口登录。
“启用远程SSH”后，管理主机能够经过网络连接（通用网口或PPP连接均可），利用secure crt或putty 等终端管理软件登录防火墙命令行界面进行管理。
打开”支持拨号(PPP)接入”选项。前提是Modem连接到电话线路上，并将防火墙CONSOLE口连接Modem，管理主机经过另外一个Modem也接入电话线路，从管理主机向防火墙拨号，拨号成功后，防火墙和管理主机建立了PPP连接。此时，能够从管理主机上利用putty软件登录防火墙命令行界面（远程SSH方法）。

图 39显示和配置管理方法
3.5 联动
3.5.1 IDS产品
支持IDS产品联动，包含PUMA协议和产品Puma、OPSEC协议和产品Safemate、天阗产品Venus、天眼产品Netpower。

当IDS联动产品发觉入侵攻击行为时，会通知防火墙。防火墙会按IDS产品通知阻断方法、阻断时间和入侵主机相关信息，对入侵主机进行阻断。

防火墙阻断方法包含：
l 对”源IP地址”阻断
l 对”源IP地址、目标IP地址、目标端口、协议”阻断、
l 对”源IP地址、目标IP地址、协议、方向（单向、双向、反向）”阻断

防火墙阻断协议包含：TCP / UDP / ICMP和全部协议（any）。

图 310 IDS产品

表 32 IDS产品功效说明
域名
说明
启用“网御通用安全协议（PUMA）入侵检测系统”联动
选择正确密钥文件导入后，启用”网御通用安全协议（PUMA）入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认5000/TCP），防火墙能够和之联动。
启用“天阗入侵检测系统统” 联动
启用” 天阗入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认/UDP），防火墙能够和之联动。
启用“天眼入侵检测系统”联动
选择正确证书导入后，启用”天眼入侵检测系统”，并指定产品IP地址、防火墙端服务端口（默认4000/TCP），防火墙能够和之联动。
启用“safemate入侵检测系统”联动
选择正确密钥文件导入后，启用”safemate入侵检测系统”，并指定防火墙端服务端口（默认/UDP），防火墙能够和之联动。
忽略指定IP地址自动阻断
当管理员不期望部分尤其IP被防火墙阻断时，能够在”忽略以下IP地址自动阻断”列表中加入这些IP。假如在配置忽略某IP地址自动阻断之前，已经下了该IP自动阻断规则，则需要将这些自动阻断规则清除，才能实现忽略指定IP地址自动阻断。
立即清除全部自动阻断
能够立即清除全部自动阻断。

注意：每个联动请配置不一样联动端口，如配置成同一端口，则只启用界面上次序靠后联动系统。

3.5.2 用户认证服务器
为了增强从内网访问外网时访问控制，提供不受服务种类限制用户认证系统，能够为包过滤、双向NAT、代理等访问控制提供用户认证功效。管理员能够启用防火墙当地帐号服务器，也能够启用标准RADIUS服务器。即，防火墙用户认证使用是RADIUS账号库，并支持RADIUS服务器审计功效。

图 311用户认证配置图

此界面包含以下功效
1. 配置认证端口和监控端口
2. 选择认证服务器
3. 配置RADIUS认证服务器

配置认证端口和监控端口
使用用户认证服务器，管理员必需配置防火墙用户认证模块监听认证端口、检测用户在线情况监控端口。

选择认证服务器
管理员能够启用防火墙当地帐号服务器，也能够启用标准RADIUS服务器。
默认使用防火墙当地帐号服务器。当地帐号服务器能够提供更多控制功效：
² 提供基于角色用户策略，并和安全规则策略配合完成强访问控制。关键包含：安全策略和授权服务，其中，安全策略是限制用户在什么时间、什么源IP地址能够登录防火墙系统，而授权服务则定义了该用户经过认证后能够享受服务。
² 支持对用户帐号流量控制和时间控制
² 用户端能够修改密码
² 服务器端检验用户在线状态
² 支持PAP 和S/Key认证协议

配置RADIUS认证服务器
启用RADIUS认证服务器，需要配置RADIUS认证服务器所在IP地址、认证端口中、审计端口及和防火墙加密通信密钥。
3.6 汇报设置
3.6.1 日志服务器
防火墙各功效模块提供标准日志统计。
启用日志统计后，默认情况下日志存放在防火墙当地。防火墙也能够将日志发往第三方日志服务器，
日志服务器能够和防火墙任意网口连接。
防火墙提供随机日志服务器软件，提供强大日志存放和审计功效。

图 312日志服务器配置
此界面提供以下功效
1. 配置日志服务器
2. 转到“系统监控>>日志信息”界面

配置日志服务器
需要管理员配置日志服务器IP、防火墙和日志服务器通信协议和端口。防火墙默认使用syslog方法向第三方发送日志，端口514 / 协议UDP。

转到“系统监控>>日志信息”界面
点“查看日志”按钮，转到“系统监控>>日志信息”界面
3.6.2 报警邮箱
能够设置防火墙报警邮箱。在集群模块启用时，能够给防火墙管理员发报警邮件。

图 313报警邮箱配置
此界面包含以下功效
1. 配置报警邮箱
2. 转到“网络配置>>域名服务器”界面

配置报警邮箱
配置报警邮箱并指定该邮箱所在SMTP服务器IP地址和端口

转到“网络配置>>域名服务器”界面
点“修改DNS配置”按钮，转到“网络配置>>域名服务器”界面。假如不能正常发邮件，请检验DNS配置是否正确。
3.6.3 集中管理
支持防火墙集中管理（SNMP v2,v3）。防火墙能够和联想网御集中安全管理系统无缝联动。
管理员配置集中管理主机IP和各项监控信息阀值。当防火墙运行信息超出阀值后，经过SNMP协议和该集中管理主机发trap信息。
监控信息包含：系统名字版本号序列号、CPU利用率、内存利用率、网络接口状态、网络连通状态。经过TRAP信息发给集中管理中心，为网络管理人员提供全方面、易用、高效实时监控网络资源使用情况工具和手段。相关信息也能够在防火墙”系统监控>>网络接口”界面和”系统监控>>资源状态”查看。

图 314集中管理配置图

表 33集中管理配置元素表
域名
说明
集中管理主机IP
集中管理主机IP
防火墙名称
防火墙名称
本机备注
对防火墙描述
责任人姓名

责任人电话

CPU利用率阀值
假如实际利用率超出该值，则向集中管理主机发送报警信息
内存利用率阀值
假如实际利用率超出该值，则向集中管理主机发送报警信息
磁盘利用率阀值
假如实际利用率超出该值，则向集中管理主机发送报警信息

输入以上各域内容，点“确定”完成集中管理主机配置。
3.7 入侵检测
防火墙本身关键在链路层进行访问控制，入侵检测技术是防火墙技术逻辑赔偿。作为一个数据通信监视手段，入侵检测技术对于每一个进出数据包全部要进行解码分析和模式匹配，假如发觉该数据包中含有和已知攻击方法特征库相匹配数据，则断定有入侵事件发生，发出警报提醒管理员注意，并能够自动阻断源IP地址，立即地将攻击者拒之门外。联想网御防火墙将入侵检测技术无缝地集成到本身当中，极大地提升了防火墙检测数据驱动型攻击能力。因为防火墙本身布署特点，只能对经过防火墙数据包进行检测，假如用户需要对整个网络潜在攻击进行监控，提议选择联想网御系列入侵检测产品。

入侵检测模块关键功效特点包含：
l 实时网络数据流监控
实时监视进出防火墙全部通信流，分析网络通信会话轨迹。信息搜集和分析同时进行，快速反应，一旦发觉可疑信息，立即报警并响应。

l 网络攻击模式匹配
预置已知攻击模式规则库，能检测多个攻击行为，最大程度地防范黑客入侵和内部用户非法使用。规则库能够在线升级，确保能够识别最新黑客攻击手段。

l 针对入侵行为实时自动响应
能够自动响应入侵事件，除了报警和写日志外，能够做到实时阻断可疑连接，同时防火墙还能够和其它厂商IDS产品如“天阗”、“天眼”IDS实现联动，威力强大。

l 灵活检测策略设置
内置十六种检测策略，用户能够随意组合使用，做到量体裁衣，突出关键。

l 支持用户添加自定义检测规则
用户能够依据自己实际情况和感爱好安全事件添加自定义检测规则，表现个性化服务。

l 支持高级用户调整检测规则
管理员可依据IDS保护网络具体情况，调整检测策略中检测规则，将轻易引发误报规则禁用，愈加好地提升入侵检测效率。
l 全天候报警方法
可自动将报警信息传送到管理员电子邮箱，显现在移动通讯设备上，实现离线监控。

经典应用实例以下：

Internet
网站主服务器
提供WWW和FTP服务
内部网

图 315经典应用拓扑

某企业内部网拓扑图图2-15，防火墙三个网口分别连接到内部网、对外服务器和路由器。内部网主机经过防火墙能够访问对外服务器和Internet；外部网络能够访问对外服务器，但不能访问内部网。企业网络管理员期望启用防火墙入侵检测功效，以发觉多种非法入侵企图，并启用自动响应功效，将出现在“检测结果”中源IP地址自动阻断一段时间。

3.7.1 基础配置
首先，登录防火墙配置管理界面后，经过左侧菜单栏系统配置>>入侵检测，即出现入侵检测管理界面。
图 315基础配置
基础配置能够设置是否开启入侵检测，及监听网口和网段。
3.7.2 策略配置
策略配置能够许可管理员选择一些策略使之生效，以对付入侵。

图 316入侵检测策略配置

ids报警邮箱设置和整个系统报警邮箱设置在一起，系统报警邮箱设置在系统配置-〉汇报设置-〉报警邮箱下，
设置好报警邮箱后，ids系统会在入侵纪录达成100条或时间间隔达成30秒时，自动发送全部入侵纪录到此邮箱中。
3.7.3 自定义检测
从列表中能够查看目前全部自定义规则，管理员能够生效或失效一条规则，来检测或取消检测某一类入侵事件。

管理员能够添加一条自定义规则，以下所表示：

图 317自定义入侵规则列表

注意事项：
l 假如正常网络行为引发某条规则大量误警，能够将该条规则禁用。自动响应功效最好在正常运行一段时间后，当误报已经降低到很低程度时再启用。
l 有时FTP服务器或DNS服务器会引发扫描报警，这属于误报，能够调整扫描时间阈值或将这些服务器IP地址添加到忽略扫描报警地址列表中。
l 有时在检测结果中会看到对外服务器IP出现在攻击者源地址中，比如从对外服务器80端口到某个外部IP地址高端口，报警信息为发觉了403 forbidden特征字符串。这条报警信息并不意味着对外服务器是攻击者，恰恰相反，正是因为某个外部IP经过防火墙向对外服务器提议了非法web请求，造成服务器返回“403 严禁访问”信息，所以攻击者是外部IP地址主机。不过因为防火墙自动响应功效只阻断检测结果中源IP地址，所以为了确保服务器不被阻断，最好将服务器IP地址放入忽略自动阻断地址列表中。
3.7.4 扫描检测配置
管理员点击“扫描检测配置”，将扫描时间阈值由3分钟内发觉5次端口连接调整为10秒钟内发觉3次端口连接。以下图所表示。

图 318扫描检测配置

3.7.5 自动响应配置
管理员能够启用自动响应功效，并设置阻断时间为12秒。以下图所表示：

图 319自动响应功效

设置完成后，自动响应功效生效。一旦有触发检测规则可疑事件发生，出现在检测结果中源IP地址立即被自动列入系统黑名单中，提议者通信被防火墙阻断，可疑行为将无法继续进行下去。管理员能够自定义阻断时间（以秒为单位），假如不填写时间，则视为永远不解除阻断。
清除已经阻断IP地址，能够清除防火墙系统全部已经阻断IP地址，包含ids联动系统阻断地址。
注意：攻击者能够伪造地址进行攻击，所以开启改项功效有可能造成对被伪造IPDOS攻击或网络通信异常，所以推荐通常情况下不要打开此项功效。
3.7.6 检测结果
管理员点击界面中“检测结果”，能够查看全部入侵，页面以下所表示。

图 320检测结果

3.8 产品许可证
经过本页面能够将您获取到防火墙模块许可证上载，并导入到防火墙。上载成功后，请您保留系统配置，并重启防火墙，以使新模块生效。

图 321产品许可证上载页面