《联想网御防火墙powerv-web界面操作手册-3系统配置资料》由会员分享，可在线阅读，更多相关《联想网御防火墙powerv-web界面操作手册-3系统配置资料（18页珍藏版）》请在金锄头文库上搜索。
1、网御防火墙 PowerV Web界面操作手册第3章 系统配置本章主要介绍防火墙的系统配置，由以下部分组成：日期时间，系统参数，系统更新，管理配置，联动，报告设置，入侵检测和产品许可证。3.1 日期时间防火墙系统时间的准确性是非常重要的。可以采取两种方式来同步防火墙的系统时钟1) 与管理主机时间同步2) 与网络时钟服务器同步（NTP协议）图 31配置防火墙时间与管理主机时间同步1. 调整管理主机时钟2. 点击“时间同步”按钮与时钟服务器时间同步有两种方式1. 立即同步2. 周期性自动同步立即同步1. 选中“启用时钟服务器”，输入“时钟同步服务器IP”2. 点击“立即同步”按钮周期性自动同步1.
2、选中“启用时钟服务器”，输入“时钟同步服务器IP”2. 设定同步周期3. 点击“确定”按钮系统参数注意事项：防火墙的很多操作依赖于系统时间，改变系统时间会对这些操作发生影响，比如更改时间后配置管理界面登录超时等。3.2 系统参数系统参数设置防火墙名称和动态域名注册所使用的用户名、密码。防火墙名称的最大长度是14个英文字符，不能有空格。默认的防火墙名称是themis，用户可以自己修改这个名称。动态域名注册所使用的用户名、密码的最大长度是31个英文字符，不能有空格。动态域名的设置在网络配置网络设备的物理网络配置中。图 32系统参数配置图3.3 系统更新3.3.1 模块升级防火墙系统升级功能可以快速
3、响应安全需求，保证防火墙功能与安全的快速升级。图 33导入升级文件模块升级界面包括以下功能1. 模块升级2. 导出升级历史3. 检查最新升级包4. 重启防火墙模块升级1. 点击“浏览”按钮，选择管理主机上的升级包2. 点击“升级”按钮点击“重启防火墙”按钮，重启防火墙完成升级导出升级历史点击“导出升级历史”按钮，导出升级历史做备份。检查最新升级包管理员可以查看”系统当前软件版本”，点”检查最新升级包”，系统会弹出新的IE窗口并连接联想安全服务网站（防火墙可以连接Internet）。重启防火墙点击“重启防火墙”按钮，防火墙将重新启动。注意：重启防火墙前，记住要保存当前配置。“保存”快捷键：3.3
4、.2 导入导出图 34导入导出配置文件导入导出界面包含以下功能1. 导出系统配置2. 导入系统配置3. 恢复出厂配置4. 保存配置导出配置点击“导出配置”按钮，导出最后一次保存的所有系统配置到管理主机。选中“导出成加密格式”，则加密配置文件。导入配置点击“浏览”按钮，在管理主机上选择要导入的配置文件，点击“导入配置”按钮，导入配置文件，系统提示导入成功，重起防火墙，导入的配置生效。注意：导出的配置文件带有防火墙软硬件版本的信息，不能导入到别的版本防火墙中，而且如果同样的配置文件被导入到不同防火墙中，且这些防火墙位于同一网络时，可能会引起配置冲突，如IP地址，MAC地址等。恢复出厂配置点击“恢复
5、出厂配置”按钮，防火墙所有配置丢失，恢复到出厂配置，重起防火墙后生效。保存配置点击“保存配置”，保存所有系统配置。也可以按上方保存快捷图标来保存。3.4 管理配置3.4.1 管理主机管理员只有在管理主机上才能对防火墙进行管理，最多支持6个管理主机IP和1个集中管理主机，至少有1个管理主机IP不能被删除。图 35添加、编辑管理主机此界面完成以下功能1. 添加管理主机2. 删除管理主机3. 转到“系统配置报告设置集中管理”界面添加管理主机1. 输入管理主机IP2. 在“说明”中，输入描述性文字，此步骤可忽略3. 点击“确定”按钮完成添加修改管理主机1. 从“管理主机IP”列表中修改要修改的管理主机
6、IP2. 点击“确定”按钮完成修改删除管理主机1. 从“管理主机IP”列表中删除要删除的管理主机IP2. 点击“确定”按钮完成删除3.4.2 管理员账号管理员按级别授权管理，说明如下：表 31管理员级别与授权管理员级别授权备注超级管理员增加、删除管理员帐号，不能直接配置管理。默认管理员帐号与密码为administrator：administrator。帐号administrator不能删除。配置管理员配置系统策略、网络配置、在线帮助。无默认帐号策略管理员配置安全策略、资源定义、在线帮助。无默认帐号审计管理员查看防火墙日志信息、在线帮助。无默认帐号默认只能有一个管理员登录防火墙进行配置管理，选择
7、”允许多个管理员同时管理”时，防火墙系统才会允许多个管理员同时登录，但最好不要多个管理员同时进行修改配置。图 36显示管理员账号此界面可完成以下功能1. 添加管理员账号2. 编辑管理员账号3. 删除管理员账号4. 允许或禁止多个管理员同时管理5. 设定管理员登录超时时间图 37添加、编辑管理员账号添加管理员账号1. 点“添加”按钮，打开管理员账号维护界面2. 输入账号、口令，并选择要添加的管理员账号类型3. 点“确定”按钮完成，点“添加下一条”可以继续添加管理员账号编辑管理员账号1. 点操作栏中“编辑”的快捷图标，打开管理员账号维护界面2. 修改口令或账号类型3. 点“确定”按钮完成删除管理员
8、账号1. 点操作栏中“删除”的快捷图标，弹出删除对话框2. 点“确定”按钮完成删除允许或禁止多个管理员同时管理选择“允许多个管理员同时管理”时，防火墙系统才会允许多个管理员同时登录。设定管理员登录超时时间管理员登录后如果长时间没有操作，配置界面会超时，超时时间也在这里设置，缺省值是600秒，最大超时时间可设为86400秒（24小时），0是非法值。设置后点击“确定”生效。3.4.3 管理证书本界面完成主要的证书管理。管理证书为标准的CA证书。无论使用电子钥匙认证，还是直接使用证书认证，均是通过https协议访问，即使用管理证书完成SSL的加密。管理员通过电子钥匙认证成功，访问https:/防火墙
9、可管理IP:8888，登录防火墙配置界面，使用防火墙web服务器的服务器端的证书进行信道加密。防火墙出厂时预置了一套证书（CA中心证书、防火墙证书、防火墙密钥），管理员可以点击CA中心证书的链接、防火墙证书的链接进行查看。管理员也可以更新此套证书，按”系统配置管理配置管理证书”界面提示直接导入即可。管理员通过IE完成证书认证，访问https:/防火墙可管理IP:8889，登录防火墙配置界面，使用防火墙web服务器的客户端的证书进行信道加密。当管理员使用证书方式进行身份认证时，必须在防火墙中导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书），并在管理主机的IE中导入管理员证书。管理
10、员可以点击CA中心证书的链接、防火墙证书的链接进行查看。管理员可以查看导入的管理员证书列表。此界面包括以下功能1. 到联想CA中心下载证书2. 导入一套证书（CA中心证书、防火墙证书、防火墙密钥、管理员证书）3. CA中心证书、防火墙证书查看4. 管理员证书维护（生效、删除）图 38导入和显示管理证书操作流程：1. 管理员向CA中心申请证书，选择一套匹配的CA中心证书、防火墙证书、防火墙密钥”导入”。2. 管理员要将选择匹配的管理员证书”导入”。点”生效”，使用相关管理员证书生效。3. 下次登录防火墙系统前，请将有效管理员证书导入管理主机的IE浏览器中，访问https:/防火墙可管理IP:88
11、89，进入防火墙配置管理界面。注意：CA中心证书、防火墙证书、防火墙密钥必须是配套的。只接受PEM格式的证书。下载证书点“联想CA中心”按钮，打开联想CA中心的主页，下载证书导入证书点“浏览”按钮，分别导入一套匹配的CA中心证书、防火墙证书、防火墙密钥、管理员证书。CA中心证书、防火墙证书、防火墙密钥必须同时更换。管理员证书维护管理员证书维护包括生效和删除，在“生效”一栏选择要生效的证书，点“生效”按钮则生效选中的证书。在“操作”一栏中，点“删除”的图标，删除此证书。3.4.4 管理方式防火墙提供WEB界面和CLI命令行两种管理方式。可以通过网口访问、串口访问，支持拨号(PPP)连接。WEB管
12、理方式和串口命令行方式默认打开，不可关闭。使用WEB方式管理防火墙，管理主机必须能通过网络访问防火墙，并且其IP地址必须在防火墙上设置（参考：系统配置管理配置管理主机）。使用串口命令行方式管理，在关闭PPP接入的情况下，管理主机通过串口连接防火墙的CONSOLE口登录；如果打开了PPP接入方式，则转移到AUX口登录。“启用远程SSH”后，管理主机可以通过网络连接（通用网口或PPP连接均可），利用secure crt或putty 等终端管理软件登录防火墙命令行界面进行管理。打开”支持拨号(PPP)接入”选项。前提是Modem连接到电话线路上，并将防火墙CONSOLE口连接Modem，管理主机通过
13、另外一个Modem也接入电话线路，从管理主机向防火墙拨号，拨号成功后，防火墙与管理主机建立了PPP连接。此时，可以从管理主机上利用putty软件登录防火墙命令行界面（远程SSH方式）。图 39显示和配置管理方式3.5 联动3.5.1 IDS产品支持IDS产品联动，包括PUMA协议和产品Puma、OPSEC协议和产品Safemate、天阗产品Venus、天眼产品Netpower。当IDS联动产品发现入侵攻击行为时，会通知防火墙。防火墙会按IDS产品通知的阻断方式、阻断时间和入侵主机的相关信息，对入侵主机进行阻断。防火墙阻断方式包括：l 对”源IP地址”阻断l 对”源IP地址、目的IP地址、目的端
14、口、协议”阻断、l 对”源IP地址、目的IP地址、协议、方向（单向、双向、反向）”阻断防火墙阻断协议包括：TCP / UDP / ICMP和所有协议（any）。图 310 IDS产品表 32 IDS产品功能说明域名说明启用“网御通用安全协议（PUMA）入侵检测系统”联动选择正确的密钥文件导入后，启用”网御通用安全协议（PUMA）入侵检测系统”，并指定产品的IP地址、防火墙端的服务端口（默认5000/TCP），防火墙可以与之联动。启用“天阗入侵检测系统统” 联动启用” 天阗入侵检测系统”，并指定产品的IP地址、防火墙端的服务端口（默认2000/UDP），防火墙可以与之联动。启用“天眼入侵检测系统”联动选择正确的证书导入后，启用”天眼入侵检测系统”，并指定产品的IP地址、防火墙端的服务端口（默认4000/TCP），防火墙可以与之联动。启用“safemate入侵检测系统”联动选择正确的密钥文件导入后，启用”safemate入侵检测系统”，并指定防火墙端的服务端口（默认2001/UDP），防火墙可以与之联动。忽略指定IP地址的自动阻断当管理员不希望一些特别IP被防火墙阻断时，可以在”忽略以下IP地址的自动阻断”列表中加入这些IP。如果在配置忽略某IP地址的自动阻断之前，已经下了该IP的自动阻断规则，则需要将这些自动阻断规则清除，才能实现忽略指定IP地址的自动阻断。立即清除所有自动阻断
