《华三商务领航网关1-2和2-1配置与维护v3.3》由会员分享，可在线阅读，更多相关《华三商务领航网关1-2和2-1配置与维护v3.3（92页珍藏版）》请在金锄头文库上搜索。
1、商务领航1-2及2-1网关配置与维护ISSUE 3.3日期：杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播2n 商领1-2及2-1网关介绍n 商领网关功能配置与维护目录3商务领航网关1-2和2-1家族1-21-22-1（逐渐使用2-1+替换供应）2-1+2-1+4商务领航网关1-2控制口WAN x 2LAN x 4WLAN天线 x 1长按5秒重启并恢复出厂配置 5秒以下重启接地5商领网关2-1WLAN天线 x 2控制口WAN x 1LAN x 4长按5秒重启并恢复出厂配置 5秒以下重启接地扩展槽主天线从天线主天线从天线6商领网关2-1+WLAN天线 x 2控制口WAN x 2LAN
2、 x 8长按5秒重启并恢复出厂配置 5秒以下重启接地主天线从天线主天线从天线7网关版本的选择和特性差异1-22-12-1+版本文件关键 字ICG2000XICG2000_CTICG2000X示例ICG2000X- CMW520- E1807P01.BINICG2000_CT- CMW520- E1807P01.BINICG2000X- CMW520- E1807P01.BIN 三款设备师出同门，只是性能、接口数量有所差别 在版本号相同情况下，功能基本相同，配置方法完全一致 早期2-1设备使用16M Flash，一些新特性如SSL VPN没有合入ICG2000X-CMW520-E1807P01.
3、BIN 设备型号标识版本编号 ICG2000_CT-CMW520-E1807P01.BIN8n 商领1-2及2-1网关介绍n 商领网关功能配置与维护目录91-2及2-1配置与维护n 设置VLAN n 修改WLAN n 内部服务器 n 地址绑定 n 互联网访问控制 n 应用限制 n 群组功能 n 内部访问隔离 n 3G上网 n VPN-L2TP n VPN-SSL VPN n VPN-IPSec目录10设置VLAN无线VLAN1（默认） 192.168.1.2192.168.1.40有线VLAN2（新增） 192.168.2.2192.168.2.100有线VLAN3（新增） 192.168.3
4、.2192.168.3.50E0/2E0/7E0/8E0/9ChinaNet-A780按不同用途、不同接入方式 划分VLAN可以为后续业务 控制提供配置基础I11设置VLAN2（未完）12设置VLAN2（完成）131-2及2-1配置与维护n 设置VLAN n 修改WLAN n 内部服务器 n 地址绑定 n 互联网访问控制 n 应用限制 n 群组功能 n 内部访问隔离 n 3G上网 n VPN-L2TP n VPN-SSL VPN n VPN-IPSec目录14修改WLAN无线VLAN1 默认使用WEP加密有线VLAN2有线VLAN3E0/2E0/7E0/8E0/9ChinaNet-A780默认
5、WLAN的接入认证密码 不利于安全性和记忆，通常 需要自行修改I15修改WLAN接入服务（未完）16修改WLAN接入服务（完成）171-2及2-1配置与维护n 设置VLAN n 修改WLAN n 内部服务器 n 地址绑定 n 互联网访问控制 n 应用限制 n 群组功能 n 内部访问隔离 n 3G上网 n VPN-L2TP n VPN-SSL VPN n VPN-IPSec目录18Internet内部服务器访问需求无线VLAN1 192.168.1.2192.168.1.40有线VLAN2 192.168.2.2192.168.2.100E0/2E0/7E0/8E0/9ChinaNet-A780
6、中小企业通常只有1个公网地址，并用在 公司网络出口。通过内部服务器端口映射 机制可以实现访问同一个公网地址提供多 种内部服务，避免服务器所有端口暴露的 安全隐患。192.168.3.2 TCP 80端口WAN地址：117.20.34.6 TCP 80端口映射 192.168.3.2-TCP 80 TCP 443端口映射 192.168.3.3-TCP 443192.168.3.3 TCP 443端口19内部服务器设置（未完）20内部服务器设置（结束）注意 很多时候因为内部服务器没有设置网关地址，导致外部无法访问，请仔细检 查。 如在本例中，内部服务器192.168.3.2和192.168.3.
7、3都要将网关设置为 192.168.3.1。21Internet内部服务器隐藏端口E0/8E0/9192.168.3.2 TCP 80端口 TCP 37777端口（隐藏）WAN地址：117.20.34.6 TCP 80端口映射 192.168.3.2-TCP 80 TCP 37777端口映射（隐藏） 192.168.3.2-TCP 37777有的服务器，特别是视频监控服务器，通 常使用双端口，80端口提供WEB登录， 利用另外一个端口（隐藏是通常不被人不 了解）提供视频。确定隐藏端口的方法： 1. 访问客户端安装WireShark 2. 设置好浏览器，确保打开网页所相关ActiveX插 件已经
8、安装 3. 访问前启动WireShark抓包 4. 进行正常访问 5. 对抓包进行分析过滤，发现隐藏端口 6. 根据找出的隐藏端口添加内部映射22内部PC通过域名访问内部服务器Internet无线VLAN1 192.168.1.2192.168.1.40有线VLAN2 192.168.2.2192.168.2.100E0/8E0/9很多时候内部服务器也要对内部PC提供 访问，访问通常是通过域名方式进行，域 名访问对于互联网用户是完全没有问题的 ，对于内部PC访问则需要添加设置WAN地址：117.20.34.6 TCP 80端口映射 192.168.3.2-TCP 80192.168.3.2 T
9、CP 80端口 TCP 37777端口访问23原因24解决方案配置前准备 确定内部服务器地址及所有服务端口，本例中是假设是VLAN3中的 192.168.3.2的TCP 80和37777端口 确定需要访问内部服务器的内部PC地址范围，假设这里是VLAN2的 192.168.2.0/24和VLAN1的192.168.1.0/24 命令行配置命令行撤销可以使用undo命令 undo acl number 3400删除访问控制列表3400 undo nat outbound 3400可以在接口中的nat outbound 3400命令撤销acl number 3400 rule 0 permit t
10、cp source 192.168.2.0 0.0.0.255 destination 192.168.3.2 0 destination-port eq 80 rule 5 permit tcp source 192.168.2.0 0.0.0.255 destination 192.168.3.2 0 destination-port eq 37777 rule 10 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.3.2 0 destination-port eq 80 rule 15 permit tcp sour
11、ce 192.168.1.0 0.0.0.255 destination 192.168.3.2 0 destination-port eq 37777 interface vlan-interface 3 nat outbound 251-2及2-1配置与维护n 设置VLAN n 修改WLAN n 内部服务器 n 地址绑定 n 互联网访问控制 n 应用限制 n 内部访问隔离 n 3G上网 n VPN-L2TP n VPN-SSL VPN n VPN-IPSec目录26地址绑定无线VLAN1 192.168.1.2192.168.1.40有线VLAN2 192.168.2.2192.168.2
12、.100有线VLAN3 192.168.3.2192.168.3.50E0/2E0/7E0/8E0/9ChinaNet-A780内部网络安全问题日益突出，尤以ARP 欺骗问题为甚，问题发生时，无法访问任 何网络。I27ARP扫描 操作前准备 记录内部每个PC的MAC地址和IP地址，保证操作时的准确性 在网络正常时进行ARP扫描，对所有VLAN的所有IP进行 记录 网络正常时扫描才能获得完全正确的IP-MAC对应关系28ARP固化扫描结束后可以对扫描结果固化下来 可以将静态设置IP地址的记录固化，对于DHCP地址池中的IP可以不固化 固化前可以检查扫描结果是否和事前统计结果一致，如果不一致则说明
13、存在ARP 欺骗或者统计错误，需要仔细确认 千万不要固化错误的记录，固化错误的后果和欺骗是一致的291-2及2-1配置与维护n 设置VLAN n 修改WLAN n 内部服务器 n 地址绑定 n 互联网访问控制 n 应用限制 n 群组功能 n 内部访问隔离 n 3G上网 n VPN-L2TP n VPN-SSL VPN n VPN-IPSec目录30无线VLAN1 192.168.1.2192.168.1.40有线VLAN2 192.168.2.2192.168.2.100有线VLAN3 192.168.3.2192.168.3.50E0/2E0/7E0/8E0/9ChinaNet-A780有些
14、PC因为信息安全原因，是不允许访 问互联网的。 Internet互联网访问控制31互联网访问控制有人使用根据时间访问控制无效果？ 原因在于设备系统时间不准确，1-2、2-1无内置电池，设备重启后 时间恢复成2007年1月1日。32解决方案-NTP网络时间服务器互联网中有一些熟知的NTP服务器，对外提供时间同步工作 比较著名的如和time.nist.gov 这些服务器都是分布式的，有诸多IP地址提供服务 这些服务器提供的多是格林威治时间，调整为北京时间还需设置时区修 正如果设备解析time.nist.gov或失败，可以使用如下 几条命令替代display clock ntp-service unicast-server ntp-service unicast-server time.nist.gov clock timezone BeiJing add 8:00:00 display clockdisplay clock ntp-service unicast-server 207.46.232.182 ntp-service unicast-server 207.46
