《srg2200&srg3200系列产品开局配置指导(v100r002c01)-201008-a》由会员分享，可在线阅读，更多相关《srg2200&srg3200系列产品开局配置指导(v100r002c01)-201008-a（95页珍藏版）》请在金锄头文库上搜索。
1、第三章 SRG2200/SRG3200 V100R002 系列产品 开局配置指导,SRG2200/SRG3200系列产品开局配置指导,课程目录,初始连接配置,基本命令行配置指导,1,2,典型组网配置参考,故障诊断与处理,基本WEB管理操作指导,4,3,课程目标,了解SRG2200/SRG3200系列产品基本命令行配置 了解SRG2200/SRG3200系列产品基本WEB管理 了解SRG2200/SRG3200系列产品典型组网的配置,SRG2200/SRG3200系列产品开局配置指导,课程目录,初始连接配置,基本命令行配置指导,1,2,典型组网配置参考,故障诊断与处理,基本WEB管理操作指导,4
2、,3,初始连接配置1,SRG2200/SRG3200 安全路由网关配置口登录的缺省用户名为admin，缺省用户密码为Admin123。其中，用户名不区分大小写，密码要区分大小写。,初始连接配置1,如果使用PC进行配置，需要在PC上运行终端仿真程序（如Windows3.1的Terminal，Windows98/Windows2000/Windows XP的超级终端），建立新的连接。如图所示，键入新连接的名称，单击“确定”。,在进行本地配置时， “连接时使用”一栏选择连接的串口。注意选择的串口应该与配置电缆实际连接的串口一致。,初始连接配置1,在串口的属性对话框中设置波特率为9600，数据位为8，
3、奇偶校验为无，停止位为1，流量控制为无，单击“确定”，返回超级终端窗口。,在超级终端中选择“属性/设置”，进入如图所示的属性设置窗口。选择终端仿真类型为VT100，单击“确定”，返回超级终端窗口。,初始连接配置1,打开设备电源开关。设备上电后，检查设备前面板上的指示灯显示是否正常。设备上电和重新启动的过程中，在配置终端的屏幕上首先将显示如下内容。,当出现如下 信息时，表明系统初始化完毕，设备已经正常运转，可以按“Enter”进入命令行配置界面，对SRG2200/SRG3200产品进行配置。,初始连接配置2,SRG2200/SRG3200 安全路由网关配置口登录的缺省用户名为admin，缺省用户
4、密码为Admin123。其中，用户名不区分大小写，密码要区分大小写。,用户连接好网线，开机就可以通过telnet或web方式连接到SRG设备，进行配置管理。,SRG2200/SRG3200系列产品开局配置指导,课程目录,初始连接配置,基本命令行配置指导,1,2,典型组网配置参考,故障诊断与处理,基本WEB管理操作指导,4,3,基本命令行配置指导,SRG2200/SRG3200的每个三层接口可以配置多个IP地址，其中一个为主IP地址，其余为从IP地址。主从地址可以是同一网段。一个接口只能有一个主IP地址，用下面的命令可修改接口的主IP地址和网络的掩码。请在接口视图下进行下列配置。,除了主IP地址
5、外，一个接口上还可配置多个从IP地址。配置从IP地址的主要目的在于使同一接口能位于不同的 子网上，从而产生以同一接口为输出端口的网络路由，这样通过同一接口实现与多个子网相连。请在三层接口 视图下进行下列配置。,2.1 接口配置,SRG2200/SRG3200设备支持通过CLI命令行方式进行配置管理。以telnet或超级终端登录设备通过命令行进行配置管理。下面对SRG2200/SRG3200基本命令行配置进行说明，更详细的配置说明请参考SRG2200/SRG3200产品命令行操作手册。,基本命令行配置指导,2.2 安全域配置,SRG2200/SRG3200上保留四个安全区域， 最大支持16个安全
6、区域（包括四个保留的区域）： 非受信区（Untrust）：低级的安全区域，其安全优先级为5 非军事化区（DMZ）：中度级别的安全区域，其安全优先级为50 受信区（Trust）：较高级别的安全区域，其安全优先级为85 本地区域（Local）：最高级别的安全区域，其安全优先级为100 用户也可以设置自定义安全域，自定义安全域必须设置了优先级后才能使用。安全区域优先级一旦设定 后，不允许再改。,基本命令行配置指导,2.3 包过滤配置,在系统视图下进行下列配置缺省包过滤，在安全域间视图下应用ACL规则。,基本命令行配置指导,2.4 ACL配置,在系统视图下创建ACL规则。,其中ACL的编号为20002
7、999表示基本ACL；30003999表示高级ACL。,基本命令行配置指导,基本命令行配置指导,2.5 NAT配置,在系统视图下创建NAT地址池和内部服务器，安全域间视图使能NAT ALG和应用NAT地址池。,基本命令行配置指导,基本命令行配置指导,2.6 ASPF配置,在安全区域间应用ASPF策略 。,在域间使能三元组ASPF时，可以引用范围为20003999的ACL规则。缺省情况下，禁止三元组ASPF处理功能 。,基本命令行配置指导,2.7 黑名单配置,在系统视图下配置黑名单功能 。,基本命令行配置指导,2.8 VLAN配置,在MIC卡插槽可同时支持两块5FE插卡，Ethernet 1/0
8、/01/0/4，2/0/02/0/4,共10个LAN口。它们都是 二层接口，类似交换机的接口，不能配置IP，但是可以划分到不同的VLAN。,每个LAN口都属于一个vlan，默认条件下它们都属于vlan 1，可以通过配置将它们加入不同vlan。请在LAN口的接口视图下进行下列配置,每个vlan中的所有LAN口可以对应一个vlanif接口(vlan 1除外)，该vlanif可以看作一个逻辑上的三层接口，同其他三层接口间可以进行三层转发，接口配置也与其他三层接口相同。,基本命令行配置指导,2.9 路由配置,在系统视图下配置静态路由 。,SRG2200/SRG3200支持动态路由RIP和OSPF，详细
9、的配置步骤请参见配套的操作手册系统视图下配置静态路由 。,基本命令行配置指导,2.10 E1配置,在E1接口视图下的主要命令 。,基本命令行配置指导,2.11 ADSL配置,在ADSL接口视图下配置以下命令 。,基本命令行配置指导,2.12 QOS配置,SRG2200/SRG3200支持拥塞管理、流量控制的QOS特性。其中拥塞管理的PQ、CQ、WFQ等队列只在E1、1FE及GE接口上支持。在系统视图下配置以下队列。,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,2.13 WLAN配置,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,基本命令行配置指
10、导,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,2.14 3G配置,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,2.15 G.SHDSL配置,基本命令行配置指导,2.16 攻击防范配置,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,基本命令行配置指导,更详细的配置说明请参考相应命令行操作手册。,SRG2200/SRG3200系列产品开局配置指导,课程目录,初始连接配置,基本命令行配置指导,1,2,典型组网配置参考,故障诊断与处理,基本WEB管理操作指导,4,3,基本WEB管理操作指导(以SRG2200为例),请用网线连接PC的网
11、口和SRG的g0/0/1口，按图示在IE地址栏输入http:/192.168.0.1 进入登录页面，输入用户名“admin”和口令Admin123”。,SRG2200/SRG3200设备支持通过WEB方式进行配置管理。下面以SRG2200为例对WEB管理基本操作进行简要描述，更详细的操作说明请参考SRG2200/SRG3200 WEB操作手册。SRG2200设备的初始配置为：g0/0/1接口配置默认IP为192.168.0.1/24；默认用户admin/Admin123，用户级别为3， 服务类型为telnet、web；web服务器功能自动开启。,基本WEB管理操作指导,登录成功后的主页面如下。
12、,基本WEB管理操作指导,3.1 接口配置(E1/ADSL),基本WEB管理操作指导,3.2 接口配置(WLAN),基本WEB管理操作指导,3.3 接口配置(3G),基本WEB管理操作指导,3.4 接口配置(G.SHDSL),基本WEB管理操作指导,3.5 安全域配置,基本WEB管理操作指导,3.6 包过滤配置,基本WEB管理操作指导,3.7 ACL配置,基本WEB管理操作指导,3.8 NAT配置,基本WEB管理操作指导,3.9 ASPF配置,基本WEB管理操作指导,3.10 黑名单配置,基本WEB管理操作指导,3.11 VLAN配置,基本WEB管理操作指导,3.12 路由配置,基本WEB管理
13、操作指导,3.13 攻击防范配置,更详细的配置说明请参考相应WEB管理操作手册。,SRG2200/SRG3200系列产品开局配置指导,课程目录,初始连接配置,基本命令行配置指导,1,2,典型组网配置参考,故障诊断与处理,基本WEB管理操作指导,4,3,典型组网配置参考(以下以SRG2200为例介绍),在这个组网环境中，SRG2200上行通过E1与internet相连，做NAT网关。SRG2200通过VLAN划分将企业各部门分别接入SRG2200，为不同的部门提供不同的安全服务。,4.1 E1&NAT典型组网配置指导,典型组网配置参考(一） E1&NAT配置指导,SRG firewall zon
14、e dmz SRG-zone-dmz add interface GigabitEthernet5/0/0 SRG-zone-dmz quit,命令行配置步骤,1. 配置GE接口的IP地址,2. 将相应接口加入安全域,SRG interface GigabitEthernet 0/0/1 SRG -GigabitEthernet0/0/1 ip address 192.168.0.1 255.255.255.0 SRG -GigabitEthernet0/0/1 quit SRG interface GigabitEthernet 5/0/0 SRG -GigabitEthernet5/0/0
15、 ip address 192.168.3.1 255.255.255.0 SRG -GigabitEthernet5/0/0 quit,典型组网配置参考(一） E1&NAT配置指导,3. 配置E1接口, system-view SRG controller E1 6/0/0 SRG-E1 6/0/0 using e1 SRG-E1 6/0/0 quit SRG interface Serial 6/0/0:0 SRG-Serial6/0/0:0 ip address 222.105.39.18 255.255.255.0 SRG-Serial6/0/0:0 quit SRG firewall zone untrust SRG-zone-untrust add interface Serial6/0/0:0 SRG-zone-untrust quit,4.配置ACL规则,SRG acl 3000 SRG-acl-adv-3000 rule 5 permit ip source 192.168.0.0 0.0.0.255 SRG-acl-adv-3000 rule 10
