《山石网关培训教材(ppt 128页)》由会员分享，可在线阅读，更多相关《山石网关培训教材(ppt 128页)（128页珍藏版）》请在金锄头文库上搜索。
1、1日程安排2一. 准备工作通过完成此章节课程，您将可以：了解设备管理方式完成基本上网配置3管理接口用户管理接口类型:CLI:ConsoleTelnet SSHWebUI:HTTPHTTPS4不同管理方式支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置支持Console、telnet、ssh、http、https管理参数 数值 波特率 9600 bit/s 数据位 8停止位 1校验/流控无参数 数值 接口Eth0/0用户名hillstone密码hillstone管理IP192.168.1.15图形化管理界面-WebUI基于浏览器的WebUI管理方式简单灵活，可以完成
2、常用的各种配置。v准备工作： 安全网关设备的e0/0接口配有默认IP地址192.168.1.1，该接口的各种管理功能均为开启状态。初次使用可以通过该接口管理设备，具体操作为： 将管理PC的IP地址设置为与192.168.1.1/24同网段的IP地址，打开PC的Web浏览器，输入 设备默认管理员用户名及密码均为“hillstone”登陆后6WebUI界面初始页面结构导航菜单设备面板的端口连接状态CPU、内存、会话数等设备运行情况设备基本信息，包括：序列号、运行时间、软件版本、AV及特征库版本等当前网络中占用带宽最多的IP排名7CLI用户接口通过Console线连接PC的串口至安全网关的CON接口
3、打开终端模拟器使用以下缺省账户登陆用户名: hillstone 密码: hillstoneCLI 快捷键使用 Tab 自动补齐命令使用 ? 查看帮助8进入配置模式全局配置模式:全局配置模式允许用户修改安全网关的配置参数。用户在执行模式下，输入configure 命令，可进入全局配置模式。该模式的提示符如下所示： hostname(config)#子模块配置模式：安全网关的不同模块功能需要在其对应的命令行子模块模式下进行配置。用户在全局配置模式输入特定的命令可以进入相应的子模块配置模式。例如，运行interface ethernet0/0 命令进入ethernet0/0 接口配置模式，此时的提示
4、符变更为： hostname(config-if-eth0/0)#9初始基本配置基本配置步骤:1)配置接口2)配置默认路由3)配置允许访问策略101）配置接口（WebUI）网络网络 接口接口 编辑编辑网络网络 接口接口 点击需配置接口右侧编辑按钮112）配置默认路由（WebUI）网络网络 路由路由 目的路由目的路由 新建新建123）配置上网策略（WebUI）防火墙防火墙 策略策略 点击需配置接口右侧编辑按钮内部上网是从Trust到untrust的访问，因此创建从内到外的访问策略防火墙防火墙 策略策略 点击需配置接口右侧编辑按钮“源地址”处选择要被限制的IP地址范围，若选择“Any”则会对经过设
5、备的所有地址有效13小结v在本章中讲述了以下内容：系统构件的功能完成基本上网配置14问题1、如何通过浏览器对设备进行管理？2、如何开启从外网接口登陆安全网关？3、如何开放内网用户上网的策略？15二. 安全架构通过完成此章节课程，您将可以：了解网络安全设备的用途理解StoneOS的架构StoneOS处理数据包的Flow16Firewall状态检测技术，通过策略过滤数据包IP (source address, destination address, protocol)TCP/UDP (port #)Application (BT, QQ, MSN)Used to implement securi
6、ty policies10.2.1.2Source-IP203.1.2.3Destination-IP21312Source-Port80Destination-Port6Protocolget http 1.1Data17状态检测包状态检测: 基于选定类型检测IP包的内容来决定转发或丢弃包基于IP包中多个字段来保持IP通讯的状态通过检测的新通讯接着添加到状态表中只有在IP包与先前建立的通讯相关联时，非初始包才会被允许比包过滤提供了更高的安全性比应用代理要快得多，但没有应用代理提供的应用层控制多18网络地址转换（NAT）转换私有地址到公网地址NAT10.1.1.5Trusted 10.1.1.
7、1Untrusted201.1.8.110.1.1.5SRC-IP221.1.8.5DST-IP36033SRC-Port80DST-Port6Protocol201.1.8.1SRC-IP221.1.8.5DST-IP1025SRC-Port80DST-Port6ProtocolInternet19QoS保证关键业务流量QoS应用前关键业务受到冲击QoS应用后关键业务受到保护20StoneOS系统架构图21Zone 与 Interface 关系接口、安全域、VS、VR之间严格的等级架构nL3-Zones绑定到virtual routernL2-Zones绑定到virtual switchnI
8、nterfaces绑定到security zone一个接口只能绑定到一个安全域一个安全域可以包含一个或多个接口L3-interface绑定到L3-ZoneL2-interface绑定到L2-Zonen绑定到三层安全域的接口可以配置IP地址及管理服务IP addresses(L3-interface)Management services(L3-interface)OthersL3-ZoneVirtual RouterL2-ZoneVirtual SwitchL3-InterfaceL3-ZoneVRouter22Zones and Interfaces为接口配置IP地址前必须先将接口绑定到三层
9、安全域InterfaceZoneL3-ZoneIPL3-InterfaceL2-ZoneMAC(Auto config)L2-Interface23StoneOS 包转发Flow24UntrustZoneTrustZone1.1.70.2501.1.70.0/2410.1.10.510.1.20.0/24B10.1.10.0/24DMZZone10.1.20.5.254200.5.5.510.1.1.0/2410.1.2.0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.1Packet Flow Example (1 of 3)Web Server25Packe
10、t Flow Example (2 of 3)10.1.20.5SRC-IP200.5.5.5DST-IP29218SRC-Port80DST-Port6Protocol1. 已经建立会话?NoAddress PairProtocol Port Pair(no match)Session Table2. 查找路由,目标可达?YesNetInt NHR10.1.1.0/24E1(connected)10.1.2.0/24E2(connected)10.1.10.0/24 E110.1.1.510.1.20.0/24 E210.1.2.50.0.0.0/0E81.1.8.254Routing Ta
11、ble3. 不同Zone之间的流量?YesIntZoneE1PrivateE2PrivateE7PublicE8ExternalZone Table26Packet Flow Example (3 of 3)4. 策略允许通过?YesFrom Private to ExternalSADAServiceAction10.1.0.0/16any 10.1.0.0/16 anyHTTPpermit10.1.0.0/16anypingpermitanyanyanydenyAction: Permit10.1.20.5SRC-IP200.5.5.5DST-IP29218SRC-Port80DST-Po
12、rt6Protocol创建会话Address PairProtocolPort Pair10.1.20.5 200.5.5.561042 80Session Table27小结v在本章中讲述了如下内容 :v安全网络设备所需具备的功能vStoneOS的系统架构vStoneOS处理包的Flowv根据网络环境选择基于StoneOS的安全网络设备28问题1、hillstone安全网络设备具备的几大功能？2、StoneOS 系统架构由接口、安全域、vswitch和vrouter组成，它们之间的关系？3、介绍StoneOS处理包的Flow过程？29三. 系统管理通过完成此章节课程，您将可以实现：系统管理功
13、能配置文件管理 StoneOS版本升级30密码策略WebUI：系统 设备管理 基本信息： v密码策略 hillstone提供密码复杂度检测功能，可以通过启用此功能强制新建管理员账号的密码符合复杂度需求。 31系统管理员系统管理安全网关设备由系统管理员（Administrator）管理、配置。系统管理员的配置包括创建管理员、配置管理员的特权、配置管理员密码、以及管理员的访问方式。安全网关拥有一个默认管理员“hillstone”，用户可以对管理员“hillstone”进行编辑，但是不能删除该管理员。管理员分为读写执行权限管理员、只读执行权限管理员。32配置系统管理员（WebUI）系统 设备管理 基
14、本信息33配置系统管理员（WebUI）系统 设备管理 基本信息 新建 34可信主机可信主机安全网关使用可信主机来进一步保证系统安全。管理员可以指定一个IP地址范围，在该指定范围内的主机为可信主机。只有可信主机才可以对安全网关进行管理。35配置可信主机（WebUI）系统 设备管理 可信主机36管理接口安全网关支持的管理接口类型:Console、Telnet、SSH 、WebUI 自定义管理接口：各种访问方式的超时时间、端口号以及HTTPS 的PKI 信任域在一分钟内连续三次登录失败，系统会将登录失败的IP 地址锁定两分钟。被锁定的IP 地址在两分钟内不能建立与设备的连接37配置管理接口（WebU
15、I）系统 设备管理 用户接口38配置文件管理配置文件：以命令行的格式保存安全网关的配置信息1台设备可最大支持保存10份配置配置文件中保存的用来初始化安全网关的配置信息称作起始配置信息，安全网关通过读取起始配置信息进行启动时的初始化工作；如果找不到起始配置信息，安全网关则使用安全网关的缺省参数初始化系统纪录最近十次保存的配置信息，最近一次保存的配置信息会纪录为系统的当前起始配置信息，当前系统配置信息以“current”作为标记；前九次的配置信息按照保存时间的先后以数字0 到8 作为标记。39配置文件管理（WebUI）系统 配置 管理员可以导入、导出或者将系统恢复出厂配置当前配置窗口提供对curr
16、ent配置的Web方式查阅40StoneOS升级通过WebUI 升级StoneOS：系统 系统软件选择单选按钮。选中复选框。系统将在上载的同时备份当前运行的StoneOS。如不选中该选项，系统将用新上载的StoneOS 覆盖当前运行的StoneOS。点击浏览按钮并且选中要上载的StoneOS。点击确定按钮，系统开始上载指定的StoneOS。完成升级后，需要重启安全网关启动新升级的StoneOS。41系统时间安全网关的时间影响到VPN 隧道的建立和时间表的时间，并且日志都是基于系统时间记录的，因此系统时间的精确性十分重要。安全网关支持两种设置时间的方式，分别是手动设置和通过NTP 与服务器同步。42系统时间（WebUI）手动设置系统时间:系统系统 日期日期/时间时间可以手动设置系统时间，或者点击“同步”按钮通过浏览器获取管理员本地电脑时间。43系统诊断工具（WebUI）系统系统 工具工具:安全网关提供基本的诊断工具方便，用户可以通过这些工具察看网络和路由是否连通。44小结v在本章中讲述了以下内容l配置系统管理员/可信主机l配置管理接口l配置文件管理lStoneOS版本升级l配置系统时间l
