《Hillstone防火墙维护手册.docx》由会员分享，可在线阅读，更多相关《Hillstone防火墙维护手册.docx（30页珍藏版）》请在金锄头文库上搜索。
1、Hillstone 防火墙维护手册2022/10/171. 概述防火墙作为企业核心网络中的关键设备，需要为全部进出网络的信息流供给安全保护，对于企业关键的实时业务系统，要求网络能够供给 7*24 小时的不连续保护，保持防火墙系统牢靠运行及在故障状况下快速诊断恢复成为维护人员的工作重点。Hillstone 防火墙供给了丰富的冗余保护机制和故障诊断、排查方法，通过日常治理维护可以使防火墙运行在牢靠状态，在故障状况下通过有效故障排解路径能够在最短时间内恢复网络运行。本文对Hillstone 防火墙日常维护进展较系统的总结，为防火墙维护人员供给设备运维指导。2. Hillstone 防火墙日常维护围绕
2、防火墙牢靠运行和消灭故障时能够快速恢复为目标， Hillstone 防火墙维护主要思路为：通过乐观主动的日常维护将故障隐患消退在萌芽状态；故障发生时，使用恰当的诊断机制和有效的故障排查方法准时恢复网络运行；故障处理后准时进展总结与改进避开故障再次发生。2.1. 防火墙硬件局部日常维护2.1.1. 防火墙机房要求 机房的卫生状况，要求清洁，防火墙上没有灰尘。 温度摄氏 工作环境温度 0 40工作环境湿度%10% 95%2.1.2. 防火墙电源检查 检查防火墙电源插头有无松动。绿色常亮电源1工作正常PWR 1电源1橙色常亮红色常亮绿色常亮电源工作特别电源工作特别，系统处于关闭状态电源2工作正常PW
3、R 2电源2橙色常亮电源工作特别红色常亮电源工作特别，系统处于关闭状态 检查防火墙 LED 电源指示灯颜色： 电源指示灯颜色:2.1.3. 防火墙风扇 低端产品防火墙风扇固定在产品内； 高端产品风扇为模块化设计，可热插拔； 检测防火墙风扇风扇指示灯有否告警；FAN风扇状态绿色常亮橙色常亮红色常亮风扇工作正常一个风扇损坏，系统正常运行风扇系统发生严峻故障将自动进入关闭状态 检测风扇风力是否适中风扇指示灯颜色:2.1.4. 防火墙前面板指示灯检查依据防火墙指示灯状况，可快速查看防火墙某局部消灭故障，以及防火墙运行状况。指示灯用途颜色说明绿色闪耀正常运行STATUS系统状态绿色闪耀系统启动并正常工作
4、红色常亮系统启动失败或者系统特别红色常亮系统告警ALARM系统警告绿色闪耀系统处于等待状态橙色闪耀系统正在使用试用许可证橙色试用许可证到期，无合法许可证绿色常亮电源PS正常供电PSPS状态橙色常亮正常供电，电源散热风扇消灭故障熄灭电源PS没有供电或者电源故障绿色常亮只有一台设备，工作在master状态HAHA 状态绿色闪耀有一主一备两台设备，本设备工作master状态黄色闪耀有一主一备两台设备，本设备工作slave状态红色闪耀HA工作特别绿色常亮VPN隧道已连接VPNVPN状态橙色常亮VPN功能开启，无隧道连接熄灭VPN功能未启用2.1.5. 防火墙模块及数据接口检查系统防火墙接口状态检查检查
5、模块安装是否松动，接口模块上指示灯是否正常。已接有链路的端口 link 端为绿色常亮，ACT 指示灯为黄色闪耀。防火墙接口状态指示灯颜色:绿色常亮端口与对端设备通过网线或者光纤连接正常LinkLink状态熄灭端口与对端无连接或者连接失败黄色闪耀端口处于收发状态ACTACT状态熄灭端口很多据传输2.2. 防火墙系统局部日常维护2.2.1. 防火墙 OS 版本检查在防火墙上运行show version 查看当前软件版本和防火墙硬件设备系统持续运行时间及上次系统重启时间。hillstone(config)# show version Hillstone StoneOS software, Versi
6、on 3.5Copyright (c) 2022-2022 by Hillstone Networks, Inc.Product name: VR5600T S/N: 0802027090006741 Assembly number: B045 Boot file is SA2022-3.5R2p4.bin from flashBuilt by buildmaster2 2022/07/07 12:34:08 Uptime is 0 day 0 hour 55 minutes 46 seconds2.2.2. 防火墙温度和风扇检查检查防火墙温度如有超出标准值并是否处于正常状态，检查风扇及机扇环
7、境，准时更换部件。hillstone(config)# show environmentBoth the temperature and fan are in normal state.2.2.3. 防火墙 session 利用率检查每个防火墙的并发会话数都有一个最值，假设超出最大值说明防火墙并发会话已经到达极限，防火墙成为一性能瓶颈，需要升级到更高档次防火墙。会话信息如包含alloc failed说明防火墙会话曾经到达最大值，防火墙会话建立失败，可能是防火墙性能的问题或曾经消灭网络攻击现象。hillstone# show session genericVSYS 0, max 202200,
8、alloced 0, deny session 0, free 202200, tunnel 0, alloc failed 02.2.4. 防火墙 CPU 利用率检查hillstone防火墙的CPU主要任务为执行功能、会话、日志等治理功能，一般状况下CPU利用率不会太高，一般超出60%以上要检查网络是否有攻击行为或网络流量特别行为。防火墙CPU统计有1分钟、5分钟、15分钟平均值。在某一时间段CPU利率较高，属特别现象，可能有攻击等状况发生。CPU利用率持续较高，说明防火墙配置错误，需要调整防火墙配置，以降低CPU利用率。hillstone# show cpuAverage cpu util
9、ization : 0.2% current cpu utilization : 2.0% Last 1 minute : 0.1%Last 5 minutes : 0.2%Last 15 minutes : 0.2%2.2.5. 防火墙内存利用率检查在防火墙内执行 show memory 查看内存利用率，防火墙利用率寻常最好不能超过70%,假设超过要检查网络是否存在攻击行为。hillstone# show memoryThe percentage of memory utilization: 25% total(kB)used(kB)free(kB) 5242881327933914952.
10、2.6. 防火墙接口状态检查在防火墙执行show interface检查接口状态或者检查某个接口的状态状况具体信息。SA-2022# show interfaceH:physical state;A:admin state;L:link state;P:protocol state;U:up;D:down=InterfacenameIP address/maskZone nameH A L P MAC addressethernet0/0192.168.10.1/24trustU U U U 001c.5403.e100ethernet0/1192.168.1.200/24untrustD U
11、 D D 001c.5403.e101ethernet0/20.0.0.0/0NULLD U D D 001c.5403.e102ethernet0/30.0.0.0/0NULLD U D D 001c.5403.e103ethernet0/40.0.0.0/0NULLD U D D 001c.5403.e104vswitchif10.0.0.0/0NULLD U D D 001c.5403.e10dSA-2022# show interface eth0/0Interface ethernet0/0 description:Physical upAdmin upLink upProtocol
12、 upInterface ID:8IP address:192.168.10.1IP address mask:255.255.255.0 MAC address:001c.5403.e100 Ip mtu:1500ARP learn:enableARP disable-dynamic-entry:disable ARP timeout:1200Speed mode:1000 Duplex mode:full media type:copperQoS input profile : 1st-level -2nd-level - QoS output profile: 1st-level -2n
13、d-level - downstream bandwidth is 1000000000 upstreambandwidth is 1000000000 Bind to zone trustBelong to vsys rootAuth-arp disablemanage service:SSH;TELNET;PING;SNMP; ; S;Secondary IP address0: 0.0.0.0 mask:0.0.0.0 Secondary IP address1: 0.0.0.0 mask:0.0.0.02.2.7. 防火墙路由检查防火墙在透亮模式只有vswicthif1或者设备inte
14、rface eth0/0 口通过默认IP地址登录，用来治理防火墙，透亮模式下，路由只与治理有关，与数据转发无关。防火墙在路由模式下工作时，防火墙数据转发跟系统路由相关。检查路由设置是否正确。Show ip routehillstone# show ip routeCodes: K - kernel route, C - connected, S - static, I - ISP, R - RIP, O - OSPF,B - BGP, D - DHCP, P - PPPoE, H - HOST, G - SCVPN, V - VPN, M - IMPORT, - selected route, * - FIB route Routing Table for Virtual R
