当前位置:文档之家› CHECKPOINT安装配置中文手册

CHECKPOINT安装配置中文手册

CHECKPOINT安装配置中文手册
CHECKPOINT安装配置中文手册

安装配置CHECKPOINT防火墙

大纲

一、首先明确两个概念

二、V PN/FW Moudule 或者Managerment Server 在WINDOWS上安装的最小需求

三、G UI Client在WINDOWS上安装的最小需求

四、安装之前的准备工作

五、安装软件总过程

六、配置防火墙总过程

七、具体安装过程

八、安装Licenses

九、启动GUI ,定义网络对象

十、定义安全策略(Rule Base)

十一、定义NAT

十二、创建一个管理员帐号Administrator

十三、创建一个GUI Cilent

十四、Key Hit Session

十五、Certificate Authority

十六、Fingerprint(指纹)

十七、高可用性HA(High Availability)

一、首先明确两个概念:

1、VPN/FW Moudule;

部署在网关上,其安全策略在Managerment Server 上创建并编译后下载到Moudule上执行。它可以安装在多种硬件平台上。它包括两部分:一、检测模块:根据安全策略对所有通过它的通讯进行检测。二、安全服务器:提供认证和应用层的内容安全。

2、Managerment Server:

在Policy Editor GUI上定义的安全策略,最后保存在Managerment Server上。它的主要工作是维护CHECK POINT 数据库,包括:定义的网络对象,定义的用户,LOG文件等。

二、VPN/FW Moudule 或者Managerment Server 在WINDOWS上安装的最小需

求:

1、操作系统:NT 、WIN2000

2、CPU:PII300以上

3、硬盘剩余空间:40M

4、内存:128M

三、GUI Client在WINDOWS上安装的最小需求:

1、操作系统:WIN9X、WIN ME、WIN NT4+SP6、WIN2000professional

2、硬盘剩余空间:40M

3、内存:128M

四、安装之前的准备工作

1、在安装VPN-1/FW-1的计算机去掉不需要的服务,例如:NETBEUI、FTP、HTTP server

2、保证内网、外网、DMZ区都能互通(ping)

3、关闭WINDOWS上的IP Forwding,该功能由VPN-1/FW-1来控制。

4、验证DNS:在内网浏览一个外部知名网站,能访问即可。

5、定义IP地址:记下准备分配给计算机各网卡的IP地址备用。(在计算机的DOS状态下

键入config /all,即可显示各网卡的IP地址)

6、确认网关计算机名与外网卡的IP地址相对应(可以查看计算机

\system32\drivers\etc\lmhost.asm)目的是为了确保在把网关定义为一个网络对象时(见

二、1、)通过点击get address 时,可以自动获得IP地址,如果不能获取,IKE加密过

程会不正常。

7、决定在那台计算机上下列安装软件(module、management server、GUI),如果是安装单

网关产品,module、management server、GUI可以安装在同一台计算机上,当然GUI也可以安装在另一台计算机上进行远程控制。

8、确认计算机的操作系统软件版本和平台与VPN/FW组件相对应

9、如果安装前已经有VPN/FW在本机上运行,那么,把他们退出运行(包括GUI)

五、安装软件总过程

1、在安装软件(module、management server)之前把计算机从网络上断开,安装完毕再接

入网络中

2、在网关设备/计算机上安装VPN/FW module

3、在management server 上安装VPN-1/FW-1

4、在管理工作站上安装GUI Client

5、以上过程安装完毕之后,把他们接入到网络中去,并验证他们与网络的连通性。

6、在management server 上定义GUI主机

7、在management server 上定义管理员帐号(具备管理安全策略的权限)

8、把以上计算机连接到网络中,并保证对网络的连通性

六、配置防火墙总过程

1、启动GUI Client 连接到management server

2、创建安全策略

A、定义网络对象,

B、定义添加GUI Client主机名、定义管理员并设置权限。

C、定义组,并把用户加入组

D、定义Rule base (安全策略)

I、外网用户只能访问DMZ区

II、内网用户可以访问内网、外网、DMZ区

III、管理员可以从任何IP地址TELNET登陆到DMZ区的(SMTP、WEB、FTP)服务器

E、定义NAT

F、在本地验证安全策略的正确性

G、把安全策略分发到安装到VPN-1/FW-1 Moudule 的计算机上。

通过菜单policy—》install

七、具体安装过程

1、在WINDOWS中插入光盘会自动运行SETUP程序。

2、在第一个画面

for evaluation:当你仅需要作测试时点击该项,并且保证你手头有评估用的临时LIENCES for purchased product:

NEXT: 当你手头已经有正式LIENCES时,点击该按钮

3、在license agreement 页面,选择YES

4、在Product Menu页面,选择你所购买的产品,一般选缺省项,点击NEXT

5、在Server/Gateway Componentss页面,选择你所要安装的具体模块,点击NEXT

说明:

A、如果仅仅是在其他管理工作站上安装CLIENT,那么在以上页面只选中Management Client即可。

B、安装过程自动安装SVN Foundation ,SVN用于除GUI Client以外的所有NG产品。

6、在VPN-1/FW-1 Enterprise Product 页面选择安装在本机上的产品的类型。

Enterprise Primary Management 在第一台计算机上安装 SERVER

Enterprise Secondary Management 在第二台计算机上安装 SERVER

Enforcement Module & Primary Management 同时安装SERVER 和 MODULE

Enforcement Module 只安装 MODULE

7、在Backward Compatibility页面,选择是否支持向下兼容:

Install with backward compatibility.如果你需要管理 CP 4.1 Module

Install without backward compatibility.

8、在Dynamically Assigned IP Address页面,选择是否使用动态分配IP地址?

9、在Choose Destination页面,显示CP安装的缺省路径,建议不要更改,否则以后还需

要设置环境变量,很麻烦的。

10、选择Management Client 要安装的具体内容,(无论用不用,最好都选中)

11、安装完毕,重新启动计算机。

八、安装Licenses (GUI Cient不需要Licenses)

1、获取Licenses:所有CP产品都需要相应的Licenses来激活,GUI除外。

A、如果你购买了正版的CP软件,那么在包装上会有一个Certificate Key,例如是:

“CK0123456789ab”你可以通过它来获取一个临时Licenses,(有效期一个月),而后可以获取永久Licenses,具体办法咨询你的集成商。

B、如果你没有购买正版的CP软件,但是你想作测试,你也可以通过神州数码协调索

取临时Licenses做测试。

2、安装Licenses:

你必须有Licenses才能使用CP产品,如果没有在安装配置过程中输入Licenses,你还可以按照下面的步骤安装Licenses,Licenses应安装在Management server 和Module上。

在cpconfig Licenses 页面只能管理本机(要集中管理多个Licenses只能通过SecureUpdate)。在该页面有3项内容需要设置:

IP Addreess:本机外网卡的IP地址,在申请Licenses时提交的。

Expiration Date:Licenses的过期时间,如MAY 25,2002。

SKU/Feature:例如:CPSUITE-EV AL-3DES-v50

Signature Key:例如:SAFGGGEEF – SDFDSFDS – SDFSWER – SDFSERWT 手动填写完毕,点击按钮“Calculate”来计算你的输入是否有误。

安装Licenses也可以通过直接从文件(一般是EMAIL发来的TXT附件)中获取,

九、启动GUI ,定义网络对象

1、启动GUI,输入你的用户名,口令,和服务器名,进入Policy Editor界面。

2、定义网络对象的一些注意事项:

◆在CP数据库中不需要定义Primary Management Server的对象。

◆一般地,在安全策略中没有必要涉及Management Server。

◆Management Server根据其数据库中的定义,可以自动与其他CP Module

之间建立加密通讯。

◆相反,你必须明确的定义所有安装Module的计算机。

3、在以下窗口中创建一个FWALL对象:

打开以上窗口有3种方式:

A、在菜单“Manage”中选择“Network Objects”然后点击“NEW”

B、在对象工具条上点击图标

C、网络对象树中点击图表

4、填写FW ALL对象的各项内容

A、NAME:键入该计算机的HOSTNAME

B、IP Address;键入外网卡IP地址,例如192.168.3.1

C、Cvomment: 对该对象加以注释或描述

D、TYPE类型:选择Gateway (如果是GUI可选择HOST)

E、CP Products Installed:选择本机安装的CP版本:这里选择“NG”

F、Object Management

Managed by this Management Server(internal): 如本机同时安装SERVER 和Module Managed by another Management Server(internal): 与以上相反

G、Communication按钮:点击后出现:

输入ONE-TIME 口令,开始与Management Server进行第一次通讯,

H、点击“Intitaliza”按钮,此时,Management Server会加密发出签名认证到FWALL

上,用于建立Management Server与Module 之间的信任关系。

I、如果返回的Trust state是“Trust Establish”,则说明二者之间的信任关系已经

建立。

J、点击“CLOSE”

4、添加一个接口(Interface)

在以下窗口中点击“Topology”

定义接口的最简单的方法就是点击上图中的“GetTopology”按钮,可以直接获取接口信息。祥见下图:

当然,你也可以手动定义接口信息:通过点击上图中的“ADD”按钮即可

然后输入每个接口的NAME、IP 地址、子网掩码,是内网卡还是外网卡

最终的定义结果如下:

5、定义内网(loaclnet)

定义该网络的NAME、IP 地址、子网掩码,注释内容,是否把广播地址看作网络的一部分

6、定义DMZ区网络

具体内容同上

7、定义DMZ区中的WEB、FTP、MAIL SERVER (主机)

输入该主机的NAME、IP 地址、子网掩码,注释内容,TYPE类型(选择HOST)不要选中“□CheckPoint product installed

8、创建Users

在下图中点击“ADD”,(缺省只显示标准用户的模板,)

然后输入该USER的用户名,设置其认证方法为操作系统口令。

十、定义安全策略(Rule Base)

在定义完网络对象和USER之后,就可以开始定义安全策略了。

点击工具栏中的图标,来添加一条策略了

1、缺省的一套丢弃一切包的策略必须更改。

2、开始定义策略,以上的SOURCE源设备或地址、

DESTINATION、目的设备或地址

SERVICE:服务

ACTION:对应的操作

TRACK:是否跟踪

INSTALL ON:安装位置

TIME:时间

以上所有内容都可以通过点击对应的位置来选择对象

3、以下举例说明:

第一条:任何设备、地址对FWALL的访问都拒绝响应,并记录下来,发送告警

第二条:内网可以访问除了FTP服务器之外的所有地址或设备。

第三条:内网对FTP服务器的访问,只开放了FTP服务,其他服务均被拒绝

第四条;所有网络或地址均可通过SMTP协议访问EMAIL服务器

第五条:所有网络或地址均可通过HTTP协议访问WEB服务器

第六条:Managers用户组内的所有成员均可通过TELNET协议访问FTP服务器,但是必须通过口令认证。

第七条:除以上允许的策略外,其他所有通过FWALL的通讯都被拒绝。

注意:以上只是个例子,绝对不可照搬!!!!

你必须根据你公司的网络拓扑和实际需求情况制定自己的安全策略。

4、在本地验证你的安全策略

5、验证无误,下发你的安全策略到相应的FWALL 上去。

在“Policy ”菜单上选择“Install ”来下发你的安全策略

十一、 定义NAT

1、有两种方法可以进行IP 地址转换,

Hiding :把你所有的非法IP 地址隐藏在合法地址之后,

优点:你仍使用你已有的有限的合法地址

缺点:外网不能建立与非法地址主机的连接。 Static ;静态转换,在一一对应的基础上实现非法地址与合法地址的转换(对应)

优点:外网能建立与非法地址主机的连接。 缺点:需要太多的合法地址 2、定义过程

A 、 定义一台主机(HOST )

B 、 点击“NAT ”标签

C 、 选中“∨Add Automatic Address Translation Rules ”

D 、 设置“Hide ”和“Static ”NA

T

十二、创建一个管理员帐号Administrator

1、必须至少定义一个管理员,否则将无人能管理SERVER

2、输入NAME,口令(至少四个字符,不能有空格)

3、设定权限:主管理员最好选Read/Write All,对于其他级别的管理员可以分别单独设置

其权限。

4、对于并发会话(几个管理员同时登陆)的处理

为防止几个管理员同时修改一个安全策略,VPN/FW执行一个锁定机制:即若干管理员可以同时浏览一个安全策略,但是只能有一个有写入的权限。

管理员获得写入权限的条件是:

A、该管理员必须具有Read/Write All的权限

B、同一时间内没有其他管理员获得写入的权限,如果你登陆时已经有人登陆进去,

那么系统会提示你是否愿意退出登陆还是愿意以只读的方式登陆。

当然,如果你愿意,你也可以了直接以只读的方式登陆,在登陆界面选中“Read Only”

即可。

十三、创建一个GUI Cilent

1、如果management server 和Module 安装在同一台计算机上,就不再需要指定GUI主机

名了。

2、如果不指定其他GUI主机名,那么,只能在同一台计算机安装的GUI上进行管理工作。

3、在GUI Client 页面的Rmote Hostname 栏中输入以下五种格式的地址:

IP 地址:例如:10.1.222.3

计算机名:例如:CLIENTAAA

Any:表示对CLIENT计算机没有限制,但是必须在RULE BASE 中

添加明确的允许或禁止的主机的策略条目

IP1-IP2:设定一个地址范围,例如10.1.111.1-10.1.111.20 设定20台主机Wild Card:例如:10.1.33.* 或者*https://www.doczj.com/doc/a61133600.html,

4、注意:如果GUI 与management server 之间的连接通过Module,那么,安全策略必须

首先安装在Module上,保证新创建的GUI 能串过Module 连接到management server 。十四、Key Hit Session

为生成一个随机加密关键字的seeds,你需要任意输入若干字符,但是,键入每个字符应有几秒的时间间隔,不要连续输入同样的两个字符,字符输入之间的延时尽量不同。

十五、Certificate Authority

1、该页面用于安装Internal Certificate Authority,并生成一个授权给Management

Server的加密内部通讯Secure Internal Communication (SIC) ,SIC 认证用于

对CP通讯组件之间的通讯进行授权。或者对CP通讯组件与OPSEC 应用程

序之间的通讯的授权。

.

2、该页面用于对Primary Management Server 与本机(GUI)之间的一次连接

(one-time link)通讯进行加密。Primary Management Server沿着这条链路把认证分发到本机上,一旦认证到达本机,那么本机就可以与其他的CP通讯组件之间进行通讯。

3、为了初始化一个Module 的通讯,在Policy Editor上输入同样的one-time口

令。

4、在GUI Client上连接到Management Server,并打开Policy Editor,创建一个

Module对象,设置一个NAME,和一个IP地址

5、在General Propeties页面,选择 Check Point Gateway ,点击“Communication”

6、输入口令。

7、在进行下一步以前必须确保在Module上已经启动SVN Foundation服务和

VPN-1/FW-1 服务,并且保证Module和Management Server能够进行IP 通讯

8、点击“Intalize”按钮,开始Module 的初始化进程。此时,签名认证被加

密传输到Module上。

9、Trust State栏会报告Module 的状态:

在Management Server上的ICA(Internernal Certificate Authority)发出认证Certificate ,并且已发送到Module上之后,就算建立起了Trust State信任状态

10、如果Module 被初始化或者 RESET,那么,cpconfig 中报告的Module的

信任状态将和 Policy Editor 中报告的不同。

11、cpconfig 中报告的Module的信任状态有以下三种:

A、Uninitialized

—Module没有被初始化,因此也就不能进行通讯,因为它没有收到Management Server.上的ICA发来的认证certificate

B、Initialized but trust not established

—在cpconfig中的Secure Internal Communication页面显示Module的这个状态表示一次one-time口令已经输入,但是Module还没有收到Management Server.

上的ICA发来的认证certificate

C、Trust established

—Module和 Management Server之间的认证已经建立,并且Module可以进行加密通讯。

十六、Fingerprint(指纹)

1、指纹是一个字符串,由Management Server的认证分发,用于校验GUI 所连接

的Management Server是不是真实身份。

2、当你通过GUI 第一次连接到Management Server时,你应该比较一下该指纹内

容和Policy Editor 中的指纹内容是否相同。

3、如何用指纹来验证Management Server的真实身份:

A、在以上页面,点击“Export to file”,来保存成一个文件。

B、把这个文件通过非网络手段(例如,软盘、优盘、电话、传真)传到GUI Client

端,来比较验证GUI所连接的Management Server是否真实的身份。

4、在GUI Client端,当第一次连接到Management Server时,Management Server

的指纹会显示出来:

5、确保刚才通过非网络手段传来的Management Server的指纹跟上图显示的一

样。

十七、高可用性HA(High Availability)

1、在下图中指定这个网关是否是一个High Availability Gateway Cluster 的

一个成员。

CheckPoint 防火墙 双机 HA 实施 方案

本文由no1moonboy贡献 doc1。 双 CheckPoint 防火墙实施方案 目 录 第一章 客户环境概述…… 4 1.1 概述 …… 4 1.2 网络拓扑与地址分配表 …… 4 1.3 安装前准备事宜 …… 6 第二章 Nokia IP380 安装与配置 …… 7 2.1 概述 …… 7 2.2 初始化 nokia380 …… 7 2.3 设置 nokia 基本信息 …… 8 2.3.1 Nokia 端口 IP 地址设定 …… 8 2.3.2 设置网关路由 …… 8 2.3.3 设置 Nokia 平台时间 …… 9 2.3.4 设定 Nokia 高可用 VRRP 参数 …… 9 2.4 初始化 checkpoint …… 14 2.4.1 在 nokia 平台上 checkpoint 的安装与卸载 …… 14 2.4.2 初始化 checkpoint …… 16 第三章 管理服务器的安装与配置…… 17 3.1checkpoint smartcenter 的安装…… 18 3.1.1 安装前的准备 …… 18 3.1.2 安装步骤 …… 18 3.2 配置 checkpoint 对象和参数 …… 20 3.2.1 建立 sic …… 20 3.2.2 定义防火墙对象拓扑结构 …… 21 3.2.3 使用同样的步骤按照表 1 的参数建立 IP380B checkpoint gateway 对象。 …… 21 3.3 基于 nokia vrrp 或者 cluster 的设置…… 22 3.3.1 基于 Nokia VRRP 的设置 …… 22 3.3.2 为 nokia vrrp 定义策略 …… 22 3.3.3 高可用性的检查 …… 23 3.4nokia cluster 的设置 …… 23 3.5 暂时没有 …… 23 第四章 策略设定…… 24 4.1 概述 …… 24 4.2 netscreen 的策略 …… 24 4.3 经过整理后转换成 checkpoint 的策略 …… 24 4.4 设定策略 …… 24 4.4.1 定义主机对象 …… 24 4.4.2 定义网络对象 …… 25 4.4.3 定义组 …… 26 4.4.4 定义服务 …… 26 4.4.5 添加标准策略 …… 27 4.4.6 添加 NAT 策略…… 27 第五章 切换与测试…… 29 5.1 切换 …… 29 5.2 测试 …… 29 5.3 回退 …… 30 第六章 日常维护…… 31 6.1 防火墙的备份与恢复 …… 31 6.1.1 nokia 防火墙的备份与恢复方法 …… 31 6.1.2 checkpoint management 上的备份与恢复 …… 33 第一章 客户环境概述 1.1 概述 XXXXXX 公司因应企业内部的网络需求,对总部网络进行扩容改动,中心 防火墙从原来的 netscreen 换成两台 Nokia IP380,两台 nokia 互为热备。维持原 有的服务不变。 由于这次网络改动比较大,所以先离线进行安装和测试,最后再进行切换 1.2 网络拓扑与地址分配表 XXXXXX 改造前网络拓扑如下 改动后,XXX 将按照以下图进行实施 改动后, 给个设备及端口的地址分配入下表所示 IP 地址分配表(表 1) 管理服务器参数 IP 地址 防火墙各端口参数 端口 Eth1 用途 外网 口 Eth2 Eth3 Eth4 ? DMZ 内网 同步 口 gateway 静态路 由 172.16.100.5/30 172.16.100.6/30 172.16.100.1/30 10.101.1.101/24 10.101.1.102/24 10.101.1.1/24 192.168.11.1/24 192.168.11.2/24 Nokia380A Nokia380B 虚拟地址 1.3 安装前准备事宜 1.管理服务器硬件平台 CPU 奔腾 3 500 以上 内存 128 以上 硬盘 60M 以上 操作系统,windows 2000 server +SP4 补丁 2.网络连线 3.Checkpoint 及 nokia 管理软件 Checkpoint NG AI R55 安装包 for windows hotfix09 或以上 4.Nokia IP380 设备两台 内置 IPSO3.8 build 39 内置 checkpoint NG AI R55 安装包 第二章 Nokia IP380 安装与配置 2.1 概述 首先我们可以对两台 Nokia IP380 进行安装与配置,由于 Nokia 防火墙将会 替代 Netscreen,所以 Nokia 防火墙可以进行离线配置。配置步骤如下。 2.2 初始化 nokia380 1. 使用 nokia console 线,连接 nokia console 口和管理 pc 的串行端口,

win7防火墙设置指南、多重作用防火墙策略以及设置方法

win7防火墙设置指南、多重作用防火墙策略以及设置方法 214小游戏https://www.doczj.com/doc/a61133600.html,/ windows XP集成防火强常被视为鸡肋,不过随着vista和WIN7的发布,微软对于防火墙的两次升级让windows的firewall不再是系统的累赘,特别是win7的firewall,强悍的功能让微软的防火墙也有了“专业”的味道。 本文就教大家来了解一下windows7下的 firewall设置以及向你展示怎样对多重作用防火墙策略下对Firewall进行配置。Windows Firewall的演变过程。 一、windows防火墙的演变 Windows XP中的防火墙是一款简单、初级仅保护流入信息,拦截任何不是由你主动发启入站连接的软件--它是默认关闭的。SP2后它才被默认启动并可以通过组策略的方式由管理员进行配置。而 Vista Firewall 是建立在一个新的Windows Filtering Platform (WFP、Windows过滤平台)上、并通过Advanced Security MMC嵌入式管理单元添加了新的过滤外发信息的能力。在Windows 7中MS对firewall做了进一步的微调,使其更具可用性,尤其针对移动计算机,更是舔加了对多重作用防火墙策略的支持。 二、windows 7 firewall(防火墙)设置方法 与Vista相同的是,可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是,你还可以通过访问控制面板的方式对其进行高级配置(包括对出站连接过滤器的配置),而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。 更多的网络配置 Vista firewall允许你去选择是在公共网格上还是在专用网络中,而在Windows 7中你有三个选择--公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。 如果你选择了“家庭网络”选项,你将可以建立一个“家庭组”。在这种环境中,“网路发现”会自动启动,你将可以看到网络中其它的计算机和设备,同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中,你还可以排除它们。 如果你选择的是“工作网络”,“网路发现”同样会自动启动,但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域(通过控制面板--系统和安全--系统--高级系统配置--计算机名选项卡)并通过DC验证,那么防火墙将自动识别网络类型为域环境网络。 而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi 网络时的适当选择,“网路发现”将默认关闭,这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。 在全部的网络模式中,Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。 多重作用防火墙策略 在Vista中,尽管你有公用网络和私用网络两个配置文件,但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况,那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上,这意味着你可能无法在本地(私用)网络中做你想做的事,因为你是在公用网络在规则下操作。而在Windows 7 (和 Server 2008 R2)中,不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配,而与公用网络之间的流量则应用公用网络规则。 起作用的是那些不显眼的小事 在很多事例中,更好的可用性往往取决于小的改变,MS听取了用户的意见并将一些“不

Check Point教程

Check point 防火墙基本操作手册 CheckPoint(中国) TEL:(86)10 8419 3348 FAX:(86)10 8419 3399 ?2010 Check Point Software Technologies Ltd. All rights reserved. Classification:

目录 目录 (2) 防火墙架构 (3) 防火墙的Web管理 (3) 配置IP: (4) 配置DNS和Host: (5) 配置路由: (5) 通过防火墙的管理客户端管理 (5) 添加防火墙 (7) 添加策略步骤 (10) IP节点添加 (10) 添加网段 (11) IPS的配置 (13) 更新IPS库 (14) 新建IPS动作库 (14) 应用控制 (16) 更新数据库 (16) 添加应用控制策略 (17) App Wike (18) 自定义添加应用 (18) QOS配置 (20) Qos策略的添加 (20) 日志工具的使用 (20) 筛选日志 (21) 临时拦截可以连接 (22) ?2010 Check Point Software Technologies Ltd. All rights reserved. Classification:

?2010 Check Point Software Technologies Ltd. All rights reserved. Classification: 防火墙架构 Check point 防火墙的管理是通过一个三层架构来实现的。首先我们可以在任意的机器上安装防火墙客户端控制台,然后利用控制台的图形化界面登录check point 的管理服务器,定义出各个网络对象,定义企业各条策略,最后下发到防火墙执行模块。具体实现过程见图示: 防火墙的Web 管理 首先打开Web 管理界面,出现登录界面:

CheckPoint 防火墙基本操作及应急措施

防火墙基本操作及应急措施陈世雄安全工程师 CCSE

议程 ?智能边界安全解决方案?CheckPoint 配置基础?常见问题及应急措施

Check Point 简介 ?最受信赖、最可依靠的互联网安全厂商 –我们致力发展安全领域——并且比任何厂商更优秀! –全球财富100企业中,100%企业使用我们的产品 –在防火墙和虚拟专用网络(VPN)市场中占有领导 地位 ?在全球 VPN/防火墙软件市场销售额中占70%份额 (Infonetics提供数据) ?VPN/防火墙软件市场占有率超过 54% (IDC提供数据) ?安全硬件设备市场份额中有 36% 为 Check Point 产品(由 Infonetics 提供) ?以客为本的企业原则 –业界领先的技术合作伙伴关系 –强大且广泛的渠道合作伙伴关系

状态检测 / FireWall-1 1993 OPSEC 1997 VPN-1 1998 Next Generation 2001 SmartDefense 2002 应用智能 2003 Check Point: 一直走在客户现实需求的前面 创新历程 1994 1995 1996 1999 2000 Web 智能 2004

我们的策略 2004上半年提供! ? 安全远程访问 ? Web 服务器保护 ? 统一认证 ? 一致性策略管理 ? 市场领先 ? 十年的成功史 ? 最新发布 - InterSpect 2.0 - Connectra 2.0 - Intergrity 6.0 ? Check Point InterSpect ? Zone Labs SMART 管理 无忧保护 边界 深入检查 智能 安全解决方案

CheckPoint防火墙安装手册

防火墙安装操作手册By Shixiong Chen

一、准备安装介质和服务器 安装CheckPoint防火墙基于开放的服务器平台需要准备两点: 如果选用的是Checkpoint的硬件,UTM-1则不需要考虑这些问题。 第一,准备好服务器,服务器最好选择IBM\HP\或者其他大品牌厂商的硬件平台,并且事先确认该品牌和型号的服务器与CheckPoint软件兼容性,将网卡扩展至与真实火墙一致,服务器需要自带光驱。 第二,准备好CheckPoint防火墙安装介质,注意软件的版本号与真实环境火墙一致,同时准备好最新的防火墙补丁。 二、SecurePlatform系统安装过程 硬件服务器初始状态是裸机,将服务器加电后,设置BIOS从光盘启动,将CheckPoint软件介质放入光驱,然后出现如下界面: 敲回车键盘开始安装。出现如下界面,选择OK,跳过硬件检测。

选择安装的操作系统类型,根据自己防火墙操作系统的版本选择。SecurePlatform Pro是带有高级路由和支持Radius的系统版本。 选择键盘支持的语言,默认选择US,按TAB键,继续安装。 配置网络接口,初始我们配置外网接口即可,选择eth0配置IP, 输入IP地址、子网掩码、以及默认网关,然后选择OK,继续。 选择OK.开始格式化磁盘。

格式化完成后开始拷贝文件,最后提示安装完成,按照提示点击OK.系统会自动重新启动。然后出现登陆界面,如下所示。 第一次登陆系统,默认账号和密码都是admin,登陆后需要出入新的密码和管理员账号。 三、CheckPoint防火墙软件安装过程

运行sysconfig 命令,启动安装防火墙包。选择n,继续安装。 打开网络配置页面,选择1,配置主机名,选择3配置DNS服务器,选择4配置网络,选择5配置路由,注意要与生产线设备的配置保持一致,特别是路由要填写完整,主机名、接口IP和子网掩码要填写正确。 配置完成后,选择n,下一步继续配置,如下图所示,选择1配置时区(选择5,9,1),选择2配置日期,选择3配置本地系统时间,选择4查看配置情况。注意配置时间和日期的格式。完成后选择n, 然后会出现提示是否从tftp服务器下载安装软件,选择n.然后出现如下界面,选择N,继续安装。 选择Y,接受安装许可协议。

防火墙的基本配置原则

本篇要为大家介绍一些实用的知识,那就是如何配置防火中的安全策略。但要注意的是,防火墙的具体配置方法也不是千篇一律的,不要说不同品牌,就是同一品牌的不同型号也不完全一样,所以在此也只能对一些通用防火墙配置方法作一基本介绍。同时,具体的防火墙策略配置会因具体的应用环境不同而有较大区别。首先介绍一些基本的配置原则。 一. 防火墙的基本配置原则 默认情况下,所有的防火墙都是按以下两种情况配置的: ?拒绝所有的流量,这需要在你的网络中特殊指定能够进入和出去的流量的一些类型。 ?允许所有的流量,这种情况需要你特殊指定要拒绝的流量的类型。可论证地,大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后,你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说,如果你想让你的员工们能够发送和接收Email,你必须在防火墙上设置相应的规则或开启允许POP3 和SMTP 的进程。 在防火墙的配置中,我们首先要遵循的原则就是安全实用,从这个角度考虑,在防火墙的配置过程中需坚持以下三个基本原则:(1). 简单实用:对防火墙环境设计来讲,首要的就是越简单越好。其实这也是任何事物的基本原则。越简单的实现方式,越容易理解和使用。而且是设计越简单,越不容易出错,防火墙的安全功能越容易得到保证,管理也越可靠和简便。 每种产品在开发前都会有其主要功能定位,比如防火墙产品的初衷就是实现网络之间的安全控制,入侵检测产品主要针对网络非法行为进行监控。但是随着技术的成熟和发展,这些产品在原来的主要功能之外或多或少地增加了一些增值功能,比如在防火墙上增加了查杀病毒、入侵检测等功能,在入侵检测上增加了病毒查杀功能。但是这些增值功能并不是所有应用环境都需要,在配置时我们也可针对具体应用环境进行配置,不必要对每一功能都详细配置,这样一则会大大增强配置难度,同时还可能因各方面配置不协调,引起新的安全漏洞,得不偿失。 (2). 全面深入:单一的防御措施是难以保障系统的安全的,只有采用全面的、多层次的深层防御战略体系才能实现系统的真正安全。在防火墙配置中,我们不要停留在几个表面的防火墙语句上,而应系统地看等整个网络的安全防护体系,尽量使各方面的配置相互加强,从深层次上防护整个系统。这方面可以体现在两个方面:一方面体现在防火墙系统的部署上,多层次的防火墙部署体系,即采用集互联网边界防火墙、部门边界防火墙和主机防火墙于一体的层次防御;另一方面将入侵检测、网络加密、病毒查杀等多种安全措施结合在一起的多层安全体系。 3). 内外兼顾:防火墙的一个特点是防外不防内,其实在现实的网络环境

Checkpoint防火墙测试用例

Checkpoint R65 Test Plan Revision 0.1 2009-10-14 Author: Peng Gong

Revision History

1‘FW MONITOR’ USAGE (7) 2TEST SUITES (7) 2.1R65I NSTALL &U NINSTALL (7) 2.1.1Create a v3 vap-group with vap-count/max-load-count set >1, Confirm R65 and related HFA could be installed on all vap within vap-group successfully (7) 2.1.2Create a v4 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (9) 2.1.3Create a v5 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (10) 2.1.4Create a v5_64 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (11) 2.1.5Try to install R65 on a v3 vap-group and abort the install process, confirm nothing is left afterwards12 2.1.6Reduce max-load-count down to 1, confirm only one Vap is allowed to run R65 accordingly (13) 2.1.7Increase vap-count and max-load-count to maximum vap count and executing "application-update", confirm all the Vap are running R65 properly (14) 2.1.8Reduce vap-count to 3, Confirm the surplus Vap is stopped from running R65 and related partitions are removed from CPM (15) 2.1.9Enable/Disable IPv6 in vap-group and w/o ipv6-forwarding, confirm R65 wouldn't be affected. (16) 2.1.10Confirm the installed R65 could be stopped through CLI (17) 2.1.11Confirm the installed R65 could be started through CLI (18) 2.1.12Confirm the installed R65 could be restarted through CLI (18) 2.1.13Confirm the installed R65 could be reconfigured through CLI (19) 2.1.14Confirm checkpoint could be upgraded to R70 by CLI: application-upgrade (19) 2.1.15Confirm R65 could run properly while reload vap-group totally (20) 2.1.16Confirm R65 could run properly while reload all chassis totally (20) 2.1.17Create 2 vap groups, install R65 on both. Confirm R65 are running on both vap-groups without any mutual impact. (21) 2.1.18Confirm configure operation couldn't be allowed if some Vap don't run R65 properly. (23) 2.1.19Confirm uninstall/Configure operation couldn't be allowed if some Vap don't run properly. (24) 2.1.20Confirm start/stop/restart operation could works prope rly if R65 doesn’t run properly on some Vaps.25 2.1.21Confirm configure operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (26) 2.1.22Confirm uninstall operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (27) 2.1.23Confirm start/stop/restart operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (28) 2.1.24Confirm R65 could be uninstalled from vap-group (29) 2.1.25Confirm R65 installation package could be remove from XOS by CLI: application-remove (30) 2.2C HECKPOINT F EATURES (31) 2.2.1Create GW and Set SIC, get topology from Smart Dashboard (31) 2.2.2Configure Policy and push policy (31) 2.2.3Confirm R65 could be started/stoped/restarted by cp-command (32) 2.2.4Confirm different kinds of rule actions could work - allow/drop/reject (33) 2.2.5Verify different kinds of tracking actions could work properly - log/alert/account (33) 2.2.6Verify static NAT and hide NAT work properly (34) 2.2.7Verify default license is installed automatically (34) 2.2.8Verify some usual fw commands output - fw ver -k/ fw ctl pstat/ fw tab/ fw stat/ cphaprob stat /fw fetch /fw unloadlocal / fwaccel stat (34) 2.2.9Verify SXL status if enable/disable it (36) 2.2.10Verify the log information in SmartViewer are displayed correctly. (37) 2.2.11Verify the GW and its member information in SmartViewer are displayed correctly (37) 2.2.12Define a VPN Community between two GW; Confirm traffic can pass (37) 2.2.13Create a VPN client tunnel, make sure client can login and traffic is encrypted as it should (38) 2.2.14Enabling/Disabling SXL during connections (39) 2.2.15Fail over the active member during connections (39) 2.3I NTERFACE T EST-T RAFFIC MIXED WITH IPV6 AND IPV4 (39) 2.3.1Verify traffic pass through the interface without SXL - non vlan<--->vlan (tcp+udp+icmp) (39)

防火墙基础知识

防火墙基础知识 3.3 包过滤包过滤技术(Ip Filtering or packet filtering) 的原理在于监视并过滤网络上流入流出的Ip包,拒绝发送可疑的包。由于Internet 与Intranet 的连接多数都要使用路由器,所以Router成为内外通信的必经端口,Router的厂商在Router上加入IP Filtering 功能,这样的Router也就成为Screening Router 或称为Circuit-level gateway. 网络专家Steven.M.Bellovin认为这种Firewall 应该是足够安全的,但前提是配置合理。然而一个包过滤规则是否完全严密及必要是很难判定的,因而在安全要求较高的场合,通常还配合使用其它的技术来加强安全性。Router 逐一审查每份数据包以判定它是否与其它包过滤规则相匹配。(注:只检查包头的内容,不理会包内的正文信息内容) 过滤规则以用于IP顺行处理的包头信息为基础。包头信息包括: IP 源地址、IP目的地址、封装协议(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包类型、包输入接口和包输出接口。如果找到一个匹配,且规则允许这包,这一包则根据路由表中的信息前行。如果找到一个匹配,且规则允许拒绝此包,这一包则被舍弃。如果无匹配规则,一个用户配置的缺省参数将决定此包是前行还是被舍弃。*从属服务的过滤包过滤规则允许Router取舍以一个特殊服务为基

础的信息流,因为大多数服务检测器驻留于众所周知的TCP/UDP端口。例如,Telnet Service 为TCP port 23端口等待远程连接,而SMTP Service为TCP Port 25端口等待输入连接。如要封锁输入Telnet 、SMTP的连接,则Router 舍弃端口值为23,25的所有的数据包。典型的过滤规则有以下几种: .允许特定名单内的内部主机进行Telnet输入对话 .只允许特定名单内的内部主机进行FTP输入对话 .只允许所有Telnet 输出对话 .只允许所有FTP 输出对话 .拒绝来自一些特定外部网络的所有输入信息* 独立于服务的过滤 有些类型的攻击很难用基本包头信息加以鉴别,因为这些独立于服务。一些Router可以用来防止这类攻击,但过滤规则需要增加一些信息,而这些信息只有通过以下方式才能获

CheckPoint防火墙配置

C h e c k P o i n t防火墙配置 S p e c i f i c a t i o n f o r C h e c k P o i n t F i r e W a l l C o n f i g u r a t i o n U s e d i n C h i n a M o b i l e 版本号:1.0.0 ╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施 中国移动通信有限公司网络部

目录 1概述 (2) 1.1适用范围 (2) 1.2内部适用性说明 (2) 1.3外部引用说明 (4) 1.4术语和定义 (4) 1.5符号和缩略语 (4) 2CHECKPOINT防火墙设备配置要求 (5)

前言 概述 1.1适用范围 本规范适用于中国移动通信网、业务系统和支撑系统的CHECKPOINT防火墙设备。本规范明确了设备的基本配置要求,为在设备入网测试、工程验收和设备运行维护环节明确相关配置要求提供指南。本规范可作为编制设备入网测试规范,工程验收手册,局数据模板等文档的参考 1.2内部适用性说明 本规范是依据《中国移动防火墙配置规范》中配置类规范要求的基础上提出的CHECKPOINT防火墙配置要求规范,为便于比较,特作以下逐一比较及说明(在“采纳意见”部分对应为“完全采纳”、“部分采纳”、“增强要求”、“新增要求”、“不采纳”。在“补充说明”部分,对于增强要求的情况,说明在本规范的相应条款中描述了增强的要求。对于“不采纳”的情况,说明采纳的原因)。 内容采纳意见备注 1.不同等级管理员分配不同账号,避 完全采纳 免账号混用。 完全采纳 2.应删除或锁定与设备运行、维护等 工作无关的账号。 完全采纳 3.防火墙管理员账号口令长度至少8 位,并包括数字、小写字母、大写 字母和特殊符号4类中至少2类。 4.账户口令的生存期不长于90天。部分采纳IPSO操作系统支持 5.应配置设备,使用户不能重复使用 部分采纳IPSO操作系统支持最近5次(含5次)内已使用的口 令。 6.应配置当用户连续认证失败次数超 部分采纳IPSO操作系统支持过6次(不含6次),锁定该用户使 用的账号。 完全采纳 7.在设备权限配置能力内,根据用户 的管理等级,配置其所需的最小管

防火墙基础知识

(一) 防火墙概念 防火墙不只是一种路由器、主系统或一批向网络提供安全性的系统。相反,防火墙是 一种获取安全性的方法;它有助于实施一个比较广泛的安全性政策,用以确定允许提供的服务和访问。就网络配置、一个或多个主系统和路由器以及其他安全性措施(如代替 静态口令的先进验证)来说,防火墙是该政策的具体实施。防火墙系统的主要用途就是 控制对受保护的网络(即网点)的往返访问。它实施网络访问政策的方法就是逼使各连接 点通过能得到检查和评估的防火墙。 ____________ ___________ | | | | | Computer | | Computer | |__________| |___________| ____________ ________ | | |应| |Packet | ______|________________|__________| 用|_____|Filter |___Internet | 网| |Router | 网点系统| 关| |________| |__________| 路由器和应用网关防火墙范例 防火墙系统可以是路由器,也可以是个人主机、主系统和一批主系统,专门把网 络或子网同那些可能被子网外的主系统滥用的协议和服务隔绝。防火墙系统通常位于等级较高的网关如网点与Internet的连接处,但是防火墙系统可以位于等级较低的网关, 以便为某些数量较少的主系统或子网提供保护。 防火墙基本上是一个独立的进程或一组紧密结合的进程,运行于Router or Server 来控制经过防火墙的网络应用程序的通信流量。一般来说,防火墙置于公共网络(如Inter- -net)人口处。它可以看作是交通警察。它的作用是确保一个单位内的网络与Internet之间所有的通信均符合该单位的安全方针。这些系统基本上是基于TCP/IP,并与实现方法有关,它能实施安全路障并为管理人员提供对下列问题的答案: * 谁在使用网络? * 他们在网上做什么? * 他们什么时间使用过网络?

checkpoint防火墙技术

CheckPoint FireWall-1防火墙技术 2007-11-14 18:22:23 随着Internet的迅速发展,如何保证信息和网络自身安全性的问题,尤其是在开放互联环境中进行商务等机密信息的交换中,如何保证信息存取和传输中不被窃取、篡改,已成为企业非常关注的问题。 作为开放安全企业互联联盟(OPSEC)的组织和倡导者之一,CheckPoint公司在企业级安全性产品开发方面占有世界市场的主导地位,其FireWall-1防火墙在市场占有率上已超过44%,世界上许多著名的大公司,如IBM、HP、CISCO、3COM、BAY等,都已成为OPSEC的成员或分销CheckPoint FireWall-1产品。 CheckPoint FireWall-1 V3.0防火墙的主要特点。 从网络安全的需求上来看,可以将FireWall-1的主要特点分为三大类,第一类为安全性类,包括访问控制、授权认证、加密、内容安全等;第二类是管理和记帐,?包括安全策略管理、路由器安全管理、记帐、监控等;第三类为连接控制,包括负载均衡高可靠性等;下面分别进行介绍。 1.访问控制 这是限制未授权用户访问本公司网络和信息资源的措施。评价访问控制的一个重要因素是要看其能否适用于现行的所有服务和应用。第一代包过滤技术,无法实施对应用级协议处理,也无法处理UDP、RPC或动态的协议。第二代应用代理网关防火墙技术,为实现访问控制需要占用大量的CPU资源,对Internet上不断出现的新应用(如多媒体应用),无法快速支持. CheckPoint FireWall-1的状态监测技术,结合强大的面向对象的方法,可以提供全七层应用识别,对新应用很容易支持。目前支持160种以上的预定义应用和协议,包括所有Internet服务,如安全Web浏览器、传统Internet应用(mail、ftp、telnet)、UDP、RPC等,此外,支持重要的商业应用,如OracleSQL*Net、SybaseSQL服务器数据库访问;支持多媒体应用,如RealAudio、CoolTalk、NetMeeting、InternetPhone等,以及Internet广播服务,如BackWeb、PointCast。 另外,FireWall-1还可以提供基于时间为对象的安全策略定制方法。 FireWall-1开放系统具有良好的扩展性,可以方便的定制用户的服务,提供复杂的访问控制。 2.授权认证(Authentication) 由于一般企业网络资源不仅提供给本地用户使用,同时更要面向各种远程用户、移动用户、电信用户的访问,为了保护自身网络和信息的安全,有必要对访问连接的用户采取有效的权限控制和访问者的身份识别。经过认证,FireWall-1能保证一个用户发起的通信连接在允许之前,就其真实性进行确认。FireWall-1提供的认证无须在服务器和客户端的应用进行任何修改。FireWall-1的服务认证是集成在整个企业范围内的安全策略,可以通过防火墙的GUI进行集中管理。同时对在整个企业范围内发生的认证过程进行全程的监控、跟踪和记录。FireWall-1提供三种认证方法: 用户认证(Authentication) 用户认证(UA)是基于每个用户的访问权限的认证,与用户的IP地址无关,FireWall-1提供的认证服务器包括:FTP、TELNET、HTTP、RLOGIN。 UA对移动用户特别有意义,用户的认证是在防火墙系统的网关上实施的。

防火墙基础知识

防火墙基础知识 一、防火墙与路由器的异同: 1、防火墙的登陆管理方式及基本配置是一样,有的防火墙多一个 DMZ端口。 2、路由器只能简单的路由策略,防火墙具备强大的访问控制:分 组对象。 3、路由器是默认的端口是开放的,防火墙的端口默认的常见端口 外都是关闭的。 二、防火墙的登陆方式: 1、console口,路由器的登陆方式一样 2、telnet登陆,需要设置 3、SSH登陆,同telnet登陆一样 三、防火墙的用户模式: 1、用户模式:PIX525> 2、特权模式PIX525# 3、全局配置模式PIX525(config)# 4、局部配置模式PIX525(config-if)# 四、防火墙基本配置 1、接口配置 防火墙PIX525默认的的有3个端口,外网口、内网口、DMZ 端口,主要配置ip地址、工作模式、速度、接口名字、安全级别interface Ethernet0

nameif outside security-level 0 ip address 218.28.202.97 255.255.255.0 duplex full 2、访问控制列表 access-list acl_out extended permit icmp any any access-list acl_out extended permit tcp any host 218.28.202.99 object-group DMZ access-list allownet extended permit ip host 192.168.0.123 object-group msn 3、设置网关地址 route outside 0.0.0.0 0.0.0.0 218.28.202.110 外网口网关 route inside 0.0.0.0 0.0.0.0 192.168.1.1 内网口网关 路由的网关设置 Ip route 0.0.0.0 0.0.0.0 218.28.202.110 4、端口重定向 PIX525(config)# object-group service word TCP PIX525(config-if)port-object eq 8866 先在服务的对象分组中开放一个端口,在全局模式下 static (inside,outside) tcp 218.28.202.100 8866 192.168.2.77 8866 netmask 255.255.255.255

Checkpoint SIC

Secure Internal Communications (SIC) 26-Jun-2001 NG-FCS Version Abstract Check Point Software has enhanced the Internal Communications method for the components within a Next Generation (NG) Check Point System. This method is based on Digital Certificates, and will be further described below. This is a new and improved method for all of the internal communications, so if you are familiar with "fw putkeys", you will not have to go back there… Document Title: Secure Internal Communications Creation Date: 08-Feb-2001 Modified Date: 26-Jun-2001 Document Revision: 2 (meaning this is the 3rd revision) Product Class: FireWall-1 / VPN-1 Product and Version: NG Author: Joe DiPietro DISCLAIMER The Origin of this information may be internal or external to Check Point Software Technologies. Check Point Software Technologies makes all reasonable efforts to verify this information. However, the information provided in this document is for your information only. Check Point Software Technologies makes no explicit or implied claims to the validity of this information. Any trademarks referenced in this document are the property of their respective owners. Consult your product manuals for complete trademark information.

CheckPoint 防火墙 双机 HA 实施 方案

本文由no1moonboy贡献 doc文档可能在WAP端浏览体验不佳。建议您优先选择TXT,或下载源文件到本机查看。 双 CheckPoint 防火墙实施方案 目录 第一章客户环境概述…… 4 1.1 概述…… 4 1.2 网络拓扑与地址分配表…… 4 1.3 安装前准备事宜…… 6 第二章 Nokia IP380 安装与配置…… 7 2.1 概述…… 7 2.2 初始化 nokia380 …… 7 2.3 设置 nokia 基本信息…… 8 2.3.1 Nokia 端口 IP 地址设定…… 8 2.3.2 设置网关路由…… 8 2.3.3 设置 Nokia 平台时间…… 9 2.3.4 设定Nokia 高可用 VRRP 参数…… 9 2.4 初始化 checkpoint …… 14 2.4.1 在 nokia 平台上checkpoint 的安装与卸载…… 14 2.4.2 初始化 checkpoint …… 16 第三章管理服务器的安装与配置…… 17 3.1checkpoint smartcenter 的安装…… 18 3.1.1 安装前的准备…… 18 3.1.2 安装步骤…… 18 3.2 配置 checkpoint 对象和参数…… 20 3.2.1 建立 sic …… 20 3.2.2 定义防火墙对象拓扑结构…… 21 3.2.3 使用同样的步骤按照表 1 的参数建立 IP380B checkpoint gateway 对象。…… 21 3.3 基于 nokia vrrp 或者cluster 的设置…… 22 3.3.1 基于 Nokia VRRP 的设置…… 22 3.3.2 为 nokia vrrp 定义策略…… 22 3.3.3 高可用性的检查…… 23 3.4nokia cluster 的设置…… 23 3.5 暂时没有…… 23 第四章策略设定…… 24 4.1 概述…… 24 4.2 netscreen 的策略…… 24 4.3 经过整理后转换成 checkpoint 的策略...... 24 4.4 设定策略...... 24 4.4.1 定义主机对象...... 24 4.4.2 定义网络对象...... 25 4.4.3 定义组...... 26 4.4.4 定义服务 (26) 4.4.5 添加标准策略…… 27 4.4.6 添加 NAT 策略…… 27 第五章切换与测试…… 29 5.1 切换...... 29 5.2 测试...... 29 5.3 回退...... 30 第六章日常维护...... 31 6.1 防火墙的备份与恢复...... 31 6.1.1 nokia 防火墙的备份与恢复方法...... 31 6.1.2 checkpoint management 上的备份与恢复 (33) 第一章 客户环境概述 1.1 概述 XXXXXX 公司因应企业内部的网络需求,对总部网络进行扩容改动,中心防火墙从原来的 netscreen 换成两台 Nokia IP380,两台 nokia 互为热备。维持原有的服务不变。由于这次网络改动比较大,所以先离线进行安装和测试,最后再进行切换 1.2 网络拓扑与地址分配表 XXXXXX 改造前网络拓扑如下 改动后,XXX 将按照以下图进行实施改动后, 给个设备及端口的地址分配入下表所示 IP 地址分配表(表 1) 管理服务器参数 IP 地址防火墙各端口参数端口 Eth1 用途外网口 Eth2 Eth3 Eth4 ? DMZ 内网同步口gateway 静态路由172.16.100.5/30 172.16.100.6/30 172.16.100.1/30 10.101.1.101/24 10.101.1.102/24 10.101.1.1/24 192.168.11.1/24 192.168.11.2/24 Nokia380A Nokia380B 虚拟地址 1.3 安装前准备事宜 1.管理服务器硬件平台 CPU 奔腾 3 500 以上内存 128 以上硬盘 60M 以上操作系统,windows 2000 server +SP4 补丁 2.网络连线 3.Checkpoint 及 nokia 管理软件 Checkpoint NG AI R55 安装包 for windows hotfix09 或以上 4.Nokia IP380 设备两台内置 IPSO3.8 build 39 内置 checkpoint NG AI R55 安装

相关主题
相关文档 最新文档