本文由ｎｏ１ｍｏｏｎｂｏｙ贡献
ｄｏｃ１。
双 ＣｈｅｃｋＰｏｉｎｔ 防火墙实施方案
目 录
第一章 客户环境概述…… ４ １．１ 概述 …… ４ １．２ 网络拓扑与地址分配表 …… ４ １．３ 安装前准备事宜 …… ６ 第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置 …… ７ ２．１ 概述 …… ７ ２．２ 初始化 ｎｏｋｉａ３８０ …… ７ ２．３ 设置 ｎｏｋｉａ 基本信息 …… ８ ２．３．１ Ｎｏｋｉａ 端口 ＩＰ 地址设定 …… ８ ２．３．２ 设置网关路由 …… ８ ２．３．３ 设置 Ｎｏｋｉａ 平台时间 …… ９ ２．３．４ 设定 Ｎｏｋｉａ 高可用 ＶＲＲＰ 参数 …… ９ ２．４ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １４ ２．４．１ 在 ｎｏｋｉａ 平台上 ｃｈｅｃｋｐｏｉｎｔ 的安装与卸载 …… １４ ２．４．２ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １６ 第三章 管理服务器的安装与配置…… １７ ３．１ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔｃｅｎｔｅｒ 的安装…… １８ ３．１．１ 安装前的准备 …… １８ ３．１．２ 安装步骤 …… １８ ３．２ 配置 ｃｈｅｃｋｐｏｉｎｔ 对象和参数 …… ２０ ３．２．１ 建立 ｓｉｃ …… ２０ ３．２．２ 定义防火墙对象拓扑结构 …… ２１ ３．２．３ 使用同样的步骤按照表 １ 的参数建立 ＩＰ３８０Ｂ ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 对象。 …… ２１ ３．３ 基于 ｎｏｋｉａ ｖｒｒｐ 或者 ｃｌｕｓｔｅｒ 的设置…… ２２ ３．３．１ 基于 Ｎｏｋｉａ ＶＲＲＰ 的设置 …… ２２ ３．３．２ 为 ｎｏｋｉａ ｖｒｒｐ 定义策略 …… ２２ ３．３．３ 高可用性的检查 …… ２３ ３．４ｎｏｋｉａ ｃｌｕｓｔｅｒ 的设置 …… ２３ ３．５ 暂时没有 …… ２３ 第四章 策略设定…… ２４ ４．１ 概述 …… ２４ ４．２ ｎｅｔｓｃｒｅｅｎ 的策略 …… ２４ ４．３ 经过整理后转换成 ｃｈｅｃｋｐｏｉｎｔ 的策略 …… ２４ ４．４ 设定策略 …… ２４ ４．４．１ 定义主机对象 …… ２４ ４．４．２ 定义网络对象 …… ２５ ４．４．３ 定义组 …… ２６ ４．４．４ 定义服务 …… ２６
４．４．５ 添加标准策略 …… ２７ ４．４．６ 添加 ＮＡＴ 策略…… ２７ 第五章 切换与测试…… ２９ ５．１ 切换 …… ２９ ５．２ 测试 …… ２９ ５．３ 回退 …… ３０ 第六章 日常维护…… ３１ ６．１ 防火墙的备份与恢复 …… ３１ ６．１．１ ｎｏｋｉａ 防火墙的备份与恢复方法 …… ３１ ６．１．２ ｃｈｅｃｋｐｏｉｎｔ ｍａｎａｇｅｍｅｎｔ 上的备份与恢复 …… ３３
第一章
客户环境概述
１．１ 概述
ＸＸＸＸＸＸ 公司因应企业内部的网络需求，对总部网络进行扩容改动，中心 防火墙从原来的 ｎｅｔｓｃｒｅｅｎ 换成两台 Ｎｏｋｉａ ＩＰ３８０，两台 ｎｏｋｉａ 互为热备。维持原 有的服务不变。 由于这次网络改动比较大，所以先离线进行安装和测试，最后再进行切换 １．２ 网络拓扑与地址分配表
ＸＸＸＸＸＸ 改造前网络拓扑如下
改动后，ＸＸＸ 将按照以下图进行实施 改动后，
给个设备及端口的地址分配入下表所示 ＩＰ 地址分配表（表 １）
管理服务器参数 ＩＰ 地址 防火墙各端口参数 端口 Ｅｔｈ１ 用途 外网 口 Ｅｔｈ２ Ｅｔｈ３ Ｅｔｈ４ ？ ＤＭＺ 内网 同步 口 ｇａｔｅｗａｙ 静态路 由 １７２．１６．１００．５／３０ １７２．１６．１００．６／３０ １７２．１６．１００．１／３０ １０．１０１．１．１０１／２４ １０．１０１．１．１０２／２４ １０．１０１．１．１／２４ １９２．１６８．１１．１／２４ １９２．１６８．１１．２／２４ Ｎｏｋｉａ３８０Ａ Ｎｏｋｉａ３８０Ｂ 虚拟地址
１．３ 安装前准备事宜
１．管理服务器硬件平台 ＣＰＵ 奔腾 ３ ５００ 以上 内存 １２８ 以上 硬盘 ６０Ｍ 以上 操作系统，ｗｉｎｄｏｗｓ ２０００ ｓｅｒｖｅｒ ＋ＳＰ４ 补丁
２．网络连线 ３．Ｃｈｅｃｋｐｏｉｎｔ 及 ｎｏｋｉａ 管理软件 Ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 ｆｏｒ ｗｉｎｄｏｗｓ ｈｏｔｆｉｘ０９ 或以上
４．Ｎｏｋｉａ ＩＰ３８０ 设备两台 内置 ＩＰＳＯ３．８ ｂｕｉｌｄ ３９ 内置 ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包
第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置
２．１ 概述
首先我们可以对两台 Ｎｏｋｉａ ＩＰ３８０ 进行安装与配置，由于 Ｎｏｋｉａ 防火墙将会 替代 Ｎｅｔｓｃｒｅｅｎ，所以 Ｎｏｋｉａ 防火墙可以进行离线配置。配置步骤如下。
２．２ 初始化 ｎｏｋｉａ３８０
１． 使用 ｎｏｋｉａ ｃｏｎｓｏｌｅ 线，连接 ｎｏｋｉａ ｃｏｎｓｏｌｅ 口和管理 ｐｃ 的串行端口，
并打 开电源家电。 ２． 打开 ｗｉｎｄｏｗｓ 超级终端按照下图设置
３． Ｎｏｋｉａ ＩＰ３８０ 正常开机后填入防火墙的名字：ＩＰ３８０Ａ 。如下图
４． 输入默认管理员用户 ａｄｍｉｎ 的密码并确认密码，这里密码填 ｐａｓｓｗｏｒｄ，密 码以后可以通过 ｗｅｂ 界面进行修改。如下图所示
５． 设定使用基于 ｗｅｂ 的浏览器进行管理还是基于文本的浏览器进行管理，这 里选择 １
６． 设定初始网络参数，这里需要设定一块网卡的 ＩＰ 地址，以方便进行基于 ｗｅｂ 的管理，如下图所示，分别填入网卡号和 ＩＰ 地址，暂时不设定 ｄｅｆａｕｌｔ ｒｏｕｔｅ，并配置端口成 １００Ｍ 全双工。
７． 确认以上信息正确，由于网络上并没有 ＶＬＡＮ 设置，所以并不需要进行 Ｖｌａｎ 配置。如下图
２．３ 设置 ｎｏｋｉａ 基本信息
主要设定 ｎｏｋｉａ 底层基本参数，包括 ＩＰ 地址，路由，时间，ＶＲＲＰ 设定
２．３．１ Ｎｏｋｉａ 端口 ＩＰ 地址设定
１．使用网线连接管理机和 ｎｏｋｉａ 端口，打开 ＩＥ 浏览器，输入刚才定义的 ｎｏｋｉａＩＰ 地址 ｈｔｔｐ：／／１９２．１６８．１１．１ ，使用用户名 ａｄｍｉｎ，密码 ｐａｓｓｗｏｒｄ 登陆。如下图所示。
２．登陆后点击 ｃｏｎｆｉｇ 按钮，进入配置界面，如下图所示。
３．点击 ｉｎｔｅｒｆａｃｅ 按钮后，进入 ｉｎｔｅｒｆａｃｅ 配置界面。点击逻辑端口 Ｅｔｈ３ｃ０ 配置 Ｅｔｈ３ 的 ＩＰ 的，如下图所示。
在 Ａｃｔｉｖｅ 选项上选 Ｏｎ，ＮｅｗＩＰａｄｄｒｅｓｓ 框添上 ＩＰ 地址，ＮｅｗＭａｓｋＬｅｎｇｔｈ 框填上子 网掩码的长度，如下图所示。
４． Ａｐｐｌｙ 键。 ５． 配置网卡物理参数。点击 ＵＰ 按钮，回到 Ｉｎｔｅｒｆａｃｅ ｃｏｎｆｉｇｕｒａｔｉｏｎ 界面，点击
物理端口号 Ｅｔｈ３ 出现以下界面。
修改 ｌｉｎｋ ｓｐｅｅｄ 的参数为 １００Ｍ，修改 Ｄｕｐｌｅｘ 为 Ｆｕｌｌ。 ６．Ａｐｐｌｙ 键和 Ｓａｖｅ 键，保存配置。 ７．重复以上步骤，按照 ＩＰ 列表分配表（表 １）中参数配置各个端口地址。如下图 （图略）
２．３．２ 设置网关路由
完成 ＩＰ 地址的设定以后，需要做的是设定默认网关和静态路由 １． 进入配置界面，点击 Ｒｏｕｔｉｎｇ Ｃｏｎｆｉｇｕｒａｔｉｏｎ －＞ Ｓｔａｔｉｃ Ｒｏｕｔｅ，进入下图所示
在 ｄｅｆａｕｌｔ 项选择 Ｏｎ，ｎｅｘｔ ｈｏｐ ｔｙｐｅ 选 ｎｏｒｍａｌ，然后点击 ａｐｐｌｙ ２．在原来的参数下面会出现新一项参数 Ｇａｔｅｗａｙ Ｔｙｐｅ， 这里选择 ａｄｄｒｅｓｓ， 点击 ＡＰＰＬＹ 如下图所示：
３． 填上 ｎｏｋｉａ 的网关，然后点击 ａｐｐｌｙ 后点击 ｓａｖｅ，完成默认网关的设置。如下图 所示 这里网关地址填：？？？？？
４． 在 ｎｅｗ ｓｔａｔｉｃ ｒｏｕｔｅ 填上要网段地址，在 ｍａｓｋ ｌｅｎｇｔｈ 填上网段掩码，ｎｅｘｔ ｈｏｐ ｔｙｐｅ 选上 ｎｏｒｍａｌ，ｇａｔｅｗａｙ ｔｙｐｅ 选上 ａｄｄｒｅｓｓ，并点击 ａｐｐｌｙ，如下图所示
５． Ａｐｐｌｙ 后会出现 ｇａｔｅｗａｙ ａｄｄｒｅｓｓ 参数框，填入下一跳地址，点击 ａｐｐｌｙ，完成 静态路由的添加。如下图
６．重复步骤 ４、５ 添加更多的静态路由，完成后按 ｓａｖｅ 保存 这里需要设置的静态路由有？？？？？？？
２．３．３ 设置 Ｎｏｋｉａ 平台时间
１． 进入配置界面后，点击 ｓｙｓｔｅｍ ｃｏｎｆｉｇｕｒａｔｉｏｎ 下的 ｌｏｃａｌ ｔｉｍｅ ｓｅｔｕｐ
２． 在 ｓｅｃｅｃｔ ｃｉｔｙ 中选择 Ｃｈｉｎａ／ＨｏｎｇＫｏｎｇ，在 ｍａｎｕａｌ ｓｅｔ ｄａｙ ａｎｄ ｔｉｍｅ 分别填 上日期和时间，如下图，完成后点击 ａｐｐｌｙ，再点击 ｓａｖｅ。
２．３．４ 设定 Ｎｏｋｉａ 高可用 ＶＲＲＰ 参数 ａ． 设定时间同步 管理服务器与执行点之间必须做到时间同步，才可以成功建立安全连 接（ＳＩＣ），同时，再做 ＶＲＲＰ 时两个执行点之间的时间也必须做到同 步，他们的状态表才能正常及时地交换。所以，必须为设备设置 ＮＴＰ 时间服务。 我们以 ＩＰ３８０Ａ 作为时间的基准服务， ＩＰ３８０Ｂ 作为作为客户段， 进行参 数配置。 １． 在 ＩＰ３８０Ａ 上点击 Ｒｏｕｔｅｒ Ｓｅｒｖｉｃｅｓ 下的 ＮＴＰ
，进入 ＮＴＰ 配置界面， 在 Ｅｎａｂｌｅ ＮＢＴ 上选 ｙｅｓ
在 ＮＴＰ Ｒｅｆｅｒｅｎｃｅ Ｃｌｏｃｋ 下的 ＮＴＰ Ｍａｓｔｅｒ 选 ｙｅｓ，Ｓｔｒａｔｕｍ 填上 ３（这项 填写范围为 １－１５），点击 ＡＰＰＬＹ，再点击 ＳＡＶＥ，这样 ＩＰ３８０Ａ 便成 为时间服务器。 ２． 在 ＩＰ３８０Ｂ 配置页面上点击 Ｒｏｕｔｅｒ Ｓｅｒｖｉｃｅｓ 下的 ＮＴＰ，进入 ＮＴＰ 配置界面， ＮＴＰ Ｇｌｏｂａｌ Ｓｅｔｔｉｎｇｓ 上选 ｙｅｓ， 在 点击 ＡＰＰＬＹ， 如下图：
在 ＮＴＰ ｓｅｒｖｅｒｓ 下 ａｄｄ ｎｅｗ ｓｅｒｖｅｒ ａｄｄｒｅｓｓ 上添加 ＩＰ３８０Ａ 的地址 １９２．１６８．１１．１。点击 ＡＰＰＬＹ，出现下图
点击 ｓａｖｅ 保存配置，时间同步配置完毕。 注意，第一次时间同步时间比较长。
ｂ． 配置 ＶＲＲＰ 参数 同一设备的某一端口监控另一端口， 当发现被监控端口出现问题时 （例 如，端口断开），按照预先设定的规则，监控端口更改自身的优先级。 属于同一 ＶＲＲＰ 组的成员共享一个虚拟 ＩＰ 地址，这个地址将作为终端 设备的网关或者路由设备的下一跳地址使用。
一般来说，是高优先级的设备在本机故障的情况下降低自身的优先级， 使得原来低优先级的设备接管工作，实现服务的高可用性。 本方案采用 ＩＰ３８０Ａ 作为主防火墙。 配置步骤如下： １． 选择 ＶＲＲＰ ｍｏｎｉｔｏｒｅｄ Ｃｉｒｃｕｉｔ 模式 在 ＩＰ３８０Ａ， ＩＰ３８０Ｂ 的配置页面上点击 Ｒｏｕｔｅｒ Ｓｅｒｖｉｃｅ 下的 ＶＲＲＰ， 进入 ＶＲＲＰ 配置界面，点击 Ｌｅｇａｃｙ ＶＲＲＰＣｏｎｆｉｇｕｒａｔｉｏｎ，在需要做 ＶＲＲＰ 的端口下选择 Ｍｏｎｉｔｏｒｅｄ Ｃｉｒｃｕｉｔ， 点击 ａｐｐｌｙ 如下图， 填上 ｖｉｒｔｕａｌ ｒｏｕｔｅｒ 的数值。注意，每个对应的子端口的 ｖｉｒｔｕｒａｌ ｒｏｕｔｅｒ 值应该一样 （例如 ＩＰ３８０Ａ 的 ｅｔｈ１ｃ０ 的 ｖｉｒｔｕａｌ ｒｏｕｔｅｒ 和 ＩＰ３８０Ｂ 的 ｅｔｈ１ｃ０ 的 ｖｉｒｔｕａｌ ｒｏｕｔｅｒ 值相同），这样才能保证这对端口在同一个 ｖｒｒｐ 组里面。 ＶＲＲＰ 协议主要可以防止网络中断造成的服务中断，提供接口方 面的高可用性，因此需要选择 ＶＲＲＰ Ｍｏｎｉｔｏｒｅｄ Ｃｉｒｃｕｉｔ 模式，点击 ＡＰＰＬＹ 然后在 Ｃｒｅａｔｅ Ｖｉｒｔｕａｌ Ｒｏｕｔｅｒ 中填写一个自定义的编号，这个 编号用于识别同一网络内的高可用设备成员所属的高可用分组，因此 两个防火墙属于同一网段的接口必须使用同一 Ｖｉｒｔｕａｌ Ｒｏｕｔｅｒ ＩＤ。在 本例中，分别使用 ８１，８２，８３ 作为三个网段的 ｖｉｒｔｕａｌ 值，由于同步 口并不用参与数据传输，所以同步端口并不用配置 ｖｒｒｐ 属性。 ＩＰ３８０Ａ
ＩＰ３８０Ｂ
２． 配置虚拟 ＩＰ 地址，ＭＡＣ 地址，监控接口，优先级，认证。 ＩＰ３８０Ａ 作为主用机使用，因此优先级较高，填写以下参数： 外网：ｅｔｈ１ｃ０ ＩＰ？？ Ｐｒｉｏｒｉｔｙ：２５４ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：ＩＰ？？？？（虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ２ｃ０（这里选择的是要监控的端口，即 ＤＭＺ） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６
点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ３ｃ０（这里选择要监控的端口，即内网） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
ＤＭＺ：ｅｔｈ２ｃ０ ＩＰ？？？？？？ Ｐｒｉｏｒｉｔｙ：２５４ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：？？？？？？？ （虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ１ｃ０（这里选择的是要监控的网口，即外网口） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ３ｃ０（这里选择要监控的端口，即内网） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
内网：ｅｔｈ３ｃ０ ＩＰ？？？？ Ｐｒｉｏｒｉｔｙ：２５４ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：ＩＰ ？？？？？（虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ１ｃ０（这里选择的是要监控的网口，即外网口） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ２ｃ０（这里选择的是要监控的端口，即 ＤＭＺ） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
ＩＰ３８０Ｂ 作为主用机使用，因此优先级较低，填写以下参数： 外网：ｅｔｈ１ｃ０ ＩＰ？？ Ｐｒｉｏｒｉｔｙ：２４０ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：ＩＰ？？？？（虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ２ｃ０（这里选择的是要监控的端口，即 ＤＭＺ） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ３ｃ０（这里选择要监控的端口，即内网） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
ＤＭＺ：ｅｔｈ２ｃ０ ＩＰ？？？？？？ Ｐｒｉｏｒｉｔｙ：２４０ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：？？？
？？？？ （虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ１ｃ０（这里选择的是要监控的网口，即外网口） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ３ｃ０（这里选择要监控的端口，即内网） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
内网：ｅｔｈ３ｃ０ ＩＰ？？？？ Ｐｒｉｏｒｉｔｙ：２４０ Ｈｅｌｌｏ ｉｎｔｅｒｖａｌ：２ Ｂａｃｋｕｐ Ａｄｄｒｅｓｓ：ＩＰ ？？？？？（虚拟 ＩＰ 地址） Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ１ｃ０（这里选择的是要监控的网口，即外网口） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６
点击 ＡＰＰＬＹ，完成设定第一个监控端口 Ｍｏｎｉｔｏｒ Ｉｎｔｅｒｆａｃｅ：ｅｔｈ２ｃ０（这里选择的是要监控的端口，即 ＤＭＺ） Ｐｒｉｏｒｉｔｙ Ｄｅｌｔａ：１６ 点击 ＡＰＰＬＹ，点击 ＳＡＶＥ 完成设定第二个监控端口
虚拟的 ＭＡＣ 地址缺省情况下使用 ＶＲＲＰ 模式，设备会以 ＶＲＲＰ Ｒｏｕｔｅｒ ＩＤ 为基础为虚拟 ＩＰ 分配一个虚拟的 ＭＡＣ 地址 ３． 测试与状态检测 在 Ｖｏｙａｇｅｒ 的 Ｍｏｎｉｔｏｒ 页面下的 Ｒｏｕｔｉｎｇ Ｐｒｏｔｏｃｏｌｓ 下的 ＶＲＲＰ 里， 可以检测当前设备的 ＶＲＲＰ 状态，如下图所示： ＩＰ３８０Ａ
ＩＰ３８０Ｂ
２．４ 初始化 ｃｈｅｃｋｐｏｉｎｔ
Ｎｏｋｉａ ＩＰ３８０ 出厂的时候就已经安装好 ｃｈｅｃｋｐｏｉｎｔ， 所以在 Ｎｏｋｉａ 平台下新的 机器并不需要重新安装 ｃｈｅｃｋｐｏｉｎｔ，只需把 ｃｈｅｃｋｐｏｉｎｔ 初始化即可。如果客户有 最新的 ｃｈｅｃｋｐｏｉｎｔ 安装包 ｆｏｒ Ｎｏｋｉａ 平台，可以重新安装最新的 ｃｈｅｃｋｐｏｉｎｔ 安装 包
２．４．１ 在 ｎｏｋｉａ 平台上 ｃｈｅｃｋｐｏｉｎｔ 的安装与卸载
新出厂的 ｎｏｋｉａ 机器可以不需要重新卸载 ｃｈｅｃｋｐｏｉｎｔ 和安装 ｃｈｅｃｋｐｏｉｎｔ，初始化 ｃｈｅｃｋｐｏｉｎｔ 即可，这一章节可以跳过，直接访问 ２．４．２ 进行初始化。
ａ． 卸载
如果客户以前测试过 ｃｈｅｃｋｐｏｉｎｔ，或者客户想重新安装 ｃｈｅｃｋｐｏｉｎｔ，可以先在 ｎｏｋｉａ ｗｅｂ 界面上先卸载 ｃｈｅｃｋｐｏｉｎｔ。 １． 进入 ｃｏｎｆｉｇｕｒａｔｉｏｎ ｉｎｔｅｒｆａｃｅ，点击 ｍａｎａｇｅ ｉｎｓｔａｌｌｅｄ ｐａｃｋａｇｅｓ 进入管 理 ｐａｃｋａｇｅ 界面。 ２． 设置 Ｃｈｅｃｋ Ｐｏｉｎｔ ＶＰＮ－１ ＮＧ ｗｉｔｈ Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ 为 ｏｆｆ 设置 Ｃｈｅｃｋ Ｐｏｉｎｔ ＣＰｉｎｆｏ ＮＧ ｗｉｔｈ Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ 为 ｏｆｆ
点击 ａｐｐｌｙ 停止以上软件包
３． 设置 Ｃｈｅｃｋ Ｐｏｉｎｔ ＳＶＮ Ｆｏｕｎｄａｔｉｏｎ ＮＧ ｗｉｔｈ Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ 点击 ａｐｐｌｙ 停止 ＳＶＮ 软件包 注意 ＳＶＮ 软件包必须在其他所有软件包都在 ｏｆｆ 的状况下才能正常 ｓｔｏｐ，所 以要先 ｏｆｆ 所有软件包，点击 ａｐｐｌｙ 之后，才能在 ｏｆｆ ＳＶＮ 软件包，最后再 ａｐｐｌｙ。如图
４． 在 ｍａｎａｇｅ ｉｎｓｔａｌｌｅｄ ｐａｃｋａｇｅｓ 点击 ｄｅｌｅｔｅ ｐａｃｋａｇｅｓ ５． 所有 ｃｈｅｃｋｐｏｉｎｔ 开头的组件设置成 ｄｅｌｅｔｅ，然后点击 ａｐｐｌｙ，如下图
６． 等待一阵后回到 ｍａｎａｇｅ ｉｎｓｔａｌｌｅｄ ｐａｃｋａｇｅ 后，可以看到所有 ｐａｃｋａｇｅ 均被 ｄｅｌｅｔｅ，如下图
７． 在 ｃｏｎｓｏｌｅ 上使用命令 ｌｓ ／ｖａｒ／ｏｐｔ 没有任何的文件或文件夹留下，ｌｓ ／ｏｐｔ 没有任何 ＣＰ 开头的文件夹，说明已经卸载成功了。
ｂ． 安装 如果客户有最新的 ｃｈｅｃｋｐｏｉｎｔ 安装包， 而客户又是新安装的 Ｎｏｋｉａ 机器， 建议使 用 Ｍａｎａｇｅ Ｉｎｓｔａｌｌｅｄ Ｐａｃｋａｇｅｓ 来对 ｃｈｅｃｋｐｏｉｎｔ 进行安装。 我们预先把起一台 ｆｔｐ 服务器，并把 ｃｈｅｃｋｐｏｉｎｔ 的安装包放到 ｆｔｐ 服务器上。 １． 使用浏览器登陆到 ｎｏｋｉａ ｃｏｎｆｉｇｕｒａｔｉｏｎ ｉｎｔｅｒｆａｃｅ 界面，点击 ｍａｎａｇｅ ｉｎｓｔａｌｌｅｄ ｐａｃｋａｇｅｓ 进入。 ２． 点击 ｆｔｐ ａｎｄ ｉｎｓｔａｌｌ ｐａｃｋａｇｅｓ 进入安装界面，如下图所示
３． 输入 ｆｔｐ 地址，路径，用户名和密码，然后按 ａｐｐｌｙ 键 这里 ｆｔｐ 地址为：？？？？？？？ ｆｔｐ 路径为：／ 用户名：ｆｔｐ 密码：ｆｔｐ
４． 在 ｌｉｓｔ 列表上选择要安装的 ｃｈｅｃｋｐｏｉｎｔ 包，然后点击 ａｐｐｌｙ
５． Ｃｈｅｃｋｐｏｉｎｔ 包会通过 ｆｔｐ 的方式下载到 Ｎｏｋｉａ 上，看到提示 ｄｏｗｎｌｏａｄ ｓｕｃｃｅｓｓｆｕｌ 后选择要安装的包，然后点 ａｐｐｌｙ 安装
６． 点击 Ｃｌｉｃｋ ｈｅｒｅ ｔｏ ｉｎｓｔａｌｌ／ｕｐｇｒａｄｅ ／ｏｐｔ／ｐａｃｋａｇｅｓ／ＩＰＳＯ３．８＿ｗｒａｐｐｅｒ＿
Ｒ５５．ｔｇｚ
进行安装，选择 ｉｎｓｔａｌｌ ＝ ｙｅｓ 如下图 ，点击 ａｐｐｌｙ
７． 在 ｃｏｎｓｏｌｅ 打入命令 ｔａｉｌ ／ｖａｒ／ｌｏｇ／ｍｅｓｓａｇｅｓ，如果 ｃｏｎｓｏｌｅ 出现下图情况， 则表明已经安装成功。
８． 回到 ｍａｎａｇｅ ｉｎｓｔａｌｌｅｄ ｐａｃｋａｇｅｓ 可以看到所有 ｐａｃｋａｇｅ 都已经 ｉｎｓｔａｌｌ， ｃｈｅｃｋｐｏｉｎｔ ｆｗ１ 和 ＳＶＮ Ｆｏｕｎｄａｔｉｏｎ 的状态是 ｏｎ 的，如下图所示
９．
２．４．２ 初始化 ｃｈｅｃｋｐｏｉｎｔ
要使 ｃｈｅｃｋｐｏｉｎｔ 能正常工作，必须对 ｃｈｅｃｋｐｏｉｎｔ 进行初始化。由于两台 Ｎｏｋｉａ 是 跑 ＨＡ 模式，所以 ｓｍａｒｔｃｅｎｔｅｒ 必须要装在外部，不能和 ｅｎｆｏｒｃｅｍｅｎｔ ｍｏｄｕｌｅ 安装在一
起，步骤如下： １． 使用超级终端推出 ｃｏｎｓｏｌｅ，重新登陆 ｃｏｎｓｏｌｅ，运行命令 ｃｐｃｏｎｆｉｇ，如下图
２． Ａｃｃｅｐｔ ｌｉｃｅｎｓｅ 之后，就可以选择 ｃｈｅｃｋｐｏｉｎｔ 的产品，如果是买了 ｃｈｅｃｋｐｏｉｎｔ ｅｎｔｅｒｐｒｉｓｅ 版的请选择 １，如果是买了 ｃｈｅｃｋｐｏｉｎｔ ｅｘｐｒｅｓｓ 的请选择 ２ 由于 ＸＸＸＸＸＸ 购买的是 ｃｈｅｃｋｐｏｉｎｔ ｅｎｔｅｒｐｒｉｓｅ，所以选择 １ ３． 在选择 ｃｈｅｃｋｐｏｉｎｔ 产品之后，会来到安装方式选择，这里有两个选项 Ｓｔａｎｄ Ａｌｏｎｅ ：单独安装，即 ｓｍａｒｔｃｅｎｔｅｒ 和 ｅｎｆｏｒｃｅｍｅｎｔ ｍｏｄｕｌｅ 都安装在同一 个设备中 Ｄｉｓｔｒｉｂｕｔｅｄ ：分布式安装，即只选择 ｓｍａｒｔｃｅｎｔｅｒ 或者 ｅｎｆｏｒｃｅｍｅｎｔ ｍｏｄｕｌｅ 其 中一个安装。 由于 ＸＸＸ 使用高可用性配置模式，所以这里选择 ２ 分布式安装
４． 当选择分布式安装后，系统会提示安装哪个 ｃｈｅｃｋｐｏｉｎｔ 组件，如下图所示 我们只选择 １，ｖｐｎ－１ ｐｒｏ ｇａｔｅｗａｙ 进行安装 ５． 选择 ｃｈｅｃｋｐｏｉｎｔ 组件后，系统提示是否打开状态同步功能，填入 ｙ 回车继续
６． 完成同步状态功能的选择后，系统会提示是否添加 ｌｉｃｅｎｓｅ，一般 ｃｈｅｃｋｐｏｉｎｔ 没 有 ｌｉｃｅｎｓｅ 的情况下都有 １５ 天的试用期， 所以这里不用输入 ｌｉｃｅｎｓｅ 也可以使用， 填入 ｎ，然后回车
７． 键入一个随机队列，用于生成用于加密的种子
８． 系统会要求键入 ＳＩＣ ｐａｓｓｗｏｒｄ，这个 ｐａｓｓｗｏｒｄ 用于 ｅｎｆｏｒｃｅｍｅｎｔ ｍｏｄｕｌｅ 和
ｍａｎａｇｅｍｅｎｔ ｓｅｒｖｅｒ 的安全连接，在以后设置 ｓｍａｒｔｃｅｎｔｅｒ 的时候，添加 ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 输入的 ｓｉｃ 需要和这个密码相同才能建立 ＳＩＣ 连接。设
置界面如下图，这里填入 ｓｉｃ ｐａｓｓｗｏｒｄ 为 １２３４５６
９． 最后系统提示重新启动机器，按 ｙ 重启机器，ｃｈｅｃｋｐｏｉｎｔ 在 ｎｏｋｉａ 上初始
化完成。
第三章 管理服务器的安装与配置
管理服务器 ｓｍａｒｔｃｅｎｔｅｒ 在 ＨＡ 的环境中是储存了所有的 ｃｈｅｃｋｐｏｉｎｔ 的配置和策 略。所以管理服务器在一个 ｃｈｅｃｋｐｏｉｎｔ 的配置环境中是属于核心配置，虽然管理 服务器不参与客户数据的流动，因为策略只能从管理服务器安装到 ｅｎｆｏｒｃｅｍｅｎｔ， 不能从 ｅｎｆｏｒｃｅｍｅｎｔ 返回到管理服务器，所以一旦管理服务器损坏，客户将丢失 所有防火墙的配置权，策略必须重新定义。
３．１ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔｃｅｎｔｅｒ 的安装
３．１．１ 安装前的准备
ｃｐｕ 奔腾 ３ ５００ 以上，２５６ 内存以上，硬盘 ５ｇ 以上 ｗｉｎ２０００ ｓｅｒｖｅｒ ＋ ｓｐ４ 需要 ｗｉｎｚｉｐ 或者 ｗｉｎｒａｒ 软件安装 ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 ｆｏｒ ｗｉｎｄｏｗｎｓ ３．１．２ 安装步骤
１． 解压缩安装包，点击 ｓｅｔｕｐ．ｅｘｅ 进入安装界面
２． 点击 ｎｅｘｔ 后，会进行产品选择 这里有 ２ 个选择 ｃｈｅｃｋ ｐｏｉｎｔ ｅｎｔｅｒｐｒｉｓｅ／ｐｒｏ
ｃｈｅｃｋ ｐｏｉｎｔ ｅｘｐｒｅｓｓ 在 ＸＸＸ 这个案件中，我们选择 ｃｈｅｃｋ ｐｒｉｎｔ ｅｎｔｅｒｐｒｉｓ
ｅ／ｐｒｏ 点击 ｎｅｘｔ ３． 然后会进行安装选项选择，这里选择 ｎｅｗ ｉｎｓｔａｌｌａｔｉｏｎ
点击 ｎｅｘｔ ４． 然后到组件选择界面。这里主要选择安装那一类型的 ｃｈｅｃｋｐｏｉｎｔ 产品， 注意， ｓｍａｒｔｃｅｎｔｅｒ 和 ｓｅｃｕｒｅｒｅｍｏｔｅ／ｓｅｃｕｒｅｃｌｉｅｎｔ 是不能同时安装在统一台 机器上 由于在 ＸＸＸ 的两台 ｎｏｋｉａ 只是做高可用，所以这里只是需要安装管理 服务器和 ｇｕｉ 即可，如下图所示
点击 ｎｅｘｔ 继续 ５． 选择安装 ｓｍａｒｔｃｅｎｔｅｒ 后，系统会询问是安装成 ｐｒｉｍａｒｙ ｓｍａｒｔｃｅｎｔｅｒ
还是 ｓｅｃｏｎｄａｒｙ ｓｍａｒｔｃｅｎｔｅｒ。 Ｃｈｅｃｋｐｏｉｎｔ 是支持 ｓｍａｒｔｃｅｎｔｅｒ 的高可用性， 可以使用两个 ｓｍａｒｔｃｅｎｔｅｒ 进行备份。 另外一个选项是安装成单独的 ｌｏｇ ｓｅｒｖｅｒ，只是作为单独的 ｌｏｇ 记录，不进行策略管理。 在 ＸＸＸ 这个案件中，我们选择 ｐｒｉｍａｒｙ ｓｍａｒｔｃｅｎｔｅｒ，如下图所示。
点击 ｎｅｘｔ 开始安装
６．ＳＶＮ Ｆａｎｄａｔｉｏｎ 默认安装在 ｃ：＼ｐｒｏｇｒａｍｅ ｆｉｌｅｓ＼ｃｈｅｃｋｐｏｉｎｔ＼ｃｐｓｈａｒｅｄ 目录下， 也不能进行修改，Ｆｗ１ 默认安装在 ｃ：＼ｗｉｎｎｔ＼ｆｗ１ 下面，这个路径可以修 改，由于 ｃｈｅｃｋｐｏｉｎｔ 的 ｌｏｇ 也是记录在这个路径下，所以最好把这个路 径安装在空间比较多的地方。 在 ＸＸＸ 这个案件，我们建议划分 ｄ 盘为安装 ｃｈｅｃｋｐｏｉｎｔ 的目录如下图 所示
我们把 ｆｗ１ 的安装目录设成 ｄ：＼ｆｗ１＼Ｒ５５，点击 ｎｅｘｔ 继续安装
７． 安装 ｆｗ１ 完成以后，开始安装 ｓｍａｒｔ ｃｏｎｓｏｌｅ 即 ｇｕｉ 点击 ｎｅｘｔ 继续
８． 拷贝文件完成后，ｃｈｅｃｋｐｏｉｎｔ 管理服务器安装完成，但是安装进程并 没有完成，而是进入下一阶段，初始化管理服务器
３．１．３ 管理服务器的初始化
完成安装后，安装程序进行仍然未结束。这时会继续初始化 ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔｃｅｎｔｅｒ １． 添加 ｓｍａｒｔｃｅｎｔｅｒ ｌｉｃｅｎｓｅ。由于 ｃｈｅｃｋｐｏｉｎｔ 初始安装有 １５ 天的试用 ｌｉｃｅｎｓｅ， 所以这里可以不需要添加任何 ｌｉｃｅｎｓｅ 而继续，如果用户此时已经有 ｌｉｃｅｎｓｅ， 可以点击 ａｄｄ 来进行添加，如下图
在 ＸＸＸ 这个案件，我们并不需要在这个时候添加 ｌｉｃｅｎｓｅ，我们点击下一步继续。系统 会弹出一个对话框确认没有 ｌｉｃｅｎｓｅ。 ２． 添加管理员帐号。在这一步， 用户必须添加一个管理 ｓｍａｒｔｃｅｎｔｅｒ 的管理员帐号。 点击添加，输入管理员名字和密码，并设定管理员的权限。如下图
点击下一步继续 ３． 设定允许管理员管理的 ＧＵＩ ｃｌｉｅｎｔ 地址列表。 基于安全的因素管理服务器必须有访问控制列表，只有在列表上的 ｉｐ 才能通过 ＧＵＩ 登陆管理服务器进行管理。 在 ＸＸＸ 这个案件中，我们建议填入具体的管理 ＧＵＩ 地址，但是现在由于安装便利 的原因，先暂时设定 ＧＵＩ ｃｌｉｅｎｔ 为任何地址＊．＊．＊．＊，在完成实施以后，可以改 为具体的 ＩＰ 地址。
点击下一步继续。 ４． 输入随机的字符，生成加密种子。 这里输入随机的一串字符，为 ｃａ 生成加密种子。只要打入字符，知道下一步按钮 可以点击为止。如下图 ５． 初始化 ｃａ。在生成加密种子以后，系统会提示初始化 ｃａ。默认 ｃａ 的名字是机器
的名字，这里不需要修改，点击下一步即可。
６． Ｃａ 初始化后， 会生成指纹。 这里只要点击完成按钮完成初始化， 并重新启动机器。
３．２ 配置 ｃｈｅｃｋｐｏｉｎｔ 对象和参数
３．２．１ 建立 ｓｉｃ 初始化管理服务器后， 我们可以使用 ｃｈｅｃｋｐｏｉｎｔ 的 ｓｍａｒｔ ｃｏｎｓｏｌｅ ＧＵＩ 登陆管理服 务器进行配置。 １． 打开 ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔ ｃｏｎｓｏｌｅ ，输入管理服务器的 ＩＰ 地址，用户名和密 码。 ＸＸＸ 的管理服务器 ＩＰ 为 用户名为 密码为
第一次登陆时会提示对照指纹，按 ａｐｐｒｏｖｅ 接受即可。
２．建立一个 ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 对象。 ＧＵＩ 左边对象树右键点击 ｎｅｔｗｏｒｋ 在 ｏｂｊｅｃｔ －＞ ｎｅｗ －＞ｃｈｅｃｋｐｏｉｎｔ －＞ ｇａｔｅｗａｙ … 选择 ｃｌａｓｓｉｃ ｍｏｄｅ，点击 ｏｋ，如下图
填入防火墙的名字， 地址， ｉｐ 并在 ｖｅｒｓｉｏｎ 和 ｔｙｐｅ 上选择好相应的产品， 在产品列表中把 ｆｉｒｅｗａｌｌ 打上勾，如下图所示。
在 ＸＸＸ 这个案例中，防火墙对象的名字为 ＩＰ３８０Ａ ， ＩＰ 为？？？？？？？？ Ｖｅｒｓｉｏｎ 为 ＮＧ ｗｉｔｈ Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｔｙｐｅ 为 Ｃｈｅｃｋ Ｐｏｉｎｔ Ｅｎｔｅｒｐｒｉｓｅ／Ｐｒｏ
３． 建立 ＳＩＣ 通道。点击 Ｇａｔｅｗａｙ 对象下的 Ｃｏｍｍｕｎｉｃａｔｉｏｎ 按钮，填入 ｓｉｃ 密码（这里的 ｓｉｃ 密码要和初始化 ｅｎｆｏｒｃｅｍｅｎｔ ｍｏｄｕｌｅ 的一样），点击 Ｉｎｉｔｉａｌｉｚｅ，建立 ｓｉｃ 通信
确认 ｓｉｃ 成功建立
３．２．２ 定义防火墙对象拓扑结构 １．点击左边菜单 ｔｏｐｏｌｏｇｙ， 出现 ｔｏｐｏｌｏｇｙ 属性对话框， 点击 ｇｅｔ－》 ｉｎｔｅｒｆａｃｅ ｗｉｔｈ ｔｏｐｏｌｏｇｙ
２． 分别点击入每个网卡属性， 并按照原来的设计定义好外网和内网（表 １），并设置好相应的地址欺骗的参数。
如上图所示 对象。 ３．２．３ 使用同样的步骤按照表 １ 的参数建立 ＩＰ３８０Ｂ ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 对象。
３．３ 基于 ｎｏｋｉａ ｖｒｒｐ 或者 ｃｌｕｓｔｅｒ 的设置
对于 Ｎｏｋｉａ 的 ｖｒｒｐ 和 ｃｌｕｓｔｅｒ， 除了在要在 ｎｏｋｉａ 底层上设定必要的参数之外，也要在 ｃｈｅｃｋｐｏｉｎｔ 上设定做一定的设置。
３．３．１ 基于 Ｎｏｋｉａ ＶＲＲＰ 的设置
１．建立 ｃｈｅｃｋｐｏｉｎｔ ｃｌｕｓｔｅｒ 对象
右键点击 ｃｈｅｃｋｐｏｉｎｔ －＞ ｎｅｗ ｃｈｅｃｋ ｐｏｉｎｔ －＞Ｇａｔｅｗａｙ Ｃｌｕｓｔｅｒ 建立一个 ｃｌｕｓｔｅｒ Ｇａｔｅｗａｙ 对象，如下图。
２．编辑 ｃｌｕｔｅｒ 的基本属性，设置 ＩＰ 地址与 ｃｌｕｓｔｅｒ 对象名称
３．点击 Ｃｌｕｓｔｅｒ Ｍｅｍｂｅｒｓ，点击 ａｄｄ 添加 ｃｌｕｓｔｅｒ 对象，并把两个防火墙对 象加到 ｃｌｕｓｔｅｒ 中。如下图
４．点击 ３ｒｄ Ｐａｒｔｙ Ｃｏｎｆｉｇｕｒａｔｉｏｎ，Ｓｐｅｃｉｆｙ Ｃｌｕｓｔｅｒ ｏｐｅｒａｔｉｏｎ 中选 Ｈｉｇｈ Ａｖａｉｂｉｌｉｔｙ，３ｒｄ Ｐａｒｔｙ 中选 Ｎｏｋｉａ ＶＲＲＰ，如下图
５．点击 Ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ，确认 Ｕｓｅ Ｓｔａｔｅ Ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ 打上勾，点击 ａｄｄ 添加同步网段。在 ＸＸＸ 这个案例中同步网段为 １９２．１６８．１１．０／２４ ，如 下图所示。
６．点击 ｔｏｐｏｌｏｇｙ 选项，点击 ｇｅｔ 按钮，得到 ｃｌｕｓｔｅｒ 的 ｔｏｐｏｌｏｇｙ ３．３．２ 为 ｎｏｋｉａ ｖｒｒｐ 定义策略 由于 ＶＲＲＰ 成员会向多播地址 ２２４．０．０．１８ 发出一些用于 ＶＲＲＰ 协议的信息， 所以在防火墙设置里要允许这些流量通过。 １．新建一个 ｍｕｌｔｉｃａｓｔ ｈｏｓｔ 如下图
２．定义必要的防火墙策略， 包括防火墙到
２２４．０．０．１８ 的信息和各防火墙成员之间
的互访（如 ＮＴＰ 同步等），配置如下图所示：
３．安装策略完成 Ｎｏｋｉａ ｖｒｒｐ 的配置
３．３．３ 高可用性的检查
可以在两台执行点上同时执行下面的命令： ｆｗ ｔａｂ –ｔ ｃｏｎｎｅｃｔｉｏｎｓ –ｓ 得到如下图所示的结果：
由上图可见，防火墙将列出当前的连接状态，当两个执行点的＃ＶＡＬＳ 值，也就 是当前连接数相同时，说明两个执行点的状态表已经同步了。
３．４ｎｏｋｉａ ｃｌｕｓｔｅｒ 的设置
３．５ 暂时没有
第四章 策略设定
４．１ 概述
防火墙的策略是防火墙的核心部分， 任何一个防火墙都必须有其自己的策略 对数据进行控制，ｃｈｅｃｋｐｏｉｎｔ 上的策略主要有标准策略，ＮＡＴ 策略两种 对于 ＸＸＸ 这个案件，由于线上已经有 ｎｅｔｓｃｒｅｅｎ 在运作，ｎｏｋｉａ３８０ 上的策略 要和 ｎｅｔｓｃｒｅｅｎ 的基本相同，我们需要的是把 ｎｅｔｓｃｒｅｅｎ 的策略转换成 ｎｏｋｉａ 的策 略。
４．２ ｎｅｔｓｃｒｅｅｎ 的策略
ＸＸＸ 网络管理员提供的 ｎｅｔｓｃｒｅｅｎ 的策略如下（表略）
４．３ 经过整理后转换成 ｃｈｅｃｋｐｏｉｎｔ 的策略
ｓｏｕｒｃｅ ｄｅｓｔｉｎａｔｉｏｎ ｓｅｒｖｉｃｅ ａｃｔｉｏｎ
ＮＡＴ ｍｏｄｅ
ＮＡＴ
ＮＡＴ ａｄｄｒｅｓｓ ＮＡＴ ｓｅｒｖｉｃｅ
４．４ 设定策略
４．４．１ 定义主机对象 １． 邮件点击对象树 Ｎｏｄｅ －＞ｎｅｗ ｎｏｄｅ －＞ ｈｏｓｔ
２． 编辑 ｎｏｄｅ 对象属性 填入 ｎｏｄｅ 名称和 ｉｐ 地址
３． 如果此 ｎｏｄｅ 需要做动态 ｎａｔ，点击 ＮＡＴ，出现 Ｎａｔ 属性框，在 Ａｄｄ Ａｕｔｏｍａｔｉｃ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ 上打勾。 如果此 ｎｏｄｅ 做动态 ＮＡＴ 映射，请选择 ｈｉｄｅ。并选择转换的方式，转 换方式有 ２ 种 ×ｈｉｄｅ ｂｅｈｉｎｄ ｇａｔｅｗａｙ 换 ×ｈｉｄｅ ｂｅｈｉｎｄ ＩＰ ａｄｄｒｅｓｓ ＮＡＴ 成某一个固定地址 根据目标网络自动选择接口地址进行 ＮＡＴ 转 ４． 如果此节点需要做静态 ＮＡＴ，请在 ＮＡＴ 方式上选择 ｓｔａｔｉｃ，并填写 ＮＡＴ 的地址
５．点击 ｏｋ 完成定义 ６．ＸＸＸ 这个案件上，我们需要定义的主机对象及其属性如下表
Ｎｏｄｅ ｎａｍｅ
Ｉｐ ａｄｄｒｅｓｓ
Ｎａｔ ｍｏｄｅ
ＮＡＴ ａｄｄｒｅｓｓ
定义网络对象 ４．４．２ 定义网络对象 １． 右键点击对象树 ｎｅｔｗｏｒｋ －＞ ｎｅｗ ｎｅｔｗｏｒｋ
２． 编辑 ｎｅｔｗｏｒｋ 对象，填入相应的网络名称，网络号，子网掩码
３． 如果网络也需要做 ＮＡＴ 可以点击 Ｎａｔ 选项，定义 ＮａＴ 参数，ｎａｔ 参数 说明可以参照 Ｎｏｄｅ ＮＡＴ 的参数说明
４． 点击确定完成网络对象的定义 ５． ＸＸＸ 这个案件上，我们需要定义的网络对象及其属性如下表 ｎｅｔｗｏｒｋ ｎａｍｅ Ｉｐ ａｄｄｒｅｓｓ Ｎａｔ ｍｏｄｅ ＮＡＴ ａｄｄｒｅｓｓ
４．４．３ 定义组 很多时候需要用到组对象，把几个不同的对象组合起来使用。下面描述一下如何 定义组 １． 右键点击属性树 ｇｒｏｕｐ －＞ ｎｅｗ ｓｉｍｐｌｅ ｇｒｏｕｐ
２． 填写组明，编辑组成员
选择需要加入这个组的对象，点击 ａｄｄ 加入 ３． ＸＸＸ 这个案件上，我们需要定义的组对象及其属性如下表 Ｇｒｏｕｐ ｎａｍｅ Ｉｎｃｌｕｄｅ ｏｂｊｅｃｔ
４．４．４ 定义服务 如果有特殊的应用和服务，可以通过新建服务来进行对象添加 １． 点击 ｓｅｒｖｉｃｅ 选项卡
２． 根据需要的协议右键点击，如右键 ｔｃｐ
３． 输入服务名称，填入端口号，或者其他参数
４． 点击确定完成添加 ５． ＸＸＸ 这个案件，我们需要自定义的服务如下 Ｓｅｒｖｉｃｅ ｎａｍｅ Ｓｅｒｖｉｃｅ Ｐｏｒｔ ｏｔｈｅｒ
４．４．５ 添加标准策略 在定义了所有的对象之后，我们就可以把这些对象应用到具体的策略上去，添加 策略的方法如下。 １． 选择菜单 ｒｕｌｅ－＞ａｄｄ ｒｕｌｅ 然后选择规则的位置
２．把相应的对象按照拖到策略的各个字段中， 能进行拖动工作的有 ｓｏｕｒｃｅ ｄｅｓｔｉｎａｔｉｏｎ ｖｐｎ ｓｅｒｖｉｃｅ
３．Ａｃｔｉｏｎ 中选择需要做的动作， 这里主要的使用都是 ｄｒｏｐ 和 ａｃｃｅｐｔ， ａｃｃｅｐｔ 是在前面的对象都匹配的情况下允许数据通过，ｄｒｏｐ 是不允许数据通 过
４． 如果需要记录 ｌｏｇ，可以在 ｔｒａｃｅ 中选择 ｌｏｇ
５． ＸＸＸ 的案件中，根据上面描述的策略列表进行策略设定 ４．４．６ 添加 ＮＡＴ 策略 ｎａｔ 的方式除了可以在对象的 ｎａｔ 属性上做设置之外，还可以直接编辑 ｎａｔ 策 略列表，其实在对象上自动做 ｎａｔ 后，就会自动在 ｎａｔ 列表上添加策略。所以， 从本质上讲，所有的 ｎａｔ 设置都是源于 ｎａｔ 策略列表，ｎａｔ 策略列表的添加方式与 标准策略添加相似 １．点击 ａｄｄｒｅｓｓ ｔｒａｎｓｌａｔｉｏｎ 列表框 ２．选择菜单 ｒｕｌｅ－＞ａｄｄ ｒｕ
ｌｅ 来进行添加策略 ３．把需要做 ｎａｔ 的对象拖到策略不同的字段中。 ４．ＸＸＸ 需要手工添加的 ｎａｔ 列表如下表 Ｏｒｉｇｉｎａｌ ｐａｃｋｅｔ ｓｏｕｒｃｅ ｄｅｓｔｎａｔｉｏｎ ｓｅｒｖｉｃｅ Ｔｒａｎｓｌａｔｉｏｎ ｐａｃｋｅｔ ｓｏｕｒｃｅ ｄｅｓｔｉｎａｔｉｏｎ ｓｅｒｖｉｃｅ
５．安装策略
第五章 切换与测试
５．１ 切换
在所有 ｎｏｋｉａ 防火墙的设置均完成以后， 可以进行切换， 切换的目标是使用 ｎｏｋｉａ
防火墙替换原来的 ｎｅｔｓｃｒｅｅｎ 防火墙。切换步骤如下。 １．机器上架 ２．拔开原来 ｎｅｔｓｃｒｅｅｎ 网络接线 拔开 ｎｅｔｓｃｒｅｅｎ 的网线， 但是网线仍然保留， 并记录各根网线对应的 ｎｅｔｓｃｒｅｅｎ 的端口。 ３．Ｎｏｋｉａ 防火墙进行网络接线，按照以下列表进行接线 Ｎｏｋｉａ ＩＰ３８０Ａ Ｅｔｈ１ Ｆ５ Ｅｈｔ２ ＤＭＺ 区 域交换机 Ｅｔｈ３ 内网区 域交换 机 Ｅｔｈ４ Ｎｏｋｉａ ＩＰ３８０Ｂ Ｅｔｈ１ Ｅｔｈ２ Ｅｔｈ３ Ｅｔｈ４ ＮｏｋｉａＩＰ ３８０Ａ ｅｔｈ４
ＮｏｋｉａＩＰ Ｆ５ ３８０Ｂ ｅｔｈ４
ＤＭＺ 区 内网区 域交换 机 域交换 机
４．开机
５．２ 测试
在防火墙上设置策略允许 ｉｃｍｐ 的数据通过 １． 检查 ｆｉｒｅｗａｌｌ 对外网的连通性 ｐｉｎｇ 外部地址 ６１．１４４．１９．１３７ 进行测试， 如果能 ｐｉｎｇ 通表示 ｆｉｒｅｗａｌｌ 对 外网的连通性正常。 ２． 检查 ｆｉｒｅｗａｌｌ 对 ＤＭＺ 的连通性 ｐｉｎｇ ＤＭＺ 的地址 ＸＸ．ＸＸ．ＸＸ．ＸＸ 进行测试， 如果能 ｐｉｎｇ 通表示 ｆｉｒｅｗａｌｌ 对 ＤＭＺ 的连通性正常。 ３． 检查 ｆｉｒｅｗａｌｌ 对内网的连通性 ｐｉｎｇ 内部网络的某一台机器，如果能 ｐｉｎｇ 通表示 ｆｉｒｅｗａｌｌ 对内网的连 通性正常 ４． 检查内网用户的应用连通性 检查内部用户使用 ＤＭＺ 区域服务的连通性。在内网设置一台机器，其 地址为 ＸＸ．ＸＸ．ＸＸ．ＸＸ 并根据下列表进行 ＤＭＺ 区域的访问
ｓｅｒｖｅｒ
Ｓｅｒｖｉｃｅ
Ｃｌｉｅｎｔ ｓｏｆｔｗａｒｅ
Ｗｅｂｓｅｒｖｅｒ
ｈｔｔｐ
ＩＥ５．５
５． 检查 ＤＭＺ 区域对外服务提供的连通性和对内服务的连通性 使用 ｎｏｔｅｂｏｏｋ 进行拨号上网，并得到一个公有地址，按照以下列表访 问 ＸＸＸ 对外提供的服务。 ｓｅｒｖｅｒ Ｓｅｒｖｉｃｅ Ｃｌｉｅｎｔ ｓｏｆｔｗａｒｅ Ｗｅｂｓｅｒｖｅｒ ｈｔｔｐ ＩＥ５．５
５．３ 回退
如果在切换的时间内，并不能完成以上测试，或者在切换过程中出现不能马上解 决的问题，必须进行，回退动作。回退步骤如下 １． 关闭两台 ｎｏｋｉａ 的电源，重新启动 ｎｅｔｓｃｒｅｅｎ 电源 ２． 恢复 ｎｅｔｓｃｒｅｅｎ 的线路，把原来 ｎｅｔｓｃｒｅｅｎ 的网线插会 ｎｅｔｓｃｒｅｅｎ 上 ３． 按照 ５．２ 测试方式测试 ＸＸＸ 原有服务是否正常
第六章 日常维护
６．１ 防火墙的备份与恢复
６．１．１ ｎｏｋｉａ 防火墙的备份与恢复方法 备份文件的描述。由于 Ｎｏｋｉａ 防火墙的核心是类 ｕｎｉｘ 操作系统，所以其核 心的配置是一系列的文件。
以下文件包含 ｎｏｋｉａ ＩＰ 系列的全部系统配置
／ｃｏｎｆｉｇ ／ｖａｒ／ｃｒｏｎ ／ｖａｒ／ｅｔｃ ／ｖａｒ／ｅｔｃ／ｉｐｓｅｃ． ／ｖａｒ／ａｄｍｉｎ ／ｖａｒ／ｍｏｎｉｔｏｒ ／ｖａｒ／ｌｏｇ
在 ｎｏｋｉａ 的 ｗｅｂ 界面上有工具能对这些文件进行备份一下是备份合恢复的步骤 步骤： ： 手工创建一个备份文件： １． 在 ｎｏｋｉａ ｗｅｂ 主页界面上点击 ＣＯＮＦＩＧ ２． 在 Ｓｙｓｔｅｍ Ｃｏｎｆｉｇｕｒａｔｉｏｎ 中点击 Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｂａｃｋｕｐ ａｎｄ Ｒｅｓｔｏｒｅ
３． 在 ＭＡＮＵＡＬ ＢＡＣＫＵＰ 区， 在 ＢＡＣＫＵＰ ＦＩＬＥ ＮＡＭＥ 里面输入要备份文件 的名称。 的名称。
４． ＢＡＣＫＵＰ ＨＯＭＥ ＤＩＲＥＣＴＯＲＩＥＳ 区域，点 ｙｅｓ 备份用户目录， ＢＡＣＫＵＰ ／ｏｐｔ／ＣＰｆｗ１－５０－０３ 区域点击 ｙｅｓ，Ｂａｃｋｕｐ ／ｏｐｔ／Ｃｐｓｈａｒｅｄ－５０－０３ 区域点击 ， ｙｅｓ ５．点击 ａｐｐｌｙ ６．点击 ｓａｖｅ
传输一个备份文件到远程服务器 １． 在 ｎｏｋｉａ ｗｅｂ 主页面点击 ＣＯＮＦＩＧ ２． 在 Ｓｙｓｔｅｍ Ｃｏｎｆｉｇｕｒａｔｉｏｎ 下点击 Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｂａｃｋｕｐ ａｎｄ Ｒｅｓｔｏｒｅ．
３． 在 ＲＥＭＯＴＥ ＴＲＡＮＳＦＥＲ ＡＲＣＨＩＶＥ ＦＩＬＥ 区域， 在 ＦＴＰ ＳＩＴＥ 输入 ｆｔｐ 的地 址 ４． 在 ＲＥＭＯＴＥ ＴＲＡＮＳＦＥＲ ＡＲＣＨＩＶＥ ＦＩＬＥ 区域， 在 ＦＴＰ ＤＩＲ 输入框输入远 程 ｆｔｐ 的路径． ５． 在 ＲＥＭＯＴＥ ＴＲＡＮＳＦＥＲ ＡＲＣＨＩＶＥ ＦＩＬＥ 区域， 在 ＦＴＰ ＵＳＥＲ
用户名 输入框输入 ｆｔｐ
６．在 ＲＥＭＯＴＥ ＴＲＡＮＳＦＥＲ ＡＲＣＨＩＶＥ ＦＩＬＥ 区域， 在 ＦＴＰ ＰＡＳＳＷＯＲＤ 输入 框输入 ｆｔｐ 用户名的密码．
７． 在 ＢＡＣＫＵＰ ＨＯＭＥ ＤＩＲＥＣＴＯＲＩＥＳ 区域，点 ｙｅｓ 备份用户目录， ＢＡＣＫＵＰ ／ｏｐｔ／ＣＰｆｗ１－５０－０３ 区域点击 ｙｅｓ，Ｂａｃｋｕｐ ／ｏｐｔ／Ｃｐｓｈａｒｅｄ－５０－０３ 区域点击 ， ｙｅｓ ８． 点击 ＭＡＮＵＡＬ ＢＡＣＫＵＰ ＦＩＬＥ 下拉菜单，选择你要上传的备份文件．
１１． 点击 ＡＰＰＬＹ． １２． 点击 ＳＡＶＥ．
恢复步骤
从远程服务器上恢复 １．在 ｎｏｋｉａ ｗｅｂ 主页面点击 ＣＯＮＦＩＧ． ２． 在 Ｓｙｓｔｅｍ Ｃｏｎｆｉｇｕｒａｔｉｏｎ 点击 Ｂａｃｋｕｐ ａｎｄ Ｒｅｓｔｏｒｅ Ｃｏｎｆｉｇｕｒａｔｉｏｎ
３． 在 ＲＥＳＴＯＲＥ ＦＲＯＭ ＲＥＭＯＴＥ ＦＩＥＬＤ 区域 在 ＦＴＰ ＳＩＴＥ 框中输入保存 区域， ｂａｃｋｕｐ 文件的 ｆｔｐ 服务器的地址． ４． 在 ＲＥＳＴＯＲＥ ＦＲＯＭ ＲＥＭＯＴＥ ＦＩＥＬＤ 区域 在 ＦＴＰ ＤＩＲ 框输入存储 ｂａｃｋｕｐ 区域， 文件的 ｆｔｐ 路径
５． 在 ＲＥＳＴＯＲＥ ＦＲＯＭ ＲＥＭＯＴＥ ＦＩＥＬＤ 区域， 在 ＦＴＰ ＵＳＥＲ 框输入用户名 ６． 在 ＲＥＳＴＯＲＥ ＦＲＯＭ ＲＥＭＯＴＥ ＦＩＥＬＤ 区域， 在 ＦＴＰ ＰＡＳＳＷＯＲＤ 框输入密码
７． 点击 ＡＰＰＬＹ． ８．然后会出现一系列的文件，选择你要恢复的 ｂａｃｋｕｐ 文件。 ９． 点击 ＡＰＰＬＹ， 然后点击 ＳＡＶＥ． １０． 点击 ｒｅｂｏｏｔ，重新启动机器．．
６．１．２ ｃｈｅｃｋｐｏｉｎｔ ｍａｎａｇｅｍｅｎｔ 上的备份与恢复
备份： １． 在管理服务器打开 ｗｉｎｄｏｗｓ 服务列表。 （开始菜单－＞控制面板－＞管理工具－＞ 服务） ２． 停止 ４ 个和 ｃｈｅｃｋｐｏｉｎｔ 有关的服务
３．
分别备份以下两个目录
Ｃ：＼Ｐｒｏｇｒａｍ Ｆｉｌｅｓ＼ｃｈｅｃｋｐｏｉｎｔ＼ｃｐｓｈａｒｅｄ＼ｎｇ Ｄ：＼ｆｗ１＼ｎｇ ４． 备份以下注册表键值
ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼ＣｈｅｃｋＰｏｉｎｔ＼ＳＩＣ ５． 在 ｗｉｎｄｏｗｓ 服务列表启动 ４ 个和 ｃｈｅｃｋｐｏｉｎｔ 有关的服务（开始菜单－＞控制面板
－＞管理工具－＞服务）
注意 １．一开始新 ｍｇｍｔ 的 ｗｉｎｄｏｗｓ 名字一定要和旧的一样，ｉｐ 可以不同 ２．停所有 ｃｐ 服务 包括 ｃｐｓｔｏｐ 和其他两个服务列表的服务
恢复 １． 安装 ｃｈｅｃｋｐｏｉｎｔ ＦＷ１／ＶＰＮ１ ＮＧ ＡＩ 软件，并配置成 ｍａｎａｇｅｍｅｎｔ，安装可以参 考 ｃｈｅｃｋｐｏｉｎｔ 安装使用手册 ２． ｃｈｅｃｋｐｏｉｎｔ ｇｕｉ 管理客户端软件登录刚刚安装好的 ｃｈｅｃｋｐｏｉｎｔ ｍａｎａｇｅｍｅｎｔ 并 用 确认 ｇｕｉ 管理客户端软件能正常登录到 ｍａｎａｇｅｍｅｎｔ ｓｅｒｖｅｒ （开始菜单－＞控制面 ３．在 ｗｉｎｄｏｗｓ 服务列表停止 ４ 个和 ｃｈｅｃｋｐｏｉｎｔ 有关的服务 板－＞管理工具－＞服务） ４． 分别把上面备份的两个目录拷贝回相应的地方。 Ｃ：＼Ｐｒｏｇｒａｍ Ｆｉｌｅｓ＼ｃｈｅｃｋｐｏｉｎｔ＼ｃｐｓｈａｒｅｄ＼ｎｇ Ｃ：＼ｗｉｎｎｔ＼ｆｗ１＼ｎｇ ５． 导入上面备份好的注册表键值 ６．在 ｗｉｎｄｏｗｓ 服务列表启动 ４ 个和 ｃｈｅｃｋｐｏｉｎｔ 有关的服务 （开始菜单－＞控制面 板－＞管理工具－＞服务） ７． ８． 用 ｃｈｅｃｋｐｏｉｎｔ ｇｕｉ 客户端管理软件登录 ｍａｎａｇｅｍｅｎｔ 并查看配置是否正确。
此方法在 ｃｈｅｃｋｐｏｉｎｔ ｎｇ ＡＩ 上也能成功通过
发表于： ２００６－０４－２９ ，修改于： ２００６－０４－２９ １０：１４，已浏览 １０６４ 次，有评论 ３５ 条 推荐 投诉
实施方案 1、项目概况 山东分公司所属河口、寿光、昌邑、羊口、即墨、楮岛、海阳风电场，每个风场两台，共计14台天气预报防火墙设备采购、运输、安装、调试及一年质保工作，用于满足自动化应用系统安全需求。 2、服务范围、服务内容 2.1 供货范围 本工程的供货范围见表2-1所示。 表2-1 供货需求一览表 2.2工作范围 供货商的工作范围包括： a)提供合同内所有硬件设备和软件，并保证系统完全符合最终技术规范的 要求。 b)提供所需的系统技术资料和文件，并对其正确性负责。 c)提供所有合同设备的备品备件和安装、维护所需的专门工具和试验仪器 仪表（包括调整、测试和校核）。 d)负责进行工厂验收，将设备运输（含搬运至指定位置）、安装在现场(设 备机房)以及现场调试直至成功地投入运行。 e)负责提出设备对供电、接地、消防、运行环境及安装等要求。 f)负责完成与买方另外购买的其它设备接口连接调试工作。 g)负责现场勘察，与风场协调、确定设备安装位置，制定设备安装、调试 计划。
h)负责编制试验、验收的计划报告。 i)在两年保修期内提供必要的保修服务，卖方应保证及时免费维修或更换 任何并非有买方人员非正常操作而导致的缺陷或故障，并应提供限时到达现场的维修服务。 j)由我公司进行安装调试，并提供售后服务。 k)技术培训。 l)按合同要求为买方提供必要其它的服务。 3、服务依据、工作目标； 3.1 服务依据 《信息技术设备的安全》 GB4943－2001 《建筑物电子信息系统防雷技术规范》GB50343-2004 《环境电磁卫生标准》 GB5175-88 《电磁辐射防护规定》 GB8702-88 《电气装置安装工程施工及验收规范》 GB50254-96 《电气装置安装工程施工及验收规范》 GB50255-96 3.2 工作目标 本工程计划工期30日历天，质量执行国家现行验收标准及要求，达到合格标准，严格执行安全措施，达到安全零事故。 4、服务机构设置、岗位职责 4.1 服务机构设置 **设立两个服务小组，随时调遣工作。 机构包括服务主管、调度员、市场信息收集员、三包配件管理员、配件鉴定员等。 下图为我公司的服务机构架构图：
防火墙测试方案测试项目 测试一、NAT/PAT 拓扑图 FTP Client LoadRunner LoadRunner PC3 测试要求
(如防火墙inside 接口不够，则使用交换机连接内部三台pc 并将内部网络合并为192.168.0.0/16) 1. 将19 2.168.1.1(pc1)静态翻译（地址翻译）为58.135.192.55 2. 将192.168.2.0-192.168.4.254动态翻译（端口翻译）为58.135.192.56 检查方法及检查项目 ● PC1通过FTP 方式从教育网下载数据 ● PC2和PC3使用LoadRunner 分别模拟500台电脑浏览网页 ● 查看设备负载和网络延迟 测试二、Site-to-Site IPSec/VPN 拓扑图 5540 测试防火墙 PC1 PC2 测试要求 1. ISAKMP 配置 2. IPSec 配置 3. 只对10.0.1.1和10.0.2.2之间互访的流量进行IPSEC 的加密 检查方法及检查项目
● PC1和PC2能否相互PING 通，在ASA5540上检测数据是否为加密数据。 ● 修改PC2的ip 地址为10.0.2.22，使用pc1 PING pc2，在asa5540上检 查数据是否为明文。 测试三、Dynamic Remote-Access IPSec/VPN 拓扑图 .2. 0/2 416 8. 1.0/24PC1PC2 测试要求 1. ISAKMP 配置 2. IPSec 配置 3. 其他 4. 防火墙Outside 外任何主机都可以与防火墙建立IPSec/VPN 连接。 5. 只对PC1和PC2互访的数据加密。
双机热备的数据备份和灾难备份方案 一、方案背景 1. 用户目前数据环境及需求 根据提供的信息，目前用户的系统环境如下描述：操作系统：Windows 操作系统，关键数据：VSS 数据库现在用户要备份的服务器为2台数据库服务器做双机热备集群，整个系统对于备份的要求：备份系统稳定可靠，保证随时能够备份/还原关键数据；对服务器有灾备的考虑，操作系统崩溃时能通过灾难备份快速恢复操作系统。同时考虑远期建设目标平滑过渡，避免重复投资。 2. 用户目前状态和存在的问题 目前用户双机服务器拓扑图如下，这样的方式存在以下问题： a) 由于主机与备机及磁盘阵列中的数据都没有备份，一旦发生磁盘阵列数据丢失、主机与备机数据丢失事故时，将会造成重大损失。 b) 当服务器操作系统崩溃时，无法快速恢复。 二、设计方案 1. 设计原则 根据上述问题建议的备份方案应该遵循以下原则：备份系统应该支持Open File 热备份功能磁盘阵列连接在专用的备份服务器上、对双机集群中的2台机器都能进行数据备份、备份软件支持定时计划备份、备份软软件支持服务器灾难备份、备份软件提供网络集中备份功能，能集中备份网络上其余SQL Server、ORACLE或文件数据，提供良好的扩展性。 2. 方案的设计 依据上述设计原则，建议采用爱数备份软件专业备份软件安装在一台备份服务器上，通过网络对双机系统进行数据备份和操作系统灾难备份。Backup Exec 作为专业的备份软件，具有以下优点： c) 专业的企业网络集中备份解决方案，一台备份服务器可以备份网络上多台服务器数据（文件服务器、VSS服务器、数据库服务器、邮件服务器等） d) 备份软件支持Open file 热备份功能，能对正在使用的数据进行备份。 e) 能根据需要制定灵活多变的备份计划任务 f) 支持服务器操作系统崩溃灾难备份/恢复
本文由ｎｏ１ｍｏｏｎｂｏｙ贡献 ｄｏｃ１。 双 ＣｈｅｃｋＰｏｉｎｔ 防火墙实施方案 目 录 第一章 客户环境概述…… ４ １．１ 概述 …… ４ １．２ 网络拓扑与地址分配表 …… ４ １．３ 安装前准备事宜 …… ６ 第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置 …… ７ ２．１ 概述 …… ７ ２．２ 初始化 ｎｏｋｉａ３８０ …… ７ ２．３ 设置 ｎｏｋｉａ 基本信息 …… ８ ２．３．１ Ｎｏｋｉａ 端口 ＩＰ 地址设定 …… ８ ２．３．２ 设置网关路由 …… ８ ２．３．３ 设置 Ｎｏｋｉａ 平台时间 …… ９ ２．３．４ 设定 Ｎｏｋｉａ 高可用 ＶＲＲＰ 参数 …… ９ ２．４ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １４ ２．４．１ 在 ｎｏｋｉａ 平台上 ｃｈｅｃｋｐｏｉｎｔ 的安装与卸载 …… １４ ２．４．２ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １６ 第三章 管理服务器的安装与配置…… １７ ３．１ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔｃｅｎｔｅｒ 的安装…… １８ ３．１．１ 安装前的准备 …… １８ ３．１．２ 安装步骤 …… １８ ３．２ 配置 ｃｈｅｃｋｐｏｉｎｔ 对象和参数 …… ２０ ３．２．１ 建立 ｓｉｃ …… ２０ ３．２．２ 定义防火墙对象拓扑结构 …… ２１ ３．２．３ 使用同样的步骤按照表 １ 的参数建立 ＩＰ３８０Ｂ ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 对象。 …… ２１ ３．３ 基于 ｎｏｋｉａ ｖｒｒｐ 或者 ｃｌｕｓｔｅｒ 的设置…… ２２ ３．３．１ 基于 Ｎｏｋｉａ ＶＲＲＰ 的设置 …… ２２ ３．３．２ 为 ｎｏｋｉａ ｖｒｒｐ 定义策略 …… ２２ ３．３．３ 高可用性的检查 …… ２３ ３．４ｎｏｋｉａ ｃｌｕｓｔｅｒ 的设置 …… ２３ ３．５ 暂时没有 …… ２３ 第四章 策略设定…… ２４ ４．１ 概述 …… ２４ ４．２ ｎｅｔｓｃｒｅｅｎ 的策略 …… ２４ ４．３ 经过整理后转换成 ｃｈｅｃｋｐｏｉｎｔ 的策略 …… ２４ ４．４ 设定策略 …… ２４ ４．４．１ 定义主机对象 …… ２４ ４．４．２ 定义网络对象 …… ２５ ４．４．３ 定义组 …… ２６ ４．４．４ 定义服务 …… ２６ ４．４．５ 添加标准策略 …… ２７ ４．４．６ 添加 ＮＡＴ 策略…… ２７ 第五章 切换与测试…… ２９ ５．１ 切换 …… ２９ ５．２ 测试 …… ２９ ５．３ 回退 …… ３０ 第六章 日常维护…… ３１ ６．１ 防火墙的备份与恢复 …… ３１ ６．１．１ ｎｏｋｉａ 防火墙的备份与恢复方法 …… ３１ ６．１．２ ｃｈｅｃｋｐｏｉｎｔ ｍａｎａｇｅｍｅｎｔ 上的备份与恢复 …… ３３ 第一章 客户环境概述 １．１ 概述 ＸＸＸＸＸＸ 公司因应企业内部的网络需求，对总部网络进行扩容改动，中心 防火墙从原来的 ｎｅｔｓｃｒｅｅｎ 换成两台 Ｎｏｋｉａ ＩＰ３８０，两台 ｎｏｋｉａ 互为热备。维持原 有的服务不变。 由于这次网络改动比较大，所以先离线进行安装和测试，最后再进行切换 １．２ 网络拓扑与地址分配表 ＸＸＸＸＸＸ 改造前网络拓扑如下 改动后，ＸＸＸ 将按照以下图进行实施 改动后， 给个设备及端口的地址分配入下表所示 ＩＰ 地址分配表（表 １） 管理服务器参数 ＩＰ 地址 防火墙各端口参数 端口 Ｅｔｈ１ 用途 外网 口 Ｅｔｈ２ Ｅｔｈ３ Ｅｔｈ４ ？ ＤＭＺ 内网 同步 口 ｇａｔｅｗａｙ 静态路 由 １７２．１６．１００．５／３０ １７２．１６．１００．６／３０ １７２．１６．１００．１／３０ １０．１０１．１．１０１／２４ １０．１０１．１．１０２／２４ １０．１０１．１．１／２４ １９２．１６８．１１．１／２４ １９２．１６８．１１．２／２４ Ｎｏｋｉａ３８０Ａ Ｎｏｋｉａ３８０Ｂ 虚拟地址 １．３ 安装前准备事宜 １．管理服务器硬件平台 ＣＰＵ 奔腾 ３ ５００ 以上 内存 １２８ 以上 硬盘 ６０Ｍ 以上 操作系统，ｗｉｎｄｏｗｓ ２０００ ｓｅｒｖｅｒ ＋ＳＰ４ 补丁 ２．网络连线 ３．Ｃｈｅｃｋｐｏｉｎｔ 及 ｎｏｋｉａ 管理软件 Ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 ｆｏｒ ｗｉｎｄｏｗｓ ｈｏｔｆｉｘ０９ 或以上 ４．Ｎｏｋｉａ ＩＰ３８０ 设备两台 内置 ＩＰＳＯ３．８ ｂｕｉｌｄ ３９ 内置 ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置 ２．１ 概述 首先我们可以对两台 Ｎｏｋｉａ ＩＰ３８０ 进行安装与配置，由于 Ｎｏｋｉａ 防火墙将会 替代 Ｎｅｔｓｃｒｅｅｎ，所以 Ｎｏｋｉａ 防火墙可以进行离线配置。配置步骤如下。 ２．２ 初始化 ｎｏｋｉａ３８０ １． 使用 ｎｏｋｉａ ｃｏｎｓｏｌｅ 线，连接 ｎｏｋｉａ ｃｏｎｓｏｌｅ 口和管理 ｐｃ 的串行端口，
XXX项目实施方案模板
网御神州科技（北京）有限公司 2009年月 目录 1概述 (3) 2工程实施安排 (3) 3工程总体要求 (6) 4工程实施步骤 (7) 4.1 前期准备工作 (7) 4.2 安装实施前期 (8) 4.2.1 资料采集 (8) 4.2.2 分析调研 (9) 4.2.3 规则翻译 (10) 4.2.4 产品到货验收 (10) 4.2.5 加电检测 (11) 4.2.6 配置安全设备（网御神州） (11) 4.2.7 模拟环境测试 (15) 4.3 安装实施中期 (16) 4.3.1 设备上线 (16) 4.3.2 应用系统验证性测试 (17) 4.3.3 计划变更 (17) 4.4安装实施后期 (18) 4.4.1 设备试运行 (18) 4.4.2 现场培训 (19)
4.4.3 节点初验 (19) 4.4.4 文档整理 (20) 5风险控制 (20) 5.1 实施现场的风险控制 (20) 5.1.1 业务全部中断情况的处理 (21) 5.1.2 部分业务中断情况的处理 (22) 5.2 运行期间的风险控制 (23) 6附件 (24) “XXX”项目设备到货确认单 (24) 1概述 XXX安全设备项目是2006年信息安全建设的一个重要项目，内容为更换副省级以上（含）机构XXX安全设备。此文档是XXX安全设备项目各节点的实施方案。 2工程实施安排 此次工程实施以各节点技术力量为主，厂商技术人员在实施现场做技术支持。各节点工程实施时间安排约为8天，第一批安装单位的开始为1月22日，第二批安装单位的开始时间为1月29日，项目分为实施前期、实施中期、实施后期三个阶段，其中：周一至周五为实施前期，主要是进行相关前期的准备工作和模拟环境测试工作；周末为实施中期，主要是上线切换、应用验证等工作；后期安排一天时间，主要是进行现场值守技术保障、文档整理等工作。工程开始时
存储集群双机热备方案
目录 一、前言 (3) 1、公司简介 (3) 2、企业构想 (3) 3、背景资料 (4) 二、需求分析 (4) 三、方案设计 (5) 1．双机容错基本架构 (5) 2、软件容错原理 (6) 3、设计原则 (7) 4、拓扑结构图 (7) 四、方案介绍 (10) 方案一1对1数据库服务器应用 (10) 方案二CLUSTER数据库服务器应用 (11) 五、设备选型 (12) 方案1：双机热备+冷机备份 (12) 方案2：群集+负载均衡+冷机备份 (13) 六、售后服务 (15) 1、技术支持与服务 (15) 2、用户培训 (15)
一、前言 1.1、公司简介 《公司名称》成立于2000年,专业从事网络安全设备营销。随着业务的迅速发展，经历了从计算机营销到综合系统集成的飞跃发展。从成立至今已完成数百个网络工程，为政府、银行、公安、交通、电信、电力等行业提供了IT相关系统集成项目项目和硬件安全产品，并取得销售思科、华为、安达通、IBM、HP、Microsoft等产品上海地区市场名列前茅的骄人业绩。 《公司名称》致力于实现网络商务模式的转型。作为国内领先的联网和安全性解决方案供应商，《公司名称》对依赖网络获得战略性收益的客户一直给予密切关注。公司的客户来自全国各行各业，包括主要的网络运营商、企业、政府机构以及研究和教育机构等。 《公司名称》推出的一系列互联网解决方案，提供所需的安全性和性能来支持国内大型、复杂、要求严格的关键网络，其中包括国内的20余家企事业和政府机关. 《公司名称》成立的唯一宗旨是--企业以诚信为本安全以创新为魂。今天，《公司名称》通过以下努力，帮助国内客户转变他们的网络经济模式，从而建立强大的竞争优势：（1）提出合理的解决方案，以抵御日益频繁复杂的攻击 （2）利用网络应用和服务来取得市场竞争优势。 （3）为客户和业务合作伙伴提供安全的定制方式来接入远程资源 1.2、企业构想 《公司名称》的构想是建立一个新型公共安全网络，将互联网广泛的连接性和专用网络有保障的性能和安全性完美地结合起来。《公司名称》正与业界顶尖的合作伙伴协作，通过先进的技术和高科产品来实施这个构想。使我们和国内各大企业可通过一个新型公共网络来获得有保障的安全性能来支持高级应用。 《公司名称》正在帮助客户改进关键网络的经济模式、安全性以及性能。凭借国际上要求最严格的网络所开发安全产品，《公司名称》正致力于使联网超越低价商品化连接性的境界。《公司名称》正推动国内各行业的网络转型，将今天的"尽力而为"网络改造成可靠、安全的高速网络，以满足今天和未来应用的需要。 1.3、背景资料 随着计算机系统的日益庞大，应用的增多，客户要求计算机网络系统具有高可靠，高
防火墙基本操作及应急措施陈世雄安全工程师 CCSE
议程 ?智能边界安全解决方案?CheckPoint 配置基础?常见问题及应急措施
Check Point 简介 ?最受信赖、最可依靠的互联网安全厂商 –我们致力发展安全领域——并且比任何厂商更优秀! –全球财富100企业中，100%企业使用我们的产品 –在防火墙和虚拟专用网络（VPN）市场中占有领导 地位 ?在全球 VPN/防火墙软件市场销售额中占70%份额 （Infonetics提供数据） ?VPN/防火墙软件市场占有率超过 54% （IDC提供数据） ?安全硬件设备市场份额中有 36% 为 Check Point 产品（由 Infonetics 提供） ?以客为本的企业原则 –业界领先的技术合作伙伴关系 –强大且广泛的渠道合作伙伴关系
状态检测 / FireWall-1 1993 OPSEC 1997 VPN-1 1998 Next Generation 2001 SmartDefense 2002 应用智能 2003 Check Point: 一直走在客户现实需求的前面 创新历程 1994 1995 1996 1999 2000 Web 智能 2004
我们的策略 2004上半年提供! ? 安全远程访问 ? Web 服务器保护 ? 统一认证 ? 一致性策略管理 ? 市场领先 ? 十年的成功史 ? 最新发布 - InterSpect 2.0 - Connectra 2.0 - Intergrity 6.0 ? Check Point InterSpect ? Zone Labs SMART 管理 无忧保护 边界 深入检查 智能 安全解决方案
石盖塘镇构筑社会消防安全“防火墙”工程 实施方案 为认真贯彻《中华人民共和国消防法》，《郴州市人民政府 关于构筑社会消防安全“防火墙”工程的实施意见》（郴政发…2010?3号）文件要求和区政府会议精神，进一步加强我镇消防工作，着力构筑社会消防安全“防火墙”，结合我镇实际，制定以下工作方案： 一、工作目标 以落实政府部门消防工作“四项责任”、提高社会单位消防安全“四个能力”、夯实农村社区火灾防控“四个基础”、提高公安机关消防监督管理“四个水平”为着力点，力争通过三年努力，使消防安全工作社会化水平明显提升，消防安全环境明显改善，杜绝各类火灾事故的发生，全镇火灾形势持续稳定。 二、工作任务 （一）落实政府部门消防工作“四项责任” 1.落实组织领导责任。镇组织成立镇消防安全工作领导小组，并要求每季度组织召开一次例会，沟通信息，研究解决消防工作中的重大问题，部署阶段性消防工作。特别是针对每年度的政府挂牌重大火灾隐患单位整改工作，及时组织召开专题协调会，明确督办人员，制定整改计划，落实整改资金和措施，确保按时完成整改工作。组织开展以人员密集场所、“多合一”场所等为重点的消防安全整治“十大行动”，深入开展全镇建筑消防设施和电
气消防安全整治，有效消除社会面上的突出火灾隐患。 2.落实监督管理责任。加强全镇整治工作的督查指导。要严格依法审批，将单位（场所）的消防安全状况作为行政许可的重要审查内容，严把“审批关”。同时，各村要根据自身职责，督促指导本村落实消防安全“四个能力”标准化建设，镇安全分管领导小组负责消防安全重点单位，并负责协调、指导开展全镇构筑消防安全“防火墙”工程工作。 3.落实设施建设责任。严格落实消防相关法律制度，根据有关规定和实际需要，将消防设备建设纳入年度投资计划和财政项目，确保消防装备建设任务按时保质保量地完成。 4.落实检查考评责任。将消防工作纳入各村各部门综合目标管理体系，作为平安建设考评、领导干部政绩考核的重要内容，建立消防工作目标责任书管理体系，年终进行考核。加大对各村开展消防工作情况的督查力度，每半年不少于1次。推行消防工作村书记、主任问责制，对消防工作履职不到位或辖区发生亡人火灾事故的，追究相关负责人的责任。 （二）提高社会单位消防安全“四个能力” 1.提高社会单位检查消除火灾隐患的能力。督促单位确定消防安全责任人和消防安全管理人，并组织进行消防安全培训，督促单位定期组织开展防火检查巡查，及时消除单位内部火灾隐患。 2.提高社会单位组织扑救初起火灾的能力。各单位要结合自身实际，制定灭火和应急疏散预案并定期组织演练。督促单位加强消防控制室标准化管理，严格落实值班操作人员持证上岗制度，熟
IBM3650双机热备方案示例 IBM3650双机热备方案示例 IBM X3650服务器+DS3200 SAS 磁盘柜双机热备方案双机热备方案所需软硬件清单如下： 1、IBM X3650 服务器2台（具体配置根据需求选配） 2、IBM DS3200 磁盘柜一台（单控制器，单SAS 接口） 3、SAS HBA 卡2块（每台服务器各加一块） 4、双机模块（子卡）一块 5、SAS 连接线2条 6、双机热备软件（ROSE HA OR LIFEKEEPER ）一套 DS3200/DS3400安装心得及技巧 这应该是网络上第一篇关于IBM System Storage DS3200和DS3400产品安装的非官方性文章，希望可以对大家的工作中带来帮助。 作为DS400产品的更新型号，DS3200和DS3400提供了更强的性能及灵活性，相信会成为今后一两年内的IBM低端存储产品的首选。 DS3200和DS3400均出自于LSI公司的Engenio系统（DS4000系列的大部分产品也是由Engenio为IBM协议设计及生产，去年Engenio被LSI收购）。所以设计思想和结构与DS400（Adapter 公司设计）会有较大的不同，管理方式也会与DS4000系列较为接近。
DS3000系列均需要在自身上安装不少于4个硬盘。建议先装上硬盘再上电开机。 DS3000系列提供与DS4000系列类似的带内和带外两种管理方法，带外管理的默认IP地址也与DS4000一样，控制器A为192.168.128.,控制器B为192.168.128.102。 本人比较喜欢采用带外管理，将本本网卡设至192.168.128网段后，可以ping通即可。 管理口长时间未起用时需要若干分钟的时候等待管理接口工作。 在本本上安装DS3000 Storage Manager（随机附带），注意该SM与DS4000上的Storage Manager为不同程序，不可替换使用。甚至不能在一台机器上共存。 打开Storage Manager后，首先需要发现设备，可以ping通控制器后，发现工作会非常容易。 双击发现的设备就可以进入该设备的管理界面，学名叫Subsystem Management。 Subsystem Management分为5个大项，Summary，Configure，Modify，Tools，Support。 常规的操作这里不再详述，如果你装过DS4000产品，应该对配置方法不会感到陌生。当然Storage Manager里只提供一些常规功能，在遇到问题的时候，比如需要重置手动清零时在该程序里无法完成的，所以与DS4000产品一样，提供了Script的方式，运行Script有两种方法。方法一：在DS3000 Storage
Checkpoint R65 Test Plan Revision 0.1 2009-10-14 Author: Peng Gong
Revision History
1‘FW MONITOR’ USAGE (7) 2TEST SUITES (7) 2.1R65I NSTALL &U NINSTALL (7) 2.1.1Create a v3 vap-group with vap-count/max-load-count set >1, Confirm R65 and related HFA could be installed on all vap within vap-group successfully (7) 2.1.2Create a v4 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (9) 2.1.3Create a v5 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (10) 2.1.4Create a v5_64 vap-group, confirm XOS would prompt correctly message and failure install would cause unexpected issue to system (11) 2.1.5Try to install R65 on a v3 vap-group and abort the install process, confirm nothing is left afterwards12 2.1.6Reduce max-load-count down to 1, confirm only one Vap is allowed to run R65 accordingly (13) 2.1.7Increase vap-count and max-load-count to maximum vap count and executing "application-update", confirm all the Vap are running R65 properly (14) 2.1.8Reduce vap-count to 3, Confirm the surplus Vap is stopped from running R65 and related partitions are removed from CPM (15) 2.1.9Enable/Disable IPv6 in vap-group and w/o ipv6-forwarding, confirm R65 wouldn't be affected. (16) 2.1.10Confirm the installed R65 could be stopped through CLI (17) 2.1.11Confirm the installed R65 could be started through CLI (18) 2.1.12Confirm the installed R65 could be restarted through CLI (18) 2.1.13Confirm the installed R65 could be reconfigured through CLI (19) 2.1.14Confirm checkpoint could be upgraded to R70 by CLI: application-upgrade (19) 2.1.15Confirm R65 could run properly while reload vap-group totally (20) 2.1.16Confirm R65 could run properly while reload all chassis totally (20) 2.1.17Create 2 vap groups, install R65 on both. Confirm R65 are running on both vap-groups without any mutual impact. (21) 2.1.18Confirm configure operation couldn't be allowed if some Vap don't run R65 properly. (23) 2.1.19Confirm uninstall/Configure operation couldn't be allowed if some Vap don't run properly. (24) 2.1.20Confirm start/stop/restart operation could works prope rly if R65 doesn’t run properly on some Vaps.25 2.1.21Confirm configure operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (26) 2.1.22Confirm uninstall operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (27) 2.1.23Confirm start/stop/restart operation couldn't be allowed if vap-count>max-load-count causing some Vap don't run properly (28) 2.1.24Confirm R65 could be uninstalled from vap-group (29) 2.1.25Confirm R65 installation package could be remove from XOS by CLI: application-remove (30) 2.2C HECKPOINT F EATURES (31) 2.2.1Create GW and Set SIC, get topology from Smart Dashboard (31) 2.2.2Configure Policy and push policy (31) 2.2.3Confirm R65 could be started/stoped/restarted by cp-command (32) 2.2.4Confirm different kinds of rule actions could work - allow/drop/reject (33) 2.2.5Verify different kinds of tracking actions could work properly - log/alert/account (33) 2.2.6Verify static NAT and hide NAT work properly (34) 2.2.7Verify default license is installed automatically (34) 2.2.8Verify some usual fw commands output - fw ver -k/ fw ctl pstat/ fw tab/ fw stat/ cphaprob stat /fw fetch /fw unloadlocal / fwaccel stat (34) 2.2.9Verify SXL status if enable/disable it (36) 2.2.10Verify the log information in SmartViewer are displayed correctly. (37) 2.2.11Verify the GW and its member information in SmartViewer are displayed correctly (37) 2.2.12Define a VPN Community between two GW; Confirm traffic can pass (37) 2.2.13Create a VPN client tunnel, make sure client can login and traffic is encrypted as it should (38) 2.2.14Enabling/Disabling SXL during connections (39) 2.2.15Fail over the active member during connections (39) 2.3I NTERFACE T EST-T RAFFIC MIXED WITH IPV6 AND IPV4 (39) 2.3.1Verify traffic pass through the interface without SXL - non vlan<--->vlan (tcp+udp+icmp) (39)
第一章项目概论 一、项目概况 （一）项目名称 防火墙项目 （二）项目选址 xx高新区 所选场址应避开自然保护区、风景名胜区、生活饮用水源地和其他特别需要保护的环境敏感性目标。项目建设区域地理条件较好，基础设施等配套较为完善，并且具有足够的发展潜力。 （三）项目用地规模 项目总用地面积31509.08平方米（折合约47.24亩）。 （四）项目用地控制指标 该工程规划建筑系数72.06%，建筑容积率1.59，建设区域绿化覆盖率6.34%，固定资产投资强度182.69万元/亩。 （五）土建工程指标 项目净用地面积31509.08平方米，建筑物基底占地面积22705.44平方米，总建筑面积50099.44平方米，其中：规划建设主体工程31714.77平方米，项目规划绿化面积3175.35平方米。
（六）设备选型方案 项目计划购置设备共计74台（套），设备购置费2583.97万元。 （七）节能分析 1、项目年用电量1038962.45千瓦时，折合127.69吨标准煤。 2、项目年总用水量14788.76立方米，折合1.26吨标准煤。 3、“防火墙项目投资建设项目”，年用电量1038962.45千瓦时，年 总用水量14788.76立方米，项目年综合总耗能量（当量值）128.95吨标准煤/年。达产年综合节能量47.69吨标准煤/年，项目总节能率22.76%，能 源利用效果良好。 （八）环境保护 项目符合xx高新区发展规划，符合xx高新区产业结构调整规划和国 家的产业发展政策；对产生的各类污染物都采取了切实可行的治理措施， 严格控制在国家规定的排放标准内，项目建设不会对区域生态环境产生明 显的影响。 （九）项目总投资及资金构成 项目预计总投资11294.64万元，其中：固定资产投资8630.28万元， 占项目总投资的76.41%；流动资金2664.36万元，占项目总投资的23.59%。 （十）资金筹措 该项目现阶段投资均由企业自筹。 （十一）项目预期经济效益规划目标
双机热备安装步骤 ●安装WINNT4 ●安装IE4.01SP1 ●安装Microsoft cluster server ●安装WINNT4 Option Pack ●安装WINNT4SP4 ●安装Microsoft SQL Standard Server7 一、WINNT4.0安装步骤 此安装过程涉及SCSI本地硬盘、磁盘阵列、网卡、RAID管理软件的安装。 1、插入WINNT光盘； 2、按F6（为了从软盘安装SCSI本地硬盘驱动程序）； 3、安装SCSI本地硬盘驱动； 4、per server for: 40 5、选择server type（注：做两机热备时，分别设置为一个“主域”，另一个“备用域”。另外，设置“备份域”时，“主域”必须打开）； 6、安装网卡驱动（a:\nicdrv）； 7、不选择DHCP； 8、安装WINNT的SP3（在第一张光盘）； 9、安装磁盘阵列驱动（控制面板里“SCSI Adapters”，进入安装界面里选“a:\netraid”）； 10、用“disk amanagement”为两机重新设置盘符（现将“磁盘阵列”设置为统一的“D：”）； 11、在WINDOWS界面安装RAID管理软件（e:\cluster\netraid\nt40_cl\utility\disk1\setup）。
二、WINNT4 IE4.01SP1安装 三、Microsoft cluster server安装 其他信息：安装microsoft cluster server软件时，应先在运行“nhloader.exe”命令，打开cluster软件安装平台。（具体详见：“setting up an MSCS cluster P63~P65“） 四、WINNT4 Option Pack安装 五、WINNT4 SP4安装 六、Microsoft SQL Server7安装 七、Appendix
防火墙安装操作手册By Shixiong Chen
一、准备安装介质和服务器 安装CheckPoint防火墙基于开放的服务器平台需要准备两点: 如果选用的是Checkpoint的硬件，UTM-1则不需要考虑这些问题。 第一，准备好服务器，服务器最好选择IBM\HP\或者其他大品牌厂商的硬件平台，并且事先确认该品牌和型号的服务器与CheckPoint软件兼容性，将网卡扩展至与真实火墙一致，服务器需要自带光驱。 第二，准备好CheckPoint防火墙安装介质，注意软件的版本号与真实环境火墙一致，同时准备好最新的防火墙补丁。 二、SecurePlatform系统安装过程 硬件服务器初始状态是裸机，将服务器加电后，设置BIOS从光盘启动，将CheckPoint软件介质放入光驱，然后出现如下界面: 敲回车键盘开始安装。出现如下界面，选择OK,跳过硬件检测。
选择安装的操作系统类型，根据自己防火墙操作系统的版本选择。SecurePlatform Pro是带有高级路由和支持Radius的系统版本。 选择键盘支持的语言，默认选择US，按TAB键，继续安装。 配置网络接口，初始我们配置外网接口即可，选择eth0配置IP, 输入IP地址、子网掩码、以及默认网关，然后选择OK,继续。 选择OK.开始格式化磁盘。
格式化完成后开始拷贝文件，最后提示安装完成，按照提示点击OK.系统会自动重新启动。然后出现登陆界面，如下所示。 第一次登陆系统，默认账号和密码都是admin，登陆后需要出入新的密码和管理员账号。 三、CheckPoint防火墙软件安装过程
运行sysconfig 命令，启动安装防火墙包。选择n,继续安装。 打开网络配置页面，选择1,配置主机名，选择3配置DNS服务器，选择4配置网络，选择5配置路由，注意要与生产线设备的配置保持一致，特别是路由要填写完整，主机名、接口IP和子网掩码要填写正确。 配置完成后，选择n,下一步继续配置，如下图所示，选择1配置时区(选择5，9，1)，选择2配置日期，选择3配置本地系统时间，选择4查看配置情况。注意配置时间和日期的格式。完成后选择n， 然后会出现提示是否从tftp服务器下载安装软件，选择n.然后出现如下界面，选择N,继续安装。 选择Y,接受安装许可协议。
消防防火墙工程实施方案 构筑社会消防安全“防火墙”工程施行计划 为推动社会消防安全办理立异，前移火灾防备关口，活跃构筑社会消防安全“防火墙”工程，全面进步我市火灾防控水平，特拟定如下计划： 一、总体方针 以贯彻施行《消防法》为主线，以“政府统一领导、部分依法监管、单位全面担任、公民活跃参与”为准则，实在进步社会单位抗御火灾才能、夯实底层火灾防控根底、进步公安机关消防监督办理水平、执行政府及职能部分消防作业责任，全力构筑社会消防安全“防火墙”，力求经过三年尽力，使全市消防作业社会化水平显着进步，消防安全环境显着改进，重特大尤其是群死群伤火灾事故得到有用遏止。 二、作业使命 （一）执行“四个责任”。 1、执行政府领导责任。各地要将消防作业归入本地经济和社会展开规划，将消防经费、公共消防设备和配备建造、社会消防力气展开、严重火灾危险整改等归入政府任期方针办理；2010年内完结“十一五”消防展开规划执行状况查看评价，研讨拟定“十二五”消防展开规划，保证消防作业与经济社会展开相适应；树立由政府领导牵头的消防安全委员会或消防
作业联席会议准则，加强消防作业安排协调，守时研讨处理消防作业严重问题；展开消防安全专项办理，对影响公共安全的严重火灾危险施行挂牌督办，催促整改执行；精心做好严重节假日和火灾多发时节的防火作业，保证消防安全。 2、执行部分监管责任。各有关部分要仔细实施消防作业责任，将消防安全标准化办理归入本行业、本系统办理的重要内容，严厉依法监管；公安消防部分安排展开消防安全查看，会集整治城乡结合部、棚户区、“城中村”及出租屋、“三合一”场所（集出产、住宿、运营于一体的场所）、务工人员聚集地等要点区域存在的消防安全杰出问题，实在消除火灾危险；教育、人力资源与社会保证、广电等部分及各新闻媒体要加强消防常识教育训练，全面进步大众的消防认识；住宅和城乡建造部分要严厉依法批阅触及消防安全的行政许可项目，加大对建造工程设计、施工和监理等企业的消防监管，施行消防安全源头操控；人力资源与社会保证部分要严厉执行持证上岗准则，加强消防特有岗位的用人办理；质监、工商部分要加强消防产品市场办理，保证消防产品质量；各有关部分要树立健全消防作业部分信息沟通和联合法律机制，构成齐抓共管的消防作业格式。 3、执行设备建造责任。各地要仔细编制、施行城乡消防规划，及时增建、改建、装备公共消防设备。当令出台公共消防设备建造和保护办理办法，清晰公共消防设备建造、保护
精心整理1项目实施方案 1.1项目实施计划 考虑到xxx与数据库建设项目的工程量、质量与涉及面等因素，在此工程实施前必需有严密的进度控制和精心的组织安排。我们根据本方案确定的项目目标以及具体建设要求，对建设任务以及工程进度进行综合安排计划，具体各个部分的实施可以视工程情况相互协调、齐头并进。 ?查看软件版本
1)通过IE浏览器登陆到安全设备,查看当前安全设备的软件版本。 2)通过串口登陆到安全设备后台,查看软件版本。 ?产品信息记录 记录下用户安全设备编号，作好记录工作 ?查看安全设备重启后能否正常启动 ? 配置 而不 8.加固防火墙操作系统，并使用防火墙软件的最新稳定版本或补丁，确保补丁的来源可 靠。 9.是否对防火墙进行脆弱性评估/测试？（随机和定期测试） 10.防火墙访问控制规则集是否和防火墙策略一致？应该确保访问控制规则集依从防
火墙策略，如严格禁止某些服务、严格开放某些服务、缺省时禁止所有服务等，以满足用户安全需求，实现安全目标。 11.防火墙访问控制规则是否有次序性？是否将常用的访问控制规则放在前面以增加防火墙的性能？评估防火墙规则次序的有效性。 12.防火墙访问控制规则集的一般次序为： 17.确保有仅允许源IP是内部网的通信通过而源IP不是内部网的通信被丢弃的规则，并确保任何源IP不是内部网的通信被记录。 18.是否执行NAT，配置是否适当？ 19.任何和外网有信息交流的机器都必须经过地址转换（NAT）才允许访问外网，同样外网的机器要访问内部机器，也只能是其经过NAT后的IP，以保证系统的内部地址、配置和有
关的设计信息如拓扑结构等不能泄露到不可信的外网中去。 20.在适当的地方，防火墙是否有下面的控制？ 21.如，URL过滤、端口阻断、防IP欺骗、过滤进入的Java或ActiveX、防病毒等。 22.防火墙是否支持“拒绝所有服务，除非明确允许”的策略？ 23.根据xxx的需求，配置系统所需对外开放的端口映射。 帮助分析防火墙的活动，并为管理部门提供防火墙效率情况。 5.重大事件或活动是否设置报警？是否有对可以攻击的响应程序？ 6.如适当设置入侵检测功能，或者配合使用IDS（入侵检测系统），以防止某些类型的攻击或预防未知的攻击。 7.是否有灾难恢复计划？恢复是否测试过？