山石防火墙图文讲解简单配置步骤

hillstone防火墙配置步骤

(以hillstone SA5040为例讲解) 

厦门领航立华科技有限公司

1需要从客户方获取的基本信息

◆部署位置：互联网出口位置，还是其他，如部署在出口路由器之后等

◆部署方式：三层接入（需要做NAT，大部分都是这种接入方式），二层透明接入（透明接入不影响客户网络架构），混合接入模式（有几个接口需要配置成透明接口模式，可以支持这种方式）

◆出口信息：几个出口，电信Or网通，IP地址资源（多少个），网关（防火墙默认路由设置）

◆安全域划分：一般正常3个安全域，Untrust（）、Trust（内网）、Dmz（服务器网段），也可以自定义多个

◆接口IP地址：由客户提供

◆内网口IP地址：

◆如果客户内网有多个网段，建议在客户中心交换机配置的VLAN网段，不要与客户内部网段相同。

◆如果客户内网只有1个网段，没有中心交换机，则把防火墙内网口地址设置为客户内网地址段，并作为客户内网网关（适用于中小型网络）

◆DMZ口IP地址：由客户提供，建议配置成服务器网段的网关；

2配置步骤

2.1配置安全域

默认就有常用的3个安全域了，Trust，Untrust，DMZ

2.2配置接口地址

2.3配置路由

默认路由：其中指定的接口：Untrust（）接口，如果有多个出口，可以在这选择不同的接口。其中网关为跟FW互联设备接口的地址，比如59.60.12.33是电信给的出口网关地址。

静态路由：网关地址为下一跳地址，客户内部有多个VLAN，需要在这配置静态路由，比如客户内部网有172.16.2.0/24 ，172.168.3.0/24 等多网段，可以指定一条静态路由，

Ip  route   172.16.0.0/16   内部核心交换机地址

2.4配置NAT

2.4.1源地址NAT

内部网络访问互联网NAT，选择互联网出口接口为eth0/1，配置接口地址就为NAT地址，并配置动态端口，启用Sticky（启用这个会更好的利用接口的资源）。

（只有配置了源地址NAT，内部网络才能上互联网）

2.4.2目的地址NAT

IP映射，把一个IP地址完全映射到内部一台服务器，具体如下，创建IP映射

端口映射，把访问某个地址的指定端口映射到内部服务器的指定端口，具体配置如下：

新建——>选择端口映射

3配置策略

3.1配置安全域之间的允许策略

配置初始允许策略（在做测试，或者部署前，首先配置允许策略，让策略先全部允许；测试联通性没问题了，如路由，NAT都没问题了，才来做策略的优化，比如允许的服务等）

3.1.1配置trust到Untrust的允许所有的策略

3.1.2配置DMZ到Untrust的允许所有的策略

3.1.3配置trust到DMZ的允许策略

3.1.4配置Untrust到DMZ服务器的允许策略

3.1.5配置Untrust到Trust服务器的允许策略

（有时候我们的客户有需要从Untrust访问Trust内部地址的需求，同样要先做目的NAT，然后配置从Untrust到Trust的允许策略）

3.1.6配置详细策略

配置地址簿

配置服务组，可以自己新建服务组，服务组可以选择预定义好的服务

4配置QOS

在接口，即Untrust口，配置对P2P的下载，注意上行带宽要设置为小一点，这样效果会更好

5配置SCVPN

先建立一个IP pool  不能和内网 同一网段

配置SSL   http端口注意，  接口：untrust 隧道路由内网网段，AAA 加local

添加SSL 登陆用户  

Aaa

建立一个SSL  的zone  

建立一个隧道接口  

配置隧道接口 安全zone 选择 刚建立的zoneSSL  ip地址是和pool一个网段但不能用pool里面的地址， sc tunnel 选择 建立的 SCVPN 名字

建立from  ssl域(的安全策略

Web 登陆FW untrust  https://192.168.1.2:8888  端口匹配