loading
hillstone防火墙配置步骤
(以hillstone SA5040为例讲解)
厦门领航立华科技有限公司
目 录
1 需要从客户方获取的基本信息 ................................................ 3 2 配置步骤 .................................................................. 3
2.1 配置安全域 ........................................................ 3 2.2 配置接口地址 ...................................................... 4 2.3 配置路由 .......................................................... 4 2.4 配置NAT ........................................................... 6
2.4.1 源地址NAT ..................................................... 6 2.4.2 目的地址NAT ................................................... 6
3 配置策略 .................................................................. 8
3.1 配置安全域之间的允许策略 .......................................... 8
3.1.1 配置trust到Untrust的允许所有的策略 .......................... 8 3.1.2 配置DMZ到Untrust的允许所有的策略 ............................ 9 3.1.3 配置trust到DMZ的允许策略 .................................... 9 3.1.4 配置Untrust到DMZ服务器的允许策略 ........................... 10 3.1.5 配置Untrust到Trust服务器的允许策略 ......................... 10 3.1.6 配置详细策略 ................................................. 11
4 配置QOS ................................................................. 12 5 配置SCVPN ............................................................... 13
1 需要从客户方获取的基本信息
? 部署位置：互联网出口位置，还是其他，如部署在出口路由器之后等 ? 部署方式：三层接入（需要做NAT，大部分都是这种接入方式），二层透明接
入（透明接入不影响客户网络架构），混合接入模式（有几个接口需要配置成透明接口模式，可以支持这种方式）
? 外网出口信息：几个出口，电信Or网通，外网IP地址资源（多少个），外
网网关（防火墙默认路由设置）
? 安全域划分：一般正常3个安全域，Untrust（外网）、Trust（内网）、Dmz
（服务器网段），也可以自定义多个 ? 外网接口IP地址：由客户提供 ? 内网口IP地址：
? 如果客户内网有多个网段，建议在客户中心交换机配置独立的VLAN
网段，不要与客户内部网段相同。
? 如果客户内网只有1个网段，没有中心交换机，则把防火墙内网口地
址设置为客户内网地址段，并作为客户内网网关（适用于中小型网络）
? DMZ口IP地址：由客户提供，建议配置成服务器网段的网关；
2 配置步骤
2.1 配置安全域
默认就有常用的3个安全域了，Trust，Untrust，DMZ
2.2 配置接口地址
2.3 配置路由
默认路由：其中指定的接口：Untrust（外网）接口，如果有多个出口，可以在这选择不同的接口。其中网关为跟FW互联设备接口的地址，比如59.60.12.33是电信给的出口网关地址。
静态路由：网关地址为下一跳地址，客户内部有多个VLAN，需要在这配置静态路由，比如客户内部网有172.16.2.0/24 ，172.168.3.0/24 等多网段，可以指定一条静态路由， Ip route 172.16.0.0/16 内部核心交换机地址