H3C防火墙常见问题汇总Word下载.docx
- 文档编号:20802767
- 上传时间:2023-01-25
- 格式:DOCX
- 页数:8
- 大小:21KB
H3C防火墙常见问题汇总Word下载.docx
《H3C防火墙常见问题汇总Word下载.docx》由会员分享,可在线阅读,更多相关《H3C防火墙常见问题汇总Word下载.docx(8页珍藏版)》请在冰豆网上搜索。
Untrust所属接
口连接外部网络;
DMZ区所属接口连接用户向外部提供服务的部分网络;
从防火墙设备本身发起的连接即是从Local区域发起的连接。
相应的所有对防火墙设备本身的访问都属于向Local区域发起访问连接。
SecPath防火墙中inbound和outbound的含义是什么呢
SecPath防火墙的ACL规则和路由器一样,是应用在接口上的,inbound指从接口进入防火墙的方向,outbound是从防火墙出接口的方向。
这点是与Eudemon和SecPath1800F不同的。
Eudemon和SecPath1800F的ACL是应用在域间的,inbound是指从低安全级别的域进入高安全级别域的流量,如从untrust进入trust,outbound的方向与此相反。
为什么我的接口配了IP地址和PC对连却ping不通
接口必须加入且只能加入一个域才能生效。
特别要注意的是,除了物理口要加入域外,virtual-template和tunnul也必须加入域。
如果不加入域,可能出现端口up但是却互相ping不通、SecPoint拨号接入却获取不到IP地址等情况。
这是刚接触防火墙常犯的错误,希望大家能够牢记。
命令为firewallzonetrust/untrust
同时,在3.4-0006版本后,缺省情况下,更改了包过滤的缺省规则,缺省规则由permit改为deny,缺省情况下,所有的接口都是不通的,需要在系统视图下配置firewallpacket-filterdefaultpermit才能访问。
Secpath系列产品如何查看flash中有哪些文件
dir/all
Directoryofflash:
/1-rw-Oct10200210:
10:
10system
2-rw-Oct10200210:
10http.zip
3-rw-962Sep22201016:
42:
11config.cfg
4-rw-524288Aug09201009:
35:
41bootromfull
15621KBtotal(8439KBfree)
Secpath系列产品如何备份配置文件和VRP文件
1、使用TFTP方式(需要有TFTP服务器,女口3CDaemon)
前提条件:
保证PC机和设备之间可以双向PING通
tftp1.1.1.1(TFTP服务器的地址)putsystem(VRP文件名)tftp1.1.1.1
(TFTP服务器的地址)putconfig.cfg(VRP文件名)
2、使用FTP方式
[Quidway]ftpserverenable启动FTP服务
[Quidway]local-userhuawe创建FTP用户和密码及及登陆后的目录[Quidway]passwordsimplehuawei
[Quidway]service-typeftpftp-directoryflash:
/在PC运行”键入CMD命令进入到DOS界面
ftp设备IP地址
用户名和密码都是huawei
Secpath产品BOOTROM升级说明
进入bootrom命令
Ctrl_D进入bootrom升级bootrom
Ctrl_B进入bootrom升级VRP
BOOTROM文件
1、bootromd的版本文件可能有2个,大小分别是100多K和512K。
2、bootrom升级时,从低版本到高版本使用100k的update,但是从高到低必须使用512k的重新down,建议都使用512K的bootrom文件
Secpath产品在线升级BOOTROM和VRP方法
BOOT在线升级:
【TFTP方式】
1、配置secpathF和PC地址,使之互通。
2、PC上启用TFTPserve程序,同时指定为升级的boot文件所在目录。
3、将boot文件拷入flash中。
在用户视图下,执行以下命令:
<
>
copyx.x.x.x/bootromfullbootromfull
这里,xxx.x为PC的地址,bootromfull为升级的boot文件名,注意:
只能为bootromfull。
如果只升级boot扩展段,则拷入的文件名应为
bootrom。
如果无法确定需要升级boot扩展段还是整个boot,则建议直接升级整个boot文件。
4、将boot升级,执行:
upgradebootrombootromfull
这里,bootromfull为拷入的文件名称。
5、重启系统。
【FTP方式】
同中低端路由器版本。
版本软件在线升级:
PC上启用TFTPserve程序,同时指定为升级文件所在目录。
2、在用户视图下,执行以下命令:
copyx.x.x.x/systemsystem
这里,xxx.x为PC的地址,system为升级的系统文件名,注意:
只能为system。
3、重启系统。
说明:
防火墙应用程序缺省名称为system,配置文件缺省名称为config.cfg.BootROM扩展段文件缺省名称为bootrom,整个BootROM文件缺省名称为
bootromfull。
Secpath在BOOT中升级VRP版本时,下载完文件提示“WritingintoFlash
Fails.该”如何处理
一般是由于Flash出了问题。
可以把Flash先格式化再下载。
格式化flash可以在进入BOOT菜单后按“ctrl+b再按“CTRL+”行。
为什么从系统下升级VRP版本重启设备后未生效
SecPath产品默认的系统文件为system,如果是在Bootrom下TFTP升级,系统将自动覆盖以前的system文件。
如果在用户视图下FTP下载系统文件,需要手动更改下载的文件名为system。
在BootRom模式下TFTP升级VRP版本时,为什么从有些接口上下载不了版本
SecPath系列防火墙在bootrom下TFTP升级版本时,有一个默认的ethO口用于下载,该接口是不能更改的。
各系列产品所对应于ethO的接口如下:
Secpath1OOF:
WAN2
删除FLASH里面的VRP系统文件,从BootRom模式下TFTP升级VRP版时,系统却提示FLASH空间不足,版本无法下载,系统启动不了怎么办
删除文件时一定要/u才能完全删除,假如在用户视图直接delsystem,该系统文件将放入回收站,同样占用FLASH的空间。
这时,如果重启,老系统文件不生效,新系统文件又无空间写入。
这时的杀手锏就是在进入boot菜单时
CTRL+格式化FLASHT。
VRP系统损坏了怎么办
进入boot菜单时CTRL+格式化FLASH通过bootrom方式升级。
Secpath产品是否支持WEB管理
目前支持WEB管理的设备有:
secpath10f、100f、1000f。
但FLASH中一定得有“http.zip文件,如果没有就采用detach命令来解压软件版本。
例:
detachsystem
Systemfilelengthbytes,httpfilelength834724bytes.dir
/O-rw-Jun162OO9O6:
46:
36system
1-rw-1830Jun17200907:
47:
16config.cfg
2-rw-834724Jun18200902:
22:
39http.zip
注:
如果不能通过WEB方式连到SecPath防火墙上,请按照下面的步骤进行排查:
检查Flash中是否有“http.zip文件;
如果没有该文件,请使用命令:
detachsystem来释放出“http.zip文件;
如果有“http.zip文件,说明此文件是以前VRP程序里面的,请先删除该文件,再使用命令:
如果在VRP下通过FTPTFTP方式进行升级后,那么需要先删除
“http.zip,再使用命令:
detachsystem来释放出“http.zip文件;
如果在BootRom下进行升级,升级成功,则正常。
为什么WEB管理操作时从设备读取页面很慢
首先查看你的IE设置:
第一次Web访问某个页面时,要从FLASH里面读取大量数据,页面显示会相对较慢。
以后系统缓存后,访问已访问过的页面会比较快。
当你做了上述设置之后,发现读取页面还是异常慢,不妨换台PC试试,有时会碰到有的PC
机访问页面异常慢的情况,原因不明。
在3.4-0006版本中,对WEB的访问流程进行了优化,访问速度较以前的版本快。
如果客户反映WEB访问很慢,请升级到最新版本。
注意,如果在使用过程中单独升级http.zip文件,需要重启设备才能生效。
如果只在用户模式下,
FTP上传新版本到FLASH必须手动在用户模式下用detachsystem命令来解压出新的HTTP.ZIP文件。
LNS位于NAT网关之后如何处理
有两种方式:
1、NAT上做静态NAT映射,将LNS的私网地址映射为一个公网地址。
2、NAT上做1701/UDP的NATserve,将LNS的1701端口映射为公网的1701端口。
在Secpath10f/100f/1000f上配置为LNS但出现连接到验证用户名和密码时”出现“错误619:
,,,”是什么原因
将防火墙攻击防范中“I欺骗攻击”关闭即可解决此问题。
IPSEC网关也位于NAT网关之后,如何处理
1、NAT上做静态NAT映射,将VPN网关的私网地址映射为一个公网地址。
同时,双方启用NAT穿越。
2、NAT上做500/UDP的NATserver,将VPN网关的500端口映射为公网的500端口。
同时,双方启用NAT穿越,且IPSEC使用AH和ESP协议,协议号分别为
51、50,也需要放开。
配置GRE时tunnel口协议层已经UP,但是却无法ping通对端tunnel口地址
请确认interfacetunnel已经加入了安全域。
Tunnel如果不加入安全域时防火墙是不进行处理和转发的;
同时检查grekey是否一致。
GRE的TUNNEL中定义的ipaddress、source和destination这三个地址的作
GRE的TUNNEL中,ipaddr是作路由用的。
即,当查找路由表时,发现所
要发送的数据包的下一跳是和自己tunnel口ipaddr同一网段的对端GRE的地
址,则从tunnel口转发数据,进行GRE的封装。
当数据进行GRE封装时,外层圭寸装的IP地址即为tunnel口定义的source和destination定义的地址。
Secpath系列产品如何根据版本来区分支持DVPN1.0和2.0
secpath网关产品(secpath100N/100V/1000)
只有VRP3.40-E1604版本才支持DVPN2.0其它以前的所有版本都只支持DVPN1.0
secpath防火墙产品(secpath10f/100f/500f/1000f)
可以通过VRBD去查看
vrbd
RoutingPlatformSoftware
VersionSecPath100F8042V100R002B01D020(COMWAREV300R002B40D003),RELEASESOFTWARE
CompiledJun22200615:
44:
28byxiedong
若release为002和006,则表示此版本支持DVPN2.0若release为001则表示此版本支持DVPN1.0
Eudemon系列产品目前所有版本都不支持DVPN
DVPN1.0版本和DVPN2.0不能互通
DVPN已经建立,tunnel已经UP,为何ping不通对方tunnel地址通常是由于没有把inttunnel加入untrust安全域引起的。
防火墙除了loopback口外,所有的物理接口、逻辑接口都必须加入安全域中。
DVPN已经建立,tunnel已经UP,PC能ping通对方tunnel地址,为何ping不通对方私网地址
通常是由于路由不正确的原因。
假设用户拓扑和地址如下:
私网1DVPN网关1DVPN网关2网2私网1
地址为,DVPN隧道口地址为Tunnel0:
。
私网2地址为,DVPN隧道口地址为Tunnel0:
不少人会按习惯在网关1上加如下路由:
iproute-static10.1.2.024tunnel0
由于DVPN隧道为P2MP类型,一个隧道地址可以与多个对端建立隧道,因此设备无法通过Tunnel口找到对端,还必须指定对端隧道的地址才可以,正确的路由设置如下:
iproute-static10.1.2.024192.168.1.2
网关2同样。
Secpath系列产品中如何知道设备是否带IPSec加密卡
用displayinterface可以看到,如果看到encrypt接口,说明设备时带了加密卡的。
SecPath100V、SecPath
1000、SecPath100F-
E、SecPath
500F、SecPath1000F内置硬件加密卡,其它设备可以选配加密插卡。
如何开启IPSecx>卡的快转
在系统试图下执行命令:
encrypt-cardfast-switch即可。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- H3C 防火墙 常见问题 汇总