天清汉马USG防火墙P系列测试方案Word格式.docx
- 文档编号:22151405
- 上传时间:2023-02-02
- 格式:DOCX
- 页数:50
- 大小:504.63KB
天清汉马USG防火墙P系列测试方案Word格式.docx
《天清汉马USG防火墙P系列测试方案Word格式.docx》由会员分享,可在线阅读,更多相关《天清汉马USG防火墙P系列测试方案Word格式.docx(50页珍藏版)》请在冰豆网上搜索。
1.4.3
ISP路由
1.4.4
OSPF动态路由
1.4.5
RIP动态路由
1.4.6
OSPFV3动态路由
1.4.7
RIPNG动态路由
工作模式
1.5.1.
透明模式
1.5.2.
路由模式
1.5.3.
混合模式
1.5.4.
旁路模式
监控与排错
1.6.1.
排错
1.6.2.
设备监控
反垃圾邮件功能
垃圾邮件过滤
2.1.1.
邮件地址黑名单过滤
2.1.2.
主题关键字过滤
主动防御
主动防御挂马网站
3.1.1.
挂马网站拦截
漏洞扫描功能
服务探测
4.1.1.
常见端口扫描
虚拟防火墙
虚拟墙的规则使用
5.1.1.
虚拟墙的独立规则
5.1.2.
虚拟墙的共享规则
虚拟墙的管理权限
5.2.1.
虚拟墙独立用户管理
5.2.2.
系统管理员用户管理
日志与报表
日志功能
6.1.1.
内存日志
6.1.2.
Syslog日志
6.1.3.
日志查询
报表
6.2.1.
报表分析
性能测试
转发性能测试
7.1.1.
应用层吞吐量
连接性能测试
7.2.1.
并发连接数
7.2.2.
新建连接速率
可靠性
Bypass
8.1.1.
硬件Bypass
HA功能
8.2.1.
负载均衡
双系统管理
8.3.1
双系统备份恢复
一、前言
本方案以业界防火墙产品的通用功能作为参考,提供公正、专业的测试方案,为企业选购防火墙提供参考。
二、选型原则
根据我们的调研,防火墙产品的核心功能主要集中在防火墙的管理维护功能、入侵防护功能、病毒防护功能、上网行为管理、反垃圾邮件、主动防御、漏洞扫描、虚拟防火墙、日志和报表、性能、可靠性这十一个方面,因此这十一个方面也成为考察防火墙和选型评测的主要指标。
据此,我们确定防火墙的选型原则如下:
2.1管理维护功能简单易用
配备一套防火墙系统,需要建立相应的防火墙应用防护规则和安全规则体系。
由于不同防火墙设备在管理维护上存在差异,而我们不能要求每个网络管理员都是网络安全专家,所以可能出现因防火墙管理维护不方便,导致对防火墙的错误配置和发生安全事故的悲剧。
因此我们需要关注防火墙是否具备完善的管理方式、齐备的维护方式和灵活的接入方式等管理维护功能。
2.2入侵防护功能精准全面
入侵防护功能是防火墙设备的重要功能之一。
由于用户环境以及入侵防护技术的复杂性,根据防火墙的发展状况和我公司信息系统的应用需求,我们将重点关注对常见攻击的拦截能力、攻击特征的更新、误报率以及自定义攻击特征。
2.3病毒防护功能安全性高
病毒防护功能是防火墙设备的重要功能之一。
由于对多协议拦截的需求以及网络流行病毒的复杂性。
我们将重点关注常见协议的病毒拦截能力、流行病毒检测率、病毒特征的更新等。
2.4上网行为管理可用实用
网络内部的的P2P下载、流媒体、IM即时消息、网络游戏等互联网应用不仅严重占用网络资源、降低企业工作效率,同时也成为蠕虫病毒、木马、后门传播的主要途径。
上网行为管理功能可降低内部机密信息泄露及病毒传播的机率。
2.5反垃圾邮件功能准确有效
来自外部网络的大量垃圾邮件攻击占用大量的网络资源、给网络带来极大压力,而且包含的不良消息也会影响到邮件系统使用者的日常生活、工作及学习。
我们将重点关注反垃圾邮件的功能及准确性。
2.6主动防御安全防挂马
目前挂马网站的日益增多,强大的木马将严重威胁用户的账号安全及系统安全。
主动防御功能也成为了防火墙等安全产品的一个重要考察指标。
我们将重点关注其是否可检测挂马网站并安全的处理挂马访问过程。
2.7漏洞扫描监控主机安全
集成了漏洞扫描功能的防火墙设备可以很好的监管内网主机、服务器的安全状况,生成报告提示内网主机关闭不必要的端口,升级最新的系统补丁,提高安全性减少入侵威胁。
我们将重点关注其扫描范围及报告功能。
2.8虚拟防火墙节省开销方便布局
随着网络的复杂化,购置多台安全设备实现意味着更多的设备购置资金投入及后期的设备维护。
虚拟防火墙技术可以将一台设备虚拟成多台资源、规则独立的安全设备有效的利用设备的闲置网口,减少资金投入,同时也便于后期维护。
我们将重点关注虚拟墙的规则及管理的独立性。
2.9日志呈现方式简洁易懂
网络管理员需要对网络中存在的攻击有个详细的了解,这就需要有丰富的告警方式以及日志呈现方式,管理员能及时了解网络中正在发生的攻击,能方便地查询攻击的来源、发生时间,甚至可以对过去一段时间的攻击进行详细统计分析。
2.10性能满足发展要求
网络中接入防火墙后,性能是否降低以及降低程度,关系到网络通信是否顺畅,关系到信息系统是否能够实时地保障生产,因此我们要求防火墙具有较高的工作效率,包括数据吞吐率、并发连接数等关键指标。
2.11数据连续性保障方式多
由于防火墙是串接到网络中,如果防火墙设备本身发生故障,网络也将中断,防火墙设备反而成为整个网络可靠性的瓶颈,也就失去了防火墙的价值,因此设备的可靠性显得尤为重要,主要体现在设备出现软件或硬件故障时能至少保证网络的畅通。
三、评测依据
我们将根据防火墙技术的最新发展状态,参照公安部信息安全产品检测中心针对防火墙类产品的标准《GB/T20281-2006信息安全技术
防火墙技术要求和测试评价方法》,本着客观、公正的原则,确定防火墙选型评测的测试环境和测试工具及测试方案。
四、评测内容
根据选型原则和评测依据,我们确定的评测内容如附件一中的表格所示。
五、评测方法分类
为了突出测试重点,将所有评测内容划分为三类,每类分别采取不同的评分标准,具体分类原则及其相应的评测方法如下:
7.1第一类:
一般项目
1.分类原则
同时满足以下第1-2款条件的内容定义为一般项目。
1)没有显著的程度差异或程度差异对使用影响小;
2)企业可能使用该项功能。
2.评测方法
在专用测试环境中实际测试,并直接将“支持”或“不支持”记入附件一中的“防火墙评测结果汇总表”。
3.标识形式
在后续章节中,将以“C”为标识符号,代表一般项目。
7.2第二类:
重要项目
1.分类原则
同时满足以下第1-2款条件的所有评测内容定义为重点项目。
1)有程度差异且程度差异对使用功能有影响;
2)企业应用中通常使用该项功能。
在专用测试环境中实际测试,测试结果包括“优良”、“一般”、“不支持”三档,由评测执行小组根据实际测试效果按相同的尺度确定。
在后续章节中,将以“B”为标识符号,代表重要项目。
7.3第三类:
关键项目
同时满足以下第1-3款条件的所有评测内容定义为关键项目。
1)一定会使用的关键功能;
2)性能高低对系统工作效率影响很大;
3)对网络业务影响很大。
在专门搭建的测试环境中实际测试,测试结果为在测试过程中通过专用设备测出的实际指标由评测执行小组根据实际测试效果按相同的尺度确定。
在后续章节中,将以“A”为标识符号,代表关键项目。
六、测试环境及工具
测试环境搭建是否合理,测试工具选择是否有效,直接关系到测试结果是否准确可信。
为了保证评测质量,我们根据有关专家建议,在完备性和可行性之间确立最恰当的测试环境及测试工具。
测试环境中需要以下工具:
1、硬件工具
Ø
被测防火墙两台
普通PC四台
普通网线20根
千兆交换机2台
Avlanche2900性能分析仪一台
BreakingPointElite性能分析仪一台
2、软件工具
MicrosoftwindowsXP,安装常用网管和测试软件(如SecureCRT,ServU等)
被测防火墙随机工具(如随机带的光盘及手册等)
攻击模拟回放用的各类数据包
病毒检测使用的基本病毒样本库
IRIS回放包软件
3、网络环境
至少保证一种方式访问Internet(代理上网方式除外).
七、测试方案
本次评测将从管理维护功能、入侵防护功能、病毒防护功能、上网行为管理、反垃圾邮件、主动防御、漏洞扫描、虚拟防火墙、日志和报表、性能、可靠性这十一个方面进行。
具体方案如下:
1.管理维护功能
1.1.系统管理
1.1.1.系统管理
测试原理
考察防火墙是否具备灵活的配置管理功能,是否支持通过加密方式(SSH或HTTPS)进行管理,是否可以通过集中监控来管理多台设备。
测试拓扑
测试步骤
1.支持通过Console口登录设备并进行配置管理
2.支持通过SSH进行配置管理
3.支持通过加密的HTTPS方式进行配置管理
预期结果
支持上述各种管理方式
测试结果
Console
支持□
不支持□
SSH
HTTPS
1.1.2.WEB界面CLI控制台
通过防火墙的界面CLI控制台功能,管理员可以在web界面上通过CLI控制台的命令行功能进行查看、配置防火墙相应功能模块。
1.通过web界面管理方式登录防火墙;
2.在系统管理—状态—CLI控制台;
3.在CLI控制台中查看防火墙当前配置,配置防火墙相关功能模块。
在CLI控制台通过命令行查看防火墙当前配置状态正确;
通过CLI控制台进行防火墙配置,配置正确生效。
WEB界面CLI支持□不支持□
1.1.3.管理员账号划分权限
设置不同权限管理员账号
新建防火墙管理员,能够为新建的管理员分配不同的访问控制权限。
2.在系统管理—管理员设置,新建管理员账号;
3.为新建的管理员分配不同的管理员权限;
4.使用新建的管理员账号登录防火墙,能否登录成功且管理员权限正确。
可以使用新建的管理员账号登录防火墙,且新建管理员账号分配的权限正确。
管理员账号权限划分支持□不支持□
1.2.配置文件管理
1.2.1.配置文件的备份和恢复
考察防火墙产品是否支持配置文件备份和恢复功能
1.将当前配置文件保存到PC;
2.修改当前配置文件并保存;
3.通过将PC上保存的文件拷贝到主配置文件并重启设备可以恢复原先的配置。
支持配置文件备份和恢复功能,可以恢复原先保存的配置
支持□不支持□
1.3.接口管理
1.3.1.路由接口
静态配置IP地址、DHCP自动获得IP地址
考察防火墙产品接口是否支持静态及动态配置IP地址
1.按图搭建测试环境,配置DHCP地址池为198.168.1.10--192.168.1.20。
2.静态IP地址配置测试:
在接口Ge0配置IP地址为192.168.1.10/24,测试从防火墙是否可以从防火墙接口Ge0Ping通地址192.168.1.1,是否可以用show命令看到所配置生效的IP地址。
3.动态IP地址配置测试:
将接口Ge0的配置为动态获得IP地址,观察是否可以通过命令行查看获得的IP地址,测试是否能通过Ge0Ping通192.168.1.1。
静态配置IP时能通过命令行看到配置的IP且能Ping通192.168.1.1。
动态获得IP时能通过命令行看到获得的IP且能Ping通192.168.1.1。
静态配置IP地址:
支持□不支持□
动态获得IP地址:
1.3.2.桥接口
略。
测试方法同1.7.1节。
1.3.3.Trunk接口
考察防火墙是否支持处理打802.1Q标的数据包
1.如图搭建好测试环境,配置交换机与防火墙相接的接口为trunk;
2.在防火墙上配置应用防护规则,允许PC1与PC2的通信;
3.从PC1PingPC2,可以Ping通。
防火墙支持Trunk接口,PC1可以Ping通PC2
1.3.4.单臂路由接口
考察防火墙是否支持单臂路由接口(无此需求的用户可忽略,防火墙一般不采用此种接入)
1.如图搭建好测试环境,配置交换机与防火墙相接的接口为trunk,与PC连接的接口为Access。
2.在防火墙上配置vlan接口如拓扑所示,并启用应用防护规则,允许PC1与PC2的通信;
PC1可以Ping通PC2,防火墙支持单臂路由接口。
1.3.5.3G设备
3G互联功能
通过防火墙上3G互联,保护内网网络安全的同时保证内网用户通过3G连接访问互联网
1.按图示搭建拓扑,防火墙作为网关,内网PC直连防火墙;
2.防火墙两个出接口,分别通过电信运营商和3G(WCDMA)连接;
3.防火墙的3G接口配置3G拨号,自动获取到3G拨号地址;
4.在电信链路故障的情况下,内网PC能正常访问互联网。
内网PC通过3G连接访问互联网正常
3G互联支持□不支持□
1.3.6.WIFI设备
WIFI功能
通过防火墙上的WIFI功能,保护内网网络安全的同时保证内网移动终端通过WIFI连接到防火墙访问互联网
1.按图示搭建拓扑,防火墙作为连接外网的网关;
2.防火墙上开启WIFI功能,内网移动终端设备通过WIFI连接至防火墙
3.内网移动终端能通过防火墙正常访问互联网
内网PC通过WIFI连接防火墙访问互联网正常
WIFI支持□不支持□
1.3.7.网口镜像
通过防火墙的网口镜像功能,能够实时将通讯的业务网口数据镜像到管理员连接的监控网口上,便于管理员对实时的网络流量进行监控分析。
1.防火墙配置内外网接口,保证内网用户可以通过防火墙访问互联网;
2.防火墙上启用网口镜像功能,将连接内网用户的内网口数据,镜像到管理员PC2所连接的接口;
3.内网用户PC1正常访问互联网。
在防火墙上连接管理员的接口以及管理员PC2上抓包查看,是否有内网用户访问互联网的数据镜像。
在防火墙连接管理员的接口以及管理员PC2上抓包查看,均有内网用户产生的数据报文。
网口镜像支持□不支持□
1.4.路由功能
1.4.1.静态路由
静态路由功能
考察防火墙产品是否支持静态路由功能
1.如图搭建好测试环境,配置PC1的网关地址为防火墙的G0接口地址;
配置PC2的网关地址为与其直接的路由器接口地址;
在路由器上配置路由;
2.在防火墙上配置应用防护规则,允许接口之间的通信;
3.在防火墙上配置静态路由,设置静态路由下一跳为图中的10.1.1.2;
4.从PC1PingPC2,应该可以Ping通。
防火墙支持静态路由,PC1可以Ping通PC2
1.4.2.默认路由(负载均衡)
负载均衡的默认路由
考察防火墙是否支持默认路由负载均衡。
1.防火墙设备上面配置接口IP,ETH1口为私网IP,ETH2和ETH3口分别为不同的公网IP、配置两条默认路由分别关联ETH2和ETH3接口、配置域名服务器;
2.在设备上面配置两条NAT规则(源地址转换)同时指定流出网口为ETH2和ETH3口;
或者配置一条NAT规则(伪装)添加源地址为内网主机IP或者该网段地址;
3.PC访问Internet的数据既可以走EHT2口也可以走ETH3口;
4.断掉ETH2或者ETH3线路设备可以正常通信。
无论断开ETH2、ETH3口,内网用户上网不会中断。
1.4.3.ISP路由
ISP路由测试
考察防火墙是否支持ISP路由
1.搭建好如上拓扑
2.在防火墙上导入电信、联通的ISP路由
3.通过PC客户端去访问Internet
能够上网,并且通过识别电信,联通的IP进行下一跳选择
1.4.4.OSPF动态路由
测试动态路由OSPF功能特性
1.FW1分别和FW2、CISCO、huawei路由器通过MD5认证建立OSPF邻居
2.FW1和FW2之间为区域0,FW1和CISCO、huawei为区域1
3.CISCO宣告20.20.20.0/24,huawei路由器宣告30.30.30.0/24
4.FW1重发布直连路由50.50.50.0/24
FW2发布缺省路由
1.FW1、FW2、CISCO、huawei能够通过OSPF认证学到全网的路由
2.FW1、CISCO、huawei能够学到下放的缺省路由
3.FW2、CISCO、huawei能够学到FW1重发布的直连路由
1.4.5.RIP动态路由
1.FW1和和cisco运行OSPF动态路由,FW和huawei路由器使用MD5认证运行RIP动态路由
2.FW1和FW2运行RIP动态路由
3.FW1将OSPF学到的路由重发布到RIP
FW1将RIP学到的路由重发布到OSPF
1.FW2能够通过RIP学到huawei路由器的路由条目
2.CISCO能够通过OSPF学到重发布过来的RIP路由
3.Huawei能够通过RIP学到重发布过来的OSPF路由
1.4.6.OSPFV3动态路由
IPV6OSPFV3
测试目的
检查防火墙IPV6OSPFV3单区域功能是否正常
1、防火墙一启用IPV6,FE2、FE3口均启用IPV6,分别配置IPV6地址2001:
410:
1:
:
/64、2001:
2:
/64(地址后64位以接口ID自动生成方式产生)
2、思科路由器R1启用IPV6,F0/0、F0/1口均启用IPV6,分别配置IPV6地址2001:
4:
3、防火墙二启用IPV6,FE2、FE3口均启用IPV6,分别配置IPV6地址2001:
3:
4、华为路由器R2启用IPV6,F0/0、F0/1口均启用IPV6,分别配置IPV6地址2001:
5、防火墙一启用OSPFV3,进程号为100,router-id为1.1.1.1,FE2、FE3口均参与运行OSPFV3;
思科路由器配置同防火墙,router-id为1.1.1.4;
华为路由器OSPFV3配置同上,router-id为1.1.1.2;
防火墙二OSPFV3配置同上,router-id为1.1.1.3
6、防火墙上IPV6包过滤规则默认全通,开启记录日志选项;
7、在防火墙一上进行Ping测试,ping防火墙二的FE3口全局单播地址,ping防火墙二的FE2口全局单播地址
8、在防火墙一命令行下查看IPV6路由,OSPFV3路由以及下一跳地址、出接口等信息
9、分别在思科路由器、华为路由器上查看IPV6路由,根据路由信息进行Ping测试
10、查看防火墙路由监控界面路由信息,以及防火墙记录的日志信息
1、步骤7,从防火墙一上发起的Ping测试通过
2、步骤9,思科、华为路由器上路由学习均正确,Ping测试通过
3、防火墙一和二上命令行方式以及界面路由监控方式查看IPV6路由均正确,且日志信息记录准确
1.4.7.RIPNG动态路由
IPV6RIPNG
检查防火墙IPV6RIPNG基本功能是否可用
1、防火墙一启用IPV6,启用RIPNG,在相应需要运行RIPNG的接口下运行RIPNG
2、防火墙二启用IPV6,启用RIPNG,在相应需要运行RIPNG的接口下运行RIPNG
3、路由器R1、R2同防火墙配置,启用IPV6,启用RIPNG
4、查看防火墙二上RIPNG邻居状态以及IPV6路由信息(界面以及命令行模式)
5、从防火墙二上访问路由器R1以及R2,ping测试
6、查看防火墙日志相关信息
1、防火墙上查看RIPNG邻居关系正常,IPV6路由信息正确
2、从防火墙上发起对R1、R2的访问测试通过
3、防火墙上日志信息记录正确
1.5.工作模式
1.5.1.透明模式
考察防火墙产品是否支持透明接入模式
1.如图搭建好测试环境,配置PC1和PC2位于同一网段;
2.配置防火墙产品于透明接入模式,配置应用防护规则允许PC1到PC2之间的通信;
3.从PC1PingPC2,应该可以Ping通;
4.在防火墙上配置应用防护规则,禁止PC1到PC2之间的通信;
5.从PC1PingPC2,不能够Ping通。
防火墙支持透明接入模式,在该模式下可
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 天清汉马 USG 防火墙 系列 测试 方案
![提示](https://static.bdocx.com/images/bang_tan.gif)