深信服M5100AC管理手册复习过程.docx
- 文档编号:24342894
- 上传时间:2023-05-26
- 格式:DOCX
- 页数:38
- 大小:33.59KB
深信服M5100AC管理手册复习过程.docx
《深信服M5100AC管理手册复习过程.docx》由会员分享,可在线阅读,更多相关《深信服M5100AC管理手册复习过程.docx(38页珍藏版)》请在冰豆网上搜索。
深信服M5100AC管理手册复习过程
系统配置
网关运行模式配置
[网关运行模式配置]用于设定ac硬件网关的工作模式,可把ac硬件网关设定为,路由模式,透明模式,网桥模式和旁路模式。
设置界面如下:
选择[路由模式],[透明模式],[网桥模式],[旁路模式]。
点击[设置生效]保存配置,然后ac硬件网关会自动重启,[确定]。
重启后,ac硬件网关的运行模式即改变生效。
a.路由模式
[路由模式]是把ac硬件网关作为一个路由设备使用,一般是把ac硬件设备放在内网网关出口的位置,代理局域网上网;或者把ac硬件设备放在路由器后面,再代理局域网上网。
如下图所示:
1.ac硬件网关工作在路由模式时,局域网内电脑的网关都是指向ac硬件网关的lan口ip或指向三层交换机,三层交换机的网关再指向ac。
上网数据由ac硬件网关做nat或路由转发除去。
2.wan、lan应设置不同网段的ip。
3.如果wan2口没有被使用,可以把wan2自定义成一个lan2或dmz2。
4.lan口配置802.1q-vlan地址后,lan口可以接支持vlan的2层交换机的trunk口,ac可以在vlan间转发数据(单臂路由),并可做lan[-]lan方向的防火墙规则,即可以控制不同vlan-id之间的访问控制。
b.透明模式
透明模式是把ac硬件网关视为一条带过滤功能的网线使用,一般在不方便更改原有网络拓扑结构的情况下启用。
把ac硬件网关接在原有网关及内网用户之间,在原网关及内网用户不需做任何配置改变的情况下,对ac硬件进行一些配置即可使用。
对原网关及内网用户而言,亦不知ac硬件网关的存在,即所谓对原网关及内网用户透明。
如下图所示:
1.ac硬件网关工作在透明模式时,局域网内电脑的网关都不需要改变,保留指向原有网关即可(即指向前置设备的内网接口ip)。
2.ac硬件网关工作在透明模式时,必须为ac硬件网关的wan、lan设置同一网段的ip,ac硬件设备的网关指向原有网关(即指向前置设备的内网接口ip)。
3.ac硬件网关工作在透明模式时,必须保证原有网关及内网用户间只有唯一的物理线路连接,且ac硬件网关正是串接在这条唯一的物理线路连接上。
即不能存在内网用户可[绕过]ac硬件设备,到达原有网关的物理线路。
4.ac硬件网关工作在透明模式时,ac硬件网关的wan2和dmz口不起作用,亦不能配置。
只有wan1和lan1是可用的。
且要保证wan1口接前置的路由设备,lan口接内网的交换机,不能接反。
5.ac硬件网关的透明模式是在网络层(osi第三层)上实现的透明,是通过arp欺骗技术实现的,可能会影响内网某些基于数据链路层(osi第二层)或基于mac地址的应用,请慎重启用ac硬件网关的透明模式功能。
例如原有网关不能启用ip/mac绑定及dhcp等需要第二层数据穿透的功能。
6.在透明模式不要启用nat功能。
7.在透明模式下ac本机的ip-mac绑定和vpn功能可用。
8.不要把设备的wan1口和lan接到同个交换机,这会在内网引起arp欺骗,导致通讯异常。
9.有前置设备情况下,启用网关杀毒、邮件过滤等功能,或ac需要自动升级url等内置库时,需要正确设置前置设备规则(防火墙、路由等),保证ac设备可访问外网。
10.一般不建议把设备切换到透明模式,因为透明模式只能穿透网络层的数据,需要穿透数据链路层数据的应用在此模式下没法正常工作。
一般只在需要这种网络部署又要用到vpn功能时才启用透明模式,否者强烈建议使用网桥模式。
如需要用vpn的情况下,建议使用路由模式。
c.网桥模式
网桥模式和透明模式类似,是把ac硬件网关视为一条带过滤功能的网线使用,一般在不方便更改原有网络拓扑结构的情况下启用。
把ac硬件网关接在原有网关及内网用户之间,在原网关及内网用户不需做任何配置改变的情况下,对ac硬件进行一些配置即可使用。
对原网关及内网用户而言,亦不知ac硬件网关的存在,即所谓对原网关及内网用户透明。
网桥模式和透明模式的主要区别是,网桥模式是可以穿透数据链路层的数据,对用户做到完全透明。
一般在这种网络拓扑下强烈建议用网桥模式。
如下图所示:
配置界面如下图所示:
1.ac硬件网关工作在网桥模式时,局域网内电脑的网关都不需要改变,保留指向原有网关即可(即指向前置设备的内网接口ip)。
2.ac硬件网关工作在网桥模式时,wan口和lan口桥接起来了。
wan和lan口处于同一个交换域内,相当于交换机的两个接口。
wan口和lan口的ip不可配置。
网桥模式下内外网接口配置在配置界面上也隐藏起来了。
设备可配置一个网桥ip(此为设备的一个虚ip),用于设备本身的上网或把设备的日志同步到数据中心,要保证有路由到达公网或数据中心的电脑。
3.ac硬件网关工作在网桥模式时,必须保证原有网关及内网用户间只有唯一的物理线路连接,且ac硬件网关正是串接在这条唯一的物理线路连接上。
即不能存在内网用户可绕过ac硬件设备,到达原有网关的物理线路。
4.ac硬件网关工作在网桥模式时,ac硬件网关的wan2不起作用,亦不能配置,dmz口可配置一个管理ip。
穿透数据时只有wan1和lan1是可用的。
且要保证wan1口接前置的路由设备,lan口接内网的交换机,不能接反。
5.ac硬件网关的网桥模式是在数据链路层(osi第二层)上实现的透明,是通过把ac的wan1口和lan口桥接实现的。
数据链路层及以上各层的数据均可穿透。
原有网关启用ip/mac绑定及dhcp等需要第二层数据穿透的功能能正常使用。
6.在网桥模式不要启用nat功能。
7.在网桥模式下ac本机的ip-mac绑定和vpn功能不可用。
8.不要把设备的wan1口和lan接到同个交换机,这相当于把一根网线接到交换机的两个口,会引起二层上的环路,导致通讯异常。
9.如启用杀毒、邮件过滤等功能或要让设备能够自动升级url库,内容检测,病毒库等,则须配置需设置网桥ip,默认网关和dns,并保证ac本身访问外网(可通过升级控制台工具ping测试)。
10.如启用web认证、准入规则或其他需要重定向到ac网关上的功能,同时内网有多网段时,须添加到内网非直连网段的路由指向内网路由设备。
11.如果二层交换机上的pc有多个网段(非vlan),网关上也有多个网段的ip。
ac如启用杀毒,邮件过滤,准入规则和web认证等需要重定向到ac上的功能时要把这几个网段的ip也配置到[网桥模式]多ip绑定]里。
否则可不配置。
12.网桥模式时,ac网桥支持vlantrunk穿透,网桥的ip地址支持802.1q-vlan的地址。
即ac网关可以透明接在vlantrunk的主干道上。
点击[网关模式设置\vlan设置]可以设置网桥模式支持vlantrunk。
弹出如下的vlan设置对话框:
在这里可以勾选[启用vlan],添加vlanid与ip地址之间的对应关系。
如启用杀毒,邮件过滤,准入规则和web认证等需要重定向到ac上的功能时才需要配置这个ip,否则不配置vlanip也可以。
d.旁路模式
旁路模式实现监控控制的功能的同时,可以完全不需改变用户的网络环境,并且可以避免ac对用户网络造成中断的风险。
用于把ac接在交换机的镜像口或者接着hub上,对最整个局域网进行旁路模式的监控与控制。
这种模式对用户的网络环境完全没有影响,即使down机也不会对用户的网络造成中断。
网络拓扑如下图所示:
在[网关运行模式]里面可以把ac设置为旁路模式运行,如下图所示:
左边为管理网口(dmz口)的ip地址配置,要使能用控制台或者升级系统连接ac进行管理,必须正确设置该网口的ip地址和网关,并且网线要接着dmz口上。
右边为要监控的网段和排除的网段列表。
由于旁路时只需一根网线把ac的lan口或wan1口接在hub或者交换机的镜像口上,ac并不知道哪些属于内网外网的地址,因此在[监控网段列表]里面出现的地址,ac就认为是内网地址进行记录,不在该列表的地址则不记录。
[排除地址列表]主要是当一个地址本来属于[监控网段列表]里面的地址,但是又想把该地址不记录,此时就需要该地址输入到[排除地址列表]里面,即[排除地址列表]里面的地址不做记录。
这里划分内网外网主要是只有数据是内网外网之间的交换数据时,才会进行监控记录,而内网之间的数据交换不会记录。
要想记录内网自己交换的数据,必须勾上复选框[监控内网自己传输的数据]。
1.用户必须使用hub或者交换机具有镜像口的情况。
如果交换机没有镜像口,可以在交换机前加接hub实现。
2.旁路模式下,流量显示,会话连接数功能不起作用。
3.旁路模式下,ipmac认证无效。
4.旁路模式下,监控内网之间的数据的时,会把一个tcp连接的数据的回包也记录下来,比如a访问b的80端口,网络监控日志里不光有a到b80端口的数据,也会有b到a的一个随机端口的数据。
5.旁路模式下,使用代理,要在旁路上绑定和代理网段同一网段的ip地址(或者有路由能够到达此ip),使其发送的reset包能都被pc和代理服务器收到。
(发reset包给代理服务器)
6.旁路模式的很多路由模式下的功能没有实现,比如vpn、dhcp和准入规则等。
7.旁路模式主要起监控的作用,限制的功能没有路由模式和网桥模式那么全面。
只能对tcp的连接进行限制,比如url过滤,关键字过滤,邮件过滤等。
对udp的没法限制,比如p2p软件,qq的登录等。
内网接口配置
[内网接口配置]用来设定每个内部网络接口网卡的ip地址,掩码等基本网络属性。
分为lan,dmz两种接口。
[lan接口]:
这是防火墙要保护的区域,包括全部的内部网络设备及用户主机。
这个区域是防火墙的可信区域。
[dmz(非军事区)接口]:
它是从企业内部网络中划分的一个小区域,在其中就包括内部网络中用于公众服务的外部服务器,如web服务器、邮件服务器、ftp服务器、外部dns服务器等,它们都是为互联网提供某种信息服务。
防火墙将该区域的服务开放给wan的同时还提供对该区域的攻击保护。
设置界面如下图所示:
根据需要,在[lan接口]及[dmz接口]设置ac硬件网关lan、dmz口所需的ip地址及掩码,再点[设置生效]保存配置即可。
(dmz口不使用时,则可保留原有配置不动)如有需要,可点击[多ip绑定]可为ac硬件网关的lan口绑定多个ip,界面如下:
单击[增加]出现如下界面:
如内网的交换机跟ac直接相连的接口启用了trunk,则可在lan配上各个vlan的ip还有vlanid。
单击[vlan设置]按钮,把各个vlan的ip和vlanid都增加到设备上,界面如下:
单击[增加],出现下图:
lan口配置802.1q-vlan地址后,lan口可以接支持vlan的2层交换机的trunk口,ac可以在vlan间转发数据(单臂路由),并可做lan[-]lan方向的防火墙规则,即可以制不同vlan-id之间的访问控制。
可用于兼容vlan(802.1q)下的网络环境。
[内网接口配置]中还需要选定vpn所包含的网络,即哪部分内网需要被vpn对端用户访问。
如果仅需将lan区加入到vpn网络,则将[dlan的内网接口]勾选选为[lan接口];如果也需要将dmz接口加入到vpn网络,则许再勾选[dmz接口]为[dlan的内网接口],并设置相应内网的[子网掩码]信息。
[dlan的子网掩码]一般要求和内网子网掩码一致,如果lan中还有其他vlan或ddn网络,而又不方便设置多子网,可以修改dlan的子网掩码,将这些网络也包进来。
如果重新设定了lan口或dmz口,会导致网络中断,设备重启,请重新登录。
外网接口配置
在[外网接口配置]中设置外网线路的上网方式,包括wan1和wan2接口等。
如下图:
先选择[线路],然后设定[线路类型],包括[以太网]、[拨号(adsl)]两种方式。
选择[以太网]方式,则需设定ip地址、掩码、网关、dns等信息,根据实际情况,或isp所提供的ip地址信息进行设置。
点击[多ip绑定]可为ac硬件网关设备的wan口绑定多个公网ip,如下图所示:
单击[增加]出现下图:
如果是adsl上网,[线路类型]选[拨号],在设置界面填写完[用户名]和[密码]信息后,注意勾上[自动拨号],配置完毕点[确定]保存设置,设备会重启,重新登录后点击[开始拨号],则以后设备在断线后[自动重拨]了。
如下图:
ac硬件网关设备支持多线路时,则设置完[线路1]后,选择其它线路继续设置。
点击[高级配置]按钮可配置拨号属性,建议值入下图:
单击[线路属性]可设置线路的上下行带宽。
入下图所示:
1.线路属性用于qos判断线路带宽的依据,请按实际情况填写。
2.用户只需填入上下行带宽,其他值请在深信服客服部门指导下修改。
分配策略:
适用于多线路版本,可选择带宽在线路上的分配策略。
点击[分配策略]按钮,出现以下对话框,此处是设定整个设备对外网线路选择的策略,每个选项的详细介绍可以参照对话框上的帮助提示。
网关运行状态
[网关运行状态]用来查看网关的工作状态。
可以查看[cpu的使用率],[外网ip地址],[网络流量]等,还可以设定是否[允许远程维护]。
如果勾选[允许远程维护],那么可以通过internet登录ac硬件硬件网关进行设置,点[设置生效]即可。
[允许网关自动更新]用于网关设备的自动更新。
如果外网线路是通过前置设备共享上网的,则[允许远程维护]后,需要在前置上网设备做控制台管理端口tcp1970的端口映射及开放防火墙规则。
限制IP登录
[限制ip登录]用于设定能登录ac硬件网关的内、外网ip,以限制非法用户从不被授权的ip地址来登录ac硬件网关。
设置界面如下所示:
勾选右下角的[启用]即可激活[限制ip登录]功能,点击[新建]按钮,输入[能登录ac硬件网关的机器ip],[确定]并[设置生效]即可。
如果启用[限制ip登录],则在设置[能登录网关的机器ip]时,必须确保该ip合法有效,且应该记住这些ip,否则[限制ip登录]功能生效后,不在该ip范围内的ip都不能登录。
路由设置
系统路由设置
sinforac硬件网关提供的[系统路由设置]功能,类似于windows系统自带的路由功能,具体设置的路由只对ac硬件网关自身生效。
设置界面见下图:
点击[新建]按钮,出现下图:
[系统路由设置]主要用于实现两种功能:
1.代理多网段上网时添加回包路由
2.设备单臂工作时添加默认路由
3.对于内部机器上网分流路由和vpn内部进行多子网路由时要在[vpn配置/路由设置]内添加。
a.代理多网段上网时添加回包路由
当企业内网有多个网段,且这些内网网段都想通过sinforac硬件网关共享上网时,需要添加[系统路由],以实现把不同网段电脑的数据包,ac硬件网关都能把数据包回给正确的内网交换路由设备。
举例设置如下:
公司内网有两个网段192.168.1.x和192.168.2.x,两个网段通过三层交换机互连互通,各网段内电脑网关指向三层交换机各自网段的网关192.168.x.254,ac硬件网关的lan口ip为192.168.1.1,放在192.168.1.x网段,并配置wan口连接internet。
现192.168.1.x和192.168.2.x网段都想通过ac硬件网关作为公网出口,共享上网。
由于192.168.2.x网段和ac硬件网关的lan口(192.168.1.1)不在同一网段,则ac硬件网关需要添加[系统路由],以把192.168.2.x的数据包发回给内网三层交换机192.168.1.254来处理,最终才能回到192.168.2.x网段的电脑上。
配置如下:
a、添加多个[代理网段]:
包括192.168.1.0/24和192.168.2.0/24。
(具体设置参照[防火墙/nat规则设置/代理网段配置]。
)
b、添加[系统路由]:
192.168.2.0/24-》192.168.1.254,配置见下图,
b.设备单臂工作时添加默认路由
某些特殊的情况下,需要让设备单臂工作。
所谓单臂工作是指设备wan口不使用,只在lan口接线来工作。
此时由于wan口不工作,wan口不能配置网关,而lan口设置也配置不了网关,所以,必须通过[系统路由设置]来添加一条默认路由。
该默认路由为:
0.0.0.0/0-》gateway,配置如下图:
策略路由设置
sinforac硬件网关提供的[策略路由设置]功能,主要用于ac硬件网关具有多条外网线路时,根据源/目的ip、源/目的端口、协议等条件,设定基于某些策略的路由,以确定从哪条外网线路作为外网出口,实现[手动选路]功能。
设置界面见下图:
点击[新建]按钮,出现[策略路由新建/修改]对话框如下:
[规则名称]可随便填写需要的文字。
[源ip]和[目的ip]填写策略路由匹配数据包时所需的源ip、目的ip。
支持四种方式设定源/目的ip:
单个ip、ip范围、子网、所有。
[协议]选择数据包的协议,可选择为tcp、udp、icmp和other。
[协议]选择tcp/udp时,需要在下面设定[源/目标端口];选择other时,需要设定[协议号]。
[源端口]和[目标端口]填写策略路由匹配数据包时所需的源端口、目的端口。
[目标线路]选择当匹配上面策略路由条件时,选择哪条线路作为外网出口发送数据包。
例如:
ac硬件网关有两条外网线路,线路1为电信线路,线路2为网通线路,想实现上网[分流]时,可设定类似的[策略路由]规则,见下图:
这里假设网通的地址段都在221.199.32.0/20,所以设定[目标ip]为221.199.32.0/20,[目标端口]为80时,数据包都走[目标线路]为线路2的策略路由。
通过[上移]和[下移]按钮可调节路由的匹配顺序,相同条件的路由,在上面的优先匹配。
1.如指定的目标线路不可用,ac会自动把数据切换到可用线路上。
2.如需要网通路由表,可联系深信服科技客服部门。
取得路由表后,单击[导入],选择[二进制文件],单击[确定],选择文件导入即可,如下图示:
防火墙设置
NAT规则设置
[nat规则设置]包括[代理网段设置]和[端口映射设置]两个部分。
如下图:
a.代理网段设置
[代理网段设置]是用来设置防火墙代理局域网上网的网段,即:
snat(源地址转换)规则。
在此我们可以添加需要ac硬件网关代理上网的网段,缺省状态下该设置不包含代理网段信息,要手动添加。
代理上网规则,如下图所示:
例如:
要建立一条代理局域内所有人上网的规则,假设局域网ip地址为:
192.100.100.0/255.255.255.0,那么我们步骤如下:
点击[新建],出现[新建snat规则]对话框,为代理网段取一个[名称],可随便填写,只做标识用。
选择好[网口],即输出网口或直接勾选[应用于所有wan口],即输出到所有可用的外网接口。
填写[转换条件--源ip地址],即要代理上网的网段,在这里我们填写192.100.100.0,[子网掩码]:
255.255.255.0。
[转换条件—目标ip]一般留空,代表所有的公网ip,只在要指定到某段目的ip走某条线路等特殊应用时才填写这项。
[转换条件--协议]一般也留空,代表所有的协议,只在要指定到某些协议走某条线路等特殊应用时才填写这项。
[转换源ip地址为]一般是勾选[使用接口地址]即可,如要指定转换为接口的某个ip,可直接填写该ip。
最后点击[确定],并[设置生效]即可。
如下图所示:
请开放lan-]wan的相关防火墙规则。
b.端口映射设置
有时在局域网内有服务器需要向internet提供服务,那么就需要在网关上做[端口映射设置]。
sinforac硬件网关也提供了这样的功能。
设置界面如下:
例如,现在内网有一台ip为192.100.100.61的电脑要对外网提供web服务,所使用的端口为80,那么我们的步骤为:
1:
在[端口映射设置]中[新建]一条映射规则。
[名称]可随便填写,便于标识为原则。
[网络接口]指输入的网口。
[转换条件--源ip地址]一般留空,指来自公网的所有ip。
[转换条件--目标ip地址]为要映射的公网ip,如果外网接口的ip是动态(adsl)的或想使用wan1口的ip,可直接勾选[使用接口地址]。
[转换条件--协议],[协议]:
tcp,[源端口]:
所有,[目标端口]:
80到80。
[转换目标ip为]:
192.100.100.61,[转换目标端口为]:
80到80。
最后确定并设置生效就行了。
见下图:
1.如果不勾选[转换条件--协议]即对该ip进行全部映射,全部映射是在wan口绑定有多个ip时才能使用,一般情况下不能启用。
2.在[防火墙规则设置/wan﹤=﹥lan]中[新增]一条允许从任意外网ip访问本地ip192.100.100.61的80端口的放行规则。
见下图:
防火墙规则设置
[防火墙规则设置]是防火墙中对数据包访问进行具体设置的地方,ac硬件网关提供lan[=]d
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 深信 M5100AC 管理 手册 复习 过程