联想网御防火墙配置,联想网御防火墙NAT配置教程

题图来自Unsplash，基于CC0协议

导读

联想网御防火墙作为网络边界安全的第一道防线，其配置对于网络安全至关重要。以下是关于联想网御防火墙的一些常见配置方面的概述：

初始化配置： 这是一个任何防火墙部署或初次使用前都必须进行的步骤。它的主要目的是让防火墙设备能够接入网络并被管理。

1. 物理连接与电源： 确保防火墙硬件正常连接电源并通电。
2. 连接到管理终端： 通过串行console线连接到防火墙的控制台端口（通常用于初始设置），或者通过一个临时的以太网接口连接。
3. 基础网络配置：
   • 配置管理接口IP地址、子网掩码。
   • 配置默认网关。
   • (可选) 配置DNS服务器地址，便于后续使用域名。
   • (可选) 配置主机名。

配置方法： 联想网御防火墙通常提供两种主要的配置途径，各有优缺点和适用场景。

• Web管理界面：

  • 这是目前最常用且用户友好的配置方式。在完成基础网络配置（特别是获得了管理接口的可达性）后，通过浏览器访问防火墙的Web管理地址（通常是其管理接口IP），登录Web界面。
  • 根据不同的系列型号，Web界面的菜单结构和选项可能会有所差异。
  • 可以通过图形化界面配置安全策略、NAT、VPN、用户认证、日志审计、状态监控等。通常包含系统管理、安全策略、路由/静态路由、防火墙/区域定义、IP/MAC地址管理、用户管理、网络接口配置（除管理接口外的接口，如路由接口、互联接口、配置接口等，具体型号功能不同）、VPN等主要菜单。
  • 优点是方便快捷，易于操作。缺点是不适合进行大规模、复杂的配置或自动化操作。

• 命令行界面/CLI：

  • 这是进行深度配置、批量配置或高级配置的强大工具。通常需要通过Secure Shell (SSH)或Telnet（不推荐用于生产环境，因Telnet不安全）连接。
  • 提供了丰富的命令集，可以进行非常精确和自动化程度高的配置。配置进度不显示在屏幕上，需要仔细阅读帮助信息并验证命令语法。
  • 适用于需要对路由器进行详细性能调优或处理复杂网络环境的高级网络管理员。
  • 优点是灵活性和效率高。缺点是学习曲线较陡峭，且容易因输入错误导致配置异常。

安全策略配置： 安全策略是防火墙核心功能，决定哪些流量可以穿过防火墙。

1. 定义安全区域： 防火墙需要定义不同的接口属于哪个区域，如Trust（信任区域，通常连接内部网络）、Untrust（非信任区域，通常连接外部网络，如互联网）、DMZ（隔离区，如放置公网Web服务器）等。
2. 创建安全策略的“源”、“目的”、“服务/应用”、“时间段”：
   • 指定哪些用户、哪些IP地址段或安全区域是策略的源。
   • 指定哪些用户、哪些IP地址段或安全区域是策略的目的地。
   • 指定允许通过的服务或应用（如HTTP、HTTPS、FTP等，或基于端口号1701-1703的IPSec VPN）。
   • （可选）可以基于时间只允许策略在特定时段生效。
3. 应用策略： 将从区域到区域的策略应用到防火墙上，或者更精确地直接关联到安全区域间策略，然后对每个策略进行允许、拒绝或更详细的动作设置。

NAT配置教程： 网络地址转换是解决私有IP地址不足的有效手段。

• 目的： 将内部网络私有IP地址转换为一个（或一组）公共IP地址进行外部通信，或将外部访问映射到内部服务器的私有IP。
• 配置类型（通常可在Web界面或CLI中选择）：
  • 源NAT： 内部用户访问外部网络时，源IP地址被转换为NAT地址池中的地址。
  • NAPT (端口地址转换)： 源NAT的常见形式，不仅转换IP地址，还转换端口，允许多个内部用户共用同一个NAT地址。
  • 源端地址转换/回转： 外部返回到内部用户的流量根据NAT转换时使用的地址和端口信息进行反向映射。
  • 目的NAT： 外部用户访问内部服务器时，目的IP地址被转换为内部服务器的私有IP。
  • 源/目的端口NAT： 在标准NAT基础上额外转换端口。
  • NAT Server： 对内部服务器提供外部可访问的服务（通常用于DMZ服务器或内网Web服务器），防火墙对外公布一个公网地址，内部用户访问这个地址时，流量被转发到指定的内部IP和端口。

VPN配置详解： 虚拟专用网络用于在公共网络上建立安全的私有连接。

• IPSec VPN： 基于IP层的VPN协议，相对成熟稳定。
  • 配置元素： 包括Phase 1（IKE协商，定义双方身份、加密算法、验证方法、生命周期等）和Phase 2（IPSec隧道协商，定义保护哪些流量、使用的安全策略等）。
  • 需要配置本地IPSec提议、本地安全ACL、对端身份认证方式（如地址、FQDN或预共享密钥）、认证密钥、交换模式（主模式/野蛮模式）、IPSec隧道（本地和对端的网络安全ACL）。
  • 支持动态路由注入或静态路由。
• SSL VPN： 允许用户通过浏览器使用SSL加密通道进行访问，通常提供Web Agent服务，使得跳转类型和单跳VPN访问成为可能。
  • 此类VPN配置通常更容易被终端用户使用。

默认管理员账号密码：

• 重要提示： 请绝对不要使用介质（如硬盘、CF卡、安装盘）或文档中暗示的默认用户名和密码进行登录。这些信息在网上广泛传播，并且存在重置危险。
• 联想礼包通常在激活或注册阶段会设置默认管理员账号（如root， admin， 或根据型号不同），并设定了默认密码。
• 强烈建议： 在任何设备投入使用前，务必立即通过控制台或Web界面登录并修改默认管理员用户名和密码。使用强密码策略，确保密码的安全性。

恢复出厂设置： 当设备配置错误导致无法正常工作，或准备将防火墙转移给他人或送修前，可重置为出厂状态。

1. 恢复出厂设置通常有两种方式：
   • Web界面: (如果可访问的话) 通常在系统管理或高级设置中，存在一个"Factory Reset"或类似选项，点击执行后所有配置将丢失，数据将恢复到出厂状态。这通常是最大程度的恢复，但可能保留一些基本配置或错误。
   • 小键盘重置： 对于某些型号的联想礼包，可以通过按住小键盘上的特定组合键来触发硬件级别的恢复。这通常会清除NVRAM（包含大部分配置和路由信息），并将接口恢复到初始状态，同时可能清除静态路由表和系统默认路由。
2. 物理串口恢复： 一些型号还支持通过串口输入特定的恢复命令码来重置设备配置，这通常需要使用专业的串口通讯设置工具，并在设备初始化阶段进行。

通过以上步骤，您可以开始配置和管理联想网御防护墙设备，确保网络边界的网络安全性和可访问性。实际部署的详细程度和复杂性将取决于网络规模和安全需求。仔细阅读全文和进行充分的测试是成功部署的关键。