防火墙安装调试方案.doc

《防火墙安装调试方案.doc》由会员分享，可在线阅读，更多相关《防火墙安装调试方案.doc（15页珍藏版）》请在三一办公上搜索。

1、实施方案1、项目概况山东分公司所属河口、寿光、昌邑、羊口、即墨、楮岛、海阳风电场，每个风场两台，共计14台天气预报防火墙设备采购、运输、安装、调试及一年质保工作，用于满足自动化应用系统安全需求。2、服务范围、服务内容2.1 供货范围本工程的供货范围见表2-1所示。表2-1 供货需求一览表序号设备名称单位数量备注1防火墙设备套142其他安装附件2.2工作范围供货商的工作范围包括：a) 提供合同内所有硬件设备和软件，并保证系统完全符合最终技术规范的要求。 b) 提供所需的系统技术资料和文件，并对其正确性负责。c) 提供所有合同设备的备品备件和安装、维护所需的专门工具和试验仪器仪表（包括调整、测试和

2、校核）。d) 负责进行工厂验收，将设备运输（含搬运至指定位置）、安装在现场(设备机房)以及现场调试直至成功地投入运行。e) 负责提出设备对供电、接地、消防、运行环境及安装等要求。f) 负责完成与买方另外购买的其它设备接口连接调试工作。g) 负责现场勘察，与风场协调、确定设备安装位置，制定设备安装、调试计划。h) 负责编制试验、验收的计划报告。i) 在两年保修期内提供必要的保修服务，卖方应保证及时免费维修或更换任何并非有买方人员非正常操作而导致的缺陷或故障，并应提供限时到达现场的维修服务。j) 由我公司进行安装调试，并提供售后服务。k) 技术培训。l) 按合同要求为买方提供必要其它的服务。3、服

3、务依据、工作目标；3.1 服务依据信息技术设备的安全 GB49432001建筑物电子信息系统防雷技术规范GB50343-2004环境电磁卫生标准 GB5175-88电磁辐射防护规定 GB8702-88电气装置安装工程施工及验收规范 GB50254-96电气装置安装工程施工及验收规范 GB50255-963.2 工作目标本工程计划工期30日历天，质量执行国家现行验收标准及要求，达到合格标准，严格执行安全措施，达到安全零事故。4、服务机构设置、岗位职责4.1 服务机构设置*设立两个服务小组，随时调遣工作。机构包括服务主管、调度员、市场信息收集员、三包配件管理员、配件鉴定员等。下图为我公司的服务机构

4、架构图：4.2 岗位职责1、服务主管：a分管售后服务全面工作，根据公司实际情况完善售后服务体系及制定售后服务工作计划。b对售后服务人员进行监督和评审，确保公司的各类规章制度在所管理区域内得到落实。c解决售后服务纠纷及突发事件的处理工作。d安排销售部门或专职人员做好回访工作，保证质量。e受理客户投诉等客户关系维护与管理工作。f分析与整理售后服务反馈的资料、信息等整理后报主管领导并通知到相关部门。 g对员工进行售后服务规范的培训工作。h配合销售部门做好用户售前、售中、售后现场培训工作。 i完成上级领导临时交办的工作。2、调度员：a制定详细服务方案和配件投放计划。b综合管理与协调服务调度、现场督导、

5、三包鉴定、服务稽查、信息服务、三包配件管理与配送、用户进厂维修等各项工作。b服务车辆农忙期间及日常管理，包含服务区域、行驶路线、费用登记审核等。d负责外出服务人员需报销费用的审核。e对服务站及外派服务人员服务效果做综合评价，监督并督促提升服务质量。f调度各区域人员、整合车辆等各种服务资源进行现场抢修服务。g对疑难问题、重大问题及时进行汇报；h服务人员的服务效果评价和考核、服务补贴的兑现。i服务站日常管理及服务费的逐个审核、兑现。i完成上级领导临时交办的工作。（3）市场信息收集员：A根据用户报修电话记录对用户进行电话回访，对相关费用进行核查。b负责服务信息收集、重点质量问题统计。c实时了解市场服

6、务动态，搜集同行业产品服务和质量信息，为公司服务决策和产品质量提供信息支撑。d负责督促各销售区域回传用户档案，并对建立健全用户档案负责。e完成上级领导临时交办的工作。（4） 配件管理员职责：a负责各经销网点、外派服务队、驻点服务人员往来帐目的管理，以及三包配件日常业务的办理。b负责组织经公司、部门领导审批后的三包配件计划的发送。c负责三包配件的回收管理，部件往来帐目的核对。d在农忙季节，协助服务主管制定配件需求计划。e. 完成本部门领导临时安排的相关工作任务。f. 对所发三包配件的型号、数量、目的地等准确性负责。（5） 维修管理员职责：a负责售后维修中心场地管理与设备正常运转。b合理配备维修人

7、员。c确定维修方案，督促维修进度，监督维修质量。d完成上级领导临时交办的工作。（6） 鉴定员职责：a办理用户、服务人员、销售网点返厂三包旧件的鉴定退库。b对出现的质量问题进行统计汇总。（7）技术员岗位职责1) 精通计算机网络建设与开发、熟练网络安全技术、路由器、交换机等配置，对国家信息建设有较深认识，熟悉国家互联网法规及相关制度、办法。2) 有一定的职业敏锐度，能及时把握各种软硬件的市场行情及行业信息。5、拟投入人员、仪器设备；5.1 拟投入人员我单位将配备技术力量雄厚的施工团队为此项目服务。具体安排如下：序号职务数量1项目经理1人2技术负责人1人4技术员2人5.2 拟投入仪器设备序号机械或设

8、备名称规格数量国别产地制造年份1数字万用表MS82175中国20172兆欧表500V1中国20173剥线器K140-14中国20174线号标识机I.D.PRO1中国20175信号发生器541TG1中国20166示波器ST80011中国20167直流稳压电源JW-42中国20168接地电阻测试器ZC-81中国20169绝缘电阻测试器NF2511A1中国201610无线对讲机MOTOROLA2中国201711工程车国产1中国201612手提电脑SONY1中国2017注：在合同实施过程中，施工机械投入满足工程的实际需要。6、针对性工作方案6.1 拓扑图GE 0/0/1：10.10.10.1/24GE

9、 0/0/2：220.10.10.16/24GE 0/0/3：10.10.11.1/24WWW服务器：10.10.11.2/24（DMZ区域）FTP服务器：10.10.11.3/24（DMZ区域）6.2 Telnet配置配置VTY 的优先级为3，基于密码验证。# 进入系统视图。 system-view# 进入用户界面视图USG5300 user-interface vty 0 4# 设置用户界面能够访问的命令级别为level 3USG5300-ui-vty0-4 user privilege level 3配置Password验证 # 配置验证方式为Password验证USG5300-ui-v

10、ty0-4 authentication-mode password# 配置验证密码为lantianUSG5300-ui-vty0-4 set authentication password simple lantian #最新版本的命令是authentication-mode password cipher huawei123配置空闲断开连接时间# 设置超时为30分钟USG5300-ui-vty0-4 idle-timeout 30USG5300 firewall packet-filter default permit interzone untrust local direction i

11、nbound /不加这个从公网不能telnet防火墙。基于用户名和密码验证user-interface vty 0 4 authentication-mode aaaaaa local-user admin password cipher MQ;4B+4Z,YWX*NZ55OA! local-user admin service-type telnet local-user admin level 3firewall packet-filter default permit interzone untrust local direction inbound如果不开放trust域到local域的

12、缺省包过滤，那么从内网也不能telnet的防火墙，但是默认情况下已经开放了trust域到local域的缺省包过滤。6.3 地址配置内网：进入GigabitEthernet 0/0/1视图 USG5300 interface GigabitEthernet 0/0/1配置GigabitEthernet 0/0/1的IP地址 USG5300-GigabitEthernet0/0/1 ip address 10.10.10.1 255.255.255.0配置GigabitEthernet 0/0/1加入Trust区域USG5300 firewall zone trustUSG5300-zone-un

13、trust add interface GigabitEthernet 0/0/1USG5300-zone-untrust quit外网：进入GigabitEthernet 0/0/2视图 USG5300 interface GigabitEthernet 0/0/2配置GigabitEthernet 0/0/2的IP地址 USG5300-GigabitEthernet0/0/2 ip address 220.10.10.16 255.255.255.0配置GigabitEthernet 0/0/2加入Untrust区域USG5300 firewall zone untrustUSG5300-

14、zone-untrust add interface GigabitEthernet 0/0/2USG5300-zone-untrust quitDMZ：进入GigabitEthernet 0/0/3视图USG5300 interface GigabitEthernet 0/0/3配置GigabitEthernet 0/0/3的IP地址。 USG5300-GigabitEthernet0/0/3 ip address 10.10.11.1 255.255.255.0USG5300 firewall zone dmzUSG5300-zone-untrust add interface Gigab

15、itEthernet 0/0/3USG5300-zone-untrust quit6.4 防火墙策略本地策略是指与Local安全区域有关的域间安全策略，用于控制外界与设备本身的互访。域间安全策略就是指不同的区域之间的安全策略。域内安全策略就是指同一个安全区域之间的策略，缺省情况下，同一安全区域内的数据流都允许通过，域内安全策略没有Inbound和Outbound方向的区分。策略内按照policy的顺序进行匹配，如果policy 0匹配了，就不会检测policy 1了，和policy的ID大小没有关系，谁在前就先匹配谁。缺省情况下开放local域到其他任意安全区域的缺省包过滤，方便设备自身的对外

16、访问。其他接口都没有加安全区域，并且其他域间的缺省包过滤关闭。要想设备转发流量必须将接口加入安全区域，并配置域间安全策略或开放缺省包过滤。安全策略的匹配顺序：每条安全策略中包括匹配条件、控制动作和UTM等高级安全策略。匹配条件安全策略可以指定多种匹配条件，报文必须同时满足所有条件才会匹配上策略。比如如下策略policy 1policy service service-set dnspolicy destination 221.2.219.123 0policy source 192.168.10.1在这里policy service的端口53就是指的是221.2.219.123的53号端口，可

17、以说是目的地址的53号端口。域间可以应用多条安全策略，按照策略列表的顺序从上到下匹配。只要匹配到一条策略就不再继续匹配剩下的策略。如果安全策略不是以自动排序方式配置的，策略的优先级按照配置顺序进行排列，越先配置的策略，优先级越高，越先匹配报文。但是也可以手工调整策略之间的优先级。缺省情况下，安全策略就不是以自动排序方式。如果安全策略是以自动排序方式配置的，策略的优先级按照策略ID的大小进行排列，策略ID越小，优先级越高，越先匹配报文。此时，策略之间的优先级关系不可调整。policy create-mode auto-sort enable命令用来开启安全策略自动排序功能，默认是关闭的。如果没有

18、匹配到安全策略，将按缺省包过滤的动作进行处理，所以在配置具体安全策略时要注意与缺省包过滤的关系。例如安全策略中只允许某些报文通过但是没有关闭缺省包过滤，将造成那些没有匹配到安全策略的流量也会通过，就失去配置安全策略的意义了。同样，如果安全策略中只配置了需要拒绝的流量，其他流量都是允许通过的，这时需要开放缺省包过滤才能实现需求，否则会造成所有流量都不能通过。执行命令display this查看当前已有的安全策略，策略显示的顺序就是策略的匹配顺序，越前边的优先级越高执行命令policy move policy-id1 before | after policy-id2，调整策略优先级。UTM策略安

19、全策略中除了基本的包过滤功能，还可以引用IPS、AV、应用控制等UTM策略进行进一步的应用层检测。但前提是匹配到控制动作为permit的流量才能进行UTM处理，如果匹配到deny直接丢弃报文。安全策略的应用方向域间的Inbound和Outbound方向上都可以应用安全策略，需要根据会话的方向合理应用。因为USG是基于会话的安全策略，只对同一会话的首包检测，后续包直接按照首包的动作进行处理。所以对同一条会话来说只需要在首包的发起方向上，也就是访问发起的方向上应用安全策略。如上图所示，Trust域的PC访问Untrust域的Server，只需要在Trust到Untrust的Outbound方向上应

20、用安全策略允许PC访问Server即可，对于Server回应PC的应答报文会命中首包建立的会话而允许通过。6.4.1 Trust和Untrust域间：允许内网用户访问公网策略一般都是优先级高的在前，优先级低的在后。policy 1：允许源地址为10.10.10.0/24的网段的报文通过配置Trust和Untrust域间出方向的防火墙策略。 /如果不加policy source就是指any，如果不加policy destination目的地址就是指any。USG5300 policy interzone trust untrust outboundUSG5300-policy-interzone

21、-trust-untrust-outbound policy 1USG5300-policy-interzone-trust-untrust-outbound-1 policy source 10.10.10.0 0.0.0.255 USG5300-policy-interzone-trust-untrust-outbound-1 action permitUSG5300-policy-interzone-trust-untrust-outbound-1 quit如果是允许所有的内网地址上公网可以用以下命令：USG2100firewall packet-filter default permi

22、t interzone trust untrust direction outbound /必须添加这条命令，或者firewall packet-filter default permit all，但是这样不安全。否则内网不能访问公网。注意：由优先级高访问优先级低的区域用outbound，比如policy interzone trust untrust outbound。这时候policy source ip地址，就是指的优先级高的地址，即trust地址，destination地址就是指的untrust地址。只要是outbound，即使配置成policy interzone untrust t

23、rust outbound也会变成policy interzone trust untrust outbound。由优先级低的区域访问优先级高的区域用inbound，比如是policy interzone untrust trust inbound，为了保持优先级高的区域在前，优先级低的区域在后，命令会自动变成policy interzone trust untrust inbound，这时候policy source ip地址，就是指的优先级低的地址，即untrust地址，destination地址就是指的优先级高的地址，即trust地址。总结：outbount时，source地址为优先级高

24、的地址，destination地址为优先级低的地址。inbount时，source地址为优先级低的地址，destination地址为优先级高的地址配置完成后可以使用display policy interzone trust untrust来查看策略。6.4.2 DMZ和Untrust域间：从公网访问内部服务器policy 2：允许目的地址为10.10.11.2，目的端口为21的报文通过policy 3：允许目的地址为10.10.11.3，目的端口为8080的报文通过配置Untrust到DMZ域间入方向的防火墙策略，即从公网访问内网服务器只需要允许访问内网ip地址即可，不需要配置访问公网的ip

25、地址。注意：在域间策略里匹配的顺序和policy的数字没有关系，他是从前往后检查，如果前一个匹配就不检查下一条了，假如先写的policy 3后写的policy 2，那么就先执行policy 3里的语句，如果policy 3里和policy 2里有相同的地址，只要上一个匹配了就不执行下一个一样的地址了。举例说明：policy 2里允许192.168.0.1通过，policy 3里拒绝192.168.0.1通过，哪个policy先写的就执行哪个。USG5300 policy interzone untrust dmz inboundUSG5300-policy-interzone-dmz-untr

26、ust-inbound policy 2USG5300-policy-interzone-dmz-untrust-inbound-2 policy destination 10.10.11.3 0USG5300-policy-interzone-dmz-untrust-inbound-2 policy service service-set ftpUSG5300-policy-interzone-dmz-untrust-inbound-2 action permitUSG5300-policy-interzone-dmz-untrust-inbound-2 quitUSG5300-policy

27、-interzone-dmz-untrust-inbound policy 3USG5300-policy-interzone-dmz-untrust-inbound-3 policy destination 10.10.11.2 0USG5300-policy-interzone-dmz-untrust-inbound-3 policy service service-set httpUSG5300-policy-interzone-dmz-untrust-inbound-3 action permitUSG5300-policy-interzone-dmz-untrust-inbound-

28、3 quitUSG5300-policy-interzone-dmz-untrust-inbound quit应用FTP的NAT ALG功能。USG5300 firewall interzone dmz untrust #优先级高的区域在前USG5300-interzone-dmz-untrust detect ftpUSG5300-interzone-dmz-untrust quit在USG5300支持FTP、HTTP、H.323、HWCC、ICQ、MSN、PPTP、QQ、RTSP、SIP、MGCP、SQL.NET、NETBIOS、MMS等协议的会话时，需要在域间启动ALG功能配置NAT A

29、LG功能与配置应用层包过滤（ASPF）功能使用的是同一条命令。所以如果已经在域间配置过ASPF功能的话，可以不需要再重复配置NAT ALG功能。两者的区别在于：l ASPF功能的目的是识别多通道协议，并自动为其开放相应的包过滤策略。 l NAT ALG功能的目的是识别多通道协议，并自动转换报文载荷中的IP地址和端口信息。在域间执行detect命令，将同时开启两个功能。配置内部服务器： system-viewUSG5300 nat server protocol tcp global 220.10.10.16 8080 inside 10.10.11.2 wwwUSG5300 nat serve

30、r protocol tcp global 220.10.10.17 ftp inside 10.10.11.3 ftp6.4.3 NAT策略Trust和Untrust域间： 如果是同一个区域，比如trust到trust就是域内。基于源IP地址转换方向Outbound方向：数据包从高安全级别流向低安全级别Inbound方向：数据包从低安全级别流向高安全级别高优先级与低优先级是相对的根据基于源IP地址端口是否转换分为no-pat方式和napt方式。No-PAT方式：用于一对一IP地址转换，不涉及端口转换NAPT方式：用于多对一或多对多IP地址转换，涉及端口转换1、通过地址池的方式policy 1

31、：允许网段为10.10.10.0/24的内网用户访问Internet时进行源地址转换,采用公网地址池的形式。配置地址池USG5300nat address-group 1 220.10.10.16 220.10.10.20配置Trust和Untrust域间出方向的策略USG5300 nat-policy interzone trust untrust outboundUSG5300-policy-interzone-trust-untrust-outbound policy 1USG5300- nat-policy -interzone-trust-untrust-outbound-1 pol

32、icy source 10.10.10.0 0.0.0.255USG5300- nat-policy -interzone-trust-untrust-outbound-1 action source-natUSG5300- nat -policy-interzone-trust-untrust-outbound-1 address-group 1 no pat如果是基于外网接口的nat转换可以不用配置地址池，直接在nat-policy interzone trust untrust outbound里配置eary-ip 外网接口这里的policy source指的是trust地址，nat转换

33、成untrust地址，如果是nat-policy interzone trust untrust inbound，源地址就是指untrust地址，转换成trust地址。2、通过公网接口的方式创建Trust区域和Untrust区域之间的NAT策略，确定进行NAT转换的源地址范围192.168.1.0/24网段，并且将其与外网接口GigabitEthernet 0/0/4进行绑定。USG nat-policy interzone trust untrust outboundUSG-nat-policy-interzone-trust-untrust-outbound policy 0USG-nat

34、-policy-interzone-trust-untrust-outbound-0 policy source 192.168.1.0 0.0.0.255USG-nat-policy-interzone-trust-untrust-outbound-0 action source-natUSG-nat-policy-interzone-trust-untrust-outbound-0 easy-ip GigabitEthernet 0/0/4 USG-nat-policy-interzone-trust-untrust-outbound-0 quit3、直接在接口启用nat如果是针对内网用户上公网做nat，需要在内网接口使用USG-GigabitEthernet0/0/0nat enable