Fortinet FortiBridge 1000 Bedienungsanleitung

FortiGate ! 1000 Installation ! and Configuration ! Guide Esc Enter INTERNAL EXTERNAL 1 2 3 4 / HA FortiG ate 用户手册 第一卷 2.50 版 2003 年 7 月 21 日 安装和配置指南 FortiGate-1000[...]

© Copyrig ht 2003 美国飞塔有限公司版权所有 。 本手册中所包含 的任何文字、例子、图 表和插图，未经美国 飞塔有限公司的 许可，不得因任 何用途以电子、机械、 人工、光学或其它任 何手段翻印、传 播或发布。 For tiGate- 1000 安装和配置指南 2.50 版 2003 年 7 月 21 ?[...]

目录 Fort iGate-1 000 安装和配置指南 iii 目 录 简介 ................................... ................................ 1 防病毒保护 ........... ........ ........ ......... ........ ......... ........ ...... 1 Web 内容过滤 ...... ........ ......... ........ ......... ........ ........ ......... 2 电子邮件过滤 ..........[...]

目录 iv 美国飞塔有限公司 FortiGa te 出厂默认设置 ............. ........ ......... ........ ........ ........ 20 出厂默认的 NAT/ 路由模式的网络配置 .............. ........ ......... ........ .. 20 出厂默认的透明模式 的网络设置 .......... ......... ........ ......... ........ .. 21 出厂时默认的防火?[...]

目录 Fort iGate-1 000 安装和配置指南 v 使用安装 向 导 ........... ......... ........ ......... ........ ......... ........ .. 45 切 换到透明模式 ............. ........ ......... ........ ......... ........ ..... 46 启动安装 向 导 ......... ......... ........ ......... ........ ......... ........ .. 46 重 连接到 基?[...]

目录 vi 美国飞塔有限公司 管理 HA 组 ......... ........ ......... ........ ......... ........ ........ ........ 6 6 查看 HA 簇成员状态 ............. ........ ......... ........ ......... ........ .. 67 监视簇成员 ........... ......... ........ ......... ........ ......... ........ .. 67 监视簇 会 话 ........... ........[...]

目录 Fort iGate-1 000 安装和配置指南 vii 病毒和 攻击 定 义升级 及注册 ............................ .................. 93 病毒防护定 义 和 攻击 定 义 更新 .............. ......... ........ ......... ........ .. 93 连接到 Forti 响应 发布网络 ...... ........ ......... ........ ......... ........ .. 94 配置 [...]

目录 viii 美国飞塔有限公司 配置虚拟 局域 网（ VLAN ） .... ......... ........ ......... ........ ........ ....... 115 VLAN 网络配置 ...... ........ ........ ......... ........ ......... ........ .... 115 添加 VLAN 子网络接口 ........ ........ ......... ........ ......... ........ .... 116 配置路由 .......... ......[...]

目录 Fort iGate-1 000 安装和配置指南 ix 防火墙配置 ............................. .............................. 141 默认防火墙配置 ............ ......... ........ ......... ........ ........ ....... 142 接口 ......... ........ ......... ........ ......... ........ ......... ........ . 142 VLAN 子接口 .. ........ ......... [...]

目录 x 美国飞塔有限公司 内容配置文件 ........... ......... ........ ......... ........ ......... ........ . 167 默认的内容配置文件 ............ ........ ......... ........ ......... ........ . 168 添加 一个内容配置文 件 ....... ........ ......... ........ ......... ........ .... 168 将内容配置文件 添加 ?[...]

目录 Fort iGate-1 000 安装和配置指南 xi VPN 监视 和问 题解答 ........... ........ ......... ........ ......... ........ .... 200 查看 VPN 通道状态 ........... ........ ......... ........ ......... ........ .... 200 查看拨 号 VPN 连接的 状态 ........... ........ ......... ........ ........ ....... 201 测 试 VPN .....[...]

目录 xii 美国飞塔有限公司 隔离 ........ ......... ........ ........ ......... ........ ......... ........ .... 230 隔离被感染 的文件 ........ ......... ........ ......... ........ ........ ....... 231 隔离被阻塞 的文件 ........ ......... ........ ......... ........ ........ ....... 231 查看隔离 列表 ......... .....[...]

目录 Fort iGate-1 000 安装和配置指南 xiii 配置 通讯 日志 ...... ........ ......... ........ ......... ........ ........ ....... 253 启用 通讯 日志 .... ........ ......... ........ ......... ........ ........ ....... 254 配置 通讯 过滤设置 ........ ......... ........ ......... ........ ........ ....... 254 添加通讯 ?[...]

目录 xiv 美国飞塔有限公司[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 1 简介 FortiGa te 防病毒防火墙支 持 应 用 层 服务的基于网络 的部 署 ，包 括 防病毒保护和全 内容扫描过滤。 FortiGate 防病毒防火墙 增强了 网络 的安全性， 避免了 网络 资源 的误用 和 滥 用，可以[...]

2 美国飞塔有限公司 Web 内容过滤 简介 如果 FortiGat e 设备内配有 硬盘 ， 可以将 被感染 或 被阻 塞 的文件 隔离 。 FortiGate 管理 员 可以 下载被隔离 的文件， 然 后对 它们 进 行病毒扫描， 杀 毒， 再 将它们发送 给原 来 的接 收 者。您 也 可以将 FortiGate 设备配置 [...]

简介 防火墙 Fort iGate-1 000 安装和配置指南 3 防火墙 ICSA 认证的 Fo rtiGate 防火墙可以在 互联 网 这 个 充满敌 意的 环境 中保护您的电 脑 网络。 ISCA 已 对 FortiGa te 防火墙 4.0 版本 授予 了 证 书 ， 确 保 了 FortiG ates 可以 成功 保护 企业 网络不 受来 自公 共 或其它非?[...]

4 美国飞塔有限公司 网络入侵检测系统 （ NIDS ） 简介 网络入侵检测系 统 （ NIDS ） FortiGa te 网络入侵 侦 测系 统 (NIDS) 是 一 种实 时网络入侵 探 测 器 ，它能 对 外 界 各 种 可 疑 的网络 活 动 进 行 识别 及 采 取行动。 NIDS 通 过 攻击 特 征 来识别 超 过 1000 种 的[...]

简介 高可用性 Fort iGate-1 000 安装和配置指南 5 高可用性 高可用性 (HA) 提 供 两 个或多个 FortiGat e 之 间 的 失效恢复 机 制 。 Fortinet 通 过 冗余硬 件 实 现 HA 功 能， 匹 配在 NAT/ 路由模式 运 行 下 的 FortiGate 。您可以将 FortiGa tes 配置 为主 动 - 被 动 (A-P) 模式 或 主 [...]

6 美国飞塔有限公司 安全安装、配置、管理 简介 图 1: FortiG ate 基于 We b 的管理程序 和设置 向 导 命令行接口 （ CLI ） 您可以将管理 员计 算 机的 串 行 通讯 接口连接到 FortiGate 的 RS-23 2 串 行 控制 台 接 口 上 ，从 而 访问 Forti Gate 命令行 控制界面 （ CLI ） 。或?[...]

简介 2.50 版本的新特点 Fort iGate-1 000 安装和配置指南 7 日志可 被 传送到 远 程系统日志服务 器 或以 WebTrends 增强 日志 格 式传 输 到 远 程 WebTren ds NetIQ 安全报告 中 心 和防火墙服务 器上 。 某些 型号的防火墙可将 日志 存 储 在 可选 择 的内置 硬盘上 。如 果 没 ?[...]

8 美国飞塔有限公司 2.50 版本的新特点 简介 HA ·主 动 - 主 动模式的 HA 使用 了交 换机， 并 且 具有选 择 时 间 表的能 力 · 透明模式的 HA · HA 簇 的 A/V 更新 · HA 功 能的配置 同步 详情 请 见 第 57 页 “ 高可用性 ” 。 替 换信息 您可以定 制 FortiGate 设备发送的以 ?[...]

简介 2.50 版本的新特点 Fort iGate-1 000 安装和配置指南 9 NIDS 关于 FortiGat e NIDS 功 能的 完整 说明，请 见 FortiG ate NIDS 指南 。新特性包 括 ： ·攻击 检测特 征分 组 · 用户定 义 的 攻击预 防 方 式 · 在多个接口 监视 攻击 ·监视 VLAN 子接口的 攻击 · 用户定 义 的 攻击 [...]

10 美国飞塔有限公司 关于本手册 简介 关于本手册 安装和配置 向 导描 述了 如何安装和配置 FortiGate-2000 C 。本手册包含以 下 内容： · 开始 描 述了 拆 包，安置，和启动 FortiGat e 。 · NAT/ 路由 模式安装 描 述了 如果您 希望 FortiGate 运 行于 NA T/ 路由模式， 应当 如[...]

简介 Forti net 的文档 Fort iGate-1 000 安装和配置指南 11 要 执 行 restore config < 文件 名 _ 字 符串 > 您 应当 输 入 restore config myfile.bak <xxx_ 字 符串 > 表 示 一个 ASCII 字 符串 关 键 词 。 <xxx_ 整数 > 表 示 一个 整数 关 键 词 。 <xxx_ip> 表 示 一个 IP 地址 关[...]

12 美国飞塔有限公司 Fort inet 的文档 简介 Fortinet 技术文档的注释 如果您在本文档或 任何 Fortinet 技术文档中发现 了 错误或疏漏之处， 欢迎 您将有 关信息发送到 techdoc@f ortinet.c om 。[...]

简介 客户服务和技术支持 Fort iGate-1 000 安装和配置指南 13 客户服务和技术 支持 请访问 我 们的技术 支持网 站 ，以获取防 病毒保护和网络 攻击 定 义 更新、 固 件更新、 产品文档更新，技 术支持信息，以及其 他 资源 。网 址 ： http:// support. fortinet. com 。 您 也 ?[...]

14 美国飞塔有限公司 客户服务和技术支持 简介[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 15 开始 本 章 描 述了 有关 拆 包、安装及如 何启动 FortiGate 防病毒防火墙的内容。 一 旦 完 成 此章 内容，您可 按 如 下 章 节进 行配置 : · 如果 要 在 NAT/ 路由 模式 下运 行 FortiGate , 请参 阅 第 31 [...]

16 美国飞塔有限公司 包装中的物品 开始 包装中的物品 FortiGa te-1000 包装中含有以 下 物品： · FortiGat e-1000 防病毒防火墙 · 两 根 黄色 交 叉 连接以 太 网电 缆 · 两 根 灰色普 通 以 太 网电 缆 · 一根 串 行 通 信电 缆 · FortiGat e-1000 快 速 入 门 手册 · 电 源线 · 包[...]

开始 启动 Fort iGate-1 000 安装和配置指南 17 尺寸 · 16.75 x 12 x 1.75 英寸 (42.7 x 30.5 x 4.5 厘米 ) 重量 · 17.5 磅 (8 公 斤 ) 电 源要 求 ·功 率需求 ： 285 W ( 最大 ) ·交流 输 入电 压 ： 100 至 240 VAC ·交流 输 入电 流 ： 6 A · 频 率 ： 50 至 60 Hz 运 行 环境 · 工 作 温 度 ： 32 ?[...]

18 美国飞塔有限公司 连接到基于 Web 的管理程序 开始 连接到基于 Web 的管 理程序 当 初 始启动 FortiG ate 时，可 按 如 下步骤 连接到基于 Web 的管理程序 。在基于 Web 的管理程序中所 做 的配置 修改 ， 无需 重 启动防火墙或中 断 服务 即 可 生 效 。 欲 连接到基于 W[...]

开始 连接到命令行接口 (CLI) Fort iGate-1 000 安装和配置指南 19 连接到命令行接 口 (CLI) 除了 基于 Web 的管理程序，您可使用 CLI 来 安装和设置 FortiGate 。在 CL I 中所 做 的配置 修改 ， 无需 重 启动 防火墙或中 断 服务 即 可 生 效 。 欲 连接到 CLI 上 ，您 需 具备如 下[...]

20 美国飞塔有限公司 Fort iGate 出厂默认设置 开始 FortiGate 出厂默认设置 FortiGa te 设备出厂时 已 经 根据默认的配置 方 式 进 行 了 设置 。 这 一默认设置 允 许您 连接到 FortiGa te 并 根据您的网络配置 FortiGate 设备。 要 将 FortiGat e 设备配置 为 在您的网络中工 作 ，?[...]

开始 Fort iGate 出厂默认设置 Fort iGate-1 000 安装和配置指南 21 出厂默认的透明模式的网络设置 如果您将 FortiGate 设备 切 换到透明模式，它具有 表 3 中所列出 的设置内容。 出厂时默认的防火墙配置 NAT/ 路由模式和透明模式具 有 相 同 的出厂默认的防火墙 配置。 接?[...]

22 美国飞塔有限公司 Fort iGate 出厂默认设置 开始 出厂时默认的内容配置文件 您可以使用内容配 置文件 对 防火墙 策略 所 控制 的 通讯 内容 应 用不 同级 别 的保护设 置 方 式。您可以使用 内容配置文件设置以 下 项目： · HTTP, FTP, IMA P, POP3, 和 SMTP 网络 通讯 的防[...]

开始 Fort iGate 出厂默认设置 Fort iGate-1 000 安装和配置指南 23 严谨型内容配置文件 使用严谨的内容配 置文件可以 对 UHTTP, FTP, IMAP, PO P3, 和 SMTP 等通讯 的内容 应 用 最大 限 度 的防护。 通 常情况 下 您不 需 要 使 用严谨型内容配置文 件， 但 是 如果您 受 到病毒的?[...]

24 美国飞塔有限公司 Fort iGate 出厂默认设置 开始 网页型内容配置文件 使用网页型内容配 置文件可以 对 HTTP 通讯 的内容 应 用防病毒扫描和网页内容 阻 塞 。您可以在 控制 HTTP 通讯 的防火墙 策略 中 添加 这 一内容配置文件。 非过滤型内容配置文 件 如果您不 希?[...]

开始 规划您的 Fort iGate 设备的配置 Fort iGate-1 000 安装和配置指南 25 规划您的 FortiGate 设备的配置 在开始配置 FortiGate 之 前 ，您 需 要计 划一 下 如何将它 集成 到 您的网络中 去 。 首 先 ，您 需 要 决 定 这 个设备在网络 中 是 否 可 见 ， 要 提 供 哪 些 防火墙 功[...]

26 美国飞塔有限公司 规划您的 Forti Gate 设备的配置 开始 具有多个外部网络连接的 NAT/ 路由模式 在 NAT/ 路由模式 下 ，您可以 为 FortiGate 设备配置到外部网络 （ 通 常 是互 联 网） 的多 重冗余 连接。例如，您可以 创建 以 下 配置 ： · 外部接口 作为 到 外部网络 ?[...]

开始 规划您的 Fort iGate 设备的配置 Fort iGate-1 000 安装和配置指南 27 您可以将 6 个网段连 接到 FortiGat e 设备 上 ，以 控制 这些 网段之 间 的 数 据 流通 。 · 外部 可以连接到外部的防火墙或 路由 器 。 · 内部 可以连接到内部网络。 · 接口 1 到 3 可以连接到其他网?[...]

28 美国飞塔有限公司 Fort iGate 系列产品参 数最大值 列表 开始 FortiGate 系列产品参 数最大值 列表 表 9: Fort iGate 参 数最大值 列表 FortiG ate 产品型号 50 60 100 200 300 400 500 1000 2000 300 0 3600 策略 200 500 1000 200 0 5000 5000 20 000 5 0000 5 0000 500 00 50 000 地址 500 500 500 500 3000 30 00 6000[...]

开始 下 一 步 Fort iGate-1 000 安装和配置指南 29 下 一 步 至 此 ， FortiGa te 已 启动 并 正常 运 行，您可 继续 配置如 下 设置 ： · 如果 要 在 NAT/ 路由模式 下运 行 Fort iGate, 请参 阅 第 31 页 “ NAT/ 路由 模式 安装 ” 。 · 如果 要 在 透明 模式 下运 行 Forti Gate ，请参 [...]

30 美国飞塔有限公司 下 一 步 开始[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 31 NAT/ 路由 模式安装 本 章 说明 了 如何 进 行 Fort iGate NA T/Route( 路由 ) 模 式的安装。如果 要 在 透明模 式 下 安装 FortiGat e ，请参 阅 第 45 页 “ 透明模式安装 ” 。如果您 要 在 HA 模式 下 安装 两 [...]

32 美国飞塔有限公司 使用安装 向 导 NAT/ 路由 模式安装 使用安装 向 导 您可以从基于 We b 的管理程序中使 用安装 向 导 来 建立 FortiGate 初 始配置。 欲 连接 到基于 Web 的管理程 序，请参 阅 第 18 页 “ 连接到基于 Web 的 管理程序 ” 。 启动安装 向 导 为 启动安装 [...]

NAT/ 路由 模式安装 使用 前面板控制按钮 和 LCD Fort iGate-1 000 安装和配置指南 33 使用 前面板控制按钮 和 LCD 除 安装 向 导外， 也 可使用 第 31 页 表 10 中 记 录的信息 来 完成 如 下步骤 。从 LCD 上显示 的 主 菜 单 开始，用 前面板 控制按钮 和 LCD ： 1 按回 车 键三 ?[...]

34 美国飞塔有限公司 将 Forti Gate 连接到网络中 NAT/ 路由 模式安装 3 将外部网络接口的 IP 地址 和网络 掩 码 设置 为 您在 第 31 页 表 10 中 记 录的外部 IP 地 址 和网络 掩 码 。 输 入： set system interface external mode static ip <IP _ 地址 > < 网络 掩 码 > 例如 set syste[...]

NAT/ 路由 模式安装 配置网络 Fort iGate-1 000 安装和配置指南 35 FortiGa te-2000C 有 4 个 10 /100Base- TX 接口： · 接口 1 和 3 可以将 两 个网络连接到 FortiGate-200 0C ， · 接口 2 可以将 DMZ 网络或 另 一个 网络连接到 FortiGat e - 2000C ， · 接口 4/HA 用于连接到高可用 性模式 下 的?[...]

36 美国飞塔有限公司 完成 配置 NAT/ 路由 模式安装 一 旦 FortiGat e 连接 好 ，可 通 过从内部网的电 脑 连接到 Internet 来确 保其 运 行 是 否 正常 。您 应 该 能连接到 任何的 Internet 地址 。 完成 配置 根据用本 节 内容 来 完成 FortiGate 的 初 始配置。 配置接口 1 、 2 ?[...]

NAT/ 路由 模式安装 配置 举 例：到 互联 网的多 重 连接 Fort iGate-1 000 安装和配置指南 37 注册 FortiGate 设备 在 购买 和安装 了 一 个新的 FortiGate 设备之 后 ，您可以 进 入 系统 > 更新 > 支持 来 注册您的设备，或 者使用网页 浏 览 器 连接到 http://s upport.f ortinet.c [...]

38 美国飞塔有限公司 配置 举 例：到 互联 网的多 重 连接 NAT/ 路由 模式安装 图 8: 到 互联 网的多 重 连接的配置的例子 配置 Ping 服务 器 按 照 以 下步骤 将网关 1 设置 为 外部接口的 Ping 服务 器 ，将 网关 2 设置 为 接口 3 的 Ping 服务 器 。 1 进 入 系统 > 网络 &g[...]

NAT/ 路由 模式安装 配置 举 例：到 互联 网的多 重 连接 Fort iGate-1 000 安装和配置指南 39 使用 CLI 1 将 ping 服务 器添加 到外部接口。 set system interface external config detectserver 1.1.1.1 gwdetect enable 2 将 ping 服务 器添加 到接口 3 。 set system interface port3 config detectserver 2.2.2.1 gwd[...]

40 美国飞塔有限公司 配置 举 例：到 互联 网的多 重 连接 NAT/ 路由 模式安装 第一 条 路由将所有的到 100.100.100.0 的 通讯 定 向 到外部接口 上 IP 为 1.1.1.1 的 网关 1 。如果 这 条 路由不 通 ，到 100.100.100. 0 的网络的 通讯 将 被重 定 向 到接口 3 上 IP 地址为 2.2.2.1 的?[...]

NAT/ 路由 模式安装 配置 举 例：到 互联 网的多 重 连接 Fort iGate-1 000 安装和配置指南 41 4 单击 新 建 以 添加 到 ISP2 的网络的路由。 · 目的 IP: 0.0.0.0 · 掩 码 : 0.0.0 .0 · 网关 #1: 1.1.1.1 · 网关 #2: 2.2.2.1 · 设备 #1: 端 口 3 · 设备 #2: 外部 ·单击 确 定。 5 将路由表中的?[...]

42 美国飞塔有限公司 配置 举 例：到 互联 网的多 重 连接 NAT/ 路由 模式安装 只 有您 已 经定 义了 类似 于在 前面 章 节 中描 述 的目的路由之 后 ，在 这些 例子中描 述 的 策略 路由 才 能 正常 工 作 。 · 将 通讯 从内部子网路由 到不 同 的外部网络 · 路由到外?[...]

NAT/ 路由 模式安装 配置 举 例：到 互联 网的多 重 连接 Fort iGate-1 000 安装和配置指南 43 按 以 下步骤添加冗 余 的默认 策略 ： 1 进 入 防火墙 > 地址 > 接口 3 。 2 为 接口 3 添加 以 下地址 。 1 进 入 防火墙 > 策略 > 内部 -> 接口 3 。 2 单击 新 建 。 3 根据[...]

44 美国飞塔有限公司 配置 举 例：到 互联 网的多 重 连接 NAT/ 路由 模式安装[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 45 透明模式安装 本 章 说明 了 如何 进 行透明模式的安装。如果 要 在 FortiGate NAT/ 路由模式 下 安装 FortiGa te ，请 参 阅 第 31 页 “ NAT/ 路由 模式 安装 ” 如果您 要 在 HA 模式 下 安装 两 个或多个 Fo[...]

46 美国飞塔有限公司 使用 前面板控制按钮 和 LCD 透明模式安装 切 换到透明模式 当 首 次 连接到 FortiGate 时，它 被预 设在 NAT/ 路由模式 下运 行。 欲 切 换 为 透明模 式 需 使用基于 Web 的 管理程序 : 1 进 入 系统 > 状态 。 2 单击 更 改 以 切 换到透明模式。 3 在[...]

透明模式安装 使用命令行接口 Fort iGate-1 000 安装和配置指南 47 5 按回 车 并 设置内部子网 掩 码 。 6 在 输 入 完最后 一 位 子网 掩 码地址后按回 车 。 7 按 退 出（ Esc ） 返回主 菜 单 。 8 如 需 要 ， 重复 如 上步骤 来 设置 缺省 网关。 使用命令行接口 除了 使用[...]

48 美国飞塔有限公司 完成 配置 透明模式安装 完成 配置 根据用本 节 内容 来 完成 FortiGate 的 初 始配置。 设置日 期 和时 间 为了 有 效 的安 排 日程和 记 录日志， FortiGate 的日 期 和时 间 必 须 精 确 。 您可手动 设置时 间 ，或 通 过配置 FortiGate 来 自动 与 网络[...]

透明模式安装 将 Fort iGate 连接到网络中 Fort iGate-1 000 安装和配置指南 49 FortiGa te-2000C 有 两 个 千兆 接口： · 内部接口，用于 连接到您的内部网络 ， · 外部接口 , 用于连接到 您的公 共 交 换机或 集线器 和 互联 网。 FortiGa te-2000C 有 4 个 10/100B ase-TX 接口可以连 接 [...]

50 美国飞塔有限公司 透明模式配置的例子 透明模式安装 透明模式配置的 例子 运 行于透明模式的 FortiGate 也需 要 一个基本配 置，以 成为 IP 网络中的 一个 结 点。 至 少 ， FortiGate 必 须 配置一个 IP 地址 和子网 掩 码 。它们可 以用 来 对 FortiGat e 进 行管理访问，[...]

透明模式安装 透明模式配置的例子 Fort iGate-1 000 安装和配置指南 51 图 10: 到外部网络的默认路由 通 用配置 步骤 1 将 FortiGat e 设置 为 透明模式。 2 配置 FortiGat e 的管理 IP 地址 和网络 掩 码 。 3 配置到外部网络的 默认路由。[...]

52 美国飞塔有限公司 透明模式配置的例子 透明模式安装 基于 Web 的管理程序配置 步骤 的例子 使用基于 Web 的管理程序配置基本 的透明模式设置和默 认路由： 1 进 入 系统 > 状态 。 · 选 择切 换到透明模式。 · 在 操作 模式列表中选 择 透明。 ·单击 确 定。 For[...]

透明模式安装 透明模式配置的例子 Fort iGate-1 000 安装和配置指南 53 图 11: 到外部 地址 的 静态 路由 通 用配置 步骤 1 将 FortiGat e 设置 为 透明模式。 2 配置 FortiGat e 的管理 IP 地址 和网络 掩 码 。 3 配置到 FortiRe sponse 服务 器 的 静态 路由。 4 配置到外部网络的 默?[...]

54 美国飞塔有限公司 透明模式配置的例子 透明模式安装 2 进 入 系统 > 网络 > 管理 。 ·修改 管理 IP 地址 和网络 掩 码 ： IP: 192.1 68.1.1 掩 码 : 255.255.2 55.0 ·单击 应 用。 3 进 入 系统 > 网络 > 路由 。 · 选 择 新 建 添加 到 Fo rtiRespon se 服务 器 的 静态 路由?[...]

透明模式安装 透明模式配置的例子 Fort iGate-1 000 安装和配置指南 55 图 12: 到内部目的 地址 的 静态 路由 通 用配置 步骤 1 将 FortiGat e 切 换到透明模式。 2 配置 FortiGat e 的管理 IP 地址 和网络 掩 码 。 3 配置到内部网络中 的管理工 作 站 的 静态 路由。 4 配置到外部[...]

56 美国飞塔有限公司 透明模式配置的例子 透明模式安装 基于 Web 的管理程序的配置 步骤举 例 要 使用基于 Web 的管理程序 配置 FortiGat e 基本设置、 静态 路 由和默认路由： 1 进 入 系统 > 状态 。 · 选 择切 换到透明模式。 · 在 操作 模式列表中选 择 透明模 式?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 57 高可用性 Fortine t 通 过使用 冗余 的 硬 件 设备和 FortiG ate 聚 合 协议 （ FGCP ） 实 现高可用性 （ HA ）的目标。 HA 簇 中的 FortiGate 设备全部使用 完 全 相 同 的安全 策略 ， 并 共享 同样 的设置内?[...]

58 美国飞塔有限公司 主 动 - 主 动 HA 高可用性 主 FortiGat e 设备 通 过 FortiGa te HA 接口 向 附 属 设备发送会 话 信息。在 同 一个 HA 簇 中的所有设备 共 同 维 护 所有的会 话 信息。如 果 主 FortiGat e 设备 失效了 ， 附 属 设备 会 互 相协 商选出一个新的 主 设备 。新[...]

高可用性 NAT/ 路由模式 下 的 HA Fort iGate-1 000 安装和配置指南 59 在 失效恢复期间 ， HA 组 会 通 知 附 近 的网络 设备，以使得 整 个网 络可以 迅 速地转 换 到新的 数 据路 径 中 。新的 主 设备 还 会将 HA 簇 中发 生 的 变 动 通 知 管理 员 。它会在它自 己 的 事 件[...]

60 美国飞塔有限公司 NAT/ 路由模式 下 的 HA 高可用性 7 单击应 用。 现在您 已 经 完成了对 HA 接口的 配置，可以 进 入 下 一 步 “ 配置 HA 簇 ” 。 配置 HA 簇 按 照 以 下步骤 配置 HA 簇 中的 FortiGate 。 对 于 HA 簇 中的 每 一 台 FortiGa te 都需 重 复 这些 步骤 。 1 连?[...]

高可用性 NAT/ 路由模式 下 的 HA Fort iGate-1 000 安装和配置指南 61 8 在 端 口 监视器 的选项中，选 择要监视 的的 FortiGate 网络接口的 名 称 。 监视 FortiGat e 接口可以 确 认它们 是 否 已 经连接 到他们的网络 上并 且 工 作 正常 。如果 一个 被监视 的接 口 失效 或者?[...]

62 美国飞塔有限公司 NAT/ 路由模式 下 的 HA 高可用性 还 有，您 必 须 将 这 一 HA 簇 中所有的 HA 接 口连接到 同 一 交 换机或 集线 器上 。您 还需 要 将一 台 管理 员 电 脑 连接 到 这 个 交 换机或 集线器上 。 这 个 簇 中的设 备将一 直 进 行 HA 状 态通讯 以 确 保[...]

高可用性 透明模式 下 的 HA Fort iGate-1 000 安装和配置指南 63 启动 HA 簇 将 HA 簇 中的全部 FortiGate 设备 都 配置 为 HA 并 且 将 这 个 簇 连接 起 来 之 后 ，可以使 用以 下操作 启动 HA 簇 。 1 为簇 中的所有 HA 设备 加 电。 在设备启动过程中 ，它们将 协 商以选出 主?[...]

64 美国飞塔有限公司 透明模式 下 的 HA 高可用性 5 根据 需 要修改 IP 地址 和子网 掩 码 。 6 可以选 择 配置其他 接口的管理访问 方 式。 7 单击应 用。 现在您 已 经 完成了对 HA 接口的 配置，可以 进 入 下 一 步 “ 配置 HA 簇 ” 。 配置 HA 簇 在将 HA 簇 连接到您的[...]

高可用性 透明模式 下 的 HA Fort iGate-1 000 安装和配置指南 65 8 在 端 口 监视器 的选项中，选 择要监视 的的 FortiGate 网络 端 口。 监视 FortiGat e 接口可以 确 认它们 是 否 已 经连接 到他们的网络 上并 且 工 作 正常 。如果 一个 被监视 的接 口 失效 或者从它的网络 ?[...]

66 美国飞塔有限公司 管理 HA 组 高可用性 还 有，您 必 须 将 这 一 HA 簇 中所有的 HA 接 口连接到 同 一 交 换机或 集线 器上 。 此 外 还 需 要 将一 台 管理 员 电 脑 连接 到 这 个 交 换机或 集线器上 。 建 议 使用 交 换机以提高网络的性能。 无 论 将 FortiGa te 设?[...]

高可用性 管理 HA 组 Fort iGate-1 000 安装和配置指南 67 本 节 描 述了 以 下 内容： · 查看 HA 簇成员状态 · 监视簇成员 · 监视簇 会 话 · 查看 和管理 簇 日志 消 息 · 单独 管理 簇 中的设备 · 同步簇 配置 · 返回 到 独立 模式配置 · 在 失效恢复后替 换 FortiGate 查看 H[...]

68 美国飞塔有限公司 管理 HA 组 高可用性 图 17: 簇 会 话数 和网络 显示 的例子 4 选 择 病毒和入侵。 显示 出 每 个 簇成员 的病毒和入侵 状态 。 主 设备的 识别 标志 是 本 地 ，其他设备根据 他们 的序列号列出。 显示 的内容 还 包 括当 前 每 小 时检测到的病毒 [...]

高可用性 管理 HA 组 Fort iGate-1 000 安装和配置指南 69 2 进 入 日志和报告 > 记 录日 志。 显示主 设备 通讯 日志、 事 件日志、 攻击 日志、病毒防护日志 、网页过滤日志和电 子邮 件日志。 右 上 角 的 下 拉 列表 控制 着 要显示 的日志 类别 。 主 设备的 识别 标?[...]

70 美国飞塔有限公司 管理 HA 组 高可用性 同步簇 配置 当运 行于 簇 模式的时 候 ， 为了 达 到 较 好 的 效 果， 必 须确 保 簇 中的全部设备的配置始 终 同步 。您可以在 主 设备 上对 配置 做 修改 ， 然 后 在 HA 簇 中的 每 个 附 属 设备 上 使用 execute ha synchronize ?[...]

高可用性 高 级 HA 选项 Fort iGate-1 000 安装和配置指南 71 一 旦 重 新配置或者更换 了 新的 FortiGate 设备， 需 要改 变 它的 HA 配置以 与 原来 失 效 的 FortiGat e 的配置 相 匹 配。 然 后把 它 重 新连接到网 络中。 这 个 FortiGate 将自动 地加 入 HA 组 中。 高 级 HA 选项 ?[...]

72 美国飞塔有限公司 高 级 HA 选项 高可用性 这 个命令有以 下 结 果： · 第一个连接由 主 设备处 理 ·下面 的 三 个连接由第一 个 附 属 设备处理 · 在 下面 的 三 个连接由第 二 个 附 属 设备 处理 附 属 设备将 比 主 设备处理更多的连接， 而 两 个 附 属 设备处?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 73 系统 状态 您可以连接到基于 Web 的管 理程序 进 入系统 > 状态 以 查看 您的 FortiGat e 设备的 当前状态 。 显示 的 状态 信息包 括当 前 的 固 件版本， 当前 的病毒防护定 义 和 攻击 定 义 以 及 [...]

74 美国飞塔有限公司 修改 Forti Gate 主 机 名 系统 状态 修改 FortiGate 主 机 名 FortiGa te 设备的 主 机 名显示 在系统 > 状态 页和 Fort iGate CL I 提 示 符 中。 主 机 名 也 被 用 做 SNMP 系统 名 （ 见 第 135 页 “ 配置 SNMP ” ） 。 默认的 主 机 名是 FortiGate- 1000 。 按 如 ?[...]

系统 状态 修改 Fort iGate 固 件 Fort iGate-1 000 安装和配置指南 75 2 使用 admin 管理 员帐 号 登 录到基于 Web 的管理程 序。 3 进 入 系统 > 状态 。 4 单击 固 件 升级 。 5 输 入 固 件 升级 文件的文件 名 ，或者 单击 浏 览 然 后 定 位那 个 文件。 6 单击 确 定。 FortiGa te[...]

76 美国飞塔有限公司 修改 Forti Gate 固 件 系统 状态 9 要 确 认病毒防护定 义 和 攻击 定 义是 否 已 经 被 更新 ， 输 入以 下 命令 显示 病毒防护 引 擎 、 病毒和 攻击 定 义 的版本， 合同 有 效期 和 最 新更新信息。 get system objver 恢复 到一个 旧 的 固 件版本 按 ?[...]

系统 状态 修改 Fort iGate 固 件 Fort iGate-1 000 安装和配置指南 77 您可以在 进 行 这 一 操作 之 前先进 行： · 使用命令 execute backup config 备 份 FortiGate 设备的配置。 · 使用命令 execute backup nidsuserdefsig 备 份 NIDS 用户定 义 的特 征 。 · 备 份 网页内容和电子邮 件过滤列[...]

78 美国飞塔有限公司 修改 Forti Gate 固 件 系统 状态 10 使用 第 97 页 “ 手工更新病毒防护定 义 和 攻击 定 义 ” 中描 述 的 步骤 更新病毒防护 定 义 和 攻击 定 义 ，或从 CLI 输 入 execute updatecenter updatenow 11 要 确 认病毒防护定 义 和 攻击 定 义是 否 已 经 被 更新 ?[...]

系统 状态 修改 Fort iGate 固 件 Fort iGate-1 000 安装和配置指南 79 6 输 入以 下 命令 重 新启动 FortiGate ： execute reboot 在 FortiGat e 设备启动过程中，将 显示 一系列的系统启 动信息。 当下面 信息之一 显示 的时 候 ： ·运 行 v2.x 版 BIOS 的 F ortiGate 设备 Press Any Key To Download[...]

80 美国飞塔有限公司 修改 Forti Gate 固 件 系统 状态 11 输 入 固 件文件的 名 称然 后回 车 。 TFPT 服务 器 会 把固 件的 映像 文件 上载 到 FortiGat e 上 ， 并 会出现 类似 以 下消 息： ·运 行 v2.x 版 BIOS 的 Forti Gate 设备 Do You Want To Save The Image? [Y/n] 输 入 Y 。 ·运 行 v3.x[...]

系统 状态 修改 Fort iGate 固 件 Fort iGate-1 000 安装和配置指南 81 4 确 认 FortiGat e 的接口 3 和 TFTP 服务 器 连接到内部 网络 上 。 确 认您可以从 FortiGate 连接 到 TFTP 服务 器上 。具 体方法 是 使用以 下 命令 ping 运 行 TFPT 服务的电 脑 。例如，如 果 TFTP 服务 器 的 IP 地?[...]

82 美国飞塔有限公司 修改 Forti Gate 固 件 系统 状态 11 输 入 固 件文件的 名 称然 后回 车 。 输 入 固 件文件的 名 称然 后回 车 。 TFPT 服务 器 会 把固 件的 映像 文件 上载 到 FortiGat e 上 ， 并 会出现 类似 以 下消 息： ·运 行 v2.x 版 BIOS 的 Forti Gate 设备 Do You Want To[...]

系统 状态 修改 Fort iGate 固 件 Fort iGate-1 000 安装和配置指南 83 5 输 入以 下 命令 重 新启动 FortiGate ： execute reboot 在 FortiGat e 设备启动过程中，将 显示 一系列的系统启 动信息。 当下面 信息之一 显示 的时 候 ： Press any key to enter configuration menu..... ...... 6 立 刻 按 任[...]

84 美国飞塔有限公司 修改 Forti Gate 固 件 系统 状态 2 输 入以 下 命令 重 新启动 FortiGate ： execute reboot 在 FortiGat e 设备启动过程中，将 显示 一系列的系统启 动信息。 当下面 信息之一 显示 的时 候 ： Press any key to enter configuration menu..... ...... 3 立 刻 按 任意 键 中 ?[...]

系统 状态 手动更新病毒防护定 义库 Fort iGate-1 000 安装和配置指南 85 如果您 成功地 中 断 了 启动 过程，将 显示下面 的 消 息之 一： [G]: Get firmware image from TFTP server. [F]: Format boot device. [B]: Boot with backup firmware and set as default. [Q]: Quit menu and continue to boot with default firmw[...]

86 美国飞塔有限公司 显示 Forti Gate 的序列号 系统 状态 5 单击 确 定 将 攻击 定 义库 文件 上载 到 FortiGate 。 FortiGa te 将更新新的 攻击 定 义库 ， 整 个过程将持 续 约 1 分 钟 。 6 进 入 系统 > 状态 查 看攻击 定 义库 的信息 ， 确 认它 已 经 被 更新 了 。 显示 Fo[...]

系统 状态 将系统设置 恢复 到出厂设置 Fort iGate-1 000 安装和配置指南 87 2 选 择 系统设置 恢复 。 3 输 入系统设置文件 的 名 称 和路 径 ，或者 单击 浏 览 然 后 在 浏 览 器 中定 位 文件。 4 单击 确 定 将系统设置文件 恢复 到 FortiGa te 上 。 FortiGa te 将 上载 系统设[...]

88 美国飞塔有限公司 转 换到 NAT/ 路由模式 系统 状态 转 换到 NAT/ 路由模式 使用如 下操作 可以 将 FortiGa te 设备从透明模式 转 换到 NAT/ 路由模式。 当 FortiGa te 设备 改 到 NAT/ 路由模式式之 后 ，它的配置将 被 设置 为 NAT/ 路由模式的 默认 配置。 1 进 入 系统 > ?[...]

系统 状态 系统 状态 Fort iGate-1 000 安装和配置指南 89 您可以设置一个自 动更新时 间间隔 每 过 一段时 间 就 更新 当前 的 显示 。 这 个时 间间隔 可以从 5 秒 到 30 秒 。您 还 可以手工 刷 新 显示 的内容。 · 查看 CPU 和内 存状态 · 查看 会 话 和网络 状态 · 查看 ?[...]

90 美国飞塔有限公司 系统 状态 系统 状态 查看 会 话 和网络 状态 使用会 话 和网络 状态显示 可以 跟踪 FortiGate 设备 正 在处理的网络会 话并查看 可用 网络 带宽 上 的会 话数 量 。 另 外 通 过 对 比 CPU 、内 存 使用 率 和网络、会 话状态 ，您 可以 知 道 系统 资[...]

系统 状态 会 话 列表 Fort iGate-1 000 安装和配置指南 91 2 单击 病毒和入侵。 显示 病毒和入侵 状态 。 显示 的内容包 括 以 条 形 图 方 式 显示 的 每 小 时检测到 的病毒和入 侵 数量 ，以及过 去 20 小 时内的 病毒和入侵 数量 统 计 曲 线 。 3 设置自动 刷 新的时 间?[...]

92 美国飞塔有限公司 会 话 列表 系统 状态 会 话 列表中的 每 一行 显示了 以 下 信息： 图 4: 会 话 列表 举 例 协议 连接的服务 类 型或者 协议类 型。例如 TCP 、 UDP 、 ICMP 源 IP 连接的 源 IP 地址 。 源端 口 连接的 源端 口。 目的 IP 连接的目的 IP 地址 。 目的 端 ?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 93 病毒和 攻击 定 义升级 及注册 您可以将 FortiGate 设备配置 为 连接到 Fo rti 响应 发布网络 (FDN) 并 自动更新病毒 防护定 义 和 攻击 定 义 ，以及病毒防护 引 擎 。您 可以使用以 下 更新选项： · 从[...]

94 美国飞塔有限公司 病毒防护定 义 和 攻击 定 义 更新 病毒和 攻击 定 义升级 及注册 本 节 描 述了 以 下 内容： · 连接到 Forti 响应 发布网络 · 配置 周期 性更新 · 配置更新日志 · 添加后 备服 务 器 · 手工更新病毒防 护定 义 和 攻击 定 义 · 配置 推 送更新 · [...]

病毒和 攻击 定 义升级 及注册 病毒防护定 义 和 攻击 定 义 更新 Fort iGate-1 000 安装和配置指南 95 配置 周期 性更新 您可以将 FortiGate 设备配置 为 根据您指定的时 间 表， 每 小 时、 每 天 、 每 周 检 查并 下载 病毒防护定 义 和 攻击 定 义 的更新。 1 进 入 系统 &g[...]

96 美国飞塔有限公司 病毒防护定 义 和 攻击 定 义 更新 病毒和 攻击 定 义升级 及注册 图 1: 配置病毒防护和 攻击 定 义 自动更新 配置更新日志 使用如 下步骤 配置 FortiGate 日 记记 录可以在 FortiGat e 设备更新病毒防护 和 攻击 定 义 的时 候 记 录日志 消 息。更新?[...]

病毒和 攻击 定 义升级 及注册 病毒防护定 义 和 攻击 定 义 更新 Fort iGate-1 000 安装和配置指南 97 3 单击应 用。 FortiGa te 设备将测 试 到 这 个 后 备服务 器 的连接。 如果 Forti 响应 发布网络的 修改是 正确 的， FortiGat e 设备 应当 可以连接到 后 备服务 器 。 如果 F[...]

98 美国飞塔有限公司 病毒防护定 义 和 攻击 定 义 更新 病毒和 攻击 定 义升级 及注册 不 建 议 将启用 推 送更新 作为 唯 一的获取更新的 方 式。 FortiGate 设备可能 无法收 到 推 送更新。 同样 ， 当 FortiGa te 设备接 收 到一个更新 通 报的的时 候 ，它 只 尝 试 一 ?[...]

病毒和 攻击 定 义升级 及注册 病毒防护定 义 和 攻击 定 义 更新 Fort iGate-1 000 安装和配置指南 99 图 2: 网络 拓扑结 构 举 例： 通 过一个 NAT 设备的 推 送更新 一 般 配置 步骤 使用以 下步骤 配置 FortiGate NAT 设备和内部网 络中的 FortiG ate 设备，使得 内部 网络中的 F[...]

100 美国飞塔有限公司 病毒防护定 义 和 攻击 定 义 更新 病毒和 攻击 定 义升级 及注册 按 照 如 下步骤 配置 FortiGate N AT 设备： 1 进 入 防火墙 > 虚拟 IP 。 2 单击 新 建 。 3 为 虚拟 IP 地址添加 一个 名 称 。 4 选 择 FDN 连接到的外部接口 。 对 于例子中的 拓扑 ?[...]

病毒和 攻击 定 义升级 及注册 病毒防护定 义 和 攻击 定 义 更新 Fort iGate-1 000 安装和配置指南 101 按 照 如 下步骤 配置 FortiGate N AT 设备： 1 添加 一个新的外部 到内部的防火墙 策略 。 2 使用如 下 设置配置 策略 ： 3 单击 确 定。 使用一个 代 理 IP 地址 和 端 口配[...]

102 美国飞塔有限公司 注册 Forti Gate 设备 病毒和 攻击 定 义升级 及注册 通 过 代 理服务 器 定 期 更新 如果您的 FortiGate 设备 必 须 通 过一 个 代 理服务 器 才 能连接到 互联 网 ，您可以使用 set system autoupdate tunneling 命 令使得 Forti Gate 设备 可 以使用 这 个 代 理 ?[...]

病毒和 攻击 定 义升级 及注册 注册 Fort iGate 设备 Fort iGate-1 000 安装和配置指南 103 很 快 您将可以获得 如 下 服务： · 访问 Fortine t 用户文档 · 访问 Fortine t 知识 库 ·下载固 件 升级 所有注册信息 存 储 在 Fortinet 客户支持 数 据 库 中。 这些 信息用 来确 保您所注?[...]

104 美国飞塔有限公司 注册 Forti Gate 设备 病毒和 攻击 定 义升级 及注册 1 进 入 系统 > 更新 > 支持。 2 在产品注册 单 中 输 入您的 联 系信 息。 图 5: 注册 FortiG ate 设备 （ 联 系信息和安全提 示 问 题 ） 3 提 供 一个安全提 示 问 题 和 这 个问 题 的 答 案 。 4 [...]

病毒和 攻击 定 义升级 及注册 更新注册信息 Fort iGate-1 000 安装和配置指南 105 更新注册信息 您可以在任何时 间 使用您 的 Fortine t 支持用户 名 和 密码 登 录到 Fortinet 支持网 站 以 查看 和更新您的 Fortinet 支持信息。 本 节 描 述了 以 下 内容： · 找回丢失 的 Fortine[...]

106 美国飞塔有限公司 更新注册信息 病毒和 攻击 定 义升级 及注册 图 7: 注册的 FortiG ate 设备列表 举 例 注册一个新的 FortiGate 设备 1 进 入 系统 > 更新 > 支持 单击 支持 登 录。 2 输 入您的 Fortinet 支持用户 名 和 密码 。 3 单击 登 录。 4 单击添加 注册。 5 选 ?[...]

病毒和 攻击 定 义升级 及注册 更新注册信息 Fort iGate-1 000 安装和配置指南 107 修改 您的 Fortinet 支持 密码 1 进 入 系统 > 更新 > 支持 并单击 支持 登 录。 2 输 入您的 Fortinet 支持用户 名 和 密码 。 3 单击 登 录。 4 单击 我 的配置文件。 5 单击修改密码 。 6 输 ?[...]

108 美国飞塔有限公司 RMA 之 后 注册 Fo rtiGate 设备 病毒和 攻击 定 义升级 及注册 图 8: 下载 病毒和 攻击 定 义 更新 关于如何安装 下载 的文件的 详 细 信息，请 见 第 85 页 “ 手动更新病毒防护 定 义库 ” 和 第 85 页 “ 手动更新 攻击 定 义库 ” 。 RMA 之 后 注册 F[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 109 网络配置 进 入 系统 > 网络 可以 对 FortiG ate 网络 做 如 下 设置： · 配置 区域 · 配置网络接口 · 配置虚拟 局域 网（ VLAN ） · 配置路由 · 在您的内部网络 中提 供 DHCP 服务 配置 区域 在 NAT/ ?[...]

110 美国飞塔有限公司 配置 区域 网络配置 4 您可以选 择阻塞区 域 内部 通讯功 能以 阻塞 在 同 一 区域 中的 两 个网络 接口之 间 的 通讯 。 5 单击 确 定以 添加区域 。 这 个 区域 现在将 显示 在防火墙 策略 网 格 中。 在 区域 中 添加 接口 您可以在一个 区域 中[...]

网络配置 配置网络接口 Fort iGate-1 000 安装和配置指南 111 配置网络接口 按 照 以 下步骤 配置 FortiGate 的网络接口： · 查看 接口列表 · 启动一个接口 · 修改 一个接口的 静态 IP 地址 · 为 接口 添加 第 二 个 IP 地址 · 为 接口 添加 ping 服务 器 · 控制 到接口的管理?[...]

112 美国飞塔有限公司 配置网络接口 网络配置 4 单击 确 定以保 存 您所 做 的 修改 。 如果您 修改了 你 用 来 连接 到 FortiGa te 设备 进 行管理 操作 的接口的 IP 地址 ，您 必 须 使用新的 IP 地址重 新连接到基于 Web 的管理程序 。 为 接口 添加 第 二 个 IP 地址 您可?[...]

网络配置 配置网络接口 Fort iGate-1 000 安装和配置指南 113 配置 对 一个连接到 互联 网 的接口的管理访问 方 式将 允 许从 互联 网中的任何 地 方 对 这 个 FortiGa te 设备 进 行 远 程管理。 允 许 来 自 互联 网的 对 您的 FortiGate 设备的 远 程管理可 能会 危 及您的设备[...]

114 美国飞塔有限公司 配置网络接口 网络配置 4 设置 MTU 尺寸 。 可以将 最大 的 数 据包 尺寸 设定在 68 字 节 到 1500 字 节 之 间 。默认的 MTU 尺寸 是 1500 字 节 。您可以 试 着 减小 MTU 的 尺寸 以 找 到网 络性能 最 高的时 对应 的 MTU 尺寸 。 配置接口 4/HA 您可以将?[...]

网络配置 配置虚拟 局域 网（ VL AN ） Fort iGate-1 000 安装和配置指南 115 5 单击 应 用 以保 存 您所 做 的 修改 。 配置虚拟 局域 网（ VLAN ） 使用 VLAN 技术， 单 一 FortiGat e 可以多个安全 域 提 供 安全 服务和连接 控制 。 来 自 每 个安全 域 的 数 据 流被 赋 予 一个?[...]

116 美国飞塔有限公司 配置虚拟 局域 网（ VLA N ） 网络配置 图 9: VLAN 网络 典 型配置 添加 VLAN 子网络接口 每 个 VLAN 子网络接口的 VLAN I D 必 须 和服从 IEEE 802. 1Q 标 准 的路 由 器 所 添加 的 VLAN ID 相 匹 配。 VLAN ID 可以 是 从 1 到 4096 的任意 数 字。 每 个 VLAN 子网络[...]

网络配置 配置虚拟 局域 网（ VL AN ） Fort iGate-1 000 安装和配置指南 117 VLAN ID 的规 则 添加 到 同 一物理接口的 两 个 VLAN 子接口不能 有 相 同 的 VLAN ID 。 然 而 ，您可以在 不 同 的物理接口 上添加 具有 相 同 VLAN ID 的 两 个或 多个 VLAN 子接口。 在有 相 同 的 VLAN ID[...]

118 美国飞塔有限公司 配置路由 网络配置 图 10: 添加 VLAN 子接口 9 单击 确 定 以保 存 您所 做 的 修改 。 . FortiGa te 会 把 新的子网络接口 添加 到您在 步骤 4 中选 中的网络接口 上 。 配置路由 本 节 描 述了 如何配置 FortiGate 的路由。您可以将路由 配置 为 从 FortiGa[...]

网络配置 配置路由 Fort iGate-1 000 安装和配置指南 119 1 进 入 系统 > 网络 > 路由 表 。 2 单击 新 建 。 3 将 源 IP 地址 和 子网 掩 码 设置 为 0.0.0. 0 。 4 将 目的 IP 地址 和 子网 掩 码 设置 为 0.0.0.0 。 5 将 网关 1 的 IP 地址 设置 为 发送到 互联 网的 数 据 要 使用?[...]

120 美国飞塔有限公司 配置路由 网络配置 添加 路由 （透明模式） 以 下操作 用于 FortiGate 在透明模式 运 行时 添加 路由： 1 进 入 系统 > 网络 > 路由 。 2 单击 新 建 以 添加 新的路由。 3 输 入 这 个路由的 目的 IP 地址 和 子网 掩 码 。 4 输 入 这 个路由的 网?[...]

网络配置 在您的内部网络中提 供 DHCP 服务 Fort iGate-1 000 安装和配置指南 121 策略 路由 策略 路由 拓 展 了 目的路由的 功 能。您可 以使用 策略 路由根据 以 下 内容路由 通讯 ： ·源地址 · 协议 、服务 类 型或 端 口范 围 ·进 入的或 源 接口 您可以使用 策略 路由 [...]

122 美国飞塔有限公司 在您的内部网络中提 供 DHCP 服务 网络配置 exclusionrange {< 起 点 i p 1 - 终 点 ip 1 > | none} [{< 起 点 ip 2 - 终 点 ip 2 >| none}] [{< 起 点 ip 3 - 终 点 ip 3 > | none}] [{< 起 点 ip 4 - 终 点 ip 4 > | none}] 最 多可以 输 入 4 个 IP 地址排除 范 围 。[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 123 RIP 配置 FortiGa te 路由信息 协议 （ RIP ） 实 现支持 RIP 版本 1 （ RFC10 58 所定 义 ）和 RIP 版本 2 （ 也称做 RIP2 ， RFC2453 所定 义 ）。 RIP2 启用 了 RIP 消 息从 而 能 够承 载 更多信 息和支持简 单 的?[...]

124 美国飞塔有限公司 RIP 设置 RIP 配置 RIP 设置 配置 RIP 设置以启用基本的 RI P 功 能和 度 量 ，以及配置 RIP 计 时 器 。 1 进 入 系统 >RIP> 设置。 2 单击 启用 RIP 服务 器 以将 FortiG ate 设备配置 为 一个 RIP 服务 器 。 3 单击 启用 广 告默认 值 以使得 Fort iGate 设备[...]

RIP 配置 为 FortiG ate 接口配置 RIP Fort iGate-1 000 安装和配置指南 125 图 1: 配置 RIP 设置 为 FortiGate 接口配置 RIP 您可以 为 每 个 FortiGate 接口 和 VLAN 子网络接口 创建 一个 单独 的配置。 这 样 一 来 您 就 可以 为 您的 Forti Gate 设备的 每 个接口和 VLAN 子网络接口 上 所?[...]

126 美国飞塔有限公司 为 Forti Gate 接口配置 RIP RIP 配置 4 单击 确 定一保 存 选定接口 上 的 RIP 配置。 图 2: 一个内部接口 上 的 RIP 配置的例子 RIP1 发送 本接口可以将 RI P1 路由 广 播发送到 此 网络 上 的其他路由 器 。路由信息 是 目的 端 口 为 520 的 UDP 数 据包。 R[...]

RIP 配置 添加 RIP 邻居 Fort iGate-1 000 安装和配置指南 127 添加 RIP 邻居 添加 RIP 邻居 可以定 义 用于 交 换路由信息的 邻 近 的路由 器 。将 邻居添加 到非 广 播网 络中。 当 您 添加邻居 的时 候 ， Forti Gate 设备 与邻居 直 接 交 换信息， 而 不 是 依 赖 于 广 播路 由?[...]

128 美国飞塔有限公司 添加 RIP 过滤 器 RIP 配置 本 节 叙 述了 如 下 内容： · 添加单 一 RIP 过滤 器 · 添加 一个 RIP 过滤列表 · 添加 一个 邻居 过滤 器 · 添加 一个路由过滤 器 添加单 一 RIP 过滤 器 添加单 一 RIP 过滤 器 可以过滤 单 一过滤。 您可以 对邻居 过滤 ?[...]

RIP 配置 添加 RIP 过滤 器 Fort iGate-1 000 安装和配置指南 129 7 单击 确 定以将路由 前 缀 添加 到 这 个过滤 器 。 8 重复步骤 5 到 7 将路由 前 缀 添加 到 这 个过 滤 器 。 添加 一个 邻居 过滤 器 您可以将一个 RI P 过滤 器 或者 RIP 过滤 器 列表设置 为邻居 过滤 器 。 1 [...]

130 美国飞塔有限公司 添加 RIP 过滤 器 RIP 配置[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 131 系统配置 进 入 系统 > 配置 可以 对 FortiG ate 系统配置 做 以 下改 动： · 设置系统日 期 和时 间 · 更 改 基于基于 Web 的管理程序的选项 · 添加 和 编辑 管理 员帐 号 · 配置 SNMP · 定 制替 换信[...]

132 美国飞塔有限公司 更 改 基于基于 Web 的管理程序的选项 系统配置 图 1: 日 期 和时 间 设置的例子 更 改 基于基于 Web 的管理程序的选 项 在 系统 > 配置 > 选项页，您可以： · 设置系统 空闲 超 时。 · 设置认证 超 时。 · 选 择 基于 Web 的管理程序所用 的 语[...]

系统配置 添加 和 编辑 管理 员帐 号 Fort iGate-1 000 安装和配置指南 133 选 择 基于 Web 的管理程序所用的 语 言 1 在 语 言 列表中选 择 基于 Web 的管理程序使用的 语 言 。 2 单击应 用。 您可以选 择 英 文、简 体 中 文、日文、 韩 文或 繁 体 中文。 为 LCD 控制面板 设[...]

134 美国飞塔有限公司 添加 和 编辑 管理 员帐 号 系统配置 添加 新的管理 员帐 号 使用 admin 帐 号 按 照 以 下步骤 可以在 FortiGate 中 添加 新的管理 员帐 号和设定他们 的权限： 1 进 入 系统 > 配置 > Admin 。 2 单击 新 建 以 添加 新的管理 员帐 号。 3 输 入管理 [...]

系统配置 配置 SNMP Fort iGate-1 000 安装和配置指南 135 7 ( 可选的） 输 入 受 信任 主 机的的 IP 地址 和 网络 掩 码 ，从 而 允 许 这 个管 理 员 用 来 访 问基于 Web 的管理程 序。 如果您 希望 管理 员 可以从任何 地 方 访问 FortiGate ， 就 把 受 信任 主 机的 IP 地址 设置[...]

136 美国飞塔有限公司 配置 SNMP 系统配置 4 单击应 用。 图 2: SNMP 配置的例子 FortiGate 管理信息 库 （ MIB ） FortiGa te SNMP 代 理支 持 Fort iGate 私 有 M IB 也 支持标 准 的 RFC 1213 和 RFC 2665 MI B 。 表 1 中列出 了 FortiGate MIB 。您可以从 Fortine t 技术支持获得 这些 MIB 文件。 ?[...]

系统配置 定 制替 换信息 Fort iGate-1 000 安装和配置指南 137 FortiGate 陷阱 FortiGa te SNMP 代 理 最 多可以 向 三 个 SNMP 陷阱 接 收 器 发送 陷阱消 息。 这些 陷阱 接 收 器 必 须 是 在您的网络中 的 并 且已 经配置 为 可接 收 从 FortiG ate 发出的 陷阱消 息。 为 了 使 这些 [...]

138 美国飞塔有限公司 定 制替 换信息 系统配置 本 节 描 述了 以 下 内容： · 定 制替 换信息 · 定 制 报 警 邮件 图 3: 替 换信息的例子 定 制替 换信息 替 换信息列表中的 每 个 替 换信息由不 同 的 几 个部 分组成 。您可以 利 用 这些 部 分 的 组 合创建 您自 己 ?[...]

系统配置 定 制替 换信息 Fort iGate-1 000 安装和配置指南 139 定 制 报 警 邮件 定 制 报 警 邮件可以 控制 发送 给 系统管理 员 的报 警 邮件的内容 。 1 进 入 系统 > 配置 > 替 换信息。 2 对 于您 要 定 制 的报 警 邮件 信息， 单击修改 。 3 在 消 息设置 对话 框 ，[...]

140 美国飞塔有限公司 定 制替 换信息 系统配置 阻塞 事 件 用于文件 阻塞 报 警 邮件 消 息 片 段开始 <**BLOCK_ALERT**> 允 许的标 签 %%FILE %% %%PROTOCOL% % 被阻塞 的文件所用的服务。 %%SOURCE_IP%% 接 收 被阻塞 的文件时的 源 IP 地址 。 对 于电子邮件， 这 个 IP 地址是 ?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 141 防火墙配置 防火墙 策略控制 着 所有 通 过 FortiGate 设备的 通讯 。防火墙 策略是 Forti Gate 设备 用 来决 定如何处理 一个连接请 求 的一系列指令 。 当 防火墙 收 到一个 数 据包内的连接请 求 时?[...]

142 美国飞塔有限公司 默认防火墙配置 防火墙配置 默认防火墙配置 防火墙 策略控制 接口之 间 的连接。默认 情况 下 ，您内 部网络中的用户可以 通 过 FortiGa te 设备连接到 互联 网。防火墙 阻塞 其他所有的连接 。防火墙 被 配置 为 用一 条 默 认 策略匹 配从内部[...]

防火墙配置 默认防火墙配置 Fort iGate-1 000 安装和配置指南 143 要 在 区域 中 添加策略 ，您 必 须 使用以 下步骤 将 区域添加 到防火墙网 格 ： 1 将 区域添加 到 FortiGate 配置 。 请 见 第 109 页 “ 添加区域 ” 。 2 将接口和 VLAN 子网络接口 添加 到 这 个 区域 。 请 ?[...]

144 美国飞塔有限公司 添加 防火墙 策略 防火墙配置 内容配置文件 内容配置文件可以 添加 到 策略 中以 应 用 对 网页、文件传 输 和电子邮 件服务的防病毒 保护、网页内容过 滤和电子邮件过滤。 FortiG ate 设备包 括了 以 下 默认的内容配置文 件： · 严谨 : 对 HTTP,[...]

防火墙配置 添加 防火墙 策略 Fort iGate-1 000 安装和配置指南 145 图 5: 添加 NAT/ 路由 策略 防火墙 策略 选项 本 节 叙 述了 您可以在防火 墙 策略 中设置的选项 。 源地址 选 择与数 据包 源地址匹 配的 地址 或 地址组 。在 您 把 这 个 地址添加 到 策略 之 前 ， 必 须[...]

146 美国飞塔有限公司 添加 防火墙 策略 防火墙配置 任务 计 划 选 择 任务 计 划可以 控制策略 生 效 和用于 匹 配连 接的时 间 ， 见 第 157 页 “ 任务 计 划 ” 。 服务 选 择 一个服务 与数 据包的服务 （ 端 口） 相 对应 。您可以从 大量 的 预 定 义 服务中选 择 ?[...]

防火墙配置 添加 防火墙 策略 Fort iGate-1 000 安装和配置指南 147 流量控制 流量控制功 能 控制 可以使用的 带宽 并 设置 被策略 处理的 数 据 流 的 优 先 权。在 大量 的 数 据 通 过 FortiGat e 时， 流量控制 可以 控制 哪 个 策略 具有更高 的 优 先 权。例如， 为 网 页[...]

148 美国飞塔有限公司 配置 策略 列表 防火墙配置 图 6: 添加 透明模式 策略 记 录 流通 日志 选 择记 录 流通 日志可以在 策略 处 理一个连接的时 候 向 日志 写 入一 条消 息。关于 记 录 日志的 详 细 信息请 见 第 249 页 “ 日志和报告 ” 。 注释 可以选 择添加 一?[...]

防火墙配置 配置 策略 列表 Fort iGate-1 000 安装和配置指南 149 本 节 讨 论 了 以 下 内容： · 策略匹 配的 细节 · 更 改策略 列表中 策略 的 顺 序 · 启用和 禁 用 策略 策略匹 配的 细节 当 FortiGat e 从网络接口 上 收 到一个连接 请 求 时，它 首 先要 选 择 一个 策略 ?[...]

150 美国飞塔有限公司 地址 防火墙配置 启用一个 策略 启用一个 被禁 用 了 的 策略 可以使防火墙 继续 用 这 个 策略匹 配连接： 1 进 入 防火墙 > 策略 。 2 选 择 含有 要 启用的 策略 的 策略 列表的标 签 。 3 选中 要 启用的 策略 的选中 标志。 地址 所有的 策?[...]

防火墙配置 地址 Fort iGate-1 000 安装和配置指南 151 5 输 入 这 个 IP 地址 。 这 个 IP 地址 可以 是 ： ·单 个电 脑 的 IP 地址 （例如， 192.45. 46.45 ） 。 · 一个子网的 地址 （例如 ，一个 C 类 子网 192.168 .1.0 ） 。 · 0.0.0.0 来 表 示 全部可能的 IP 地址 。 6 输 入子网 掩 [...]

152 美国飞塔有限公司 地址 防火墙配置 删除地址 删除 一个 地址 可以 把 此 地址 移 出 地址 列表。一 旦 地址被删除了 ， 这 个 地址 就 不能 再 添加 到 策略 中。 要删除 一个 已 经 添加 到 策略 的 地址 ， 必 须 先把 它从 那 个 策略 中 删除 。 1 进 入 防火墙 &g[...]

防火墙配置 服务 Fort iGate-1 000 安装和配置指南 153 图 8: 添加 一个内部 地址组 。 服务 使用服务可以 控制 防火墙接 受 或者 拒绝 的 流通 类 型。 可以 为 一个 策略添加 任何 预 定 义 的服务。 也 可以 创建 您自 己 定 制 的服务 然 后把 服务 添加 到服务 组 中 去 [...]

154 美国飞塔有限公司 服务 防火墙配置 ESP 封 装安全有 效载 荷 。 这 个服务用于自动 密钥交 换的 VPN 通道 和手工 密钥 VPN 通道 ，以传 输 加 密 的 数 据。自动 密钥交 换 VPN 通道 在使用 IKE 建立 连接之 后 使用 ESP 传 输 数 据。 50 AOL AOL 即 时 消 息 协议 。 tcp 51 90[...]

防火墙配置 服务 Fort iGate-1 000 安装和配置指南 155 访问定 制 服务 如果 需 要创建 一个含有不 包 括 在 预 定 义 服务列表中的服务的 策略 ，可以 添加 一个定 制 的服务。 1 进 入 防火墙 > 服务 > 定 制 。 2 单击 新 建 。 3 输 入服务的 名 字 。 当 您 添加 一个?[...]

156 美国飞塔有限公司 服务 防火墙配置 5 通 过 输 入 最 高 端 口号 和 最低端 口号 ， 为 这 个 协议 指定一个 源端 口和一个目的 端 口 号的范 围 。如果服 务 仅 使用一个 端 口， 就 在 最 高和 最低端 口号 上 输 入 相 同 的 数 字。 6 如果 这 个服务有多于一个 ?[...]

防火墙配置 任务 计 划 Fort iGate-1 000 安装和配置指南 157 任务 计 划 任务 计 划用 来 控制策略 生 效 和 无 效 的时 间 。可以 创建 一 次 性 的任务 计 划和 周期 性的 任务 计 划。您可以使用一 次 性的任务 计 划 创建策略 ， 这 个 策略 只 在任务 计 划指定的时 间 [...]

158 美国飞塔有限公司 任务 计 划 防火墙配置 图 10: 添加 一 次 性任务 计 划任务 计 划 创建周期 性任务 计 划 可以 创建 一个 周期 性的任务 计 划在 每 天 的特定时 间 或者 每 周 的特定 天 数 里激 活 策略 或者取 消对策略 的 激 活 。 例如，您可能 需 要创 建 一[...]

防火墙配置 任务 计 划 Fort iGate-1 000 安装和配置指南 159 图 11: 添加周期 性任务 计 划 在 策略 中 添加 一个任务 计 划 在 创建 一个任务 计 划之 后 ，您可 以 把 它 添加 到 策略 中，以 控制策略 生 效 的时 间 。在 创建策略 的时 候 ， 可以在 策略 中 添加 新的任?[...]

160 美国飞塔有限公司 虚拟 IP 防火墙配置 虚拟 IP NAT 模式的安全 策略 可以 对 较 不 安全的网络 隐藏较 安全的网络中的 地址 。 要 允 许从 一个 较 不安全的网络连接 到一个 较 安全的网络 中的 某 个 地址上 ，您 必 须 创建 一个从 较 不安全的网络中的 地址 到 ?[...]

防火墙配置 虚拟 IP Fort iGate-1 000 安装和配置指南 161 8 单击 确 定 以保 存 虚拟 IP 地址 。 您现在可以 把 这 个虚拟 IP 地址添加 到防火墙的 策略 中 了 。 图 12: 添加静态 NAT 虚拟 IP 添加端 口 转 发虚拟 IP 1 进 入 防火墙 > 虚拟 IP 。 2 单击 新 建 以 添加 新的虚拟 I[...]

162 美国飞塔有限公司 虚拟 IP 防火墙配置 8 在 映 射 IP 地址 一 栏 中， 需 要 输 入在目的网络 上 的 真 实 IP 地址 。 例如， 真 实 IP 地址 可以 是 位 于您的内 部网络中的 Web 服务 器 的 地址 。 9 把 映 射 到 端 口 设置 为转 发 数 据包时 要 给 它们 添加 的 端 口?[...]

防火墙配置 IP 池 Fort iGate-1 000 安装和配置指南 163 4 单击 确 定 以保 存 这 个 策略 。 IP 池 一个 IP 池（ 也称做 动 态 IP 池） 是 一个 添加 到防火墙网络接口 的 IP 地址 范 围 。如 果您 为 一个接口 添加了 IP 池， 当 配置一个其 目的 地址 设 为 此 接口的 策略 时可[...]

164 美国飞塔有限公司 IP/M AC 绑 定 防火墙配置 图 14: 添加 一个 IP 池 使用 固 定 端 口的防火墙 策略 的 IP 池 如果一个 NAT 防火墙 策略转 换连接 所使用的 数 据报的 源端 口， 有 些 网络配置 就无法 正常 工 作 。 NAT 通 过 转 换 源端 口 来 跟踪 特定服务的连 接。?[...]

防火墙配置 IP/M AC 绑 定 Fort iGate-1 000 安装和配置指南 165 IP/MAC 绑 定可以 应 用于连接到防火墙的 数 据包或 者 穿 过防火墙的 数 据包。 本 节 讨 论 了 以 下 内容： · 为穿 过防火墙的 数 据包配置 IP/MAC 绑 定 · 为 连接到防火墙的 数 据 包配置 IP/MA C 绑 定 · 添加 I[...]

166 美国飞塔有限公司 IP/M AC 绑 定 防火墙配置 所有能 正常 连接到 防火墙的 数 据包 都 将 首 先 在 IP/MAC 绑 定列表中 查找匹 配的 IP/MAC 地址对 。 例如，如果 IP 地址为 1.1.1 .1 和 MAC 地址为 12:34:56 :78:90:a b:cd 的 IP/MA C 地 址对 已 经 添加 到 IP/MAC 地址绑 定列表 了 ： [...]

防火墙配置 内容配置文件 Fort iGate-1 000 安装和配置指南 167 4 配置 IP/MAC 地址绑 定如何处理在 IP/MAC 地址 列表中 没 有定 义 IP 和 MAC 地址 的 数 据 包： 选 择 允 许 流通 可以 允 许所 有具有不在 IP/MAC 地址 列表中的 IP/MAC 地址对 的 数 据包 通 过。 选 择阻塞流通 可?[...]

168 美国飞塔有限公司 内容配置文件 防火墙配置 默认的内容配置文件 FortiGa te 设备具有以 下 四种 默认的内 容配置文件，它们 位 于防火 墙 > 内容配置文 件。 您 可以使用现有的内容 配置文件或者 创建 您自 己 的： 添加 一个内容配置文件 如果默认的内容配 置[...]

防火墙配置 内容配置文件 Fort iGate-1 000 安装和配置指南 169 7 启用邮件 片 段和 超大 型文件 / 邮件选项。 8 单击 确 定。 图 16: 内容配置文件 举 例 将内容配置文件 添加 到 策略 您可以将内容配置 文件 添加 到一个 策略 ， 这 个 策略 的动 作 可以 是 接 受 或 拒绝 [...]

170 美国飞塔有限公司 内容配置文件 防火墙配置 2 单击 包含 了 您 要添加 内容配置文件的 那 个 策略 的 策略 列表。 例如， 要 内部网络 用户从网 站 上下载 的文件启用网络保护， 选 择 一个内部到外部 的 策 略 。 3 单击 新 建 以 添加 一个新的 策略 ，或选 择 ?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 171 用户 与 认证 FortiGa te 支持使用 FortiGate 用户 数 据 库 、 RADIUS 服务 器 和 LDAP 服务 器 的用户 认证。您可以 把 用户 名添加 到 FortiGate 用户 数 据 库 中， 然 后为 用户设置一个 密码 以 允 许用户?[...]

172 美国飞塔有限公司 设置认证 超 时 用户 与 认证 设置认证 超 时 按 以 下步骤 设置认证 超 时： 1 进 入 系统 > 配置 > 选项 。 2 设置 认证 超 时 以 控制 在用户 再 次 认证以取得 对 防火 墙的访问权之 前 ，防 火墙能 够 保 持 空闲 的时 间 。 默认的认证 超 [...]

用户 与 认证 配置 RADI US 支持 Fort iGate-1 000 安装和配置指南 173 图 17: 添加 用户 名 从内部 数 据 库 中 删除 用户 名 您不能 删除 已 经 添加 到用户 组 的用户 名 。在 删除 用户之 前 必 须 将它们从所 添加 到的 用户 组 中 删除 。 1 进 入 用户 > 本 地 。 2 对 于 ?[...]

174 美国飞塔有限公司 配置 LDAP 支持 用户 与 认证 3 输 入 RADIUS 服务 器 的 名 称 。 您可以 输 入任何 名 称 。 此 用户 名 可以包 括数 字（ 0-9 ） ， 大 写 和 小 写 字 母 （ A-Z,a-z ） ， 以及特 殊 字 符 - 和 _ 。不能使用 其它特 殊 字 符 和 空 格符 。 4 输 入 RADIUS ?[...]

用户 与 认证 配置 LDAP 支持 Fort iGate-1 000 安装和配置指南 175 添加 LDAP 服务 器 按 以 下步骤 配置 Forti Gate 设备的 LDAP 认证： 1 进 入 用户 > LDAP 。 2 单击 新 建 以 添加 新的 LDAP 服务 器 。 3 输 入 LDAP 服务 器 的 名 称 。 您可以 输 入任何 名 称 。 此 用户 名 可以?[...]

176 美国飞塔有限公司 配置用户 组 用户 与 认证 3 单击 确 定 。 配置用户 组 要 启用认证，您 必 须 在一 个或多个用户 组 中 添加 用户 名 和 / 或 RADIUS 服务 器 。 当 您 需 要 认证时，可以选 择 一个用 户 组 。您可以 对 以 下 情况 选 择 一个 用户 组 ： · 需 要 [...]

用户 与 认证 配置用户 组 Fort iGate-1 000 安装和配置指南 177 图 20: 添加 用户 组 3 输 入一个用于 识别 此 用户 组 的 组名 。 这 个 组名 可以 是数 字（ 0-9 ） ， 大 写 和 小 写 字 母 （ A-Z,a-z ） ，以及特 殊 字 符 - 和 _ 。不 能使用其它特 殊 字 符 和 空 格符 。 4 要[...]

178 美国飞塔有限公司 配置用户 组 用户 与 认证[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 179 IPSec VPN 虚拟专用网络 （ VPN ） 是 一个 拓 展 的 私 有网络，它由 穿 过 共享 或公 共 网络，例如 互 联 网，的连接 组成 。例如， 某 公司有 两 个 办 公 室 分 别 在 两 个不 同 的 城市 ， 每 个 ?[...]

180 美国飞塔有限公司 手工 密钥 IPSec VPN IPSe c VPN IPSec 提 供了 两种 控制密钥交 换 和管理的 方法 ：手工 密钥 和 IKE 自动 密钥 管理。 · “ 手工 密钥 ” · “ 使用 预 置 密钥 或证 书 的自动 互联 网 密钥交 换 ( 自动 IKE) ” 手工 密钥 当 选 择了 手工 密钥 之 后 ， [...]

IPSe c VPN 手工 密钥 IPSe c VPN Fort iGate-1 000 安装和配置指南 181 本 地 和 远端 的 加密 和认证 密钥 必 须 匹 配 ； 并 且 彼 此 的 SPI 值 也 必 须 互为 镜 像 。 当 您 输 入 了 这些 值 之 后 ， 无须再协 商认证和 加密 算法即 可发 起 VPN 通道 。 只 要 您 正确 、 完 整地[...]

182 美国飞塔有限公司 自动 IK E IPSec V PN IPSec VPN 9 从列表中选 择 一个认证 算法 。 在 通道 的 两 端 需 要 使用 相 同 的认证 算法 。 10 输 入认证 密钥 。 每两 个字 符 的 组合 表 示 十 六 进制 格 式中的一个 字 节 。在 通道 的 两 端 需 要 使用 相 同 的认 证 密钥 [...]

IPSe c VPN 自动 IKE IP Sec VPN Fort iGate-1 000 安装和配置指南 183 为 自动 IKE VPN 添加 第一 阶 段配置 当 您 添加 第一 阶 段配置的时 候 ，您 需 要 定 义 Forti Gate 设备和 VPN 远端 （网关或 客户）用于 彼 此 认证以 建立 IPSe c VPN 通道 的有关 条 件。 第一 阶 段配置和第 二阶[...]

184 美国飞塔有限公司 自动 IK E IPSec V PN IPSec VPN 8 输 入 密钥 寿 命。 指定在第一 阶 段 密钥 的有 效期 。 密钥 有 效期是 在第一 阶 段 加密密钥 过 期 之 前 以 秒 为单 位 计 算 的时 间 。 当密钥 过 期 之 后 ， 无须 中 断 服务 就 可以 生 成 一个新的 密钥 。 P1 提[...]

IPSe c VPN 自动 IKE IP Sec VPN Fort iGate-1 000 安装和配置指南 185 4 （可选的） NAT 跨越 。 5 （可选的）配置 端 点 失效 检测。 使用 这些 设置可以 监视 VPN 双 方 的连接 状态 。 DPD 允 许 清 除 已 经 失效 的连接 并建立 新的 VPN 通道 。不 是 所有的 销 售 商 都 支持 DP D 。[...]

186 美国飞塔有限公司 自动 IK E IPSec V PN IPSec VPN 图 21: 添加 第一 阶 段配置 为 自动 IKE VPN 添加 第 二阶 段配置 添加 第 二阶 段配置以指定 在本 地 VPN 端 点（ Fortiga te 设备）和 远 程 VPN 端 点 （ VPN 网关或客户 端 ）之 间创建 和 维 护 VPN 通道 所用的参 数 。 按 以 ?[...]

IPSe c VPN 自动 IKE IP Sec VPN Fort iGate-1 000 安装和配置指南 187 5 配置 P2 提 议 。 可以 为 第 二阶 段的提 议 最 多选 择 三 个 加密 和认证 算法 组合 。 VPN 通道 的 两 端 必 须 使用 相 同 的 P2 提 议 设置。 6 （可选的）启用 重 放 检测 。 重 放 检测可以保护 VPN 通道 以 [...]

188 美国飞塔有限公司 管理 数 字证 书 IPSe c VPN 图 22: 添加 第 二阶 段配置 管理 数 字证 书 在一个 IPSec 通讯 会 话 的参 与 双 方 建立 一个 加密 的 VPN 通道 之 前 ， 数 字证 书 可以用 来 保证参 与 双 方 是 可信的。 Fortine t 使用手工 操作 获得 证 书 。 这 包 括 从[...]

IPSe c VPN 管理 数 字证 书 Fort iGate-1 000 安装和配置指南 189 2 单击 生 成 。 3 输 入一个证 书名 称 。 输 入的 名 称 。 这 个 名 称 可以含有 数 字（ 0-9 ）， 大 写 和 小 写 字 母 （ A-Z ， a-z ） ，以及特 殊 字 符 - 和 _ 。不能使用其它特 殊 字 符 或者 空 格符 。 4 配[...]

190 美国飞塔有限公司 管理 数 字证 书 IPSe c VPN 图 23: 添加 本 地 证 书 下载 证 书 请 求 您可以使用如 下操 作 将证 书 请 求 从 FortiGate 设备 下载 到管理 员 电 脑 。 按 照 如 下步骤下载 证 书 请 求 ： 1 进 入 VPN > 本 地 证 书 。 2 单击下载 以将本 地 证 书下载 ?[...]

IPSe c VPN 管理 数 字证 书 Fort iGate-1 000 安装和配置指南 191 4 申 请一个 签名了 的本 地 证 书 。 按 照 CA 网页服务 器 的指 令 进 行如 下操作 ： · 将一个 base6 4 编码 的 PKCS#10 认证请 求 添加 到 CA 网页服务 器 ， · 将证 书 请 求 粘贴 到 CA 网页服务 器 ， · 在 CA 网?[...]

192 美国飞塔有限公司 配置 加密策略 IPSe c VPN 4 单击 确 定。 在本 地 证 书 列表中将 显示签名 的本 地 证 书 ，其 状态为 OK 。 获得一个 CA 证 书 VPN 双 方 为了 让 对 方 认证自 己 ， 必 须 从 同 一个证 书 授 权获得 CA 证 书 。 CA 认证 为 VPN 双 方 提 供了 坚 定他们[...]

IPSe c VPN 配置 加密策略 Fort iGate-1 000 安装和配置指南 193 尽 管 加密策略同 时 控制进 入和发出的连 接，它 必 须 被 配置 成为 一个 向 外的 策略 。一 个 向 外的 策略 具有一个内部网络 的 源地址 和一个外部 网络 上 的目的 地址 。 源地址 标 识 VPN 在内部网络中 ?[...]

194 美国飞塔有限公司 配置 加密策略 IPSe c VPN 4 输 入 互联 网 上 的一个 VPN 客户 端 或 是远 程 VPN 网关 后 边 的一个网络的 地址名 ， IP 地址 和网络 掩 码 。 5 单击 确 定以保 存 目的 地址 。 添加 一个 加密策略 1 进 入 防火墙 > 策略 。 2 使用 策略 网 格 选 择?[...]

IPSe c VPN IPSe c VPN 集 中 器 Fort iGate-1 000 安装和配置指南 195 图 25: 添加 一个 加密策略 IPSec VPN 集 中 器 在一个 星 型配置的 网络中，所有的 VP N 通道 都 终结 在一个 起 集线器作 用的 端 点 上 。 其他的 端 点 就象 辐条 一 样 连接到 这 个 集线器上 。 这 个 集线器 ?[...]

196 美国飞塔有限公司 IPSe c VPN 集 中 器 IP Sec VPN 如果 VPN 端 点 是 一个 辐条 ，它 需 要 一个 通道 以将它连接到 集线器 （ 但 是 不连接到 其他 辐条 ）。 它 还需 要控制 它到其他 辐条 的 加密 连接 策略 和到其他网络，例如 互联 网的 非 加密 连接的 策略 。 · VPN[...]

IPSe c VPN IPSe c VPN 集 中 器 Fort iGate-1 000 安装和配置指南 197 请 见 第 194 页 “ 添加 一个 加密策略 ” 。 5 按 以 下顺 序 排 列 策略 ： ·加密策略 · 默认的非 加密策 略 （内部 _ 全部 -> 外部 _ 全部） 添加 一个 VPN 集 中 器 按 以 下步骤添加 一个 VPN 集 中 器 配置?[...]

198 美国飞塔有限公司 IPSe c VPN 集 中 器 IP Sec VPN VPN 辐条 一 般 配置 步骤 一个 实 现 辐条功 能的 远 程 VPN 端 点 需 要 以 下 配置： · 一个到 集线 器 的 通道 （自动 IK E 第一 阶 段和第 二阶 段配置或 手工 密钥 配置） 。 · 本 地 VPN 辐条 的 源地址 。 · 每 个 远 ?[...]

IPSe c VPN 冗余 IPSe c VPN Fort iGate-1 000 安装和配置指南 199 请 见 第 194 页 “ 添加 一个 加密策略 ” 。 6 按 照 如 下顺 序 排 列 策略 ： ·向 外 加密策略 ·向 内 加密策略 · 默认的非 加密策 略 （内部 _ 全部 -> 外部 _ 全部） 冗余 IPSec VPN 为了 保证一个 IPSe c VPN 通道 [...]

200 美国飞塔有限公司 VPN 监视 和问 题解答 IP Sec VPN 按 如 下步骤 配置 IPSec 冗余 ： 1 最 多可以 为 三 个 VPN 连接 添加 第一 阶 段参 数 。 除了 网关 名 和 IP 地址 以外， 为 每 个 VPN 连接 输 入一 样 的 数值 。 确 保 远 程 VPN 端 点（ 远 程网关）有 静态 IP 地址 。 ?[...]

IPSe c VPN VPN 监视 和问 题解答 Fort iGate-1 000 安装和配置指南 201 图 27: 自动 IKE 密钥通道状态 查看拨 号 VPN 连接的 状态 您可以使用 拨 号 监 视器查看拨 号 VPN 的连接 状态 。 拨 号 监视器 列出 了远 程 网关和 每 个网关 上 处于 活 动 状态 的 VPN 通道 。 监视器上 还 [...]

202 美国飞塔有限公司 VPN 监视 和问 题解答 IP Sec VPN[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 203 PPTP 和 L2TP VPN 您可以使用点 对 点 隧 道 协议 （ PPTP ）和第 二层 隧 道 协议 （ L2TP ）在 运 行 Wind wos 操作 系统的 远 程客户电 脑 和您的内部网络之 间建立 一个虚拟专用网络 （ VPN ）。 PPTP 和 L2[...]

204 美国飞塔有限公司 配置 PPTP PPTP 和 L2TP VPN 图 29: Windo ws 客户和 FortiG ate 之 间 的 PPTP VPN 把 FortiGate 配置 为 PPTP 网关 按 照 以 下步骤 将 FortiGate 设备配置问 PPTP 网关： 添加 用户 名 和 组 按 以 下步骤为 每 个 PPT P 客户 端添加 一个用户： 1 进 入 用户 > 本 地 。 [...]

PPTP 和 L2TP VPN 配置 PPTP Fort iGate-1 000 安装和配置指南 205 图 30: PPTP 地址 范 围 配置的例子 添加 一个 源地址 对 PPTP 地址 范 围 中的 每 个 地址添加 一个 源地址 。 1 进 入 防火墙 > 地址 。 2 选 择 PPTP 客户 要 连接到的接口。 可以 是 接口、 VLAN 子接口或 区域 。 3 [...]

206 美国飞塔有限公司 配置 PPTP PPTP 和 L2TP VPN 6 单击 确 定以 添加 这 个 地址组 。 添加 一个目的 地址 添加 一个 PPTP 用户可以连接到的 地址 。 1 进 入 防火墙 > 地址 。 2 选 择 一个内部接口 或者 DMZ 接口。 ( 对 于不 同 型号的的 FortiGate ， 方法 一 些 差 别 。 ) 3[...]

PPTP 和 L2TP VPN 配置 PPTP Fort iGate-1 000 安装和配置指南 207 9 重 新启动电 脑 。 配置 PPTP 拨 号连接 1 进 入 我 的电 脑 > 拨 号 网络 > 配置 。 2 双 击 新 建拨 号连接 。 3 为 连接 起 一个 名 字 ， 然 后单击 下 一 步 。 4 输 入 要 连接到的 FortiGate 的 主 机 名 或者 IP[...]

208 美国飞塔有限公司 配置 PPTP PPTP 和 L2TP VPN 连接到 PPTP VPN 1 启动您在 上面步骤 中 刚刚 建立 的 拨 号连接。 2 输 入您的 PPTP VPN 用户 名 和 密码 。 3 单击 连接 。 4 在连接 窗 口， 输 入您用 来 连接到您的 拨 号网络连接的 用户 名 和 密码 。 这 个用户 名 和 密码[...]

PPTP 和 L2TP VPN L2TP VPN 配置 Fort iGate-1 000 安装和配置指南 209 11 确 定以 下 选项 没 有 没 选中 ： · 微 软 网络的文件和 打 印 共享 · 微 软 网络客户 12 单击 确 定 。 连接到 PPTP VPN 1 连接到您的 ISP 。 2 启动您在 上面步骤 中 刚刚 配置的 VPN 连接。 3 输 入您的 PPTP VPN ?[...]

210 美国飞塔有限公司 L2TP VPN 配置 PP TP 和 L2TP VP N 图 31: Windo ws 客户和 FortiG ate 之 间 的 L2TP VPN 把 FortiGate 配置 为 L2TP 网关 按 以 下步骤 将 Fort iGate 设备配置 为 L2TP 网关： 添加 用户和用户 组 为 每 个 L2TP 客户 端添加 一个用户： 1 进 入 用户 > 本 地 。 2 添加并 ?[...]

PPTP 和 L2TP VPN L2TP VPN 配置 Fort iGate-1 000 安装和配置指南 211 图 32: L2TP 地址 范 围 配置的例子 6 把 L2TP 地址 范 围 中的 地址添加 到外部 区域地址 列表 。 这些 地址 可以 放 进 一个外部 地址 组 里 。 7 在连接到目的 区域 中 添加 L2TP 用户可以连接的网络 地址 。 这?[...]

212 美国飞塔有限公司 L2TP VPN 配置 PP TP 和 L2TP VP N 3 输 入一个用于 识别 地址组 的 组名 称 。 这 个 名 称 可以包含 数 字 (0-9), 大 写 或 小 写 字 母 (A- Z, a-z), 以及特 殊 字 符 - 和 _ 。 不能包含其他字 符 和 空 格 。 4 要添加地址组 ，在 可用 地址 列表中选 择 一个 [...]

PPTP 和 L2TP VPN L2TP VPN 配置 Fort iGate-1 000 安装和配置指南 213 4 在 目的 地址 一 栏 ， 输 入您 要 连接的 FortiGate 的 地址 ， 单击 下 一 步 。 5 将连接设置 为 只 有 我 自 己 可以使用 此 连接 ， 单击 下 一 步 。 6 单击 完成 。 7 在连接 窗 口， 单击 属 性 。 8 选 择 安[...]

214 美国飞塔有限公司 L2TP VPN 配置 PP TP 和 L2TP VP N 4 在连接 窗 口， 输 入您的 拨 号网络连接的用户 名 和 密码 。 这 个用户 名 和 密码 不 同 于您的 L2TP VPN 用户 名 和 密码 。 配置 WindowsXP 客户的 L2TP 按 照 以 下步骤 配置 运 行 WindowsXP 系统的电 脑 使得它能 够 连?[...]

PPTP 和 L2TP VPN L2TP VPN 配置 Fort iGate-1 000 安装和配置指南 215 禁 用 IPSec 1 选 择 网络 标 签 。 2 选 择互联 网（ TCP/IP ） 协议属 性。 3 双 击 高 级 标 签 。 4 进 入 选项标 签 ，选 择 IP 安全 属 性。 5 确 认 不使用 IPSec 被 选中 了 。 6 单击 确 定 关 闭 连接 属 性 对话 ?[...]

216 美国飞塔有限公司 L2TP VPN 配置 PP TP 和 L2TP VP N[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 217 网络入侵检测系统 (NIDS) FortiGa te NIDS 是 一个 实 时的网络入侵 探 测 器 ，它 使用 攻击 定 义库 来 检测和 阻 止 各 种 各 样 的可 疑 的网络 数 据 流 和基于网络的 直 接 攻击 。 此 外， 当 发 生 [...]

218 美国飞塔有限公司 检测 攻击 网络入侵检测系统 (NI DS) 3 单击 应 用 以保 存 您所 做 的 修改 。[...]

网络入侵检测系统 (NI DS) 检测 攻击 Fort iGate-1 000 安装和配置指南 219 验 证 校验 和的配置 校验 和 验 证测 试通 过 FortiGa te 的文件， 确 保他 们在传送过程中 没 有 被 篡 改 。 NIDS 可以在 IP 、 TCP 、 UDP 和 ICMP 数 据 流上进 行 校验 和检 查 。如果 要进 行 最大 限 度[...]

220 美国飞塔有限公司 检测 攻击 网络入侵检测系统 (NI DS) 3 打 开网页 浏 览 器并 输 入以 下 URL ： http://www.fortinet.com/ids/ID< 攻击 ID> 记 住 要 包 括 这 个 攻击 ID 。 例如， 要查看 ssh CRC32 overf low /bin/sh 攻击 （ ID1 01646338 ）的 Fortine t 攻击分 析 网页，使用如 下 URL[...]

网络入侵检测系统 (NI DS) NIDS 攻击预 防 Fort iGate-1 000 安装和配置指南 221 添加 用户定 义 的特 征 您可以在一个文本 文件中 创建 用户定 义 特 征 列表 然 后 将它从管理 员 电 脑 中 上载 到 FortiGa te 设备。 关于如何 编 写 用户定 义 的 攻击 特 征 的 详 细 信息 ，请 [...]

222 美国飞塔有限公司 NIDS 攻击预 防 网络入侵检测系统 (NIDS) · 启用 NIDS 攻击预 防 · 启用 NIDS 攻击预 防特 征 · 设置特 征临界值 · 配置 握 手 溢 出特 征值 启用 NIDS 攻击预 防 1 进 入 NIDS > 预 防。 2 单击 左 上 角 的启用。 启用 NIDS 攻击预 防特 征 NIDS 预 防模 块[...]

网络入侵检测系统 (NI DS) NIDS 攻击预 防 Fort iGate-1 000 安装和配置指南 223 设置特 征临界值 您可以 表 7 中列出的 NIDS 攻击预 防特 征 的默认的 临界值 。 临界值 取 决 于 攻击 的 类 型。 对 于 淹 没 攻击 ， 临界值是 每 秒 接 收 到的包 的 最大数 目。 对 于 溢 出 攻[...]

224 美国飞塔有限公司 记 录 NIDS 攻击 日志 网络入侵检测系统 ( NIDS) 配置 握 手 溢 出特 征值 您可以设置 对握 手 溢 出特 征进 行检测的 临界值 、 队 列 长 度 和有 效期 。 1 进 入 NIDS > 预 防。 2 单击握 手 淹 没 特 征 旁 边 的 修改 。 3 输 入 临界值 。 4 输 入 ?[...]

网络入侵检测系统 (NI DS) 记 录 NIDS 攻击 日志 Fort iGate-1 000 安装和配置指南 225 减少 NIDS 攻击 日志 消 息和报 警 邮件的 数量 入侵 企 图可能产 生 大量 的 攻击消 息。 为 了帮助 您从 无 关的 警 报中 找 到 真 正 有用的信 息， FortiGate 设备提 供了减少 没 必 要 的 ?[...]

226 美国飞塔有限公司 记 录 NIDS 攻击 日志 网络入侵检测系统 ( NIDS)[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 227 防病毒保护 在防火墙 策略 中启用 了 防病毒保 护 功 能。 当 您启用一个防火墙 策略 中的防病毒保护 功 能时，您可以选 择 一个内容配置文件 来决 定防病毒保护的 程 度 。内容配置文件 可以 ?[...]

228 美国飞塔有限公司 防病毒扫描 防病毒保护 6 配置 FortiGat e 设备在 阻塞 或 删除 被感染 的文件时发送 的报 警 邮件，请 见 日志和 消 息 参 考 指南 中的 “ 配置报 警 邮件 ” 。 防病毒扫描 病毒扫描可以从启 用 了 防病毒保护 功 能 的内容 流 中 截 取 大 多 数 [...]

防病毒保护 文件 阻塞 Fort iGate-1 000 安装和配置指南 229 图 37: 病毒扫描的内容配置文件的例子 文件 阻塞 启用文件 阻塞删除 所有的文件以 阻 止 潜 在的 威胁 ， 并对计 算 机病毒 攻击 提 供最好 的 保护。 只 有出现防 病毒扫描 功 能不能发 现的新病毒的时 候 才 ?[...]

230 美国飞塔有限公司 隔离 防病毒保护 默认 情况 下 ， 当阻塞功 能启用时， FortiGate 按 照 以 下 文件 名样板阻塞 文件： · 可 执 行文件 (*.bat, * .com, 和 *.e xe) · 压缩 或 存 档文件 (*.gz, *.ra r, *.tar, *.tg z, 和 *.zip) · 动 态 链 接 库 文件 (*.dll) · HTML 应 用程序 (*.hta) ·[...]

防病毒保护 隔离 Fort iGate-1 000 安装和配置指南 231 在 FortiGat e 设备中， 被隔离 的文 件的文件 名显示 在 隔离 列表 里 。列 表 显示 每 个 被 隔离 的文件的 状态 、 副 本 数 和时 间 信息。您可 以根据 这些 条 件 对 列表 进 行 排 序和过滤。 您 也 可以从 这 个列?[...]

232 美国飞塔有限公司 隔离 防病毒保护 隔离 列表 排 序 您可以根据 状态 （ 感染 或 阻塞 ） 、服务 (IMAP, POP3, S MTP, FTP, 或 HTTP), 文件 名 的字 母 顺 序、 隔离 日 期 、 剩 余 时 间 (TTL ) 或 副 本 数 将 隔离 列表 排 序。 1 进 入 病毒防护 > 隔离 。 2 在列表 排 序中[...]

防病毒保护 阻塞 过 大 的文件和电子邮件 Fort iGate-1 000 安装和配置指南 233 2 单击下载 以 原 始 格 式 下载被隔离 的文件 。 配置 隔离 选项 您可以指定 FortiGate 设备 是 否 隔离被感染 的文件、 被阻塞 的文件或 两 者 都 隔离 。 您可以指定从网页 、 FTP 和电子邮件 [...]

234 美国飞塔有限公司 查看 病毒列表 防病毒保护 按 以 下 方法 将 FortiGate 设备配置 为 传 递 邮件 片 段： 1 在内容配置文件中 启用邮件 片 段传 递 。 2 在防火墙 策略 中选 种 病毒防护和网 页过滤。例如， 要 传 递 由内 部网络用户到外部网 络 的邮件 片 段，选 ?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 235 网页内容过滤 在防火墙 策略 中可以启用网页内 容过滤 功 能。您在一 个防火墙 策略 中启用 了 防病毒 和网页过滤 功 能 后 ，可以选 择 一 个内容配置文件以 控制对 HTTP 通讯 的网页过滤 方 式?[...]

236 美国飞塔有限公司 内容 阻塞 网页内容过滤 4 配置 当 FortiGa te 设备 阻塞 不 受欢迎 的内容或不 受欢迎 的 URL 的时 候 用户 收 到的信息。 请 见 第 137 页 “ 定 制替 换信息 ” 。 5 配置 FortiGat e 设备在 阻塞 或 删除 一个 受 感染 的文件的时 候 发送一 封 报 警 邮[...]

网页内容过滤 阻塞对 URL 的访问 Fort iGate-1 000 安装和配置指南 237 图 38: 禁忌词汇 列表 举 例 阻塞对 URL 的访 问 您可以使用 FortiGate 网页过滤 功 能或 Cerbe rian 网页过滤 器阻塞 不 受欢迎 的内 容。 · 使用 FortiGa te 网页过滤 器 · 使用 Cerberi an 网页过滤 器 使用 FortiGat[...]

238 美国飞塔有限公司 阻塞对 URL 的访问 网页内容过滤 3 输 入 要阻塞 的 U RL 。 输 入一个 顶 级 URL 或者 IP 地址 可以 阻塞对 一个 站 点 上 所有网页的访问。 例如， www.badsite.com 或者 122.133.144.155 阻塞了对 这 个 站 点 上 所有网页的访问 。 输 入一个 顶 级 URL 后 面[...]

网页内容过滤 阻塞对 URL 的访问 Fort iGate-1 000 安装和配置指南 239 下载 URL 阻塞 列表 您可以将 URL 阻塞 列表备 份 ， 方法 是 将它 下载 到管理 员 电 脑上 保 存为 文本文件。 1 进 入 Web 过滤 器 > URL 阻塞 。 2 选 择 下载 URL 阻塞 列表 。 FortiGa te 将 把 URL 阻塞 列表[...]

240 美国飞塔有限公司 阻塞对 URL 的访问 网页内容过滤 如果您 为 您的 FortiGate 设备 购买 了 Cerberian 网页过滤 功 能， 按 照 以 下步骤为 FortiGa te 设备配置 Cerberian 网页过滤 器 。 一 般 配置 步骤 要 使用 Cerberi an 网页过滤 器 ，您 需 要 ： 1 安装 Cerberia n 网页过滤 ?[...]

网页内容过滤 阻塞对 URL 的访问 Fort iGate-1 000 安装和配置指南 241 配置 Cerberian 网页过滤 您在 FortiGat e 设备中 添加了 Cerberian 网页过滤用户之 后 ，可 以将用户 添加 到 Cerberi an 网页过滤服务 器 的用户 组 中。 然 后 您可以 创建策 略并 将 策略应 用到 这 个用户 组 [...]

242 美国飞塔有限公司 脚 本过滤 网页内容过滤 脚 本过滤 使用以 下 方法 可以将 FortiGate 配置 为 从网页中 删除脚 本。您可以将 FortiGate 配 置 为阻塞 java 小 程序、 cookies 和 Active X 。 · 启用 脚 本过滤 · 选 择脚 本过滤选项 启用 脚 本过滤 1 进 入 防火墙 > 内容?[...]

网页内容过滤 URL 排除 列表 Fort iGate-1 000 安装和配置指南 243 URL 排除 列表 在 URL 排除 列表中 添加 的 URL 是为了避免 正常 的 数 据 流被 内容过滤或 URL 过滤 功 能 意外 地阻塞 掉 。例如，如果内容过滤 被 设置 为阻塞 含有关于 色 情 描 写 的 词汇而 一个 著 名 的 [...]

244 美国飞塔有限公司 URL 排除 列表 网页内容过滤[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 245 电子邮件过滤 防火墙 策略 中可以 使用电子邮件过滤。 当 您在一个防火墙 策略 中启用 了 病 毒防护和 网页过滤，您可以 选 择 一个内容配置文 件用 来 控制 电子邮件过滤 功 能如何 处理邮件 ?[...]

246 美国飞塔有限公司 电子邮件 阻塞 列表 电子邮件过滤 您可以用 西方 字 符 集 、简 体 中文、 繁 体 中文、 日文、或 韩 文字 符 集 使用多 种 语 言 在 列表中 添加禁忌词 汇 。 在 禁忌词汇 列表中 添加单词 或 短语 1 进 入 Web 过滤 器 > 内容 阻塞 。 2 单击 新 [...]

电子邮件过滤 邮件 排除 列表 Fort iGate-1 000 安装和配置指南 247 3 输 入一个 阻塞 模 板 。 ·要 标 记 来 自一个特定 地址 的所有邮件 ， 只需输 入 这 个邮件的 地址 。例如， sender@abccompany.com 。 ·要 标 记 从特定 域 来 的邮件， 输 入 域名 。例如， abccompany.com 。 ·[...]

248 美国飞塔有限公司 添加 一个 主题 标 签 电子邮件过滤 添加 一个 主题 标 签 当 FortiGat e 设备从一个不 受欢迎 的 地址 收 到电子邮件 、或 收 到含有邮件 禁忌词汇 列表中的 词汇 的邮 件的时 候 ， FortiGate 设备将在 主题 中 添加 一个标 签并 将 消 息 发送到 邮?[...]

FortiG ate-100 0 安装和配置指南 2. 50 版 Fort iGate-1 000 安装和配置指南 249 日志和报告 您可以将 FortiGate 设备配置 为记 录网络的各 种活 动，从 常 规配置的 改 变 和 通讯 会 话 直 到 紧急事 件。您 还 可以将 FortiGate 设备配置 为 发送 警 报邮 件 消 息以提 醒 系统管 理[...]

250 美国飞塔有限公司 记 录日志 日志和报告 在 远 程电 脑上记 录日志 以 下操作 用于将 FortiGat e 配置 为 将日志 消 息 记 录到一 台 远 程电 脑上 。 这台 远 程电 脑 必 须 配置 为 一个系统日志服务 器 。 1 进 入 日志 与 报告 > 日志 设置 。 2 选 择 记 录日志到 [...]

日志和报告 记 录日志 Fort iGate-1 000 安装和配置指南 251 以 下操作 设置日志 的 记 录 方 式 为记 录到 硬盘 ： 1 进 入 日志 与 报告 > 日志设置 。 2 选 择 记 录到本 地 。 3 输 入一个日志文件 的 最大值 ( 以 兆 字 节为单 位 ） 。 当 日志文件的 大小 达 到 这 一 ?[...]

252 美国飞塔有限公司 过滤日志 消 息 日志和报告 过滤日志 消 息 您可以选 择记 录 哪 种 日志和在 每种 日志中 记 录 哪 类 消 息。 1 进 入 日志和报告 > 日志设置 。 2 选 择 配置 策略 设置您在 第 249 页 “ 记 录日志 ” 选 择 的日志 记 录 位 置。 3 选 择 您 希?[...]

日志和报告 配置 通讯 日志 Fort iGate-1 000 安装和配置指南 253 图 43: 日志过滤配置的例子 配置 通讯 日志 您可以将 FortiGate 设备配置 为记 录以 下 连接的 通讯 日志 消 息： · 任意接口 · 任意 VLAN 子网络接口 · 任意防火墙 策略 FortiGa te 设备可以根据任 何 源地址 、?[...]

254 美国飞塔有限公司 配置 通讯 日志 日志和报告 启用 通讯 日志 您可以 对 任何接口 、 VLAN 子接口和防火墙 策略 启 用日志 记 录。 在网络接口 上 启用 通讯 日志 如果您 对 某 个网络接口启 用 了通讯 日志 记 录， 所有到 此 接口和 通 过 此 接口 的网络连 接将 [...]

日志和报告 配置 通讯 日志 Fort iGate-1 000 安装和配置指南 255 3 单击应 用。 图 44: 通讯 过滤列表的例子 添加通讯 过滤的 条 目 在 通讯 过滤列表中 添加条 目可以过滤 通讯 日志 记 录的 消 息。如果您不在 通讯 过滤列 表中 添加 任何 条 目， Fort iGate 记 录所有的 ?[...]

256 美国飞塔有限公司 查看记 录到内 存 的日志 日志和报告 图 45: 新 通讯地址条 目的例子 查看记 录到 内 存 的日志 如果 FortiGat e 被 配置 为 在内 存 中 记 录日志。您可以使用基于 Web 的 管理程序 来 查 看 、 搜索 和 清 除 日志中的 消 息。本 节 讨 论 了 ： · 查[...]

日志和报告 查看 和管理保 存 在 硬盘上 的日志 Fort iGate-1 000 安装和配置指南 257 5 选 择 或 可以 搜索与 某 个或 多个 给 定 条 件 匹 配的 消 息。 6 选 择 以 下 一个或多个 搜索 条 件： 7 单击 确 定 开始 搜索 基于 Web 的管理程序 会 显示 出 符 合 给 定 搜索 条 件?[...]

258 美国飞塔有限公司 查看 和管理保 存 在 硬盘上 的日志 日志和报告 2 选 择 事 件日志、 攻击 日 志、防病毒日志、 网页过滤日志或电子 邮件过滤日志。 3 对要查看 的日志文 件， 单击查看 。 4 单击 在您 正 在 查看 的日志文件中 搜索消 息。 5 选 择 与 可以 搜?[...]

日志和报告 配置报 警 邮件 Fort iGate-1 000 安装和配置指南 259 删除 一个保 存了 的日志文件 按 照 如 下步骤操作 可以 删除 一个保 存了 的日志文件： 1 进 入 日志和报告 > 记 录日 志。 2 选 择流量 日志， 事 件日志 ， 攻击 日志，病毒防 护日志，网页过滤日 志?[...]

260 美国飞塔有限公司 配置报 警 邮件 日志和报告 6 在 邮件发送到 一 栏 最 多可以 输 入 三 个目的 地址 。 这 个 地址是 FortiG ate 将报 警 邮件 实 际 发送到的 电子邮件 地址 。 7 单击 应 用 以保 存 您的报 警 邮件设定。 测 试 报 警 邮件 您可以 通 过发送测 试 邮[...]

Fort iGate-1 000 安装和配置指南 261 FortiGa te-1000 安装和配置指南 2.50 版 术语表 连接： 两台 电 脑 之 间 、 应 用 程序之 间 、 进 程之 间 或者其 他 诸 如 此类 的 对 象 之 间 的物理 上 或 逻 辑上 的 联 系，或 者 两 者 都 有的 联 系。 DMZ, 非 军 事 区 ： 用 来 提 供?[...]

262 美国飞塔有限公司 术 语 表 MTU ， 最大 传 输 单 元 ： 一 个网络可以传 输 的 数 据包的 最 大 物理 尺寸 ，以字 节为单 位 。任何 大 于 MTU 的 数 据包在 发送之 前 都 会 被分成 较 小 的 数 据包 。理 想情况 下 ，网络 中的 MTU 应当等 于从您的电 脑 到目的 地 ?[...]

Fort iGate-1 000 安装和配置指南 263 FortiG ate-100 0 安装和配置指南 2.50 版 索引 A ActiveX 242 从网页中 删除 242 admin 级 别 访问 管理 员帐 号 133 安装 向 导 32, 45 启动 32, 46 B 病毒定 义 更新 97 病毒定 义 更新 手动 85 下载 108 自动 93 病毒防护 概 述 227 病毒防护更新 任务 计 ?[...]

264 美国飞塔有限公司 索引 策略 列表 配置 148 重 命 名区域 110 从内容和 URL 阻塞 中 排除 URL 243 cookies 阻塞 242 测 试 报 警 邮件 260 超 时 防火墙认证 132 IPSec V PN 200, 201 基于 Web 的管理程序 132 空闲 132 重 新启动 88 操作 模式 转 换 87, 88 D DHCP 内部网络 121 带宽 保证 147 [...]

索引 Fort iGate-1 000 安装和配置指南 265 服务 组 156 G 高可用性 介 绍 5 关 闭 88 固 定 端 口 146 过 大 的文件和电子邮件 阻塞 233 固 件 安装 78 从 CLI 升级 75 重 新安装 当前 版本 78 恢复 到 旧 的版本 78 升级 74 使用 CLI 升级 76 使用基于 WEB 的管理程序 升级 74 使用基于 Web[...]

266 美国飞塔有限公司 索引 IP 池 添加 163 IP 地址 从 CLI 配置 47 IP 地址 IP/MAC 绑 定 164 P 地址 使用 前面板控制按钮 和 LCD 33, 46 IP 欺骗 164 IPSec 26 1 176 IPSec V PN 用户 组 认证 176 远 程网关 176 超 时 200, 20 1 禁 用 213, 21 5 手工 密钥 180 预 置 密钥 180 自动 IKE 180 证 书 180 状态[...]

索引 Fort iGate-1 000 安装和配置指南 267 LDAP 服务 器 添加 服务 器地址 175 删除 175 连接 到基于 Web 的管理程序 18 到您的网络 34 到网络 48 邻居 RIP 127 流量控制 策略 选项 147 流量 日志 删除 所有 消 息 258, 25 9 流通 日志 策略 148 防火墙 策略 148 联 系信息 SNMP 135 路由 配?[...]

268 美国飞塔有限公司 索引 Q 清 除 通讯 会 话 91 URL 阻塞 列表 238 启动 17 起 点 IP L2TP 210 PPTP 204 启动时 间 显示 86 启用 策略 150 权限 管理 员帐 号 135 区域 重 命 名 110 配置 109 添加 109 R RADIUS 定 义 262 配置 举 例 174 RADIUS 服务 器 删除 174 添加 服务 器地址 173 蠕虫 防?[...]

索引 Fort iGate-1 000 安装和配置指南 269 搜索 日志 257 保 存 到 FortiGa te 硬盘 的日志 257 记 录到内 存 的日志 256 受 信 主 机 管理 员帐 号 134, 13 5 使用基于 WEB 的管理程序 升级固 件 74 设置时 间 131 T 同步间隔 131 TCP 配置 验 证 校验 和 219 替 换信息 举 例 138 透明模式 3 [...]

270 美国飞塔有限公司 索引 网络入侵 侦 测系统 217 网络 掩 码 添加地址 151 网页 内容 阻塞 236, 24 5 网页过滤 概 述 245 网页内容过滤 ActiveX 242 cookies 242 概 述 235 Java 小 程序 242 介 绍 2 X 向 导 启动 32, 46 设置防火墙 32, 45 陷阱 SNMP 137 陷阱 接 收 器 IP 地址 SNMP 136 陷阱 ?[...]

索引 Fort iGate-1 000 安装和配置指南 271 自动 攻击 定 义 更新 93 自动 IKE 180 介 绍 180 预 置 密钥 180 AutoIKE 证 书 180 终 点 IP 地址 PPTP 204 终 点 IP 地址 L2TP 210 只 读 级 别 访问 管理 员帐 号 133 阻塞 网页 236, 24 5 在内 存 中 记 录日志 查看 保 存 的日志 256 在 NetIQ W ebTrend s[...]

272 美国飞塔有限公司 索引[...]