您的位置：首页 > 其它

宽带篇(5.4) 03. 防火墙策略 ❀ 飞塔 (Fortinet) 防火墙

2017-10-26 10:40 1236 查看

　　【简介】在这个实验里，你将在FortiGate飞塔防火墙建立防火墙策略。

建立防火墙地址对象和策略

在这个练习里，你将配置防火墙地址对象，你还将配置IPv4防火墙策略，并在其中使用防火墙地址对象，以及时间表、服务和日志选项。然后，你将测试通过防火墙策略的流量，并检查你的流量的日志。

① 选择菜单【策略&对象】－【地址】。我们可以看到系统已经默认建立了很多地址，点击【新建】－【地址】。

② 输入用户名，标明是本地内网地址，输入内网地址网段，接口默认any ，也可以直接指定某个接口，这样在策略里只有符合这个接口的地址对象才会显示，点击【确认】。

③ 选择菜单【策略&对象】－【IPv4】。新设备通常只有一条隐含策略和一条上网策略，所有的策略都需要我们去新建。点击【新建】。

④ 新建一条上网策略，输入易于理解的用户名，流入接口选择内网接口，流入接口选择宽带接口，源地址选择刚才新建的地址对象，很多人也会用默认的ALL，建议在策略里尽量少用ALL地址。服务里我们可以选择常用的上网服务，但在现在上网并不单纯的打开网页，还要使用QQ等软件，所以通常也会默认为ALL。内网访问宽带，一定要启用NAT。日志记录选择全部会话，这样虽然会产生大量日志，影响部分防火墙的性能，但是可以查询、分析故障原因。

⑤ 如果要查看通过这条策略的日志，可以在策略上点击鼠标右键，选择【显示区配日志】。

⑥ 会跳转到转发流量日志，过滤的条件是策略UUID。

⑦ 我们也可以用FortView查看通过此策略的内容，在策略上点击鼠标右键，选择【在FortiView中显示】。

⑧ 我们可以看到通过这条策略更多的详细信息。

对防火墙策略[b]重新排序[/b]

在源接口与目标接口都相同的策略里，FortiGate执行策略的次序是从上到下，所以通常你应该把优先执行的策略放在首位，否则，更一般的策略将首先与流量匹配，而你的更细粒度的策略将永远不会被应用。

① 新建一条常规的全开放的上网策略，流入接口和流出接口与上一次建立的策略相同。

② 默认情况下，我们只能看到策略的Seq.#，也就是序列号。在标题上（不是策略上）点击鼠标右键，弹出菜单可用的列里选择ID。

③ 鼠标按住ID，拖动鼠标，可以改变ID在列表中的顺序，我们拖到Seq.#下面。

④ 现在我们可以看到，Seq.#是策略的顺序ID，而ID才是策略的真实ID，在CLI命令模式下，都是用这个ID的。

⑤ 鼠标按住序列号，上、下拖动鼠标，就可以更改策略的顺序了，顺序在上面的优先执行。例如源地址为ALL的ID号为1的策略在上面的话，将优先执行，而更细粒度的ID为8的策略将不再执行。

设备识别

通过在源字段中选择设备，可以通过设备类型来匹配流量。有两种类型的设备识别。一种是无代理设备识别，使用来自设备的流量和由MAC地址索引的设备。另一种是使用FortiClient基于代理的设备识别，它将唯一的FortiClient ID发送到FortiGate。在这个实验室里，你将使用无代理设备识别技术。你将在源字段中添加该设备到现有的防火墙策略，并观察防火墙策略源匹配行为。