Posts tagged ‘天融信’
2020年更新：
ftp://ftp.topsec.com.cn/
用户名：topseccs
密码：topseccs1@#
============================================================================
2017年更新：最近发现天融信的FTP服务器变更为了ftp://ftp.topsec.com.cn/，用户名：topsec，密码：topsec2016（不知道后期密码会不会改成topsec2017，如果进不去也可以打天融信800电话询问）。
============================================================================
两台天融信FTP服务器，里面资料很全，内容两台是一样的。
地址：ftp://219.141.223.195 或者 ftp://202.99.27.198。
两台天融信TG-32A-UTM统一威胁管理设备（简称UTM），上联核心区包括两台CISCO 3750G三层交换机，下联接入区两台CISCO 2960G二层交换机，如下图所示：
1、环境描述：
(1) 两台UTM与上、下交换机都通过TRUNK口来连接
(2) UTM将核心交换机上的VLAN1(管理VLAN)、VLAN9(核心应用网段1)、VLAN188(核心应用网段2)透传至CISCO2960G接入交换机上
(3) 两台UTM的心跳口为路由口，主UTM IP为200.200.200.1/30，备UTM IP为200.200.200.2/30
(4) 两台UTM启用生成树协议
2、主UTM配置
将笔记本与UTM的eth0口相连，笔记本配置192.168.1.x段，然后使用浏览器打开https://192.168.1.254，输入superman/talent进入管理主界面。
（1）心跳口配置
将eth9作为心跳口，配置心跳IP为200.200.200.1，如下图，描述写HA，地址处填200.200.200.1，掩码255.255.255.252，非同步地址打钩（即为心跳口，非心跳口不用打钩），点击添加，再点击确定，这样就完成心跳口地址的配置。
（2）TRUNK口配置
与上、联两台交换机相连共需要要UTM设备的4个接口，这里选择eth1-4。如需配置eth1为trunk口，首先从“网络管理”->“接口”并点击接口的配置按扭来进入接口的配置界面，然后进行如下填写，模式选择“交换”，类型trunk，VLAN范围选择刚才定义的三个VLAN：1、9、188，封装选择802.1q，点击确定。这样即完成了一个接口的配置。
当4个接口都完成了，即为如下图所示。
（3）新建区域
进入左边菜单的“资源管理”->“区域”配置界面，创建两个上联及下联区域，用于后面创建访问控制规则之用，如下图。
（4）开启生成树协议
进入“网络管理”->“二层网络”->“VLAN”选项，点击“生成树”，在开启上打钩，点击确定来启用生成树，如下图所示。
（5）添加VLAN
就像交换机一样，当要让UTM透传VLAN19188这三个VLAN时，UTM本身需要创建这三个VLAN，进入“网络管理”->“二层网络”->“VLAN”选项，点击“添加”：
在出现的对话框中输入1，点击确定，VLAN1创建完成，用同样的方法创建VLAN9和VLAN188。
完成创建后，即为如下图所示效果。
（6）高可用性配置
心跳本地地址为本机的心跳地址200.200.200.1，对端为备UTM的地址，规划为200.200.200.2，身份为主，打开抢占功能，监控端口为eth1-4的trunk口，输入后点击应用，再点击启用即可。
下图中的“监控接口异常”是因为UTM还未插网线导致。
至此，主UTM配置完成。
3、备UTM配置
将笔记本与UTM的eth0口相连，笔记本配置192.168.1.x段，然后使用浏览器打开https://192.168.1.254，输入superman/talent进入管理主界面。
（1）心跳口配置
将eth9作为心跳口，配置心跳IP为200.200.200.2，如下图，描述写HA，地址处填200.200.200.2，掩码255.255.255.252，非同步地址打钩（即为心跳口，非心跳口不用打钩），点击添加，再点击确定，这样就完成心跳口地址的配置。
（2）高可用性配置
心跳本地地址为本机的心跳地址200.200.200.2，对端为主UTM的地址，规划为200.200.200.1，身份为备，打开抢占功能，监控端口为eth1-4的trunk口，输入后点击应用，再点击启用即可。
4、启用双机热备
完成以上配置后，将两台UTM的接口与交换机都连接好，包括心跳网口。完成后，可以查看两台UTM设备的M/S灯，M/S灯亮的即为主防火墙。
5、配置同步
因为备UTM刚才只配置了双机信息，没有其它配置，需要通过主UTM来同步配置至备UTM。登陆主UTM，进入“高可用性”->“高可用性”，点击如下图中的按扭完成主UTM向备UTM同步配置的操作。
6、查看配置
经过以上配置后，UTM的双机热备已经建立，运行时，只有主UTM进行数据的转发，备UTM不参与数据转发。可以想像成只有一台UTM在工作的环境。所以在拓扑图中，运行时会出现如下的一个网络环：
进入“网络管理”->“二层网络”->“VLAN”选项，点击后面的生成树按扭，可以看到主UTM与备核心3750交换机相连的口为blocking状态，如下图所示。
双机热备运行时，当主UTM eth1-4口中有一个端口DOWN掉，UTM都会自动切换至备UTM上，完成双机的切换工作。
天融信老40000防火墙都是通过客户端管理软件来管理，即topsec集中管理器（下载）。如下图所示：
在2012年1月1日后，老4K防火墙出现了证书过期不能管理的情况，天融信针对此出了个证书升级方案，点击下载（包括升级方法及证书）。
by funpower，2010年3月24日20：33，funpower#gmail.com，转载请注明出处。水平有限，文中难免有错误，望指正。
之前在软路由RouterOS上启用过PPTP，这次是在天融信防火墙上启用PPTP服务，使外网用户可以拨入企业的内网网络来访问相关资料。
网络说明：
1、防火墙外网口IP：218.50.80.xxx/248，内网口IP：192.168.2.253/24
2、连接企业内网服务器资源网络：192.168.2.0/04
3、内网服务器网络IP：192.168.28.0/24
4、远端用户端入后的IP地址范围：192.168.2.50-192.168.2.60
5、本例中建立一个pptp用户：用户名pptpuser，密码000000
配置步骤：
1、启用PPTP服务
默认防火墙是关闭PPTP服务的，所以需要先开启。通过https://192.168.2.253登陆防火墙后，点击左边菜单栏的“系统管理”->“配置”->“开放服务”，点击“添加”按扭，服务名称选择“PPTP”，控制区域选择防火墙的外网口，这里为“area_eth11”，控制地址选择“ANY”，即为任何人都可以连接，设置完后点击“确定”。
2、设置PPTP服务
左边菜单栏选择“虚拟专网”->“PPTP”，对右边栏进行设置，PPTP端口一般默认，使用1723，本地地址使用规划好的分配IP范围中的一个，这里使用192.168.2.50，剩下的都作为外网用户拨入后的地址，如下图。
另外，在“防火墙”->“访问控制”栏中，确保没有将1723端口阻止的规则。
这样，PPTP基本的设置就完成了。下来就可以新建网络链接来测试PPTP。连接成功后，就获取到了192.168.2段的地址。在防火墙上也可以看到连接过来的链接，如下图。
命令行操作：
pf service add name pptp area area_eth11 addressname any
network pptp set ip-pool local 192.168.2.50 min_ip 192.168.2.51 max_ip 192.168.2.60
network pptp start
