天清汉马USG防火墙_命令行用户手册.doc

天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 I 天清汉马 USG 防火墙 命令行用户手册 北京启明星辰信息安全技术有限公司 Beijing Venus Information Security Inc. 二零一一年九月 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 II 天清汉马 USG 命令行用户手册 手册版本 V4.0 产品版本 V2.6.4.0 资料状态 发行 版权声明 启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。 本手册的版权归启明星辰公司所有。未得到启明星辰公司书面许可，任何 人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、 传播、翻译成其他语言、将其部分或全部用于商业用途。 免责声明 本手册依据现有信息制作，其内容如有更改，恕不另行通知。启明星辰公 司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不 对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。 Users Manual Copyright and Disclaimer Copyright Copyright Venus Info Security Inc. All rights reserved. The copyright of this document is owned by Venus Info Security Inc. Without the prior written permission obtained from Venus Info Security Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. Disclaimer This document and the information contained herein is provided on an “AS IS”basis. Venus Info Security Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Security Inc. shall not assume responsibility for losses or damages resulting from any 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 III omissions, inaccuracies, or errors contained herein. 副本发布声明 启明星辰公司的 USG 产品正常运行时，包含 3 款 GPL 协议的软件 （linux、zebra、OpenLDAP）。启明星辰公司愿意将 GPL 软件提供给已经购买 产品的且愿意遵守 GPL 协议的客户，请需要 GPL 软件的客户提供（1）已经购 买的产品的序列号，（2）有效送达 GPL 软件地址和联系人，包括但不限于姓 名、公司、电话、电子邮箱、地址、邮编等；（3）人民币 100 元的光盘费和快 递费，客户即可获得产品所包含的 GPL 软件。 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 IV 目录 第 1 章 系统管理27 1.1 VSOS 操作系统概述 27 1.1.1 命令行特性 .27 1.1.2 语法帮助 .27 1.1.3 使用语法帮助补齐命令 .28 1.1.4 命令中的符号 .28 1.1.5 命令简写 .28 1.1.6 命令模式 .29 1.1.7 常用命令介绍 .29 1.2 实现系统配置的途径 29 1.2.1 通过串口实现系统配置 .29 1.2.2 通过 Telnet 实现系统配置 30 1.2.3 通过 SSH 方式实现系统配置 .30 1.3 系统文件管理 30 1.3.1 copy 命令使用 30 1.3.2 保存配置文件 .31 1.3.3 多配置文件 .31 1.3.4 配置文件的上传与下载 .31 1.3.5 系统升级 .32 1.4 常用系统管理命令 32 1.4.1 开启、关闭 Telnet 服务 32 1.4.2 开启、关闭 SSH 服务 .32 1.4.3 查看谁在系统上 .32 1.4.4 清除登录用户 .32 1.4.5 查看系统的版本 .32 第 2 章 系统的引导34 2.1 bootLoader 概述 34 2.2 配置 bootLoader.34 2.2.1 进入 bootLoader .34 2.2.2 bootLoader 功能 1 配置网络参数 .35 2.2.3 bootLoader 功能 2 网络下载版本 .36 2.2.4 bootLoader 功能 3 网络启动版本 .36 2.2.5 bootLoader 功能 4 串口下载版本 .36 2.2.6 bootLoader 功能 5 串口启动版本 .37 2.2.7 bootLoader 功能 6 USB 下载版本 37 2.2.8 bootLoader 功能 7 USB 启动版本 37 2.2.9 bootLoader 功能 8 杂项功能 .37 2.2.10 bootLoader 功能 9 重启设备 38 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 V 第 3 章 配置会话管理39 3.1 会话管理概述 39 3.2 配置会话管理 39 3.2.1 缺省配置信息 .39 3.2.2 关闭/启动会话管理服务 40 3.2.3 配置会话管理连接限制 .41 3.2.4 配置会话管理老化时间 .42 3.2.5 配置协议管理 .44 3.3 会话监控与维护 44 3.3.1 查看会话限制值 .44 3.3.2 查看会话计数值 .45 3.3.3 查看会话默认老化时间 .45 3.3.4 查看设备当前连接 .46 3.3.5 删除设备当前连接 .47 3.3.6 统计设备当前连接 .47 3.4 常见故障分析 48 3.4.1 故障现象 1：限制值配置不起作用 48 3.4.2 故障现象 2：不能建流 48 第 4 章 配置管理员用户49 4.1 配置管理员 49 4.1.1 配置用户权限表 .49 4.1.2 配置本地用户 .49 4.1.3 配置 RADIUS 管理员用户 .50 4.1.4 配置 LDAP 管理员用户 50 4.1.5 配置管理员用户的管理地址 .50 4.1.6 配置管理员最短口令长度 .50 4.2 配置用户组 51 4.3 配置信息显示命令 51 4.4 配置案例 51 4.4.1 配置管理员用户的权限表功能 .51 4.5 故障分析 53 4.5.1 用户无法登录 .53 4.5.2 命令无法执行 .53 第 5 章 系统维护54 5.1 系统时间设置 54 5.1.1 查看系统连续运行的时间 .54 5.1.2 查看系统当前的日期和时间 .54 5.1.3 查看系统当前的时区 .54 5.1.4 配置系统当前的时区 .54 5.1.5 手动设置系统当前的日期和时间 .56 5.1.6 使用 ntp 设置系统当前的时间 .57 5.1.7 使用 ntp 立即更新系统时间 .57 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 VI 5.2 系统升级和相关配置备份恢复 57 5.2.1 手动升级及配置恢复 .57 5.2.2 自动升级 .58 5.3 系统诊断 58 5.3.1 Ping 命令的使用 .58 5.3.2 Traceroute 命令的使用 59 5.3.3 TCPSYN 命令的使用 .59 5.4 E-mail 设置 60 5.4.1 配置 SMTP 服务器名称或者地址 60 5.4.2 配置邮件发送者邮件地址 .60 5.4.3 配置邮件接收者邮件地址 .61 5.4.4 配置发送邮件时是否需要认证 .61 5.4.5 配置发送邮件时认证使用的用户名 .61 5.4.6 配置发送邮件时认证使用的密码 .61 5.4.7 配置 SSL 加密 61 第 6 章 双系统62 6.1 双系统概述 62 6.2 配置双系统 62 6.3 配置案例 63 6.4 监控与维护 64 6.4.1 查看双系统配置 .64 6.5 故障分析 64 6.5.1 故障现象 1： 64 第 7 章 系统监控65 7.1 概述 65 7.2 系统基线监控 65 7.2.1 配置监控 CPU 利用率 65 7.2.2 配置监控内存利用率 .65 7.2.3 配置监控系统连接数 .66 7.3 网络监控 66 7.3.1 监控网络地址 .66 7.3.2 监控网络设备端口 .66 7.4 WAN 接口流量 67 7.4.1 配置 WAN 接口流量 67 7.5 系统监控告警方式 67 7.5.1 配置系统监控告警方式 .67 7.6 显示系统监控配置信息 67 7.6.1 显示系统监控配置信息 .67 7.7 配置案例 68 7.7.1 告警配置 .68 第 8 章 接口69 8.1 配置以太网端口 69 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 VII 8.1.1 以太网端口概述 .69 8.1.2 配置以太网端口 .69 8.1.3 配置案例 .74 8.1.4 以太网端口监控与维护 .74 8.1.5 故障分析 .75 8.2 配置 VLAN 接口 76 8.2.1 VLAN 概述 .76 8.2.2 配置接口封装的链路层协议为 VLAN76 8.2.3 配置信息的显示 .76 8.2.4 配置案例 .76 8.2.5 故障分析 .77 8.3 配置透明网桥 78 8.3.1 透明网桥概述 .78 8.3.2 配置透明网桥 .78 8.3.3 配置网桥 STP.78 8.3.4 配置 IGMP Snooping .80 8.3.5 配置案例 .82 8.3.6 透明网桥监控与维护 .83 8.3.7 常见故障分析 .84 8.4 配置 GRE 接口 84 8.4.1 GRE 概述 .84 8.4.2 配置 GRE84 8.4.3 配置案例 .87 8.4.4 GRE 监控与调试 .88 8.4.5 常见故障分析 .88 8.5 配置链路聚合 Trunk 接口 .88 8.5.1 链路聚合 Trunk 概述 88 8.5.2 配置链路聚合 Trunk 接口 89 8.5.3 配置案例 .90 8.5.4 常见故障分析 .91 第 9 章 二三层链路状态联动92 9.1 二三层链路状态联动概述 92 9.2 配置二三层链路状态联动 92 9.3 配置案例 93 9.4 监控与维护 93 9.4.1 查看二三层联动配置 .93 9.5 故障分析 94 9.5.1 故障现象 1： 94 第 10 章 配置 DDNS 95 10.1 DDNS 概述 95 10.2 配置 DDNS .95 10.2.1 缺省配置 .95 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 VIII 10.2.2 配置 DDNS 服务提供商 .95 10.2.3 配置 DDNS 注册域名 .96 10.2.4 配置 DDNS 注册用户名 .96 10.2.5 配置 DDNS 注册密码 .96 10.2.6 启用 DDNS 功能 .96 10.3 DDNS 的监控与维护 96 10.3.1 查看配置信息 .96 10.3.2 查看接口 DDNS 状态 .97 10.3.3 调试 DDNS 97 10.4 常见故障分析 97 10.4.1 接口 DDNS 配置失效 .97 第 11 章 配置安全域98 11.1 安全域概述 98 11.2 配置向域中添加接口 98 11.3 配置区域内接口互访 98 11.4 配置案例 98 11.4.1 配置案例: 添加接口到域中 98 11.5 安全域监控与维护 99 11.5.1 查看域信息 .99 11.6 常见故障分析 99 11.6.1 故障现象： .99 第 12 章 配置 IPv6 101 12.1 IPv6 概述 101 12.1.1 IPv6 协议特点 .101 12.1.2 IPv6 地址介绍 .102 12.1.3 IPv6 邻居发现协议介绍 .2 12.1.4 IPv6 PMTU 发现 4 12.1.5 IPv6 过渡技术简介 .5 12.1.6 IPv6 隧道技术简介 .6 12.2 配置 IPv6 .3 12.2.1 使能IPv6 功能 3 12.2.2 配置 IPv6 单播地址 .3 12.2.3 配置 IPv6 邻居发现协议 .4 12.2.4 配置 IPv6 静 态 路 由 12-2 12.2.5 配置 IPv4/IPv6 双协议栈 .12-2 12.2.6 配置 IPv6 手动隧道 .12-3 12.2.7 配置 IPv6 6to4 隧道 12-4 12.2.8 配置 IPv6 ISATAP 隧道 .12-5 12.3 配置案例 .12-6 12.3.1 配置案例 1：基本 IPv6 手动隧道 12-6 12.4 IPv6 监控与维护 .12-7 12.4.1 查看 IPv6 隧道 .12-7 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 IX 12.4.2 常见故障分析 .12-8 第 13 章 DNS .13-9 13.1 DNS 概述 13-9 13.2 配置 DNS .13-9 13.2.1 缺省配置信息 .13-9 13.2.2 配置主 DNS 服务器 .13-9 13.2.3 配置从 DNS 服务器 .13-9 13.2.4 DNS 查询 .13-10 13.3 DNS 监控与调试 13-10 13.3.1 查看 DNS 调试信息 .13-10 13.4 配置案例 .13-11 13.4.1 配置案例: 13-11 13.5 常见故障分析 .13-12 13.5.1 故障现象 1：DNS 解析失败 .13-12 第 14 章 配置 SNMP.14-13 14.1 SNMP 协议概述 .14-13 14.2 配置 SNMP 14-13 14.2.1 缺省配置信息 .14-13 14.2.2 配置启用 SNMP 代理 14-13 14.2.3 配置设备物理地址 .14-14 14.2.4 配置 trap 地址 14-15 14.2.5 配置 community14-16 14.2.6 配置 SNMP 版本 14-17 14.2.7 配置 SNMP USM 用户 14-17 14.3 配置案例 .14-18 14.3.1 配置案例 1：通过 MIB Browser 访问设备 MIB 库 14-19 14.4 RIP 监控与维护 14-20 14.4.1 查看 usm 用户 14-20 14.4.2 查看调试信息 .14-21 14.5 常见故障分析 .14-21 14.5.1 故障现象 1：管理站不能访问代理站 MIB 库 .14-21 第 15 章 配置 NAT 15-23 15.1 NAT 概述 15-23 15.2 配置 NAT.15-24 15.2.1 配置地址池(NAT POOL) 15-24 15.2.2 配置 static NAT .15-24 15.2.3 配置 source NAT.15-25 15.2.4 配置 destination NAT.15-25 15.2.5 配置 destination NAT 自动映射 15-26 15.3 端口管理 .15-27 15.3.1 设置服务端口号 .15-27 15.4 配置案例 .15-28 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 X 15.4.1 配置 source NAT.15-28 图 15-1 Source NAT 配置案例组网图 .15-28 15.4.2 配置 static NAT .15-29 15.4.3 配置 destination NAT服务器地址、端口映射 .15-29 15.4.4 配置 destination NAT服务器业务分流 .15-30 15.4.5 配置 destination NAT服务器负载分担 .15-31 15.4.6 配置 destination NAT接口映射 .15-32 15.4.7 配置 destination NAT 自动映射 15-33 15.4.8 配置服务端口 .15-35 15.5 NAT 监控与维护 15-35 15.5.1 查看 NAT 配置信息 .15-35 15.5.2 查看 NAT 转换信息 .15-36 15.5.3 清除 NAT 转换条目 .15-36 15.5.4 查看 NAT 转化过程信息 .15-36 15.5.5 查看端口管理 .15-36 15.6 常见故障分析 .15-36 15.6.1 连接时通时断 .15-36 第 16 章 配置 DHCP 服务器 16-38 16.1 DHCP 服务概述 .16-38 16.1.1 DHCP 服务器概述 .16-38 16.1.2 DHCP Relay 概述 .16-39 16.2 配置 DHCP Server16-39 16.2.2 在接口上指定 DHCP Server 服务 .16-40 16.2.3 配置 DHCP Server 服务子网 .16-41 16.2.4 配置 DHCP Server 地址池及其租约 .16-41 16.2.5 配置 DHCP 子网缺省网关 .16-41 16.2.6 配置 DHCP 子网 DNS 服务器 16-41 16.2.7 配置 DHCP 子网 WINS 服务器 16-42 16.2.8 配置 DHCP 子网域名 .16-42 16.2.9 配置 DHCP 地址绑定 .16-42 16.2.10 配置 DHCP 地址排除 .16-42 16.3 DHCP 服务监控 .16-42 16.3.1 DHCP Debug16-42 16.3.2 显示 DHCP Server 配置信息 .16-43 16.3.3 显示 DHCP Server 地址分配信息 .16-43 16.4 配置案例 .16-44 第 17 章 配置 HA.17-46 17.1 HA 概述 17-46 17.2 配置 HA .17-46 17.2.1 配置 HA 接口 .17-46 17.2.2 配置配置模式 .17-47 17.2.3 配置监控接口 .17-47 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XI 17.2.4 配置监控接口组 .17-48 17.2.5 配置抢占模式 .17-48 17.2.6 配置工作模式并启动 HA 功能 .17-49 17.2.7 配置停止/激活 HA 功能 .17-49 17.2.8 配置 HA 状态倒换功能 .17-50 17.2.9 配置 HA 外部地址监控功能 .17-50 17.3 配置案例 .17-51 17.3.1 配置案例 1：配置主备模式 17-51 17.3.2 配置案例 2：配置主主模式 17-53 17.4 HA 监控与调试 17-54 17.4.1 查看 HA 配置 17-54 17.4.2 查看 HA 状态 17-54 17.4.3 查看 HA 内核信息 17-55 17.4.4 debug ha recv .17-55 17.4.5 debug ha send 17-56 17.4.6 debug ha kernel17-57 17.5 故障分析 .17-57 17.5.1 HA 无法与对端通信 .17-57 第 18 章 VRRP.18-58 18.1 VRRP 概述 18-58 18.2 配置 VRRP .18-58 18.3 配置案例 .18-64 18.4 监控与维护 .18-65 18.4.1 查看 VRRP 配置 .18-65 18.5 故障分析 .18-65 18.5.1 故障现象 1： 18-65 第 19 章 配置绝对时间和周期时间 19-67 19.1 绝对时间和周期时间概述 .19-67 19.1.1 配置在绝对时间中配置有效时间范围 .19-67 19.1.2 配置在周期时间中配置有效时间范围 .19-68 19.1.3 配置在周期时间中配置有效时间段 .19-68 19.2 配置案例 .19-70 19.2.1 配置案例:配置时间表 19-70 19.3 绝对时间与周期时间监控与维护 .19-70 19.3.1 查看周期表与绝对时间的步骤： .19-70 19.4 常见故障分析 .19-71 19.4.1 故障现象 1： 19-71 第 20 章 配置服务对象和服务对象组 20-72 20.1 服务对象和服务对象组概述 .20-72 20.2 配置服务对象和服务对象组 .20-72 20.2.1 配置向服务对象中添加 TCP|UDP 服务 .20-72 20.2.2 配置向服务对象中添加 ICMP 服务 .20-73 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XII 20.2.3 配置向服务对象组中添加服务对象 .20-73 20.3 配置案例 .20-74 20.3.1 配置案例 1: 添加服务对象与服务对象组 .20-74 20.3.2 配置案例 2:配置服务对象 .20-75 20.4 服务对象与服务对象组监控与维护 .20-75 20.4.1 查看服务对象 .20-75 20.4.2 查看服务对象组 .20-76 20.5 常见故障分析 .20-76 20.5.1 故障现象 1： 20-76 第 21 章 配置地址对象和地址对象组 21-77 21.1 地址对象和地址对象组概述 .21-77 21.2 配置地址对象和地址对象组 .21-77 21.2.1 配置向地址对象中添加单个地址 .21-77 21.2.2 配置向地址对象中添加网络掩码 .21-78 21.2.3 配置向对象地址中添加地址范围 .21-78 21.2.4 配置向地址对象组中添加地址对象 .21-79 21.3 配置案例 .21-79 21.3.1 配置案例: 添加地址对象与地址对象组 21-79 21.4 地址对象与地址对象组监控与维护 .21-80 21.4.1 查看地址对象 .21-80 21.4.2 查看地址对象组 .21-80 21.5 常见故障分析 .21-81 21.5.1 故障现象 1： 21-81 第 22 章 地址监控对象及网络探测 22-82 22.1 地址监控概述 .22-82 22.2 配置地址监控对象 .22-82 22.3 网络探测告警配置 .22-83 22.4 配置案例 .22-83 22.4.1 配置案例 1 22-83 22.4.2 配置案例 2 22-83 第 23 章 配置认证用户 23-85 23.1 认证用户设置概述 .23-85 23.2 配置认证用户 .23-86 23.2.1 配置本地管理员用户 .23-86 23.2.2 配置 RADIUS 管理员用户 23-86 23.2.3 配置 LDAP 管理员用户 23-87 23.2.4 配置本地接入用户 .23-87 23.2.5 配置 RADIUS 接入用户 23-88 23.2.6 配置 LDAP 接入用户 23-88 23.3 配置 RADIUS 服务器支持 .23-89 23.3.1 配置 RADIUS 服务器 23-89 23.4 配置 LDAP 服务器支持 23-89 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XIII 23.4.1 配置 LDAP 服务器 23-90 23.5 配置用户组 .23-90 23.5.1 配置用户组 .23-91 23.5.2 配置用户加入用户组 .23-91 23.5.3 配置 RADIUS 服务器加入用户组 23-91 23.5.4 配置 LDAP 服务器加入用户组 23-92 23.6 配置 AD 域同步策略模板 .23-92 23.6.1 配置 AD 域同步策略模板 .23-92 23.7 配置案例 .23-92 23.7.1 配置案例 1：本地用户认证 23-92 23.7.2 配置案例 2：非本地用户 RADIUS 认证 .23-94 23.7.3 配置案例 2：非本地用户 LDAP 认证 .23-95 23.8 认证用户监控与维护 .23-97 23.8.1 查看接入用户信息 .23-97 23.8.2 查看用户组信息 .23-97 23.8.3 查看 RADIUS 服务器信息 23-98 23.8.4 查看 LDAP 服务器信息 23-98 23.8.5 查看用户验证和登陆的过程 .23-99 23.9 常见故障分析 .23-99 23.9.1 故障现象 1：认证用户认证失败 23-99 第 24 章 配置 QoS .24-101 24.1 QoS 概述 .24-101 24.2 QoS 配置 .24-101 24.2.1 QoS 优先级配置 24-101 24.2.2 QoS 带宽配置 24-101 24.2.3 QoS 最小保证带宽配置 24-102 24.2.4 QoS 主机带宽配置 24-103 24.2.5 QoS DSCP 配置 24-103 第 25 章 配置安全防护表 25-105 25.1 安全防护表概述 .25-105 25.2 配置安全防护表 .25-105 25.2.1 缺省配置 .25-105 25.2.2 创建安全防护表 .25-105 25.2.3 配置安全防护表的描述 .25-105 25.2.4 配置 WEB 过滤 .25-106 25.2.5 配置邮件过滤 .25-106 25.2.6 配置防 FLOOD 攻击 .25-107 25.2.7 配置上网行为管理 .25-107 25.2.8 VoIP25-107 25.2.9 配置日志过滤 .25-108 25.2.10 在安全策略中引用安全防护表 .25-108 第 26 章 配置防 ARP 攻击 26-109 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XIV 26.1 ARP 攻击防御概述 .26-109 26.2 配置 ARP 攻击防御 .26-109 26.2.1 缺省配置信息 .26-109 26.2.2 配置启用 ARP 攻击防御功能 .26-109 26.2.3 配置启用主动保护发包 .26-110 26.2.4 配置关闭 ARP 学习 .26-111 26.2.5 配置防 ARP flood 攻击 .26-112 26.3 配置案例 .26-112 26.3.1 配置案例：配置防 ARP 欺骗 .26-112 26.4 监控与维护 .26-113 26.4.1 查看 ARP Monitor.26-113 26.4.2 查看 DEBUG 信息 .26-114 26.5 常见故障分析 .26-114 26.5.1 故障现象：PC 无法上网 .26-114 第 27 章 配置防 DOS 攻击 .27-115 27.1 防 DOS 攻击概述 27-115 27.2 配置防 DOS 攻击 27-115 27.2.1 缺省配置 .27-115 27.2.2 配置防 ping-of-death 攻击功能 .27-115 27.2.3 配置防 tear-drop 攻击功能 .27-116 27.2.4 配置防 jolt2 攻击功能 27-116 27.2.5 配置防 land-base 攻击功能 27-116 27.2.6 配置防 winnuke 攻击功能 27-116 27.2.7 配置防 syn-flag 攻击功能 .27-117 27.2.8 配置防 smurf 攻击 .27-117 27.2.9 配置智能 TCP Flood 防御 27-117 27.3 防 DOS 攻击的监控与维护 27-118 27.3.1 查看配置信息 .27-118 27.3.2 查看系统当前的 TCP 半连接数 27-118 27.3.3 查看防 DOS 攻击的 debug 信息 27-119 27.4 常见故障分析 .27-119 27.4.1 TCP Flood 攻击防御失效 27-119 27.5 配置防扫描 .27-120 27.6 防扫描概述 .27-120 27.7 配置防扫描 .27-120 27.7.1 缺省配置信息 .27-120 27.7.2 配置防 TCP Scan .27-120 27.7.3 配置防 UDP Scan.27-121 27.7.4 配置防 Ping sweep27-121 27.7.5 配置扫描识别门限 .27-122 27.7.6 配置对源主机的阻断时间 .27-122 27.8 配置案例 .27-122 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XV 27.8.1 配置防扫描 .27-122 27.9 防扫描监控与维护 .27-123 27.9.1 查看防扫描配置 .27-123 27.10 常见故障分析 .27-124 27.10.1 配置防扫描后没有报警，没有拒包 .27-124 第 28 章 配置防扫描 28-125 28.1 防扫描概述 .28-125 28.2 配置防扫描 .28-125 28.2.1 缺省配置信息 .28-125 28.2.2 配置防 TCP Scan .28-125 28.2.3 配置防 UDP Scan.28-126 28.2.4 配置防 Ping sweep28-126 28.2.5 配置扫描识别门限 .28-127 28.2.6 配置对源主机的阻断时间 .28-127 28.3 配置案例 .28-127 28.3.1 配置防扫描 .28-127 28.4 防扫描监控与维护 .28-128 28.4.1 查看防扫描配置 .28-128 28.5 常见故障分析 .28-129 28.5.1 配置防扫描后没有报警，没有拒包 .28-129 第 29 章 配置 IP-MAC 绑定 .29-130 29.1 IP-MAC 绑定概述 29-130 29.2 配置 IP-MAC 绑定 29-130 29.2.1 配置 IP-MAC 绑定 .29-130 29.2.2 查看 ARP 列表 .29-131 29.2.3 清除 ARP 列表 .29-131 29.2.4 ARP 探测 .29-131 29.3 配置案例 .29-131 29.4 常见故障分析 .29-132 29.4.1 网关无法上网 .29-132 第 30 章 配置用户认证 30-133 30.1 用户认证概述 .30-133 30.2 配置用户认证 .30-133 30.2.1 缺省配置信息 .30-133 30.2.2 配置超时时间 .30-133 30.2.3 配置用户唯一性限制 .30-134 30.2.4 配置 Portal Server 工作模式 30-134 30.2.5 配置虚拟主机 IP.30-134 30.2.6 配置虚拟端口 .30-135 30.2.7 配置客户端证书认证 .30-135 30.2.8 配置用户认证用户组和用户 .30-135 30.2.9 配置用户认证的安全策略 .30-136 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XVI 30.3 配置案例 .30-136 30.3.1 配置案例 1：虚拟端口认证模式 30-136 30.3.2 配置案例 2：虚拟主机 IP 认证模式 .30-138 30.4 用户认证监控与维护 .30-139 30.4.1 查看用户认证配置信息 .30-139 30.4.2 查看和清除在线的认证用户 .30-140 30.4.3 查看用户验证和登录的过程 .30-140 30.5 常见故障分析 .30-141 30.5.1 故障现象 1：Portal Server 连接失败 30-141 30.5.2 故障现象 2：认证用户认证失败 30-141 第 31 章 配置 MAC 过滤 31-143 31.1 MAC 过滤概述 .31-143 31.2 配置 MAC 过滤 .31-143 31.2.1 配置 MAC 地址过滤 31-143 31.2.2 配置组播过滤 .31-144 31.2.3 配置非 IP 协议过滤 31-144 31.3 配置案例 .31-145 31.3.1 配置案例 1：过滤特定 MAC 地址 .31-145 31.4 MAC 过滤监控与维护 .31-146 31.4.1 查看 MAC 过滤配置信息 31-146 31.4.2 MAC 过滤的调试 31-146 第 32 章 配置 IDS 联动 .32-148 32.1 IDS 联动概述 32-148 32.2 配置 IDS 联动 32-148 32.2.1 缺省配置信息 .32-148 32.2.2 配置 IDS 联动 .32-148 32.3 配置案例 .32-149 32.3.1 低流量网络的 USG 与 IDS 实施方案 .32-149 32.3.2 高流量网络的 USG 与 IDS 实施方案 .32-150 32.4 IDS 联动的监控与维护 32-151 32.4.1 查看 IDS 联动的配置 .32-151 32.5 常见故障分析 .32-152 32.5.1 IDS 发出动态规则，但 USG 未阻断 .32-152 第 33 章 配置天珣联动 33-153 33.1 天珣联动概述 .33-153 33.2 配置天珣联动 .33-153 33.2.1 缺省配置信息 .33-153 33.2.2 配置天珣联动 .33-153 33.2.3 配置天珣联动白名单 .33-154 33.3 配置案例 .33-155 33.4 天珣联动的监控与维护 .33-156 33.4.1 查看天珣联动的配置 .33-156 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XVII 33.5 常见故障分析 .33-157 33.5.1 USG 上没有管理网段 .33-157 第 34 章 配置静态路由 34-159 34.1 静态路由概述 .34-159 34.2 配置静态路由 .34-159 34.3 置缺省路由 .34-160 34.4 配置信息显示命令 .34-160 34.5 配置案例 .34-160 34.5.1 配置缺省路由 .34-160 34.6 常见故障 .34-161 34.6.1 数据包转发不正常 .34-161 第 35 章 配置策略路由 35-162 35.1 策略路由概述 .35-162 35.2 配置策略路由 .35-162 35.2.1 策略路由配置 .35-162 35.2.2 调整策略路由的顺序 .35-162 35.2.3 插入一条策略路由 .35-163 35.3 配置案例 .35-163 35.3.1 配置策略路由 .35-163 35.4 常见故障分析 .35-164 35.4.1 故障现象： .35-164 第 36 章 配置 RIP 36-165 36.1 RIP 协议概述 36-165 36.2 配置 RIP .36-165 36.2.1 缺省配置信息 .36-165 36.2.2 配置启用 RIP 路由协议功能 .36-165 36.2.3 配置 RIP 版本 .36-166 36.2.4 配置 RIP 发布的网络 .36-167 36.2.5 配置 RIP 发布缺省路由 .36-168 36.2.6 配置 RIP 默认的重发布度量 .36-168 36.2.7 配置 RIP 定时器触发时间 .36-169 36.2.8 配置 RIP 定时器触发时间 .36-170 36.2.9 配置 RIP 接口收发报文版本 .36-171 36.2.10 配置 RIP 接口的认证类型 .36-172 36.3 配置案例 .36-173 36.3.1 配置案例：两台 USG 设备通过 RIP 路由协议互通 .36-173 36.4 RIP 监控与维护 36-175 36.4.1 查看 RIP 路由表 36-175 36.4.2 查看 RIP 配置 36-176 36.4.3 查看调试信息 .36-176 36.5 常见故障分析 .36-178 36.5.1 故障现象：两台设备不能正常通信 .36-178 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XVIII 第 37 章 配置 OSPF.37-179 37.1 OSPF 协议概述 .37-179 37.2 配置 OSPF37-179 37.2.1 缺省配置信息 .37-179 37.2.2 配置启用 OSPF 路由协议功能 37-180 37.2.3 配置 OSPF 路由器 Router-ID.37-180 37.2.4 配置运行 OSPF 的接口 37-181 37.2.5 配置 OSPF 区域认证方式 37-182 37.2.6 配置 OSPF NSSA.37-183 37.2.7 配置 OSPF 区域间路由聚合 37-184 37.2.8 配置 OSPF 路由重分布 37-185 37.2.9 配置 OSPF 重发布路由缺省 Metric.37-187 37.2.10 配置 OSPF 重发布默认路由 37-188 37.2.11 配置 OSPF 协议优先级 37-189 37.2.12 配置 OSPF 兼容 RFC1583.37-190 37.2.13 配置 OSPF 路由计算定时器 37-190 37.2.14 配置 OSPF 接口认证方式 37-191 37.2.15 配置 OSPF 接口明文认证密钥 37-191 37.2.16 配置 OSPF 接口密文认证密钥 37-192 37.2.17 配置 OSPF 接口的优先级 37-192 37.2.18 配置 OSPF 接口发送报文的开销 37-193 37.2.19 配置 OSPF 接口 LSA 重传间隔 37-193 37.2.20 配置 OSPF 接口 LSA 发送延迟 37-194 37.2.21 配置 OSPF 接口 Hello 报文定时器 37-195 37.2.22 配置 OSPF 接口邻居失效定时器 37-195 37.2.23 配置接口的 OSPF 网络类型 37-196 37.3 配置案例 .37-197 37.3.1 配置案例：两台 USG 设备通过 OSPF 路由协议互通 .37-197 37.4 OSPF 监控与维护 .37-198 37.4.1 查看 OSPF 路由表 .37-198 37.4.2 查看 OSPF 信息 37-199 37.4.3 查看 OSPF 邻居信息 37-199 37.4.4 查看 OSPF LSA 数据库 .37-200 37.4.5 查看 OSPF 接口信息 37-200 37.4.6 查看调试信息 .37-200 37.5 常见故障分析 .37-203 37.5.1 故障现象 1：两台设备不能建立邻接关系 37-203 第 38 章 配置 BGP.38-204 38.1 BGP 协议概述 .38-204 38.2 配置 BGP38-205 38.2.1 缺省配置信息 .38-205 38.2.2 配置启用 BGP 路由协议功能 .38-206 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XIX 38.2.3 配置 BGP 路由器 Router-ID.38-207 38.2.4 配置指定 BGP 对等体 .38-208 38.2.5 配置 BGP 对等体组 .38-209 38.2.6 配置回环接口作为 BGP 邻居 .38-209 38.2.7 EBGP 多跳配置 .38-210 38.2.8 配置与指定对等体（组）建立连接的 keepalive 和 holdtime 值 38-211 38.2.9 配置路由更新的时间间隔 .38-212 38.2.10 配置朝 BGP 对等体发送缺省路由 .38-213 38.2.11 配置更改路由下一跳为自己 .38-214 38.2.12 配置删除私有 AS 号 38-215 38.2.13 配置允许发送团体属性 .38-216 38.2.14 配置限制接收的路由数量 .38-216 38.2.15 配置保留对等体路由信息 .38-217 38.2.16 配置关闭对等体 .38-218 38.2.17 配置 IGP 和 BGP 路由交互 .38-219 38.2.18 配置重发布 IGP 路由到 BGP38-220 38.2.19 配置 BGP 的定时器 .38-221 38.2.20 配置 BGP 的软复位 .38-222 38.2.21 配置 BGP 路由策略 .38-223 38.2.22 配置 AS-PATH 属性 38-224 38.2.23 配置 MED 属性 38-226 38.2.24 配置 LOCAL_PREF 属性 38-227 38.2.25 配置 COMMUNITY Attribute.38-228 38.2.26 配置比较 router-id 38-229 38.2.27 配置 BGP 聚合路由 .38-230 38.2.28 配置 BGP 路由反射器 .38-231 38.2.29 配置 BGP 联盟 .38-233 38.2.30 配置 BGP 的管理距离 .38-234 38.2.31 BGP 扫描时间配置 .38-235 38.2.32 配置 BGP 的路由衰减 .38-236 38.2.33 BGP 的维护和监控 .38-237 38.3 配置案例 .38-238 38.3.1 配置案例 1：两台 USG 设备通过 BGP 路由协议互通 38-238 38.4 BGP 监控与维护 .38-240 38.4.1 查看 BGP 路由表 38-240 38.4.2 查看信息 .38-241 38.4.3 查看 bgp 邻居信息 .38-241 38.4.4 查看 bgp 内存使用情况 38-243 38.5 常见故障分析 .38-243 38.5.1 故障现象 1：两台设备不能建立邻接关系 38-243 第 39 章 配置多播路由 39-244 39.1 多播路由概述 .39-244 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XX 39.2 配置多播路由 .39-244 39.3 配置缺省多播路由 .39-245 39.4 配置信息显示命令 .39-245 39.5 配置案例 .39-245 39.5.1 配置多播路由 .39-245 39.6 常见故障 .39-246 39.6.1 报文转发不正常 .39-246 第 40 章 配置 ISP 路由 40-247 40.1 ISP 路由概述 .40-247 40.2 配置 ISP 路由 .40-247 40.3 配置信息显示命令 .40-248 40.4 路由信息显示命令 .40-248 40.5 配置案例 .40-248 40.5.1 配置 ISP 路由 .40-248 40.6 常见故障 .40-249 40.6.1 数据包没有根据 ISP 路由选路 40-249 第 41 章 配置 PKI 41-250 41.1 PKI 协议概述 41-250 41.2 配置 PKI .41-250 41.2.1 本地证书请求 .41-250 41.2.2 配置证书请求信息位置 .41-251 41.2.3 配置证书请求信息国家或地区 .41-251 41.2.4 配置证书请求信息组织 .41-252 41.2.5 配置证书请求信息州/省 .41-252 41.2.6 配置证书请求信息部门 .41-252 41.2.7 配置证书请求信息EMAIL 41-253 41.2.8 本地证书的导出 .41-253 41.2.9 本地生成证书请求的证书导入 .41-254 41.2.10 PKCS12 格式证书的导入 .41-254 41.2.11 证书私钥文件的导入 .41-255 41.2.12 CA 证书的导出 .41-256 41.2.13 CA 证书的导入 .41-256 41.2.14 CRL 的导出 .41-257 41.2.15 CRL 导入 .41-257 41.2.16 OCSP 配置 .41-258 41.2.17 自动获得 CRL 配置 .41-258 41.3 配置案例 .41-259 41.3.1 配置案例 1：导入本地证书 41-259 41.4 PKI 监控与维护 41-262 41.4.1 查看本地证书信息 .41-262 41.4.2 查看 CA 证书信息 .41-263 41.4.3 查看 CRL 信息 .41-265 天清汉马 USG命令行用户手册 北京启明星辰信息安全技术有限公司 XXI 41.5 常见故障分析 .41-266 41.5.1 故障现象 1：导入 USBKEY 的证书无法通过验证 .41-266 第 42 章 配置 PKI CA .42-268 42.1 PKI 协议概述 42-268 42.2 配置 PKI CA 42-268 42.2.1 生成 CA 证书 .42-268 42.2.2 配置证书请求信息位置 .42-269 42.2.3 配置证书请求信息国家或地区 .42-269 42.2.4 配置证书请求信息组织 .42-269 42.2.5 配置证书请求信息州/省 .42-270 42.2.6 配置证书请求信息部门 .42-270 42.2.7 配置证书请求信息EMAIL 42-271 42.2.8 配置证书请求信息密钥长度 .42-271 42.2.9 配置证书请求信息有效期 .42-271 42.2.10 CA 证书的导出 .42-272 42.2.11 CA 证书导入 .42-272 42.2.12 CRL 配置 .42-274 42.2.13 CRL 的更新 .42-274 42.2.14 CRL 的导出 .42-274 42.2.15 生成用户证书请求信息 .42-275 42.2.16 签发用户证书请求 .42-275 42.2.17 撤销用户证书 .42-276 42.2.18 导出用户证书 .42-276 42.3 配置案例 .42-277 42.3.1 生成用户证书 .42-277 42.3.2 撤销用户证书 .42-278 42.4 常见故障分析 .42-278 第 43 章 配置 IPSec VPN .43-279 43.1 IPSec VPN 概述 43-279 43.2 配置 IPSec VPN.43-280 43.2.1 缺省配置信息 .43-280 43.2.2 配置 IKE 阶段 143-281 43.2.3 配置 IKE 阶段 243-285 43.2.4 手工配置 IPsec