技术文档
当前位置:技术文档

H3C V5防火墙注意事项

来源:未知 时间:2012-10-06 21:38
 

  H3C SECPATH F1000-E配置经验心得最近配了H3C SECPAHT F1000-E,把一些心得拿出来大家分享下

  1、该防火墙是基于V5平台的,命令上有不少的变化,好像是为了和华为的VRP彻底分家

  2、如果要实现远程TELNET配置需要设置TELNET SERVER ENABLE,这点我个人觉得安全性不如CISCO的ASA,ASA远程只能通过SSH,telnet只能放在高安全级别的内网

  3、安全区域配置需要配置在WEB界面下,以前是在CLI下即可配置,现在取消了在CLI配置,一开始我到处找firewall packet filter default permit 就是没有,也没有firewall zone trust(untrust)命令

  4、低安全级别区域访问高安全级别区域现在需要在WEB 方式下:策略管理--访问控制策略--面向对象的ACL中做设置,这个最困扰我,因为H3C以前没有这样配置,网站上也没有这方面介绍

  5、VPN在WEB上支持IKE,IPSEC,但没有L2TP和GRE,CLI上倒是支持L2TP和GRE;另外不支持DVPN,不知道为什么,因为一贯H3C防火墙在VPN功能上是非常强大的,而且配置起来比CISCO的简单

  6、P2P控制无法控制讯雷,这个做售前的需要注意,毕竟这个是防火墙,H3C没有把P2P特征码整合讯雷,因此P2P限速只能限制BT,电驴,MSN等,特征码还需要找H3C办事处工程师索取

  7、链路自动侦测命令改称NQA了,具体可以找H3C 800要,或者看吓SR路由器文档,我感觉这方面有点向CISCO靠拢,开始用TRACK了,一开始写实施的时候是用detect-group,结果实施时发现不支持该命令,后找800要了个NQA文档才搞定!

  8、防病毒策略也需要在WEB方式下在面向对象ACL中加,比以前直接下发麻烦的多

  9、策略路由命令注意变了,route-policy改成policy-base-route了,这个也折腾我半天,一开始我都配置的是route-policy,但是在接入的PC上用TRACERT跟踪路由,发现策略路由始终不生效,还一度以为这防火墙软件有问题,汗一个

  10、G0/0端口默认为管理口,H3C办事处工程师建议不跑业务(个人觉得浪费资源啊,还不如ASA单独搞个管理口方便)

  11、虚拟防火墙是需要指定相应的接口,我测试了下,目前好像还做不到在同一端口划分几个逻辑虚拟防火墙,而且必须在WEB方式下配置

  12、该防火墙端口不支持链路聚合,如果需要和核心交换机做链路备份,需要再用1个端口做路由,路由的优先级不同即可

  该产品配置是WEB+CLI

  总的来说,这款防火墙如果在熟悉了以后应该是比较容易上手,而H3C也会不断改进,希望以后出来完全WEB方式颁布或者WEB操作可以显示在CLI中


上一篇:思科交换机接口类型详解
下一篇:网络安全基础知识之侦察与工具
电子标识编号:20181009000069

售前客服

售前客服

电话:028-83252151

传真:028-85259033

咨询热线:15378180513
在线客服