CheckPoint 防火墙 双机 HA 实施 方案

《CheckPoint 防火墙 双机 HA 实施 方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、本文由no1moonboy贡献doc文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。双CheckPoint防火墙实施方案目录第一章客户环境概述……41.1概述……41.2网络拓扑与地址分配表……41.3安装前准备事宜……6第二章NokiaIP380安装与配置……72.1概述……72.2初始化nokia380……72.3设置nokia基本信息……82.3.1Nokia端口IP地址设定……82.3.2设置网关路由……82.3.3设置Nokia平台时间……92.3.4设定Nokia高可用VRRP参数……92.4初始化

2、checkpoint……142.4.1在nokia平台上checkpoint的安装与卸载……142.4.2初始化checkpoint……16第三章管理服务器的安装与配置……173.1checkpointsmartcenter的安装……183.1.1安装前的准备……183.1.2安装步骤……183.2配置checkpoint对象和参数……203.2.1建立sic……203.2.2定义防火墙对象拓扑结构……213.2.3使用同样的步骤按照表1的参数建立IP380Bcheckpointgateway对象。……213.3基于nokiavrrp或者c

3、luster的设置……223.3.1基于NokiaVRRP的设置……223.3.2为nokiavrrp定义策略……223.3.3高可用性的检查……233.4nokiacluster的设置……233.5暂时没有……23第四章策略设定……244.1概述……244.2netscreen的策略……244.3经过整理后转换成checkpoint的策略……244.4设定策略……244.4.1定义主机对象……244.4.2定义网络对象……254.4.3定义组……264.4.4定义服务……264.4.5添加标准策略……274.4.6添加NAT策略……27第

4、五章切换与测试……295.1切换……295.2测试……295.3回退……30第六章日常维护……316.1防火墙的备份与恢复……316.1.1nokia防火墙的备份与恢复方法……316.1.2checkpointmanagement上的备份与恢复……33第一章客户环境概述1.1概述XXXXXX公司因应企业内部的网络需求，对总部网络进行扩容改动，中心防火墙从原来的netscreen换成两台NokiaIP380，两台nokia互为热备。维持原有的服务不变。由于这次网络改动比较大，所以先离线进行安装和测试，最后再进行切换1.2网络拓扑与地址分配表X

5、XXXXX改造前网络拓扑如下改动后，XXX将按照以下图进行实施改动后，给个设备及端口的地址分配入下表所示IP地址分配表（表1）管理服务器参数IP地址防火墙各端口参数端口Eth1用途外网口Eth2Eth3Eth4?DMZ内网同步口gateway静态路由172.16.100.5/30172.16.100.6/30172.16.100.1/3010.101.1.101/2410.101.1.102/2410.101.1.1/24192.168.11.1/24192.168.11.2/24Nokia380ANokia380B虚拟地址1.3安装前准备

6、事宜1．管理服务器硬件平台CPU奔腾3500以上内存128以上硬盘60M以上操作系统，windows2000server＋SP4补丁2．网络连线3．Checkpoint及nokia管理软件CheckpointNGAIR55安装包forwindowshotfix09或以上4．NokiaIP380设备两台内置IPSO3.8build39内置checkpointNGAIR55安装包第二章NokiaIP380安装与配置2.1概述首先我们可以对两台NokiaIP380进行安装与配置，由于Nokia防火墙将会替代Netscreen，所以Nokia防火墙

7、可以进行离线配置。配置步骤如下。2.2初始化nokia3801．使用nokiaconsole线，连接nokiaconsole口和管理pc的串行端口，并打开电源家电。2．打开windows超级终端按照下图设置3．NokiaIP380正常开机后填入防火墙的名字：IP380A。如下图4．输入默认管理员用户admin的密码并确认密码，这里密码填password，密码以后可以通过web界面进行修改。如下图所示5．设定使用基于web的浏览器进行管理还是基于文本的浏览器进行管理，这里选择16．设定初始网络参数，这里需要设定一块网卡的IP地址，以方便进行基

8、于web的管理，如下图所示，分别填入网卡号和IP地址，暂时不设定defaultroute，并配置端口成100M全双工。7．确认以上信息正确，由于网络上并没有VLAN设置，所以并不