1. 天融信Topgate防火墙基础认知第一次接触天融信Topgate防火墙时我盯着那个黑色机箱看了半天——这玩意儿真的能保护整个公司的网络安全后来才发现它就像网络世界的海关所有数据包都要经过它的严格检查。不同于家用路由器自带的简易防火墙企业级防火墙需要处理更复杂的流量和更高级的威胁。天融信Topgate系列防火墙采用国产自研的TOS操作系统支持路由模式、透明模式等多种部署方式。我们这次要配置的NGFW4000型号吞吐量能达到20Gbps同时集成IPS、防病毒、URL过滤等安全功能。有意思的是它的策略匹配顺序是从上往下执行这点和思科防火墙的先匹配NAT再匹配策略完全不同刚开始可让我踩了不少坑。2. 实验环境搭建2.1 网络拓扑规划我习惯先用Visio画出网络拓扑图这次模拟的是典型的三层架构内网区Inside192.168.1.0/24放置员工办公电脑DMZ区172.16.1.0/24部署Web服务器外网区Outside100.1.1.0/24模拟互联网物理连接上防火墙的eth0接内网eth1接DMZeth2接外网。这里有个细节要注意天融信防火墙的接口编号从eth0开始而有些厂商是从eth1开始编号配置时千万别搞混。2.2 初始化配置首次登录要通过console线连接默认管理地址是192.168.1.254。我遇到过管理页面打不开的情况后来发现是浏览器缓存问题用无痕模式就解决了。登录后建议立即做三件事修改admin默认密码设置NTP时间同步备份初始配置# 通过SSH登录后的基础配置示例 configure terminal hostname Topgate-FW01 ntp server 210.72.145.44 admin password 新密码加密存储3. 安全区域与接口配置3.1 安全区域划分天融信防火墙的安全区域概念非常重要。在Web控制台的资源管理→区域中我创建了三个区域Trust信任度100绑定eth0接口DMZ信任度50绑定eth1接口Untrust信任度0绑定eth2接口信任度数值会影响默认策略数值越高代表越可信。有个易错点新建区域时如果不勾选允许Ping会导致后续排错时连基本连通性测试都做不了。3.2 接口IP配置在网络管理→接口中配置各接口IP接口IP地址子网掩码描述eth0192.168.1.254255.255.255.0内网网关eth1172.16.1.254255.255.255.0DMZ区网关eth2100.1.1.254255.255.255.0外网接入配置完成后我在内网PC上测试发现ping不通防火墙原来忘记在防火墙上开启ICMP响应# 允许ping防火墙自身接口 security-management icmp permit4. 访问控制策略配置4.1 基础策略编写天融信的策略配置路径是防火墙→访问控制。我按照最小权限原则配置了以下策略内网访问互联网源区域Trust目的区域Untrust服务HTTP/HTTPS/DNS动作允许外网访问DMZ Web源区域Untrust目的区域DMZ服务HTTP(80)动作允许默认拒绝所有源区域Any目的区域Any服务Any动作拒绝特别注意策略是从上往下匹配的所以默认拒绝策略要放在最后。有次我把这条策略放在最前面结果所有流量都被拦截了排查了半天才发现是顺序问题。4.2 策略优化技巧启用日志记录时建议只对关键策略开启否则日志量会爆炸给每条策略添加明确的注释比如允许财务部访问ERP系统定期使用策略命中统计功能清理长期未命中的策略5. NAT地址转换实战5.1 SNAT配置内网上网当内网用户访问互联网时需要做源地址转换。在地址转换模块添加规则nat add policy original-src 192.168.1.0/24 original-dst any translated-src 100.1.1.254 action enable这里有个坑如果外网接口是PPPoE拨号获取的动态IP需要选择接口地址而不是指定IP。曾经有次网络改造后静态IP改成了PPPoE但SNAT规则没改导致全员无法上网。5.2 DNAT配置发布Web服务器要把DMZ区的Web服务器172.16.1.1发布到外网配置如下nat add policy original-src any original-dst 100.1.1.2 original-service http translated-dst 172.16.1.1 translated-service http action enable测试时发现外网访问100.1.1.2:80失败原来还需要在安全策略中放行Untrust到DMZ的HTTP流量。这就是天融信和思科的区别——思科是先做NAT再匹配策略而天融信是策略匹配时用的还是原始地址。6. 应用层过滤配置6.1 URL过滤在内容安全→HTTP过滤中可以设置URL黑名单。我配置了禁止访问娱乐类网站新建URL分类娱乐网站添加具体URL如 *.weibo.com在内容安全策略中引用该分类测试时发现HTTPS网站过滤失效还需要启用SSL解密功能。这个功能对性能影响较大建议只对必要流量开启。6.2 文件传输控制通过内容安全→文件过滤可以限制文件上传下载类型。我设置了禁止.exe/.bat等可执行文件限制.zip/.rar附件大小不超过10MB7. 日常维护与排错7.1 配置备份定期通过系统维护→配置备份导出配置文件。我遇到过设备故障更换时因为没备份配置导致全部策略要重做的惨剧。现在设置了每周自动备份到FTP服务器。7.2 常见故障排查症状内网能ping通防火墙但上不了网排查步骤检查接口状态show interface eth2检查路由表show route检查NAT规则命中show nat statistics抓包分析capture packet interface eth2症状外网访问Web服务时断时续可能原因会话数限制太小没有配置会话保持服务器性能问题8. 性能优化建议会话数限制根据设备型号调整默认会话数NGFW4000建议设置为100万策略优化合并相似策略比如把多条HTTP策略合并为一条硬件加速启用ASIC芯片加速功能日志级别生产环境建议设为重要以上曾经有个客户抱怨网络卡顿后来发现是他们把debug日志全开了改成warning级别后性能立刻提升30%。9. 高可用性配置对于关键业务系统建议配置双机热备。天融信支持主备和负载均衡两种模式high-availability mode active-standby ha interface eth3 ha priority 100 # 主设备设为100备设备设为90切换测试时要注意备设备配置不会自动同步需要先在主设备上执行ha sync config。有次割接后主备切换失败就是因为忘记同步策略配置。