【正文】 括號(hào)（ []）表示該命令參數(shù)是可選項(xiàng)。 豎線（ |）隔開多個(gè)相互獨(dú)立的備選參數(shù)。 黑體 表示需要用戶輸入的命令或關(guān)鍵字，例如 help命令。 華盾 VPN 安裝手冊 2 斜體 表示需要用戶提供實(shí)際值的參數(shù)。 2） 圖形 界面操作的描述采用以下約定： “”表示按鈕 。 點(diǎn)擊（選擇）一個(gè)菜單項(xiàng)采用如下約定： 點(diǎn)擊（選擇） 高級(jí)管理 特殊對象 用戶 。 為了敘述方便，本文檔采用了大量網(wǎng)絡(luò)拓?fù)鋱D，圖中的圖標(biāo)用于指明 華盾 和通用的網(wǎng)絡(luò)設(shè)備、外設(shè)和其他設(shè)備，以下圖標(biāo)注釋說明了這些圖標(biāo)代表什么設(shè)備： 文檔中出現(xiàn)的提示、警告、說明 、示例 等，是關(guān)于用戶在安裝和配置 華盾 VPN過程中需要特別注意的部分，請用戶在明確可能的操作結(jié)果后， 再 進(jìn)行相關(guān)配置操作。 文檔中出現(xiàn)的接口標(biāo)識(shí) eth eth2等，是為了表示方便，不一定與設(shè)備接口名稱相對應(yīng) 。 相關(guān)文檔 《 華盾 管理手冊 》 《 華盾 命令行 手冊》 華盾 VPN 安裝手冊 3 2 安裝 華盾 VPN 本 章介紹了安裝 華盾 VPN前的準(zhǔn)備工作，以及 華盾 VPN的物理安裝過程，同時(shí)介紹了幾種登錄方式，以便管理員對 華盾 VPN進(jìn)行管理。包括 如下主要內(nèi)容： ? 華盾 VPN系統(tǒng) 的 組成與規(guī)格 ? 配置 華盾 VPN的工作模式 ? 華盾 VPN系統(tǒng)的安裝 ? 登錄并管理 華盾 VPN ? 華盾 VPN的出廠配置 系統(tǒng)組成與規(guī)格 系統(tǒng)組成 ? 華盾 VPN（硬件） ? 認(rèn)證客戶端（軟件 ） ： 華盾 VPN客戶認(rèn)證專用軟件，運(yùn)行于中文 、Windows20 WindowsXP 環(huán) 境下； 華盾 VPN支持以下認(rèn)證：本地認(rèn)證、 Radius、TACACS+、 LDAP、域認(rèn)證、 SecurID、證書認(rèn)證 等 。 ? 其他 配套 軟件：具體請參見隨機(jī)光盤的 。 系統(tǒng)規(guī)格 華盾 VPN不同型號(hào)產(chǎn)品的電源參數(shù)、 環(huán)境規(guī)范 、物理規(guī)格、執(zhí)行標(biāo)準(zhǔn)和安全規(guī)范及標(biāo)準(zhǔn)的 內(nèi)容可能會(huì)有所不同。 確定工作模式 華盾 VPN作為一種網(wǎng)關(guān) 型產(chǎn)品，通常部署在 重要的 安全 節(jié) 點(diǎn)或者互聯(lián)網(wǎng)的入口 處 ，可以通過 網(wǎng)絡(luò)設(shè)備，如 交換機(jī)或 HUB， 將安全區(qū)連接到 華盾 VPN的網(wǎng)絡(luò)接口。在安裝 華盾 VPN之前，網(wǎng)絡(luò)管理人員 可 根據(jù)網(wǎng)絡(luò)應(yīng)用的實(shí)際情況以 及網(wǎng)絡(luò)中主機(jī) 、 服務(wù)器等設(shè)備的安全屬性來規(guī)劃安全區(qū)域。 在網(wǎng)絡(luò)規(guī)劃時(shí)，一般會(huì)碰到兩種情況： 第一種情況 是在當(dāng)前運(yùn)行的網(wǎng)絡(luò)中添加 華盾VPN。在 這種情況下， 華盾 VPN的安裝環(huán)境為一個(gè)已經(jīng)建立并正在運(yùn)行的網(wǎng)絡(luò)，目的通常是增強(qiáng)現(xiàn)有網(wǎng)絡(luò)的防御能力。在此類網(wǎng)絡(luò)中部署 華盾 VPN，往往要求盡可能少改動(dòng)或不 改動(dòng)網(wǎng)絡(luò) 節(jié) 點(diǎn)的網(wǎng)絡(luò)屬性，如網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備地址等，并要求 華盾 VPN的接入對網(wǎng)絡(luò)通信造成的影響最少，盡可能地做到 華盾 VPN部署透明。在這種環(huán)境下部署的華盾 VPN 安裝手冊 4 華盾 VPN的工作模式最好采用透明模式。此時(shí) ， 華盾 VPN將作為 二 層網(wǎng)絡(luò)設(shè)備 ，學(xué)習(xí)并建立 MAC地址表，快速轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)文 ，提高轉(zhuǎn)發(fā)效率 。 另一種情況是在設(shè)計(jì)網(wǎng)絡(luò)結(jié)構(gòu)和部署網(wǎng)絡(luò)設(shè)備的初始階段， 需要 充分考慮網(wǎng)絡(luò)的安全問題，并將 華盾 VPN的安全和通信等功能融入網(wǎng)絡(luò)設(shè)計(jì)方案。在這種情形下， 華盾 VPN的 工作模式 最好設(shè)定 為 混合 模式，即 某些區(qū)域（接口）工作在透明模式下，而其他的區(qū)域（接口）工作在路由模式下 。 在 透明 模式 中， 可以將同一應(yīng)用業(yè)務(wù)的服務(wù)器和客戶機(jī)通過同一網(wǎng)段連接起來，以提高整體網(wǎng)絡(luò)的通信性能。 華盾 VPN的 路由模式提供完整的靜態(tài)路由功能，對于中小規(guī)模的內(nèi)部網(wǎng)絡(luò)，完全可以代替內(nèi)網(wǎng)路由器。 同時(shí) ， 可以啟用 華盾VPN的通信功能 ， 如路由 、 地址轉(zhuǎn)換等 ， 以 便 平滑地將 華盾 VPN集成到已存在的網(wǎng)絡(luò)環(huán)境中。另外，在 該工作模式下， 華盾 VPN可以 更 好地支持網(wǎng)絡(luò)擴(kuò)展，如可以 在 對 華盾 VPN原有的配置不作改變或 只作 少量修改 的情況下 ，實(shí)現(xiàn) 在 原有網(wǎng)絡(luò)基礎(chǔ)上增加網(wǎng)段或主機(jī)。 華盾 VPN部署案例 請參 見 3配置案例 。 說明 ? 在初始缺省設(shè)置中， eth0接口對應(yīng)著內(nèi)部 網(wǎng)絡(luò)防火區(qū)。 系統(tǒng)安裝 硬件設(shè)備安裝 一般遵循如下步驟安裝硬件設(shè)備： 1） 支架安裝 機(jī)架式 華盾 VPN采用 為標(biāo)準(zhǔn) 19英寸 機(jī)箱，可以安裝固定在標(biāo)準(zhǔn)機(jī)柜中，隨機(jī)附件中有一對上架支架 （ 側(cè)耳 ） ，將其固定在 華盾 VPN上。 2） 將 華盾 VPN置于機(jī)柜托架上 華盾 VPN要求放在機(jī)柜的托架上， 并 適當(dāng)調(diào)節(jié)機(jī)柜托架與 華盾 VPN的相對位置，使華盾 VPN的固定支架在垂直方向上受力較小。 3） 本地一臺(tái)管理主機(jī)通過 CONSOLE線纜與 華盾 VPN的 CONSOLE口連接，供超級(jí)管理員進(jìn)行初步配置。 4） 把 華盾 VPN的網(wǎng)絡(luò)接口通過直通 網(wǎng)絡(luò) 線 與對應(yīng)防火區(qū) 域 中的網(wǎng)絡(luò)設(shè)備相連接。 5） 通過電源線連接 華盾 VPN和電源。 6） 啟動(dòng) 華盾 VPN電源（電源開關(guān)位于設(shè)備后端）。 提示 華盾 VPN 安裝手冊 5 ? 請確認(rèn) 華盾 VPN 的防火區(qū)域與 華盾 VPN 接口名稱的對應(yīng)關(guān)系 。 ? 請注意隨機(jī)配件中直通線 （ Passthrough） 和交叉線 （ Crossover） 的使用方法：交叉線用于通信主機(jī)間的直接連接，如 華盾 VPN 與主機(jī)間的直接連接；直通線用于 華盾 VPN和網(wǎng)絡(luò)設(shè)備的連接，例如 華盾 VPN 與交換機(jī)等的連接 。 ? 此硬件安裝說明適用于機(jī)架型產(chǎn)品。對于桌面型產(chǎn)品，可以略過步驟 1）和步驟 2）。 檢查工作狀態(tài) 華盾 VPN的硬件設(shè)備和管理軟件安裝完成之后，就可以 通 電 使用 。在 華盾 VPN的工作過程中，用戶可以根據(jù) 設(shè)備 面板上的指示燈來判斷 其 工作狀態(tài)，具體請見下表 。 指示燈名稱 指示燈狀態(tài)描述 工作燈 （ Run） 當(dāng) 華盾 VPN進(jìn)入工作狀態(tài)時(shí)，工作燈閃爍 。 主從燈 （ M/S） 不啟用雙機(jī)熱備時(shí)，主從燈處于熄滅狀態(tài)； 在啟動(dòng)雙機(jī)熱備時(shí)， 主從燈亮的時(shí)候，代表這臺(tái) 設(shè)備 處于 工作模式 ；反之，如果主從燈處于熄滅狀態(tài)，則該華盾 VPN工作在備份模式 。 說明： 部分型號(hào)的 華盾 VPN設(shè)備沒有“主從燈”。 管理燈 （ MGMT） 當(dāng)網(wǎng)絡(luò)管理員登錄 華 盾 VPN時(shí)，管理燈點(diǎn)亮 。 日志燈 （ Log） 當(dāng)有日志記錄動(dòng)作發(fā)生時(shí)，且前后兩次日志記錄發(fā)生的時(shí)間間隔超過 1 秒鐘時(shí)，日志燈會(huì) 連續(xù)閃爍 4次 。 提示 ? 某些桌面型 產(chǎn)品 指示燈可能會(huì)有所不同。 登錄 系統(tǒng) 網(wǎng)絡(luò)管理員可以通過多種方式管理 華盾 VPN。 管理方式包括 ： ? 本地管理，即通過 CONSOLE口登錄 華盾 VPN； ? 遠(yuǎn)程管理，使用 瀏覽器、 SSH、 TELNET等多種方式登錄 華盾 VPN進(jìn)行配置管理。 第一次使用 華盾 VPN， 管理員可以 通過 CONSOLE口 以命令行方式、通過瀏覽器以WEBUI方式 進(jìn)行配置和管理。在下面幾節(jié) 中，將會(huì)介紹如何通過 CONSOLE口 登錄 到 華盾 VPN并配置其他幾種管理方式。 其中， WEBUI管理方式是最方便、也是最常用到的管理方式。 華盾 VPN 安裝手冊 6 出廠配置 華盾 VPN在出廠時(shí)使用了以下默認(rèn)配置： 管理用戶 管理員用戶名 superman 管理員密碼 ocssjw10 系統(tǒng)參數(shù) 設(shè)備名稱 HuadunOS 同一管理員最多允許 登錄 失敗次數(shù) 5 最大并發(fā)管理數(shù) 目 5 最大并發(fā)管理地點(diǎn) 5 同一用戶 最大 登錄 地點(diǎn) 10 WEBUI超時(shí) 時(shí)間 180秒 物理接口 eth0（或 LAN口） IP： . 其他接口 Shutdown 服務(wù)訪問控制 WEBUI 管理（通過 瀏覽器管理 華盾VPN） 允許來自 eth0（或 LAN 口 ，或 MGMT口 ） 上的服務(wù)請求 GUI管理（通過 華盾 管理中心） 允許來自 eth0（或 LAN 口 ，或 MGMT口 ）上的服務(wù)請求 SSH（通過 SSH遠(yuǎn)程登錄管理） 允許來自 eth0（或 LAN 口 ，或 MGMT口 ）上的服務(wù)請求 升級(jí)（對 華盾 VPN進(jìn)行升級(jí)） 允許來自 eth0（或 LAN 口 ，或 MGMT口 ）上的服務(wù)請求 PING（ PING到 華盾 VPN的接口 IP地址或 VLAN 虛接口的 IP 地址） 允許來自 eth0（或 LAN 口 ，或 MGMT口 ）上的服務(wù)請求 其他服務(wù) 禁止 地址 資源 地址段名稱 any 地址段范圍 區(qū)域 資源 區(qū)域名稱 area_eth0 綁定屬性 eth0 權(quán)限 允許 日志 日志服務(wù)器 IP 地