netscreen防火墻安全配置指導手冊-文庫吧
2025-04-24 00:49 本頁面
【正文】 CLI 命令。 RADIUS認證和授權 遠程認證撥號的用戶服務 (RADIUS)是一個用于認證服務器的協(xié)議，它最多可支持幾萬個用戶。 RADIUS客戶端（即 NetScreen設備）通過客戶端與服務器之間的一系列通信對用戶進行認證。通常， RADIUS會 要求登錄人員輸入其用戶名和密碼。然后，它將這些值與其數(shù)據(jù)庫中的對應值比較，用戶通過認證后，客戶端即允許其訪問相應的網(wǎng)絡服務。要針對 RADIUS配置 NetScreen設備，必須指定 RADIUS服務器的 IP地址，并定義與 RADIUS服務器上的定義相同的 shared secret。 shared secret 是一個密碼， RADIUS 服務器用它來生成密鑰，以便對NetScreen和 RADIUS設備之間的信息流進行加密。此外，還要將 NetScreen 詞典文件加載到 RADIUS 服務器上，使其能支持下列供應商專用屬性 (VSA) 的查詢：用戶組、管理權限、遠程 L2TP和 XAuth設置?？蓮?下載詞典文件。 在下例中將其用戶帳戶類型指定為 admin，將 RADIUS 服務器命名為 6/20 “radius1”，并接受 NetScreen設備自動指派的 ID 號。輸入其 IP 地址 ；將其端口號由缺省值 (1645) 更改為 4500。將其共享機密定義為 “A56htYY97kl”。將超時值由缺省值（ 10 分鐘）更改為 30 分鐘。同時將兩個備份服務器的 IP 地址分別指定為 和 。 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：無 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 選擇菜單 Configuration Auth Auth Servers New：輸入以下內(nèi)容，然后單擊 OK。 Name: radius1 IP/Domain Name: Backup1: Backup2: Timeout: 30 Account Type: Admin RADIUS:（選擇） RADIUS Port: 4500 Shared Secret: A56htYY97kl SNMP 協(xié)議 SNMP協(xié)議是目前數(shù)據(jù)網(wǎng)管理中普遍使用的協(xié)議，但 SNMP協(xié)議本身也存在安全問題。需要合理配置 SNMP 協(xié)議的相關屬性，才能讓 SNMP 協(xié)議更好的為日常維護管理服務。如不需要，不建議對 NetScreen防火墻使用 SNMP。 NetScreen防火墻支持 SNMPv MIBII，還有其私有 MIB 庫，可將其加載到網(wǎng)絡管理系統(tǒng)中。要獲得最新的 MIB 文件，請從 下載。 建議采取以下方法進行保護： 7/20 ? 限制發(fā)起 SNMP連接的源地址； ? 設置并定期更改 SNMP Community（至少半年一次）； ? 除特殊情況，否則不設置 SNMP RW Community； 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】： SNMP服務器應配置與防火墻 SNMP相同的 Community Name通信子串。 【具體配置】： a. 如果業(yè)務不需使用 SNMP服務，可停止 SNMP服務 進入 Netscreen防火墻的操作系統(tǒng) WebUI界 面 選擇菜單 Network Interfaces (Edit) Service Options 不選擇 SNMP b. 如果業(yè)務需要使用 SNMP服務，可通過對其認證字符串、讀寫權限和地址進行限制。 選擇菜單 Configuration Report Settings SNMP 設置 Configuration Report Settings SNMP 單擊 New Community Community Name設置口令 Permissions 設置讀寫權限 Hosts IP Address/Netmask地址限定 HTTP 的配置要求 NetScreen設備使用 Web技術提供了配置和管理軟件的 Web界面，可使用標準的 Web 瀏覽器，通過 “超文本傳輸協(xié)議 ” (HTTP) 遠程訪問、監(jiān)控和控制網(wǎng)絡安全配置。為了保障 HTTP的安全，可通過在虛擬專用網(wǎng) (VPN)通道中封裝 HTTP流量或通過 “安全套接字層 ”(SSL)協(xié)議保障安全，還可以通過將管理流量與網(wǎng)絡用戶流量完全分離來保障它的安全。一些型號的 NetScreen 設備支持通過 MGT接口或?qū)⒁粋€接口（例如 DMZ）完全專用于管理流量來運行所有的管理流量。 8/20 更改 HTTP監(jiān)聽端口號 NetScreen使用 HTTP時缺省使用的 80監(jiān)聽端口容易被黑客掃描到，因此可以通過更改 HTTP監(jiān)聽端口號提高系統(tǒng)安全性。 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：更改端口號后，在下次嘗試通過 HTTP訪問 NetScreen 設備時，必須在 Web 瀏覽器的 URL 字段中鍵入新的端口號（如 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 選擇菜單 Configuration Admin Managemen 在 “HTTP 端口 ”字段中，鍵入新端口號（如 50000），然后單擊 Apply 使用 SSL保障 HTTP訪問的安全性 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：有關請求并加載證書的詳細信息，請參考 NetScreen 相關文檔。 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 獲得 SSL證書并在 NetScreen 設備上加載 啟用 SSL 管理：選擇菜單 Configuration Admin Management：輸入以下內(nèi)容 ，然后單擊 Apply： Certificate：選擇您要從下拉列表中使用的證書。 Ciphe：選擇您要從下拉列表中使用的密碼。 配置接口，通過該接口您可管理 NetScreen 設備，以允許進行 SSL 管理：選擇菜單 Network Interfaces Edit（對于要管理的接口）：啟用 SSL并禁用 HTTP 管理服務復選框，然后單擊 OK。 9/20 使用瀏覽器通過 連接到 NetScreen 設備的 SSL 端口進行管理。 2 安全審計 防火墻的日志數(shù)據(jù)能夠幫助系統(tǒng)管理員進行歷史信息流跟蹤、事件關聯(lián)分析和網(wǎng)絡故障 診斷，因此利用 NetScreen防火墻提供的各種功能加強對日志的管理，將有助于及時發(fā)現(xiàn)和判斷安全問題。所有 NetScreen 設備都允許在內(nèi)部（閃存區(qū)域）和外部存儲事件和信息流日志數(shù)據(jù)。盡管在內(nèi)部存儲日志信息很方便，但內(nèi)存的數(shù)量是有限的。當內(nèi)部存儲空間被完全占用時， NetScreen 設備會用最新的日志條目覆蓋最舊的日志條目，造成數(shù)據(jù)丟失。要減少這種數(shù)據(jù)損失，可將事件和信息流日志存儲在外部的系統(tǒng)日志或 WebTrends 服務器中，或NetScreenGlobal PRO 數(shù)據(jù)庫中。 NetScreen防火墻 提供以下幾種日志存
法律信息相關推薦
鄂ICP備17016276號-1