H3C SECPATH F1000-E配置经验心得

network

H3C SECPATH F1000-E配置经验心得
最近配了H3C SECPAHT F1000-E，把一些心得拿出来大家分享下
1、该防火墙是基于V5平台的，命令上有不少的变化，好像是为了和华为的VRP彻底分家
2、如果要实现远程TELNET配置需要设置TELNET SERVER ENABLE，这点我个人觉得安全性不如CISCO的ASA，ASA远程只能通过SSH，telnet只能放在高安全级别的内网
3、安全区域配置需要配置在WEB界面下，以前是在CLI下即可配置，现在取消了在CLI配置，一开始我到处找firewall packet filter default permit 就是没有，也没有firewall zone trust（untrust）命令
4、低安全级别区域访问高安全级别区域现在需要在WEB 方式下：策略管理--访问控制策略--面向对象的ACL中做设置，这个最困扰我，因为H3C以前没有这样配置，网站上也没有这方面介绍
5、VPN在WEB上支持IKE，IPSEC，但没有L2TP和GRE，CLI上倒是支持L2TP和GRE；另外不支持DVPN，不知道为什么，因为一贯H3C防火墙在VPN功能上是非常强大的，而且配置起来比CISCO的简单
6、P2P控制无法控制讯雷，这个做售前的需要注意，毕竟这个是防火墙，H3C没有把P2P特征码整合讯雷，因此P2P限速只能限制BT，电驴，MSN等，特征码还需要找H3C办事处工程师索取
7、链路自动侦测命令改称NQA了，具体可以找H3C 800要，或者看吓SR路由器文档，我感觉这方面有点向CISCO靠拢，开始用TRACK了，一开始写实施的时候是用detect-group，结果实施时发现不支持该命令,后找800要了个NQA文档才搞定，查资料，cisco的是SLAnqa entry admin cnc
type icmp-echo
  destination ip z.z.z.z
  frequency 1000
  reaction 3 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
#
nqa entry admin dianxin1
type icmp-echo
  destination ip x.x.x.x
  frequency 1000
  reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
#
nqa entry admin dianxin2
type icmp-echo
  destination ip y.y.y.y
  frequency 1000
  reaction 2 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
ip route-static 0.0.0.0 0.0.0.0 电信1网关 track 1
ip route-static 0.0.0.0 0.0.0.0 电信2网关 track 2 preference 70
ip route-static 0.0.0.0 0.0.0.0 网通 track 3 preference 80
#
track 1 nqa entry admin dianxin1 reaction 1
track 2 nqa entry admin dianxin2 reaction 2
track 3 nqa entry admin cnc reaction 3
#
nqa schedule admin cnc start-time now lifetime forever
nqa schedule admin dianxin1 start-time now lifetime forever
nqa schedule admin dianxin2 start-time now lifetime forever


8、防病毒策略也需要在WEB方式下在面向对象ACL中加，比以前直接下发麻烦的多
9、策略路由命令注意变了，route-policy改成policy-base-route了，这个也折腾我半天，一开始我都配置的是route-policy，但是在接入的PC上用TRACERT跟踪路由，发现策略路由始终不生效，还一度以为这防火墙软件有问题，汗一个
10、G0/0端口默认为管理口，H3C办事处工程师建议不跑业务（个人觉得浪费资源啊，还不如ASA单独搞个管理口方便）
11、虚拟防火墙是需要指定相应的接口，我测试了下，目前好像还做不到在同一端口划分几个逻辑虚拟防火墙，而且必须在WEB方式下配置
12、该防火墙端口不支持链路聚合，如果需要和核心交换机做链路备份，需要再用1个端口做路由，路由的优先级不同即可
该产品配置是WEB+CLI
总的来说，这款防火墙如果在熟悉了以后应该是比较容易上手，而H3C也会不断改进，希望以后出来完全WEB方式颁布或者WEB操作可以显示在CLI中