Fortinet FortiBridge 1000 Quick guide

FortiGate!1000 Installation!and
Configuration!Guide
Esc Enter INTERNAL EXTERNAL
1 2 3 4 / HA
FortiGate 用户手册 第一卷
2.50 版
2003 年7月21 日
安装和配置指南
FortiGate-1000

©Copyright 2003 美国飞塔有限公司版权所有。
本手册中所包含的任何文字、例子、图表和插图，未经美国飞塔有限公司的
许可，不得因任何用途以电子、机械、人工、光学或其它任何手段翻印、传
播或发布。
FortiGate-1000 安装和配置指南
2.50 版
2003 年7月21 日
注册商标
本手册中提及的产品由他们各自的所有者拥有其商标或注册商标。
服从规范
FCC Class A Part 15 CSA/CUS
注意：如果更换的电池型号错误，有可能会导致爆炸。请根据使用说明中的
规定处理用过的电池。
请访问 http://www.fortinet.com 以获取技术支持。
请将在本文档或任何 Fortinet 技术文档中发现的错误信息或疏漏之处发送
到[e-mail]。

目录
FortiGate-1000 安装和配置指南 iii
目录
简介 ................................................................... 1
防病毒保护 ................................................................... 1
Web 内容过滤 ................................................................. 2
电子邮件过滤 ................................................................. 2
防火墙 ....................................................................... 3
NAT/ 路由模式 .............................................................. 3
透明模式 ................................................................... 3
虚拟专用网 （VLAN）........................................................... 3
网络入侵检测系统 （NIDS）..................................................... 4
虚拟专用网络 （VPN）.......................................................... 4
高可用性 ..................................................................... 5
安全安装、配置、管理 ......................................................... 5
基于 Web 的管理程序 ......................................................... 5
命令行接口 （CLI）.......................................................... 6
日志和报告 ................................................................. 6
2.50 版本的新特点 ............................................................ 7
系统管理 ................................................................... 7
防火墙 Firewall ............................................................ 8
用户和认证 ................................................................. 8
VPN ........................................................................ 8
NIDS ....................................................................... 9
防病毒 ..................................................................... 9
网页过滤 ................................................................... 9
电子邮件过滤 ............................................................... 9
日志和报告 ................................................................. 9
关于本手册 .................................................................. 10
文档中的约定 ................................................................ 10
Fortinet 的文档 ............................................................. 11
Fortinet 技术文档的注释 ................................................... 12
客户服务和技术支持 .......................................................... 13
开始 .................................................................. 15
包装中的物品 ................................................................ 16
安置 ........................................................................ 16
启动 ........................................................................ 17
连接到基于 Web 的管理程序 .................................................... 18
连接到命令行接口 (CLI) ...................................................... 19

目录
iv 美国飞塔有限公司
FortiGate 出厂默认设置 ...................................................... 20
出厂默认的 NAT/ 路由模式的网络配置 ......................................... 20
出厂默认的透明模式的网络设置 .............................................. 21
出厂时默认的防火墙配置 .................................................... 21
出厂时默认的内容配置文件 .................................................. 22
严谨型内容配置文件 ........................................................ 23
扫描型内容配置文件 ........................................................ 23
网页型内容配置文件 ........................................................ 24
非过滤型内容配置文件 ...................................................... 24
规划您的 FortiGate 设备的配置 ................................................ 25
NAT/ 路由模式 ............................................................. 25
具有多个外部网络连接的 NAT/ 路由模式 ....................................... 26
透明模式 .................................................................. 26
配置选项 .................................................................. 27
FortiGate 系列产品参数最大值列表 ............................................ 28
下一步...................................................................... 29
NAT/ 路由 模式安装..................................................... 31
准备配置 NAT/ 路由模式 ....................................................... 31
使用安装向导................................................................ 32
启动安装向导.............................................................. 32
重连接到 基于 Web 的管理程序 ............................................... 32
使用前面板控制按钮和LCD .................................................... 33
使用命令行界面 .............................................................. 33
将FortiGate 配置为在NAT/ 路由模式操作 ..................................... 33
将FortiGate 连接到网络中 .................................................... 34
配置网络 .................................................................... 35
完成配置 .................................................................... 36
配置接口 1、2和3 ......................................................... 36
配置接口 4/HA............................................................. 36
设置日期和时间............................................................ 36
启用防病毒保护 ............................................................ 36
注册 FortiGate 设备 ........................................................ 37
配置防病毒和攻击定义更新 .................................................. 37
配置举例：到互联网的多重连接 ................................................ 37
配置 Ping 服务器........................................................... 38
基于目的地的路由配置举例.................................................. 39
策略路由的例子 ............................................................ 41
防火墙策略举例............................................................ 42
透明模式安装 .......................................................... 45
准备配置透明模式 ............................................................ 45

目录
FortiGate-1000 安装和配置指南 v
使用安装向导................................................................ 45
切换到透明模式 ............................................................ 46
启动安装向导.............................................................. 46
重连接到 基于 Web 的管理程序 ............................................... 46
使用前面板控制按钮和LCD .................................................... 46
使用命令行接口 .............................................................. 47
切换到透明模式 ............................................................ 47
配置透明模式的管理 IP 地址 ................................................. 47
配置透明模式的默认网关 .................................................... 47
完成配置 .................................................................... 48
设置日期和时间............................................................ 48
启用防病毒保护 ............................................................ 48
注册 FortiGate 设备 ........................................................ 48
配置防病毒和攻击定义更新 .................................................. 48
将FortiGate 连接到网络中 ................................................... 48
透明模式配置的例子 .......................................................... 50
默认路由和静态路由 ........................................................ 50
到外部网络的默认路由的例子 ................................................ 50
到外部目的地址的静态路由的例子 ............................................ 52
到内部目的地址的静态路由的例子 ............................................ 54
高可用性 .............................................................. 57
主动-被动HA ............................................................... 57
主动-主动HA ............................................................... 58
NAT/ 路由模式下的HA ......................................................... 59
安装和配置 FortiGate 设备 .................................................. 59
配置 HA 接口 ............................................................... 59
配置 HA 簇................................................................ 60
将HA 簇连接到您的网络 ..................................................... 61
启动 HA 簇................................................................. 63
透明模式下的HA ............................................................. 63
安装和配置 FortiGate 设备 .................................................. 63
配置 HA 接口和 IP 地址 ...................................................... 63
配置 HA 簇................................................................ 64
将HA 簇连接到您的网络中 ................................................... 65
启动 HA 簇................................................................. 66

目录
vi 美国飞塔有限公司
管理 HA 组................................................................... 66
查看 HA 簇成员状态 ......................................................... 67
监视簇成员 ................................................................ 67
监视簇会话................................................................ 68
查看和管理簇日志消息...................................................... 68
单独管理簇中的设备 ........................................................ 69
同步簇配置 ................................................................ 70
返回到独立模式配置 ........................................................ 70
在失效恢复后替换FortiGate ................................................ 70
高级HA 选项 ................................................................. 71
从FortiGate 设备中选择一个主设备 .......................................... 71
配置加权轮询的权重........................................................ 71
系统状态 .............................................................. 73
修改 FortiGate 主机名........................................................ 74
修改 FortiGate 固件......................................................... 74
升级到新版本的固件........................................................ 74
恢复到一个旧的固件版本 .................................................... 76
使用 CLI 重新启动系统安装固件.............................................. 78
在安装新版本的固件之前进行测试............................................ 80
安装和使用一个备份了的固件映像 ............................................ 82
手动更新病毒防护定义库 ...................................................... 85
手动更新攻击定义库 .......................................................... 85
显示 FortiGate 的序列号 ...................................................... 86
显示 FortiGate 运行时间...................................................... 86
显示日志硬盘状态 ............................................................ 86
备份系统设备 ................................................................ 86
恢复系统设置 ................................................................ 86
将系统设置恢复到出厂设置 .................................................... 87
转换到透明模式 .............................................................. 87
转换到 NAT/ 路由模式 ......................................................... 88
重新启动 FortiGate 设备 ...................................................... 88
关闭FortiGate 设备 .......................................................... 88
系统状态 .................................................................... 88
查看 CPU 和内存状态 ........................................................ 89
查看会话和网络状态 ........................................................ 90
查看病毒和入侵状态 ........................................................ 90
会话列表 .................................................................... 91

目录
FortiGate-1000 安装和配置指南 vii
病毒和攻击定义升级及注册 .............................................. 93
病毒防护定义和攻击定义更新 .................................................. 93
连接到 Forti 响应发布网络 .................................................. 94
配置周期性更新 ............................................................ 95
配置更新日志 .............................................................. 96
添加后备服务器............................................................ 96
手工更新病毒防护定义和攻击定义............................................ 97
配置推送更新 .............................................................. 97
通过NAT 设备的推送更新 .................................................... 98
通过代理服务器定期更新 ................................................... 102
注册 FortiGate 设备 ......................................................... 102
FortiCare 服务合同 ....................................................... 103
注册 FortiGate 设备 ....................................................... 103
更新注册信息 ............................................................... 105
找回丢失的Fortinet 支持密码 .............................................. 105
查看注册的 FortiGate 设备列表 ............................................. 105
注册一个新的 FortiGate 设备 ............................................... 106
添加或修改 FortiCare 支持合同号........................................... 106
修改您的 Fortinet 支持密码 ................................................ 107
修改您的联系信息或安全提示问题........................................... 107
下载病毒防护和攻击定义更新 ............................................... 107
RMA 之后注册 FortiGate 设备 ................................................. 108
网络配置 ............................................................. 109
配置区域 ................................................................... 109
添加区域 ................................................................. 109
在区域中添加接口 ......................................................... 110
在区域中添加 VLAN 子接口 .................................................. 110
重命名区域 ............................................................... 110
删除区域 ................................................................. 110
配置网络接口 ............................................................... 111
查看接口列表 ............................................................. 111
启动一个接口 ............................................................. 111
修改一个接口的静态 IP 地址 ................................................ 111
为接口添加第二个IP 地址 .................................................. 112
为接口添加 ping 服务器.................................................... 112
控制到接口的管理访问 ..................................................... 112
为接口的连接配置通讯日志 ................................................. 113
修改外部网络接口的 MTU 大小以提高网络性能 ................................. 113
配置接口 4/HA ............................................................ 114
配置管理接口 （透明模式）................................................. 114

目录
viii 美国飞塔有限公司
配置虚拟局域网（VLAN）..................................................... 115
VLAN 网络配置 ............................................................ 115
添加 VLAN 子网络接口 ...................................................... 116
配置路由 ................................................................... 118
添加默认路由 ............................................................. 118
向路由表添加基于目的的路由 ............................................... 119
添加路由 （透明模式）..................................................... 120
配置路由表 ............................................................... 120
策略路由 ................................................................. 121
在您的内部网络中提供DHCP 服务 .............................................. 121
RIP 配置 ............................................................. 123
RIP 设置 ................................................................... 124
为FortiGate 接口配置 RIP ................................................... 125
添加 RIP 邻居 ............................................................... 127
添加 RIP 过滤器............................................................. 127
添加单一RIP 过滤器....................................................... 128
添加一个 RIP 过滤列表 ..................................................... 128
添加一个邻居过滤器....................................................... 129
添加一个路由过滤器....................................................... 129
系统配置 ............................................................. 131
设置系统日期和时间......................................................... 131
更改基于基于 Web 的管理程序的选项 ........................................... 132
添加和编辑管理员帐号....................................................... 133
添加新的管理员帐号....................................................... 134
编辑管理员帐号........................................................... 134
配置 SNMP .................................................................. 135
为SNMP 监视配置 FortiGate 设备 ............................................ 135
配置 FortiGate 的SNMP 支持 .............................................. 135
FortiGate 管理信息库（MIB）.............................................. 136
FortiGate 陷阱 ........................................................... 137
定制替换信息 ............................................................... 137
定制替换信息 ............................................................. 138
定制报警邮件 ............................................................. 139

目录
FortiGate-1000 安装和配置指南 ix
防火墙配置 ........................................................... 141
默认防火墙配置 ............................................................. 142
接口 ..................................................................... 142
VLAN 子接口 .............................................................. 142
区域 ..................................................................... 142
地址 ..................................................................... 143
服务 ..................................................................... 143
任务计划................................................................. 143
内容配置文件 ............................................................. 144
添加防火墙策略 ............................................................. 144
防火墙策略选项 ........................................................... 145
配置策略列表 ............................................................... 148
策略匹配的细节 ........................................................... 149
更改策略列表中策略的顺序................................................. 149
启用和禁用策略 ........................................................... 149
地址 ....................................................................... 150
添加地址 ................................................................. 150
编辑地址 ................................................................. 151
删除地址 ................................................................. 152
将地址编入地址组 ......................................................... 152
服务 ....................................................................... 153
预定义的服务 ............................................................. 153
访问定制服务 ............................................................. 155
服务分组 ................................................................. 156
任务计划................................................................... 157
创建一个一次性任务计划................................................... 157
创建周期性任务计划....................................................... 158
在策略中添加一个任务计划................................................. 159
虚拟 IP .................................................................... 160
添加静态 NAT 虚拟 IP ...................................................... 160
添加端口转发虚拟 IP ...................................................... 161
添加使用虚拟 IP 的策略 .................................................... 162
IP 池...................................................................... 163
添加 IP 池................................................................ 163
使用固定端口的防火墙策略的IP 池.......................................... 164
IP 池和动态NAT ........................................................... 164
IP/MAC 绑定................................................................ 164
为穿过防火墙的数据包配置 IP/MAC 绑定...................................... 165
为连接到防火墙的数据包配置 IP/MAC 绑定.................................... 165
添加 IP/MAC 地址 .......................................................... 166
查看动态IP/MAC 列表 ...................................................... 166
启用 IP/MAC 地址绑定...................................................... 166

目录
x 美国飞塔有限公司
内容配置文件 ............................................................... 167
默认的内容配置文件 ....................................................... 168
添加一个内容配置文件 ..................................................... 168
将内容配置文件添加到策略 ................................................. 169
用户与认证 ........................................................... 171
设置认证超时............................................................... 172
添加用户名并配置认证 ....................................................... 172
添加用户名和配置认证 ..................................................... 172
从内部数据库中删除用户名................................................. 173
配置 RADIUS 支持 ............................................................ 173
添加 RADIUS 服务器........................................................ 173
删除 RADIUS 服务器........................................................ 174
配置 LDAP 支持 ............................................................. 174
添加 LDAP 服务器.......................................................... 175
删除 LDAP 服务器.......................................................... 175
配置用户组................................................................. 176
添加用户组............................................................... 176
删除用户组............................................................... 177
IPSec VPN ............................................................ 179
密钥管理 ................................................................... 179
手工密钥 ................................................................. 180
使用预置密钥或证书的自动互联网密钥交换(自动 IKE) ........................ 180
手工密钥 IPSec VPN ......................................................... 180
手工密钥 VPN 的一般配置步骤 ............................................... 181
添加一个手工密钥 VPN 通道 ................................................. 181
自动 IKE IPSec VPN ......................................................... 182
自动 IKE VPN 的一般配置步骤 ............................................... 182
为自动 IKE VPN 添加第一阶段配置 ........................................... 183
为自动 IKE VPN 添加第二阶段配置 ........................................... 186
管理数字证书............................................................... 188
获得签名的本地证书....................................................... 188
获得一个 CA 证书.......................................................... 192
配置加密策略 ............................................................... 192
添加源地址 ............................................................... 193
添加目的地址 ............................................................. 193
添加一个加密策略 ......................................................... 194
IPSec VPN 集中器........................................................... 195
VPN 集中器(集线器 ) 一般配置步骤 ......................................... 196
添加一个 VPN 集中器....................................................... 197
VPN 辐条一般配置步骤 ..................................................... 198
冗余 IPSec VPN ............................................................. 199
配置冗余 IPSec VPN ....................................................... 199

目录
FortiGate-1000 安装和配置指南 xi
VPN 监视和问题解答 ......................................................... 200
查看 VPN 通道状态 ......................................................... 200
查看拨号VPN 连接的状态 ................................................... 201
测试VPN ................................................................. 201
PPTP 和L2TP VPN ..................................................... 203
配置 PPTP .................................................................. 203
把FortiGate 配置为PPTP 网关 .............................................. 204
配置 PPTP 的Windows98 客户端.............................................. 206
配置 Windows2000 的PPTP 客户端............................................ 207
配置 WindowsXP 的PPTP 客户端.............................................. 208
L2TP VPN 配置 .............................................................. 209
把FortiGate 配置为L2TP 网关 .............................................. 210
配置 Windows2000 客户的 L2TP .............................................. 212
配置 WindowsXP 客户的 L2TP ................................................ 214
网络入侵检测系统 (NIDS) .............................................. 217
检测攻击 ................................................................... 217
选择要监视的网络接口 ..................................................... 217
禁用NIDS ................................................................ 217
验证校验和的配置 ......................................................... 219
查看攻击特征列表 ......................................................... 219
查看攻击描述............................................................. 219
启用和禁用NIDS 攻击特征.................................................. 220
添加 用户定义的特征...................................................... 221
NIDS 攻击预防.............................................................. 221
启用 NIDS 攻击预防........................................................ 222
启用 NIDS 攻击预防特征.................................................... 222
设置特征临界值 ........................................................... 223
配置握手溢出特征值 ....................................................... 224
记录NIDS 攻击日志 .......................................................... 224
将攻击消息记录到攻击日志 ................................................. 224
减少 NIDS 攻击日志消息和报警邮件的数量 .................................... 225
防病毒保护 ........................................................... 227
一般配置步骤 ............................................................... 227
防病毒扫描 ................................................................. 228
文件阻塞 ................................................................... 229
在防火墙通讯中阻塞文件 ................................................... 230
添加用于阻塞的文件名样板 ................................................. 230

目录
xii 美国飞塔有限公司
隔离 ....................................................................... 230
隔离被感染的文件 ......................................................... 231
隔离被阻塞的文件 ......................................................... 231
查看隔离列表 ............................................................. 231
隔离列表排序............................................................. 232
过滤隔离列表 ............................................................. 232
从隔离区中删除文件 ....................................................... 232
下载被隔离的文件 ......................................................... 232
配置隔离选项 ............................................................. 233
阻塞过大的文件和电子邮件 ................................................... 233
配置文件或电子邮件大小限制............................................... 233
对邮件片段免除阻塞 ......................................................... 233
查看病毒列表 ............................................................... 234
网页内容过滤 ......................................................... 235
一般配置步骤 ............................................................... 235
内容阻塞 ................................................................... 236
在禁忌词汇列表中添加单词或短语 ........................................... 236
阻塞对 URL 的访问 ........................................................... 237
使用 FortiGate 网页过滤器................................................. 237
使用 Cerberian 网页过滤器................................................. 239
脚本过滤 ................................................................... 242
启用脚本过滤 ............................................................. 242
选择脚本过滤选项 ......................................................... 242
URL 排除列表 ............................................................... 243
在URL 排除列表中添加 URL ................................................. 243
电子邮件过滤 ......................................................... 245
一般配置步骤 ............................................................... 245
电子邮件禁忌词汇列表 ....................................................... 245
在禁忌词汇列表中添加单词或短语 ........................................... 246
电子邮件阻塞列表 ........................................................... 246
在邮件阻塞列表中添加地址模板............................................. 246
邮件排除列表 ............................................................... 247
在邮件排除列表中添加地址模板............................................. 247
添加一个主题标签........................................................... 248
日志和报告 ........................................................... 249
记录日志 ................................................................... 249
在远程电脑上记录日志 ..................................................... 250
在NetIQ WebTrends 服务器上记录日志 ...................................... 250
将日志记录到 FortiGate 硬盘 ............................................... 250
将日志记录到系统内存..................................................... 251
过滤日志消息............................................................... 252

目录
FortiGate-1000 安装和配置指南 xiii
配置通讯日志 ............................................................... 253
启用通讯日志 ............................................................. 254
配置通讯过滤设置 ......................................................... 254
添加通讯过滤的条目....................................................... 255
查看记录到内存的日志 ....................................................... 256
查看日志 ................................................................. 256
搜索日志 ................................................................. 256
查看和管理保存在硬盘上的日志 ............................................... 257
查看日志 ................................................................. 257
搜索日志 ................................................................. 257
将日志文件下载到管理员电脑............................................... 258
删除当前日志中的全部消息................................................. 258
删除一个保存了的日志文件 ................................................. 259
配置报警邮件 ............................................................... 259
添加报警邮件地址 ......................................................... 259
测试报警邮件 ............................................................. 260
启用报警邮件 ............................................................. 260
术语表 .............................................................. 261
索引 ................................................................. 263

目录
xiv 美国飞塔有限公司

FortiGate-1000 安装和配置指南 2.50 版
FortiGate-1000 安装和配置指南 1
简介
FortiGate 防病毒防火墙支持应用层服务的基于网络的部署，包括防病毒保护和全
内容扫描过滤。FortiGate 防病毒防火墙增强了网络的安全性，避免了网络资源的误用
和滥用，可以帮助您更好地使用通讯资源而不会降低网络的性能。FortiGate 防病毒防
火墙获得了ICSA 防火墙认证，IP 安全认证和防病毒服务认证。
FortiGate 防病毒防火墙是一个易于管理的安全设备，它提供了一套完整的功能，
包括：
·应用层服务，例如病毒防护和内容过滤，
·网络曾服务，例如防火墙、入侵检测、VPN，以及流量控制等。
FortiGate 采用了先进的行为加速 （Accelerated Behavior）和内容分析系统技术
（ABACASTM），突破了芯片设计、网络通信、安全防御及内容分析等诸多难点。公司所
独有的，基于 ASIC 上的网络安全构架能实时进行网络内容和状态分析，并及时启动在
网络边界布署的防护关键应用程序，对您的网络进行最有效的安全保护。FortiGate
系列对现有的一些解决方案，如以主机为基础的防病毒保护进行补充，并在大力降低
设备，管理和维修成本的同时，为您提供一些新的应用和服务。
FortiGate-2000C 型提供了满足大型
企业及服务供应商所需的企业重载级性能
和可靠性。FortiGate-200 使用多个 CPU
和FortiASIC 芯片提供了高达2G 的吞吐
量，能满足大多数大型应用中对设备的严
格要求。每个FortiGate-2000C 都包括冗余供电设备以避免单点失效的影响。同时它
还支持负载均衡和不中断服务的失效恢复。高兼容性，高可靠性和易于管理使得
FortiGate-2000C 成为提供可管理服务的最佳选择。
防病毒保护
ICSA 认证的 FortiGate 防病毒保护，可将通过FortiGate 传输的WEB （HTTP），
文件传输（FTP）和 EMAIL(SMTP, POP3, 和IMAP ) 内容中被病毒感染的文件删除。当
FortiGate 从内容流中检测出病毒时，自动病毒防护功能可以删除那些感染了病毒的文
件，用一条病毒感染信息替换掉原来的文件，然后转发到内容流的接收方。Web 和电子
邮件内容可以是存在于常规网络通讯中的或者是被封装在 IPSec VPN 通讯流中的。
您还可以提高安全防护的级别，将防病毒保护功能设置为阻塞通过FortiGate 设备
的特定类型的文件。使用这一功能可以阻塞可能含有新型病毒的文件。

2 美国飞塔有限公司
Web 内容过滤 简介
如果 FortiGate 设备内配有硬盘，可以将被感染或被阻塞的文件隔离。FortiGate
管理员可以下载被隔离的文件，然后对它们进行病毒扫描，杀毒，再将它们发送给原
来的接收者。您也可以将 FortiGate 设备配置为每过一段时间就自动删除被隔离的文
件。
当FortiGate 设备从内容流中检测到病毒并将它删除的时候，它可以向系统管理员
发送一封报警邮件。
ICSA LABS 认证了FortiGates 的以下功能：
·100% 检测到 The Wild List(www.wildlist.org) 中列举的所有病毒。
·检测 PKZip 格式压缩文件中的病毒。
·检测以 UUENCODE 格式编码的EMAIL 中的病毒。
·检测以 MIME 格式编码的EMAIL 中的病毒。
·在扫描同时对所有动作进行日志记录。
Web 内容过滤
FortiGate Web 内容过滤可设置为扫描 URL 和WEB 网页内容中的全部 HTTP 内容协
议数据流。如果在 URL 阻塞列表中找到与URL 匹配的条目, 或在网页中发现了内容阻
塞列表中的词或短语，FortiGate 将阻塞此页。被阻塞的网页会被一条内容阻塞消息
所替代，您可以使用基于 Web 的管理程序编缉这个消息。
通过设置 URL 阻塞可以阻挡来自某一网站上的所有或部分网页。利用这一特点，
可拒绝某个站点中的部分而不是阻塞整个网站。
为防止无意封锁到一些合法的网页，可将 URLs 添加到一则例外列表中，从而覆盖
URL 封锁及内容封锁列表中的设置。
Web 网页内容过滤也包括脚本过滤，它可以配置为阻塞如下一些非安全 web 内容
如Java 小程序、Cookies、ActiveX。
您还可以使用 Cerberian URL 阻塞去阻塞不受欢迎的URL。
电子邮件过滤
通过配置 FortiGate 的电子邮件过滤功能，可以扫描所有的 IMAP 和POP3 邮件内
容，找出不受欢迎的发件人或不受欢迎的内容。如果发现某个邮件的发件人地址与电
子邮件阻塞列表中的某一项相匹配，或者在邮件的内容中含有和禁忌词汇列表中的词
汇相匹配的内容，FortiGate 会在这个邮件的标题栏中添加一个电子邮件标签。接收者
可以用他们的电子邮件客户端软件根据这个电子邮件标签过滤不想要的邮件。
对于所有的或部分已知的广告邮件发送组织，您可以通过配置电子邮件阻塞功能在
属于这些组织的发件人所发送的电子邮件上添加电子邮件标签。为了避免无意中在正
常发件人发送的邮件上加上电子邮件标签，您可以将发件人的地址模板添加到一个排
除列表中，以使该发件人发送的邮件不收邮件阻塞功能和禁忌词汇列表的限制。

简介 防火墙
FortiGate-1000 安装和配置指南 3
防火墙
ICSA 认证的 FortiGate 防火墙可以在互联网这个充满敌意的环境中保护您的电脑
网络。ISCA 已对FortiGate 防火墙 4.0 版本授予了证书，确保了FortiGates 可以成功
保护企业网络不受来自公共或其它非信任网络的各种威胁。
在完成 FortiGate 的基本安装后，防火墙可设置为允许用户从受保护内部网络访问
Internet，并同时封锁从Internet 到内部网的访问。您可对防火墙进行设置，使其对
从内部网到 Internet 的访问，和从 Internet 到内部往的访问加以控制。
您可以使用以下选项灵活地配置 FortiGate 安全策略 :
·控制所有进入和输出的网络流通，
·控制加密的VPN 流通，
·应用防病毒保护和 WEB 内容过滤，
·阻塞或允许对全部策略选项的访问，
·根据单个策略进行控制，
·接受或拒绝出入单个地址的流通，
·单独或成组地控制标准的和用户定义的网络服务，
·要求用户在获取访问之 前进行用户认证，
·包含了流通控制用以设置每条策略的访问优先权和带宽保证或带宽限制，
·包含日志用以逐个追记某策略下的网络连接，
·包含网络地址转换／路由 （NAT/ 路由）模式策略，
·包含混合NAT 和路由模式策略。
FortiGate 防火墙支持网络地址转换/路由模式或透明模式。
NAT/ 路由模式
在NAT/ 路由模式下, 您可创建 NAT 模式和路由模式策略。
·NAT 模式策略通过网络地址转换对较不安全区域中的用户隐藏较安全区域中的地址。
·路由模式策略在不执行地址转换下接受或拒绝区域间的连接。
透明模式
透明模式提供了与 NAT 模式相同的基本防火墙保护。从 FortiGate 中接收到的数据
包根据防火墙策略可被智能地转发或阻塞掉。FortiGate 可插入到网络的任何一点而不
需要对此网络或其它相关组件做任何的改变。然而，VPN、VLAN、多区域功能及一些高
级防火墙功能只能在 NAT/ 路由模式下使用。
虚拟专用网 （VLAN）
FortiGate 防病毒防火墙支持服从 IEEE802.1Q 标准的虚拟局域网（VLAN）标签。
用VLAN 技术，FortiGate 可以多个安全域提供安全服务和连接控制，根据添加到VLAN
数据包的 VLAN ID 来识别这些安全域。FortiGate 可以识别 VLAN ID 并对安全网络和每
个安全域间的IPSec VPN 数据流应用安全策略。它还可以为VLAN 标识的网络和 VPN 数
据流提供认证、内容过滤和防病毒保护功能。

4 美国飞塔有限公司
网络入侵检测系统 （NIDS） 简介
网络入侵检测系统 （NIDS）
FortiGate 网络入侵侦测系统 (NIDS) 是一种实时网络入侵探测器，它能对外界各
种可疑的网络活动进行识别及采取行动。NIDS 通过攻击特征来识别超过1000 种的攻
击。您可以启用或禁止NIDS 对某一类型的攻击进行检测。还可以自行编写攻击特征从
而生成用户自定义的攻击类型检测。
NIDS 可以防止探测、大部分常见的拒绝服务攻击和基于数据包的攻击。您可以启
用或禁用预防攻击的特征，和定制攻击检测的灵敏度和其他参数。
为通知系统管理员有攻击，NIDS 将此攻击及一切可疑流通记录到攻击日志中，并
根据设置发送报警EMAIL。
Fortinet 可定期更新攻击数据库。您可下载并手动安装攻击数据库。也可设置
FortiGate 自动查询和下载更新的 IDS 数据库。
虚拟专用网络 （VPN）
使用 FortiGate 虚拟专用网 （VPN）, 可为您在办公网络和分散的办公室网络、从
远程安全通讯系统登陆到公司网的用户或旅行者 之间提供一个安全的网络连接。服务
供应商还可以使用 FortiGate 设备为他们的客户提供VPN 服务。
FortiGate VPN 包括以下特性 :
·执行行业标准及ICSA 认证的 IPSec VPN 包括:
·在通道模式下的IPSec, ESP 安全，
·DES 和3DES (triple-DES) 加密的硬件加速，
·HMAC MD5 和HMAC SHA1 认证和数据整体化，
·基于预置密钥隧道的自动密钥交换，
·使用本地验证或 CA 验证的 IPSec VPN ，
·手工密钥通道，
·Diffie-Hellman 组1、2、和 5，
·积极模式和主模式，
·重放检测，
·向前保密，
·XAuth 认证 ,
·失效对等检测，
·易于连接的 PPTP，支持为大多数常用的操作系统所支持的 VPN 标准。
·易于连接的 L2TP，支持为大多数常用的操作系统所支持的更加安全的 VPN 标准。
·基于 IPSec VPN 流通控制的防火墙策略。
·IPSec NAT 跨越技术使得位于NAT 后边的远程IPSec VPN 网关或客户端可以连接到
IPSec VPN 通道。
·用VPN 集中器的VPN 星形连接，可以使 VPN 流通从一个通道经FortiGate 连接到另一
个通道。
·IPSec 冗余可以创建到远程网络的自动密钥交换IPSec VPN 连接。

简介 高可用性
FortiGate-1000 安装和配置指南 5
高可用性
高可用性 (HA) 提供两个或多个 FortiGate 之间的失效恢复机制。Fortinet 通过
冗余硬件实现HA 功能，匹配在 NAT/ 路由模式运行下的FortiGate。您可以将
FortiGates 配置为主动-被动(A-P) 模式或主动-主动(A-A)HA 模式。
A-P 模式和 A-A 模式的 HA 均使用类似的高可用性冗余硬件配置。高可用性软件保
证了当 HA 组中一个 FortiGate 失效，所有功能及已建的防火墙连接仍能维持现状。
安全安装、配置、管理
安装过程即快捷又简单。初次启动 FortiGates 时，它已经配置为使用默认的 IP
地址及安全策略配置。为了使FortiGate 开始保护您的网络，只需连接到基于 Web 的
管理程序，设置操作模式并使用安装向导来配置您网络的 FortiGate IP 地址。在此基
础上，可用基于 Web 的管理程序来进行更进一步的配置以满足您更多的需要。
您也可使用 FortiGate 面板上的控制按钮和LCD 对其进行基本配置。
基于 Web 的管理程序
从任何一个装有 IE 流览器的电脑上以HTTP 或安全 HTTPS 方式连接到基于 Web 的
管理程序，即可对FortiGates 设备进行配置和管理。基于 Web 的管理程序支持多种语
言。您可以从任何 FortiGate 接口将 FortiGate 设备配置为使用 HTTP 或HTTPs 进行管
理维护。
您可以使用基于 Web 的管理程序完成大部分FortiGate 配置工作。也可以使用基于
Web 的管理程序监视 FortiGate 设备的状态。使用 基于 Web 的管理程序对配置所做的
修改会立即生效，而无须重新启动防火墙或中断服务。您可以将已经完成的配置下载
并保存。您所保存的设置可以在任何时间恢复到系统中。

6 美国飞塔有限公司
安全安装、配置、管理 简介
图1: FortiGate 基于 Web 的管理程序 和设置向导
命令行接口 （CLI）
您可以将管理员计算机的串行通讯接口连接到 FortiGate 的RS-232 串行控制台接
口上，从而访问 FortiGate 命令行控制界面 （CLI）。或者也可以使用 Telnet 或者安
全的 SSH 连接方式从任何与FortiGate 连接的网络，包括互联网，中访问 CLI 界面。
CLI 具有和 基于 Web 的管理程序相同的管理和监视功能。另外，您可以使用 CLI
进行一些高级配置工作，这是基于 Web 的管理程序无法实现的。
安装和配置指南 中
包含了有关基本 CLI 命令和高级CLI 命令的信息。您可以在
FortiGate CLI 参考指南
中找到关于如何连接到 CLI 和如何使用 FortiGate CLI 的更加完整和详细的说明。
日志和报告
FortiGate 支持记录各种类别的流通和配置修改。您可将日志设置如下：
·报告连接到防火墙接口的通讯，
·报告被使用的网络服务，
·报告被防火墙策略允许的通讯，
·报告被防火墙策略拒绝的通讯，
·报告配置改变和其它一些管理事件，如 IPSec 通道协商、 病毒检测、攻击、web 网
页阻塞，
·报告被NIDS 检测到的攻击，
·向系统管理员发送报警EMAIL 以报告病毒事件、入侵及防火墙或 VPN 事件及异常违法
情况。