Fortinet FortiGate 500 Operator's manual

FortiGate!500 Installation!and
Configuration!Guide
Esc Enter
HADMZ
INTERNAL EXTERNAL 1 2 3 4 5 6 7 8
FortiGate 用户手册 第一卷
2.50 版
2003 年7月21 日
安装和配置指南
FortiGate 500

©Copyright 2003 美国飞塔有限公司版权所有。
本手册中所包含的任何文字、例子、图表和插图，未经美国飞塔有限公司的
许可，不得因任何用途以电子、机械、人工、光学或其它任何手段翻印、传
播或发布。
FortiGate-500 安装和配置指南
2.50 版
2003 年7月21 日
注册商标
本手册中提及的产品由他们各自的所有者拥有其商标或注册商标。
服从规范
FCC Class A Part 15 CSA/CUS
注意：如果更换的电池型号错误，有可能会导致爆炸。请根据使用说明中的
规定处理用过的电池。
请访问 http://www.fortinet.com 以获取技术支持。
请将在本文档或任何 Fortinet 技术文档中发现的错误信息或疏漏之处发送
到[e-mail]。

目录
FortiGate-500 安装和配置指南 iii
目录
简介 ................................................................... 1
防病毒保护 ................................................................... 1
Web 内容过滤 ................................................................. 2
电子邮件过滤 ................................................................. 2
防火墙 ....................................................................... 3
NAT/ 路由模式 .............................................................. 3
透明模式 ................................................................... 3
虚拟专用网 （VLAN）........................................................... 3
网络入侵检测系统 （NIDS）..................................................... 4
虚拟专用网络 （VPN）.......................................................... 4
高可用性 ..................................................................... 5
安全安装、配置、管理 ......................................................... 5
基于 Web 的管理程序 ......................................................... 5
命令行接口 （CLI）.......................................................... 6
日志和报告 ................................................................. 6
2.50 版本的新特点 ............................................................ 7
系统管理 ................................................................... 7
防火墙 Firewall ............................................................ 8
用户和认证 ................................................................. 8
VPN ........................................................................ 8
NIDS ....................................................................... 9
防病毒 ..................................................................... 9
网页过滤 ................................................................... 9
电子邮件过滤 ............................................................... 9
日志和报告 ................................................................. 9
关于本手册 .................................................................. 10
文档中的约定 ................................................................ 10
Fortinet 的文档 ............................................................. 11
Fortinet 技术文档的注释 ................................................... 12
客户服务和技术支持 .......................................................... 13
开始 .................................................................. 15
包装中的物品 ................................................................ 16
安置 ........................................................................ 16
启动 ........................................................................ 17
连接到基于 Web 的管理程序 .................................................... 18
连接到命令行接口 (CLI) ...................................................... 19

目录
iv 美国飞塔有限公司
FortiGate 出厂默认设置 ...................................................... 20
出厂默认的 NAT/ 路由模式的网络配置 ......................................... 20
出厂默认的透明模式的网络设置 .............................................. 21
出厂时默认的防火墙配置 .................................................... 22
出厂时默认的内容配置文件 .................................................. 23
严谨型内容配置文件 ........................................................ 23
扫描型内容配置文件 ........................................................ 24
网页型内容配置文件 ........................................................ 24
非过滤型内容配置文件 ...................................................... 25
规划您的 FortiGate 设备的配置 ................................................ 25
NAT/ 路由模式 ............................................................. 26
具有多个外部网络连接的 NAT/ 路由模式 ....................................... 26
透明模式 .................................................................. 27
配置选项 .................................................................. 28
FortiGate 系列产品参数最大值列表 ............................................ 28
下一步...................................................................... 29
NAT/ 路由 模式安装..................................................... 31
准备配置 NAT/ 路由模式 ....................................................... 31
DMZ 和用户定义的接口 ...................................................... 32
使用安装向导................................................................ 32
启动安装向导.............................................................. 32
重连接到 基于 Web 的管理程序 ............................................... 33
使用前面板控制按钮和LCD .................................................... 33
使用命令行界面 .............................................................. 33
将FortiGate 配置为在NAT/ 路由模式操作 ..................................... 34
将FortiGate 连接到网络中 .................................................... 35
用户定义接口的连接 ........................................................ 36
配置网络 .................................................................... 37
完成配置 .................................................................... 37
配置 DMZ 接口 .............................................................. 37
配置接口 1 到8 ........................................................... 38
设置日期和时间............................................................ 38
启用防病毒保护 ............................................................ 38
注册 FortiGate 设备 ........................................................ 38
配置防病毒和攻击定义更新 .................................................. 38
配置举例：到互联网的多重连接 ................................................ 39
配置 Ping 服务器........................................................... 40
基于目的地的路由配置举例.................................................. 41
策略路由的例子 ............................................................ 43
防火墙策略举例............................................................ 44
透明模式安装 .......................................................... 47
准备配置透明模式 ............................................................ 47

目录
FortiGate-500 安装和配置指南 v
使用安装向导................................................................ 47
切换到透明模式 ............................................................ 48
启动安装向导.............................................................. 48
重连接到 基于 Web 的管理程序 ............................................... 48
使用前面板控制按钮和LCD .................................................... 48
使用命令行接口 .............................................................. 49
切换到透明模式 ............................................................ 49
配置透明模式的管理 IP 地址 ................................................. 49
配置透明模式的默认网关 .................................................... 49
完成配置 .................................................................... 50
设置日期和时间............................................................ 50
启用防病毒保护 ............................................................ 50
注册 FortiGate 设备 ........................................................ 50
配置防病毒和攻击定义更新 .................................................. 50
将FortiGate 连接到网络中 ................................................... 50
透明模式配置的例子 .......................................................... 52
默认路由和静态路由 ........................................................ 52
到外部网络的默认路由的例子 ................................................ 52
到外部目的地址的静态路由的例子 ............................................ 54
到内部目的地址的静态路由的例子 ............................................ 56
高可用性 .............................................................. 59
主动-被动HA ............................................................... 59
主动-主动HA ............................................................... 60
NAT/ 路由模式下的HA ......................................................... 61
安装和配置 FortiGate 设备 .................................................. 61
配置 HA 接口 ............................................................... 61
配置 HA 簇................................................................ 62
将HA 簇连接到您的网络 ..................................................... 63
启动 HA 簇................................................................. 65
透明模式下的HA ............................................................. 65
安装和配置 FortiGate 设备 .................................................. 65
配置 HA 接口和 IP 地址 ...................................................... 65
配置 HA 簇................................................................ 66
将HA 簇连接到您的网络中 ................................................... 67
启动 HA 簇................................................................. 68

目录
vi 美国飞塔有限公司
管理 HA 组................................................................... 68
查看 HA 簇成员状态 ......................................................... 69
监视簇成员 ................................................................ 69
监视簇会话................................................................ 70
查看和管理簇日志消息...................................................... 70
单独管理簇中的设备 ........................................................ 71
同步簇配置 ................................................................ 72
返回到独立模式配置 ........................................................ 72
在失效恢复后替换FortiGate ................................................ 72
高级HA 选项 ................................................................. 73
从FortiGate 设备中选择一个主设备 .......................................... 73
配置加权轮询的权重........................................................ 73
系统状态 .............................................................. 75
修改 FortiGate 主机名........................................................ 76
修改 FortiGate 固件......................................................... 76
升级到新版本的固件........................................................ 76
恢复到一个旧的固件版本 .................................................... 78
使用 CLI 重新启动系统安装固件.............................................. 80
在安装新版本的固件之前进行测试............................................ 82
安装和使用一个备份了的固件映像 ............................................ 84
手动更新病毒防护定义库 ...................................................... 87
手动更新攻击定义库 .......................................................... 87
显示 FortiGate 的序列号 ...................................................... 88
显示 FortiGate 运行时间...................................................... 88
显示日志硬盘状态 ............................................................ 88
备份系统设备 ................................................................ 88
恢复系统设置 ................................................................ 88
将系统设置恢复到出厂设置 .................................................... 89
转换到透明模式 .............................................................. 89
转换到 NAT/ 路由模式 ......................................................... 90
重新启动 FortiGate 设备 ...................................................... 90
关闭FortiGate 设备 .......................................................... 90
系统状态 .................................................................... 90
查看 CPU 和内存状态 ........................................................ 91
查看会话和网络状态 ........................................................ 92
查看病毒和入侵状态 ........................................................ 92
会话列表 .................................................................... 93

目录
FortiGate-500 安装和配置指南 vii
病毒和攻击定义升级及注册 .............................................. 95
病毒防护定义和攻击定义更新 .................................................. 95
连接到 Forti 响应发布网络 .................................................. 96
配置周期性更新 ............................................................ 97
配置更新日志 .............................................................. 98
添加后备服务器............................................................ 98
手工更新病毒防护定义和攻击定义............................................ 99
配置推送更新 .............................................................. 99
通过NAT 设备的推送更新 ................................................... 100
通过代理服务器定期更新 ................................................... 104
注册 FortiGate 设备 ......................................................... 104
FortiCare 服务合同 ....................................................... 105
注册 FortiGate 设备 ....................................................... 105
更新注册信息 ............................................................... 107
找回丢失的Fortinet 支持密码 .............................................. 107
查看注册的 FortiGate 设备列表 ............................................. 107
注册一个新的 FortiGate 设备 ............................................... 108
添加或修改 FortiCare 支持合同号........................................... 108
修改您的 Fortinet 支持密码 ................................................ 109
修改您的联系信息或安全提示问题........................................... 109
下载病毒防护和攻击定义更新 ............................................... 109
RMA 之后注册 FortiGate 设备 ................................................. 110
网络配置 ............................................................. 111
配置区域 ................................................................... 111
添加区域 ................................................................. 111
在区域中添加接口 ......................................................... 112
在区域中添加 VLAN 子接口 .................................................. 112
重命名区域 ............................................................... 112
删除区域 ................................................................. 112
配置网络接口 ............................................................... 113
查看接口列表 ............................................................. 113
启动一个接口 ............................................................. 113
修改一个接口的静态 IP 地址 ................................................ 113
为接口添加第二个IP 地址 .................................................. 114
为接口添加 ping 服务器.................................................... 114
控制到接口的管理访问 ..................................................... 114
为接口的连接配置通讯日志 ................................................. 115
修改外部网络接口的 MTU 大小以提高网络性能 ................................. 115
配置管理接口 （透明模式）................................................. 116
配置虚拟局域网（VLAN）..................................................... 116
VLAN 网络配置 ............................................................ 116
添加 VLAN 子网络接口 ...................................................... 117

目录
viii 美国飞塔有限公司
配置路由 ................................................................... 119
添加默认路由 ............................................................. 120
向路由表添加基于目的的路由 ............................................... 120
添加路由 （透明模式）..................................................... 121
配置路由表 ............................................................... 121
策略路由 ................................................................. 122
在您的内部网络中提供DHCP 服务 .............................................. 122
RIP 配置 ............................................................. 125
RIP 设置 ................................................................... 126
为FortiGate 接口配置 RIP ................................................... 127
添加 RIP 邻居 ............................................................... 129
添加 RIP 过滤器............................................................. 129
添加单一RIP 过滤器....................................................... 130
添加一个 RIP 过滤列表 ..................................................... 130
添加一个邻居过滤器....................................................... 131
添加一个路由过滤器....................................................... 131
系统配置 ............................................................. 133
设置系统日期和时间......................................................... 133
更改基于基于 Web 的管理程序的选项 ........................................... 134
添加和编辑管理员帐号....................................................... 135
添加新的管理员帐号....................................................... 136
编辑管理员帐号........................................................... 136
配置 SNMP .................................................................. 137
为SNMP 监视配置 FortiGate 设备 ............................................ 137
配置 FortiGate 的SNMP 支持 .............................................. 137
FortiGate 管理信息库（MIB）.............................................. 138
FortiGate 陷阱 ........................................................... 139
定制替换信息 ............................................................... 139
定制替换信息 ............................................................. 140
定制报警邮件 ............................................................. 141
防火墙配置 ........................................................... 143
默认防火墙配置 ............................................................. 144
接口 ..................................................................... 144
VLAN 子接口 .............................................................. 144
区域 ..................................................................... 144
地址 ..................................................................... 145
服务 ..................................................................... 145
任务计划................................................................. 145
内容配置文件 ............................................................. 146
添加防火墙策略 ............................................................. 146
防火墙策略选项 ........................................................... 147

目录
FortiGate-500 安装和配置指南 ix
配置策略列表 ............................................................... 150
策略匹配的细节 ........................................................... 151
更改策略列表中策略的顺序................................................. 151
启用和禁用策略 ........................................................... 151
地址 ....................................................................... 152
添加地址 ................................................................. 152
编辑地址 ................................................................. 153
删除地址 ................................................................. 154
将地址编入地址组 ......................................................... 154
服务 ....................................................................... 155
预定义的服务 ............................................................. 155
访问定制服务 ............................................................. 157
服务分组 ................................................................. 158
任务计划................................................................... 159
创建一个一次性任务计划................................................... 159
创建周期性任务计划....................................................... 160
在策略中添加一个任务计划................................................. 161
虚拟 IP .................................................................... 162
添加静态 NAT 虚拟 IP ...................................................... 162
添加端口转发虚拟 IP ...................................................... 163
添加使用虚拟 IP 的策略 .................................................... 164
IP 池...................................................................... 165
添加 IP 池................................................................ 165
使用固定端口的防火墙策略的IP 池.......................................... 166
IP 池和动态NAT ........................................................... 166
IP/MAC 绑定................................................................ 166
为穿过防火墙的数据包配置 IP/MAC 绑定...................................... 167
为连接到防火墙的数据包配置 IP/MAC 绑定.................................... 167
添加 IP/MAC 地址 .......................................................... 168
查看动态IP/MAC 列表 ...................................................... 168
启用 IP/MAC 地址绑定...................................................... 168
内容配置文件 ............................................................... 169
默认的内容配置文件 ....................................................... 170
添加一个内容配置文件 ..................................................... 170
将内容配置文件添加到策略 ................................................. 171
用户与认证 ........................................................... 173
设置认证超时............................................................... 174
添加用户名并配置认证 ....................................................... 174
添加用户名和配置认证 ..................................................... 174
从内部数据库中删除用户名................................................. 175
配置 RADIUS 支持 ............................................................ 175
添加 RADIUS 服务器........................................................ 175
删除 RADIUS 服务器........................................................ 176

目录
x 美国飞塔有限公司
配置 LDAP 支持 ............................................................. 176
添加 LDAP 服务器.......................................................... 177
删除 LDAP 服务器.......................................................... 177
配置用户组................................................................. 178
添加用户组............................................................... 178
删除用户组............................................................... 179
IPSec VPN ............................................................ 181
密钥管理 ................................................................... 181
手工密钥 ................................................................. 182
使用预置密钥或证书的自动互联网密钥交换(自动 IKE) ........................ 182
手工密钥 IPSec VPN ......................................................... 182
手工密钥 VPN 的一般配置步骤 ............................................... 183
添加一个手工密钥 VPN 通道 ................................................. 183
自动 IKE IPSec VPN ......................................................... 184
自动 IKE VPN 的一般配置步骤 ............................................... 184
为自动 IKE VPN 添加第一阶段配置 ........................................... 185
为自动 IKE VPN 添加第二阶段配置 ........................................... 188
管理数字证书............................................................... 190
获得签名的本地证书....................................................... 190
获得一个 CA 证书.......................................................... 194
配置加密策略 ............................................................... 194
添加源地址 ............................................................... 195
添加目的地址 ............................................................. 195
添加一个加密策略 ......................................................... 196
IPSec VPN 集中器........................................................... 197
VPN 集中器(集线器 ) 一般配置步骤 ......................................... 198
添加一个 VPN 集中器....................................................... 199
VPN 辐条一般配置步骤 ..................................................... 200
冗余 IPSec VPN ............................................................. 201
配置冗余 IPSec VPN ....................................................... 201
VPN 监视和问题解答 ......................................................... 202
查看 VPN 通道状态 ......................................................... 202
查看拨号VPN 连接的状态 ................................................... 203
测试VPN ................................................................. 203
PPTP 和L2TP VPN ..................................................... 205
配置 PPTP .................................................................. 205
把FortiGate 配置为PPTP 网关 .............................................. 206
配置 PPTP 的Windows98 客户端.............................................. 208
配置 Windows2000 的PPTP 客户端............................................ 209
配置 WindowsXP 的PPTP 客户端.............................................. 210

目录
FortiGate-500 安装和配置指南 xi
L2TP VPN 配置 .............................................................. 211
把FortiGate 配置为L2TP 网关 .............................................. 212
配置 Windows2000 客户的 L2TP .............................................. 214
配置 WindowsXP 客户的 L2TP ................................................ 216
防病毒保护 ........................................................... 219
一般配置步骤 ............................................................... 219
防病毒扫描 ................................................................. 220
文件阻塞 ................................................................... 221
在防火墙通讯中阻塞文件 ................................................... 222
添加用于阻塞的文件名样板 ................................................. 222
隔离 ....................................................................... 222
隔离被感染的文件 ......................................................... 223
隔离被阻塞的文件 ......................................................... 223
查看隔离列表 ............................................................. 223
隔离列表排序............................................................. 224
过滤隔离列表 ............................................................. 224
从隔离区中删除文件 ....................................................... 224
下载被隔离的文件 ......................................................... 224
配置隔离选项 ............................................................. 225
阻塞过大的文件和电子邮件 ................................................... 225
配置文件或电子邮件大小限制............................................... 225
对邮件片段免除阻塞 ......................................................... 225
查看病毒列表 ............................................................... 226
网页内容过滤 ......................................................... 227
一般配置步骤 ............................................................... 227
内容阻塞 ................................................................... 228
在禁忌词汇列表中添加单词或短语 ........................................... 228
阻塞对 URL 的访问 ........................................................... 229
使用 FortiGate 网页过滤器................................................. 229
使用 Cerberian 网页过滤器................................................. 231
脚本过滤 ................................................................... 234
启用脚本过滤 ............................................................. 234
选择脚本过滤选项 ......................................................... 234
URL 排除列表 ............................................................... 235
在URL 排除列表中添加 URL ................................................. 235
电子邮件过滤 ......................................................... 237
一般配置步骤 ............................................................... 237
电子邮件禁忌词汇列表 ....................................................... 237
在禁忌词汇列表中添加单词或短语 ........................................... 238
电子邮件阻塞列表 ........................................................... 238
在邮件阻塞列表中添加地址模板............................................. 238

目录
xii 美国飞塔有限公司
邮件排除列表 ............................................................... 239
在邮件排除列表中添加地址模板............................................. 239
添加一个主题标签........................................................... 240
日志和报告 ........................................................... 241
记录日志 ................................................................... 241
在远程电脑上记录日志 ..................................................... 242
在NetIQ WebTrends 服务器上记录日志 ...................................... 242
将日志记录到 FortiGate 硬盘 ............................................... 242
将日志记录到系统内存..................................................... 243
过滤日志消息............................................................... 244
配置通讯日志 ............................................................... 245
启用通讯日志 ............................................................. 246
配置通讯过滤设置 ......................................................... 246
添加通讯过滤的条目....................................................... 247
查看记录到内存的日志 ....................................................... 248
查看日志 ................................................................. 248
搜索日志 ................................................................. 248
查看和管理保存在硬盘上的日志 ............................................... 249
查看日志 ................................................................. 249
搜索日志 ................................................................. 249
将日志文件下载到管理员电脑............................................... 250
删除当前日志中的全部消息................................................. 250
删除一个保存了的日志文件 ................................................. 251
配置报警邮件 ............................................................... 251
添加报警邮件地址 ......................................................... 251
测试报警邮件 ............................................................. 252
启用报警邮件 ............................................................. 252
术语表 .............................................................. 253
索引 ................................................................. 255

FortiGate-500 安装和配置指南 2.50 版
FortiGate-500 安装和配置指南 1
简介
FortiGate 防病毒防火墙支持应用层服务的基于网络的部署，包括防病毒保护和全
内容扫描过滤。FortiGate 防病毒防火墙增强了网络的安全性，避免了网络资源的误用
和滥用，可以帮助您更好地使用通讯资源而不会降低网络的性能。FortiGate 防病毒防
火墙获得了ICSA 防火墙认证，IP 安全认证和防病毒服务认证。
FortiGate 防病毒防火墙是一个易于管理的安全设备，它提供了一套完整的功能，
包括：
·应用层服务，例如病毒防护和内容过滤，
·网络曾服务，例如防火墙、入侵检测、VPN，以及流量控制等。
FortiGate 采用了先进的行为加速 （Accelerated Behavior）和内容分析系统技术
（ABACASTM），突破了芯片设计、网络通信、安全防御及内容分析等诸多难点。公司所
独有的，基于 ASIC 上的网络安全构架能实时进行网络内容和状态分析，并及时启动在
网络边界布署的防护关键应用程序，对您的网络进行最有效的安全保护。FortiGate
系列对现有的一些解决方案，如以主机为基础的防病毒保护进行补充，并在大力降低
设备，管理和维修成本的同时，为您提供一些新的应用和服务。
FortiGate-500 型提供了满足大型企业
及服务供应商所需的企业重载级性能和可
靠性。它具有最高可达500Mbps 的传输速
率，12 个网络接口 （8个用户自定义接
口），以及一些高可用性特征，包括无会
话损失的自动失效恢复等。FortiGate-500
是关键任务应用中的最好选择。FortiGate-500 的灵活性、可靠性和它的易于管理的特
性使它成为提供管理服务的最佳选择。
防病毒保护
ICSA 认证的 FortiGate 防病毒保护，可将通过FortiGate 传输的WEB （HTTP），
文件传输（FTP）和 EMAIL(SMTP, POP3, 和IMAP ) 内容中被病毒感染的文件删除。当
FortiGate 从内容流中检测出病毒时，自动病毒防护功能可以删除那些感染了病毒的文
件，用一条病毒感染信息替换掉原来的文件，然后转发到内容流的接收方。Web 和电子
邮件内容可以是存在于常规网络通讯中的或者是被封装在 IPSec VPN 通讯流中的。
您还可以提高安全防护的级别，将防病毒保护功能设置为阻塞通过FortiGate 设备
的特定类型的文件。使用这一功能可以阻塞可能含有新型病毒的文件。

2 美国飞塔有限公司
Web 内容过滤 简介
如果 FortiGate 设备内配有硬盘，可以将被感染或被阻塞的文件隔离。FortiGate
管理员可以下载被隔离的文件，然后对它们进行病毒扫描，杀毒，再将它们发送给原
来的接收者。您也可以将 FortiGate 设备配置为每过一段时间就自动删除被隔离的文
件。
当FortiGate 设备从内容流中检测到病毒并将它删除的时候，它可以向系统管理员
发送一封报警邮件。
ICSA LABS 认证了FortiGates 的以下功能：
·100% 检测到 The Wild List(www.wildlist.org) 中列举的所有病毒。
·检测 PKZip 格式压缩文件中的病毒。
·检测以 UUENCODE 格式编码的EMAIL 中的病毒。
·检测以 MIME 格式编码的EMAIL 中的病毒。
·在扫描同时对所有动作进行日志记录。
Web 内容过滤
FortiGate Web 内容过滤可设置为扫描 URL 和WEB 网页内容中的全部 HTTP 内容协
议数据流。如果在 URL 阻塞列表中找到与URL 匹配的条目, 或在网页中发现了内容阻
塞列表中的词或短语，FortiGate 将阻塞此页。被阻塞的网页会被一条内容阻塞消息
所替代，您可以使用基于 Web 的管理程序编缉这个消息。
通过设置 URL 阻塞可以阻挡来自某一网站上的所有或部分网页。利用这一特点，
可拒绝某个站点中的部分而不是阻塞整个网站。
为防止无意封锁到一些合法的网页，可将 URLs 添加到一则例外列表中，从而覆盖
URL 封锁及内容封锁列表中的设置。
Web 网页内容过滤也包括脚本过滤，它可以配置为阻塞如下一些非安全 web 内容
如Java 小程序、Cookies、ActiveX。
您还可以使用 Cerberian URL 阻塞去阻塞不受欢迎的URL。
电子邮件过滤
通过配置 FortiGate 的电子邮件过滤功能，可以扫描所有的 IMAP 和POP3 邮件内
容，找出不受欢迎的发件人或不受欢迎的内容。如果发现某个邮件的发件人地址与电
子邮件阻塞列表中的某一项相匹配，或者在邮件的内容中含有和禁忌词汇列表中的词
汇相匹配的内容，FortiGate 会在这个邮件的标题栏中添加一个电子邮件标签。接收者
可以用他们的电子邮件客户端软件根据这个电子邮件标签过滤不想要的邮件。
对于所有的或部分已知的广告邮件发送组织，您可以通过配置电子邮件阻塞功能在
属于这些组织的发件人所发送的电子邮件上添加电子邮件标签。为了避免无意中在正
常发件人发送的邮件上加上电子邮件标签，您可以将发件人的地址模板添加到一个排
除列表中，以使该发件人发送的邮件不收邮件阻塞功能和禁忌词汇列表的限制。

简介 防火墙
FortiGate-500 安装和配置指南 3
防火墙
ICSA 认证的 FortiGate 防火墙可以在互联网这个充满敌意的环境中保护您的电脑
网络。ISCA 已对FortiGate 防火墙 4.0 版本授予了证书，确保了FortiGates 可以成功
保护企业网络不受来自公共或其它非信任网络的各种威胁。
在完成 FortiGate 的基本安装后，防火墙可设置为允许用户从受保护内部网络访问
Internet，并同时封锁从Internet 到内部网的访问。您可对防火墙进行设置，使其对
从内部网到 Internet 的访问，和从 Internet 到内部往的访问加以控制。
您可以使用以下选项灵活地配置 FortiGate 安全策略 :
·控制所有进入和输出的网络流通，
·控制加密的VPN 流通，
·应用防病毒保护和 WEB 内容过滤，
·阻塞或允许对全部策略选项的访问，
·根据单个策略进行控制，
·接受或拒绝出入单个地址的流通，
·单独或成组地控制标准的和用户定义的网络服务，
·要求用户在获取访问之 前进行用户认证，
·包含了流通控制用以设置每条策略的访问优先权和带宽保证或带宽限制，
·包含日志用以逐个追记某策略下的网络连接，
·包含网络地址转换／路由 （NAT/ 路由）模式策略，
·包含混合NAT 和路由模式策略。
FortiGate 防火墙支持网络地址转换/路由模式或透明模式。
NAT/ 路由模式
在NAT/ 路由模式下, 您可创建 NAT 模式和路由模式策略。
·NAT 模式策略通过网络地址转换对较不安全区域中的用户隐藏较安全区域中的地址。
·路由模式策略在不执行地址转换下接受或拒绝区域间的连接。
透明模式
透明模式提供了与 NAT 模式相同的基本防火墙保护。从 FortiGate 中接收到的数据
包根据防火墙策略可被智能地转发或阻塞掉。FortiGate 可插入到网络的任何一点而不
需要对此网络或其它相关组件做任何的改变。然而，VPN、VLAN、多区域功能及一些高
级防火墙功能只能在 NAT/ 路由模式下使用。
虚拟专用网 （VLAN）
FortiGate 防病毒防火墙支持服从 IEEE802.1Q 标准的虚拟局域网（VLAN）标签。
用VLAN 技术，FortiGate 可以多个安全域提供安全服务和连接控制，根据添加到VLAN
数据包的 VLAN ID 来识别这些安全域。FortiGate 可以识别 VLAN ID 并对安全网络和每
个安全域间的IPSec VPN 数据流应用安全策略。它还可以为VLAN 标识的网络和 VPN 数
据流提供认证、内容过滤和防病毒保护功能。

4 美国飞塔有限公司
网络入侵检测系统 （NIDS） 简介
网络入侵检测系统 （NIDS）
FortiGate 网络入侵侦测系统 (NIDS) 是一种实时网络入侵探测器，它能对外界各
种可疑的网络活动进行识别及采取行动。NIDS 通过攻击特征来识别超过1000 种的攻
击。您可以启用或禁止NIDS 对某一类型的攻击进行检测。还可以自行编写攻击特征从
而生成用户自定义的攻击类型检测。
NIDS 可以防止探测、大部分常见的拒绝服务攻击和基于数据包的攻击。您可以启
用或禁用预防攻击的特征，和定制攻击检测的灵敏度和其他参数。
为通知系统管理员有攻击，NIDS 将此攻击及一切可疑流通记录到攻击日志中，并
根据设置发送报警EMAIL。
Fortinet 可定期更新攻击数据库。您可下载并手动安装攻击数据库。也可设置
FortiGate 自动查询和下载更新的 IDS 数据库。
虚拟专用网络 （VPN）
使用 FortiGate 虚拟专用网 （VPN）, 可为您在办公网络和分散的办公室网络、从
远程安全通讯系统登陆到公司网的用户或旅行者 之间提供一个安全的网络连接。服务
供应商还可以使用 FortiGate 设备为他们的客户提供VPN 服务。
FortiGate VPN 包括以下特性 :
·执行行业标准及ICSA 认证的 IPSec VPN 包括:
·在通道模式下的IPSec, ESP 安全，
·DES 和3DES (triple-DES) 加密的硬件加速，
·HMAC MD5 和HMAC SHA1 认证和数据整体化，
·基于预置密钥隧道的自动密钥交换，
·使用本地验证或 CA 验证的 IPSec VPN ，
·手工密钥通道，
·Diffie-Hellman 组1、2、和 5，
·积极模式和主模式，
·重放检测，
·向前保密，
·XAuth 认证 ,
·失效对等检测，
·易于连接的 PPTP，支持为大多数常用的操作系统所支持的 VPN 标准。
·易于连接的 L2TP，支持为大多数常用的操作系统所支持的更加安全的 VPN 标准。
·基于 IPSec VPN 流通控制的防火墙策略。
·IPSec NAT 跨越技术使得位于NAT 后边的远程IPSec VPN 网关或客户端可以连接到
IPSec VPN 通道。
·用VPN 集中器的VPN 星形连接，可以使 VPN 流通从一个通道经FortiGate 连接到另一
个通道。
·IPSec 冗余可以创建到远程网络的自动密钥交换IPSec VPN 连接。

简介 高可用性
FortiGate-500 安装和配置指南 5
高可用性
高可用性 (HA) 提供两个或多个 FortiGate 之间的失效恢复机制。Fortinet 通过
冗余硬件实现HA 功能，匹配在 NAT/ 路由模式运行下的FortiGate。您可以将
FortiGates 配置为主动-被动(A-P) 模式或主动-主动(A-A)HA 模式。
A-P 模式和 A-A 模式的 HA 均使用类似的高可用性冗余硬件配置。高可用性软件保
证了当 HA 组中一个 FortiGate 失效，所有功能及已建的防火墙连接仍能维持现状。
安全安装、配置、管理
安装过程即快捷又简单。初次启动 FortiGates 时，它已经配置为使用默认的 IP
地址及安全策略配置。为了使FortiGate 开始保护您的网络，只需连接到基于 Web 的
管理程序，设置操作模式并使用安装向导来配置您网络的 FortiGate IP 地址。在此基
础上，可用基于 Web 的管理程序来进行更进一步的配置以满足您更多的需要。
您也可使用 FortiGate 面板上的控制按钮和LCD 对其进行基本配置。
基于 Web 的管理程序
从任何一个装有 IE 流览器的电脑上以HTTP 或安全 HTTPS 方式连接到基于 Web 的
管理程序，即可对FortiGates 设备进行配置和管理。基于 Web 的管理程序支持多种语
言。您可以从任何 FortiGate 接口将 FortiGate 设备配置为使用 HTTP 或HTTPs 进行管
理维护。
您可以使用基于 Web 的管理程序完成大部分FortiGate 配置工作。也可以使用基于
Web 的管理程序监视 FortiGate 设备的状态。使用 基于 Web 的管理程序对配置所做的
修改会立即生效，而无须重新启动防火墙或中断服务。您可以将已经完成的配置下载
并保存。您所保存的设置可以在任何时间恢复到系统中。

6 美国飞塔有限公司
安全安装、配置、管理 简介
图1: FortiGate 基于 Web 的管理程序 和设置向导
命令行接口 （CLI）
您可以将管理员计算机的串行通讯接口连接到 FortiGate 的RS-232 串行控制台接
口上，从而访问 FortiGate 命令行控制界面 （CLI）。或者也可以使用 Telnet 或者安
全的 SSH 连接方式从任何与FortiGate 连接的网络，包括互联网，中访问 CLI 界面。
CLI 具有和 基于 Web 的管理程序相同的管理和监视功能。另外，您可以使用 CLI
进行一些高级配置工作，这是基于 Web 的管理程序无法实现的。
安装和配置指南 中
包含了有关基本 CLI 命令和高级CLI 命令的信息。您可以在
FortiGate CLI 参考指南
中找到关于如何连接到 CLI 和如何使用 FortiGate CLI 的更加完整和详细的说明。
日志和报告
FortiGate 支持记录各种类别的流通和配置修改。您可将日志设置如下：
·报告连接到防火墙接口的通讯，
·报告被使用的网络服务，
·报告被防火墙策略允许的通讯，
·报告被防火墙策略拒绝的通讯，
·报告配置改变和其它一些管理事件，如 IPSec 通道协商、 病毒检测、攻击、web 网
页阻塞，
·报告被NIDS 检测到的攻击，
·向系统管理员发送报警EMAIL 以报告病毒事件、入侵及防火墙或 VPN 事件及异常违法
情况。

简介 2.50 版本的新特点
FortiGate-500 安装和配置指南 7
日志可被传送到远程系统日志服务器或以 WebTrends 增强日志格式传输到远程
WebTrends NetIQ 安全报告中心和防火墙服务器上。某些型号的防火墙可将日志存储在
可选择的内置硬盘上。如果没有安装硬盘，您可配置 FortiGate 日志和报告，把最近
的事件记录到共享系统内存中去。
2.50 版本的新特点
本节主要描述了Forti0S v2.50 中的一些新的特征：
系统管理
·改善了FortiGate 系统健康状态监视图象功能，包括CPU 及内存的使用率，会话数
量，网 络 带宽使用率，以及检测到的病毒和入侵的数量，详细内容请见第90 页
“系统状态”。
·修订了防病毒和攻击定义更新功能，使其连接到新版本的 Fortinet 响应发布网络。
现在可以以小时为单位进行定期更新，并且，系统 >更新页面显示关于更新状态的
更多的详细信息。详情请见第95 页“病毒防护定义和攻击定义更新”。
·可以从基于 Web 的管理程序直接连接到 Fortinet 技术支持网页的页面。您可以注册
您的 FortiGate 设备并获得访问其他技术支持资源的权利。详情请见第104 页
“注册 FortiGate 设备”。
网络配置
·关于如何添加和使用区域的内容有所改动。详细内容请见第111 页“配置区
域”。
·关于如何添加和使用 VLANs 的内容有一些改动，详细内容请见第116 页“配置
虚拟局域网（VLAN）”。
·新的网络接口配置选项，详情请见第113 页“配置网络接口”。
·在所有网络接口上的Ping 服务器和失效网关检测，
·从任何接口进行HTTP 和Telnet 管理访问，
·所有 FortiGate 网络接口的第二个IP 地址。
路由
·简单的基于方向的路由配置。
·高级策略路由配置 （仅限于 CLI）。
路由信息协议 （RIP）
·新的 RIP v1 和v2 功能。详情请见第125 页“RIP 配置”。
简单网络管理协议 （SNMP）
·支持 SNMP v1 和v2。
·支持 RFC 1213 和RFC 2665。
·监视全部的 FortiGate 配置和功能。
·详情请见第137 页“配置 SNMP”。

8 美国飞塔有限公司
2.50 版本的新特点 简介
HA
·主动-主动模式的 HA 使用了交换机，并且具有选择时间表的能力
·透明模式的 HA
·HA 簇的A/V 更新
·HA 功能的配置同步
详情请见第59 页“高可用性”。
替换信息
您可以定制FortiGate 设备发送的以下替换信息：
·当检测到病毒时，
·当有文件被阻塞时，
·当一个碎片文件被阻塞时，
·发送警报邮件时。
详情请见第139 页“定制替换信息”。
防火墙 Firewall
·防火墙的默认配置有一些改动，详情请见第144 页“默认防火墙配置”。
·在所有接口上添加了虚拟 IP。详情请见第162 页“虚拟 IP”。
·为防火墙策略添加了内容配置文件，可以组合有关阻塞、扫描、隔离、网页内容阻塞
和电子邮件过滤的有关配置信息。详情请见第169 页“内容配置文件”。
用户和认证
·LDAP 认证。详情请见第176 页“配置 LDAP 支持”。
VPN
关于 FortiGateVPN 功能的详细说明请见 FortiGate VPN 指南 。新的特性包括：
·第一阶段
·AES 加密
·证书
·高级选项，包括拨号组、对等、Peer, XAUTH, NAT 跨越，DPD
·第二阶段
·AES 加密
·加密策略选择服务
·生成和导入本地证书
·导入 CA 证书