简介《网神SecGate 3600安全网关WEB界面手册》面向该设备的管理员与网络安全运维人员是一份系统讲解WEB界面操作与配置的实用指南帮助读者快速上手设备管理、网络策略部署与安全防护。手册内容覆盖管理员电子钥匙与证书、首次及再次登录流程系统时钟、集中管理、导入导出、升级许可、日志服务器、域名服务器与报警邮箱等系统配置并深入网络接口、子接口、桥接口、VLAN、静态与动态路由RIP、OSPF、BGP、多播路由、DHCP、虚拟系统、ADSL拨号、链路探测、端口镜像等网络配置以及地址、服务、时间等对象定义通用功能。资源包内含1个doc文档压缩包约10.51MB结构清晰、章节完整便于按模块查阅。目前已有882人学习下载适合需要掌握SecGate 3600网关配置与排错思路的网络管理员参考。1. 网神SecGate 3600安全网关一台被低估的边界设备到底能扛住什么很多中小企业的网络拓扑里出口位置摆着一台网神SecGate 3600安全网关但真正把它当安全设备用的人不多——多数时候它只是被当成一台会做NAT的防火墙策略全放通日志没人看。我见过最离谱的一台上线三年除了改过几次端口映射安全策略一条没动过。这不是设备的问题是没人告诉运维这台机器到底能干什么。网神SecGate 3600是面向中小型网络边界的下一代防火墙类产品核心能力集中在访问控制、应用识别、入侵防御、病毒过滤和流量管理这几块。它解决的不是能不能通的问题而是该不该通、通的时候有没有夹带东西的问题。适合谁适合手里有50到500个终端、有一条或几条出口链路、但没有专职安全团队的网络运维。你不需要成为安全专家但需要知道哪些开关必须打开、哪些默认配置会坑你。这篇笔记就按先搞清楚它管什么、再动手配、最后避开那些翻车点的顺序讲。2. 先搞清楚SecGate 3600的转发逻辑和安全域模型2.1 安全域、接口、策略三者的绑定关系SecGate 3600的策略匹配不是接口到接口而是安全域到安全域。这是很多人第一次配策略时最容易懵的地方——明明接口IP配对了策略也写了流量就是不通。原因多半是接口没划进安全域或者安全域之间的方向搞反了。设备出厂时通常预置了几个安全域比如Trust、Untrust、DMZ。接口必须绑定到某个安全域策略才能生效。一条完整的策略至少包含五个要素源安全域、目的安全域、源地址、目的地址、服务端口/协议。匹配顺序是从上到下命中即停没有隐式拒绝之外的默认动作。我一般会先把接口和安全域的对应关系画在纸上再动手配。比如接口安全域典型用途ge1Untrust外网出口ge2Trust内网办公ge3DMZ对外服务器ge4Trust内网服务器区这张表看起来简单但少了它后面写策略就是盲人摸象。2.2 一条最小可用策略的配置路径假设你要让内网办公区能访问外网Web同时禁止外网主动访问内网。配置逻辑分三步接口配置、安全域绑定、策略下发。# 第一步配置接口IP并绑定安全域 interface ge1 ip address 203.0.113.10 255.255.255.0 zone Untrust exit interface ge2 ip address 192.168.10.1 255.255.255.0 zone Trust exit # 第二步配置默认路由指向外网网关 ip route 0.0.0.0 0.0.0.0 203.0.113.1 # 第三步写策略Trust到Untrust放通Web policy from Trust to Untrust source any destination any service http https action permit exit # 第四步写策略Untrust到Trust拒绝所有主动访问 policy from Untrust to Trust source any destination any service any action deny exit这段配置的关键点在于策略的方向是从源安全域到目的安全域不是双向的。Trust到Untrust放通只代表内网发起的连接能出去外网主动发起的连接需要单独写Untrust到Trust的策略。很多人只写了第一条发现内网能上网就以为配完了其实外网到内网的默认拒绝策略如果没显式写某些固件版本的行为可能不一致。参数说明service http https可以替换成具体端口比如service tcp 8080。如果业务需要FTP建议单独写一条策略并配合应用层网关不要图省事写service any。action permit和action deny的顺序决定了策略匹配结果deny策略建议放在permit策略之前减少匹配开销。2.3 安全域间流量到底走不走安全引擎这是SecGate 3600和普通路由器最大的区别。同一安全域内部的流量默认不经过安全引擎直接二层转发跨安全域的流量才会送进安全引擎做应用识别、IPS检测和病毒过滤。这意味着如果你把内网办公和内网服务器都划进Trust域它们之间的流量是不受安全策略控制的。我一般会把内网服务器单独划一个域比如Server哪怕它和办公区在同一个物理网络里。这样服务器区到办公区、办公区到服务器区的流量都能被策略覆盖。代价是多写几条策略但换来的是可视和可控。注意安全域划分不是越细越好。域太多策略数量指数级上升维护成本很高。中小网络一般3到5个域就够了。3. 把IPS和病毒过滤真正打开从能通到能防3.1 IPS签名库更新与检测模式选择SecGate 3600的IPS功能依赖签名库。出厂签名库通常是旧的直接开启IPS可能漏报或者误报。第一步是更新签名库路径一般在系统维护或安全中心菜单里。更新方式支持在线和离线两种内网设备建议用离线包避免更新服务器连不上的尴尬。更新完之后检测模式有三个选项仅检测、检测并阻断、禁用。生产环境我一般先跑一周仅检测看日志里哪些签名被命中、哪些是误报再切到检测并阻断。直接上阻断模式万一误杀了业务流量背锅的是你。# 查看IPS签名库版本和更新状态 show ips signature version show ips status # 设置IPS检测模式为仅检测观察期 ips mode detect-only ips apply # 观察一周后切换为阻断模式 ips mode prevent ips apply参数说明detect-only模式下命中签名的流量会被记录但不会丢弃适合业务敏感期。prevent模式会直接阻断命中流量建议配合白名单使用。白名单的配置逻辑是如果某个源IP或目的IP是已知安全的业务系统把它加到IPS例外列表里避免被误杀。3.2 病毒过滤的协议覆盖范围和性能代价病毒过滤不是万能的它只能扫描它支持的协议。SecGate 3600常见支持HTTP、FTP、SMTP、POP3、IMAP这几个。如果你走的是加密流量比如HTTPS病毒过滤默认是看不到内容的除非开启SSL解密。SSL解密对性能影响很大中小设备上开启后吞吐可能下降一半以上。我一般会这样权衡如果出口带宽在100M以下且CPU负载平时低于30%可以开SSL解密但只对特定服务器IP解密不要全局开。如果带宽接近设备上限建议只对HTTP和邮件协议做病毒过滤HTTPS靠IPS和URL过滤兜底。# 配置病毒过滤协议范围 av profile default protocol http ftp smtp pop3 imap action block exit # 配置SSL解密例外只解密特定服务器 ssl-decrypt policy destination 203.0.113.20 action decrypt exit参数说明action block表示检测到病毒直接阻断并记录日志。如果只想告警改成action alert。SSL解密的例外列表里银行、政务类网站建议排除避免证书校验失败导致业务中断。3.3 应用识别策略怎么配合端口策略用传统防火墙只看端口SecGate 3600能做应用识别意味着你可以写允许微信但禁止微信传文件这种策略。应用识别的精度取决于特征库版本常见应用比如微信、钉钉、迅雷、BT都能识别。实际配置时我一般把应用识别策略放在端口策略之后。先保证基础连通性再用应用策略做精细化控制。比如先放通Trust到Untrust的80和443再写一条应用策略禁止BT和迅雷。# 应用识别策略示例禁止P2P下载 app-policy from Trust to Untrust application bittorrent thunder action deny exit # 允许微信但限制文件传输 app-policy from Trust to Untrust application wechat sub-application wechat-file-transfer action deny exit参数说明application后面跟应用名称不同固件版本的应用名称可能略有差异建议在Web界面的应用列表里确认。sub-application是子应用不是所有应用都支持细分。如果应用识别不准先检查特征库版本再检查流量是否加密。4. 日志、会话和性能那些不配就等着翻车的地方4.1 会话表打满导致新连接建不起来的排查SecGate 3600的会话表有上限具体数值取决于型号和内存。会话表打满的典型现象是内网用户突然上不了网但ping网关正常设备CPU和内存看起来也不高。这时候登录设备看会话数大概率已经接近或达到上限。原因通常是P2P下载、视频流或者内网中毒导致大量并发连接。解决分两步短期清理会话长期限制单IP会话数。# 查看当前会话数和上限 show session statistics # 清理会话谨慎操作会断掉现有连接 clear session all # 限制单IP最大会话数 session limit source 192.168.10.0 255.255.255.0 max-session 500参数说明max-session 500表示每个IP最多500个并发会话具体数值根据业务调整。办公终端一般200到500够用服务器区可以放宽到2000。设置太低会影响正常业务设置太高起不到限制作用。4.2 日志存本地还是送syslog容量和检索的取舍SecGate 3600本地日志存储空间有限通常只有几百MB到几个GB。如果开启IPS和病毒过滤的详细日志几天就能把本地空间写满。写满之后要么覆盖旧日志要么停止记录两种都不好。我一般会把日志送到外部syslog服务器本地只保留最近24小时。syslog服务器可以用Linux自带的rsyslog也可以用ELK这类平台。配置很简单# 配置syslog服务器 log syslog server 192.168.10.100 port 514 log syslog facility local0 log syslog level information log syslog enable参数说明facility local0是syslog的设备标识方便在服务器端分类。level information表示记录信息级别以上的日志如果只想记警告和错误改成warning。送syslog的流量建议走内网管理口不要走业务口避免日志流量影响转发性能。4.3 性能监控CPU、内存、接口丢包看哪几个指标设备卡不卡不能只看CPU。我一般关注四个指标CPU利用率、内存利用率、接口丢包计数、会话新建速率。CPU持续超过70%就要警惕内存超过80%可能触发会话老化加速。接口丢包计数如果持续增长说明转发能力到瓶颈了。# 查看系统资源 show system resource # 查看接口统计 show interface ge1 statistics # 查看会话新建速率 show session rate参数说明show system resource会显示CPU和内存的实时占用。show interface statistics里的output drops和input errors是关键非零且持续增长说明有问题。show session rate显示每秒新建会话数如果接近设备标称值说明该升级型号了。5. 避坑与排查SecGate 3600运维中常见的五个翻车现场5.1 策略改了不生效流量还是走旧路径现象修改了安全策略但业务流量行为没变化该通的还是通该断的没断。原因SecGate 3600的策略匹配有会话保持机制。已经建立的会话不会因为策略变更而立即中断会继续按旧策略转发直到会话老化。另外如果策略顺序调整了但命中位置在旧策略之后新策略也不会生效。解决修改策略后手动清理相关会话或者等会话老化。命令是clear session source 192.168.10.50只清理特定IP的会话避免影响全局。策略顺序调整后用show policy hit-count确认新策略有没有命中。5.2 IPS开启后业务系统随机断连现象开启IPS阻断模式后某个业务系统频繁断连日志里能看到IPS阻断记录。原因IPS签名误报把正常业务流量当成了攻击。常见于自定义协议或老版本业务系统流量特征和某些攻击签名相似。解决先切回仅检测模式找到命中的签名ID把该签名加入例外列表或者针对该业务IP加白名单。不要直接关闭整个IPS那样因小失大。5.3 接口up但流量不通安全域绑定遗漏现象接口状态是upIP能ping通但跨接口流量不通。原因接口没有绑定安全域或者绑定的安全域和策略里的源/目的域不匹配。SecGate 3600的策略是基于安全域的接口不绑域策略就是空谈。解决show interface ge2确认接口的zone字段。如果为空进接口配置模式补上zone Trust。然后检查策略里的源域和目的域是否和接口实际绑定的域一致。5.4 日志时间戳不对排查时对不上业务时间现象设备日志的时间比实际时间差几个小时排查问题时对不上业务系统的日志。原因设备没有配置NTP或者时区设置错误。出厂默认可能是UTC时间和北京时间差8小时。解决配置NTP服务器和时区。命令是ntp server 192.168.10.1和clock timezone Asia/Shanghai。配完后用show clock确认时间正确。这个坑很小但不配的话事后排查能把你逼疯。5.5 双线出口策略路由配了但流量只走一条现象两条外网线路配置了策略路由但流量全走默认线路备用线路没流量。原因策略路由的匹配条件写得太宽或者优先级低于默认路由。SecGate 3600的策略路由匹配顺序是先匹配策略路由再匹配默认路由。如果策略路由的源地址范围写错了或者接口选错了流量就不会按预期走。解决show route-policy查看策略路由配置确认源地址、目的地址、出接口三个要素。用traceroute从内网终端验证实际路径。如果策略路由和默认路由冲突调整策略路由的顺序号数字小的优先。6. 把SecGate 3600用出性价比三个我反复验证过的配置习惯第一个习惯每次变更前先备份配置。SecGate 3600支持配置导出路径在系统维护里。我见过太多人改策略改到一半发现改错了又没有备份只能凭记忆往回改越改越乱。备份文件不大几十KB存本地和云端各一份花不了两分钟但能救命。第二个习惯新策略先在测试域验证。如果设备有闲置接口划一个测试安全域把新策略先在测试域跑通再推到生产域。没有测试接口的话至少用detect-only模式跑一天。这个习惯让我避免了好几次因为策略写错导致的全网中断。第三个习惯每月看一次日志报表。SecGate 3600的日志里能看出很多问题哪些IP在扫描、哪些应用流量最大、IPS命中了哪些签名。不用天天看但每月花半小时翻一遍能提前发现不少隐患。我一般重点看三个东西IPS阻断TOP10、会话数TOP10的源IP、病毒过滤命中记录。# 导出配置备份 export configuration to tftp 192.168.10.100 secgate-backup.cfg # 查看IPS阻断TOP10 show ips log top-blocked 10 # 查看会话数TOP10源IP show session top-source 10参数说明export configuration to tftp需要先有一个TFTP服务器也可以用FTP或Web界面导出。show ips log top-blocked 10显示被阻断次数最多的10个签名如果某个签名频繁命中要么是误报要么是真的有攻击需要进一步分析。show session top-source 10显示会话数最多的10个源IP如果某个IP会话数异常高先查是不是中毒或P2P。这三个习惯看起来简单但坚持下来SecGate 3600的故障率能降一大截。设备是死的人是活的配置习惯决定了它是摆设还是屏障。希望帮到你。本文还有配套的精品资源点击获取