- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
04-特征庫升級典型配置舉例
本章節下載： 04-特征庫升級典型配置舉例 (449.74 KB)
本文檔介紹特征庫升級功能的典型配置舉例。
· 定時升級：設備根據管理員設置的時間定期自動更新本地的特征庫。
· 立即升級：管理員手工觸發設備立即更新本地的特征庫。
· 本地升級：當設備無法自動獲取特征庫時，需要管理員先手動獲取最新的特征庫，再更新設備本地的特征庫。
本文檔不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請以設備實際情況為準。
本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。
本文檔假設您已了解特征庫升級特性。
各業務的特征庫升級功能需要安裝License才能使用。License過期後，各業務可以采用設備中已有的特征庫正常工作，但無法升級特征庫。
如圖-1所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現要求每周六淩晨三點，設備定時自動升級入侵防禦特征庫。
本舉例是在F1060的F9345版本上進行配置和驗證的。
· 配置該功能前請確保設備可訪問升級服務器或可通過代理服務器訪問升級服務器。
· 配置該功能前請確認License狀態是否正常。
1. 配置接口IP地址
# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。
# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。
· 安全域：Trust
· 選擇“IPv4地址”頁簽，配置IP地址/掩碼長度：192.168.1.1/24
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。
# 按照同樣的步驟配置接口GE1/0/2，配置如下。
· 安全域：Untrust
· IP地址/掩碼：2.2.2.1/24
· 其他配置項使用缺省值
2. 配置路由
本舉例僅以靜態路由為例，若實際組網中需采用動態路由，請配置對應的動態路由協議。
# 選擇“網絡 > 路由 > 靜態路由 > IPv4靜態路由”，單擊<新建>按鈕，進入新建IPv4靜態路由頁麵。
# 新建IPv4靜態路由，並進行如下配置：
· 目的IP地址：0.0.0.0
· 掩碼長度：0
· 下一跳IP地址：2.2.2.2
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成靜態路由的配置。
3. 配置DNS服務器地址
# 選擇“網絡 > DNS > DNS客戶端”，進入DNS客戶端配置頁麵。
# 輸入域名服務器的IP地址為10.72.66.36，單擊右側<添加>按鈕完成添加。
4. 配置安全策略
# 選擇“策略 > 安全策略> 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。
# 新建安全策略，並進行如下配置：
· 名稱：local-untrust
· 源安全域：local
· 目的安全域：Untrust
· 類型：IPv4
· 動作：允許
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成安全策略的配置。
5. 配置定時升級入侵防禦特征庫
# 選擇“係統 > 升級中心 > 特征庫升級”。
# 在“升級中心列表”頁麵，勾選入侵防禦特征庫右側的<開啟定時升級>複選框，進入“入侵防禦特征庫定時升級配置”頁麵，定時升級時間設置為每周六淩晨三點。
|
|
定時升級配置存在抖動時間（即實際自動升級開始時間的偏差範圍），取值為指定的定時升級時間的前後一小時。 |
圖-2 入侵防禦特征庫定時升級配置
# 單擊<確定>按鈕，即可完成定時升級特征庫。
設置的定時升級時間到達後，可在“升級中心列表”頁麵查看當前特征庫的版本已經更新。
圖-3 升級中心列表頁麵
如圖-4所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。管理員發現網絡上出現了新的攻擊方式，而設備的定時升級時間尚未達到時，現要求立即升級設備的入侵防禦特征庫。
本舉例是在F1060的F9345版本上進行配置和驗證的。
配置該功能前請確保設備可訪問升級服務器或可通過代理服務器訪問升級服務器。
1. 配置接口IP地址
# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。
# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。
· 安全域：Trust
· 選擇“IPv4地址”頁簽，配置IP地址/掩碼長度：192.168.1.1/24
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。
# 按照同樣的步驟配置接口GE1/0/2，配置如下。
· 安全域：Untrust
· IP地址/掩碼：2.2.2.1/24
· 其他配置項使用缺省值
2. 配置路由
本舉例僅以靜態路由為例，若實際組網中需采用動態路由，請配置對應的動態路由協議。
# 選擇“網絡 > 路由 > 靜態路由 > IPv4靜態路由”，單擊<新建>按鈕，進入新建IPv4靜態路由頁麵。
# 新建IPv4靜態路由，並進行如下配置：
· 目的IP地址：0.0.0.0
· 掩碼長度：0
· 下一跳IP地址：2.2.2.2
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成靜態路由的配置。
3. 配置DNS服務器地址
# 選擇“網絡 > DNS > DNS客戶端”，進入DNS客戶端配置頁麵。
# 輸入域名服務器的IP地址為10.72.66.36，單擊右側<添加>按鈕完成添加。
4. 配置安全策略
# 選擇“策略 > 安全策略> 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。
# 新建安全策略，並進行如下配置，保證設備可以訪問官網的特征庫升級服務專區：
· 名稱：local-untrust
· 源安全域：local
· 目的安全域：Untrust
· 類型：IPv4
· 動作：允許
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成安全策略的配置。
5. 配置立即升級入侵防禦特征庫
# 選擇“係統 > 升級中心 > 特征庫升級”。
# 在“升級中心列表”頁麵，單擊入侵防禦特征庫右側的<立即升級>按鈕。
# 在彈出的確認提示框中，單擊<是>按鈕，立即升級入侵防禦特征庫。
以上配置完成後，可在“升級中心列表”頁麵查看，當前特征庫的版本已經更新。
圖-5 升級中心列表頁麵
如圖-6所示，管理員本地保存了最新的入侵防禦特征庫文件V7-IPS-1.0.54.dat。現需要手動離線升級入侵防禦特征庫，加載最新的入侵防禦特征。
本舉例是在F1060的F9345版本上進行配置和驗證的。
1. 配置接口IP地址
# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。
# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。
· 安全域：Trust
· 選擇“IPv4地址”頁簽，配置IP地址/掩碼長度：10.1.1.1/24
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。
2. 配置安全策略
# 選擇“策略 > 安全策略> 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。
# 新建安全策略，並進行如下配置，保證管理員可通過PC訪問設備。
· 名稱：trust-local
· 源安全域：trust、local
· 目的安全域：local、trust
· 類型：IPv4
· 動作：允許
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成安全策略的配置。
3. 導入入侵防禦特征庫文件
# 選擇“係統 > 升級中心 > 特征庫升級”。
# 在“升級中心列表”頁麵，單擊入侵防禦特征庫右側的<本地升級>按鈕，進入“升級入侵防禦特征庫”頁麵，單擊<選擇文件>按鈕，選擇本地的特征庫文件V7-IPS-1.0.54.dat。
圖-7 本地升級入侵防禦特征庫
# 單擊<確定>按鈕，即可完成特征庫升級。
以上配置完成後，可在“升級中心列表”頁麵查看當前特征庫的版本已經更新。
圖-8 升級中心列表頁麵
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
