chenkpoint

安装配置CHECKPOINT防火墙

大纲

一、 首先明确两个概念

二、 VPN/FW Moudule 或者 Managerment Server 在 WINDOWS上安装的

最小需求 三、 GUI Client在 WINDOWS上安装的最小需求 四、 安装之前的准备工作 五、 安装软件总过程 六、 配置防火墙总过程 七、 具体安装过程 八、 安装Licenses

九、 启动GUI ，定义网络对象 十、 定义安全策略（Rule Base） 十一、 定义NAT

十二、 创建一个管理员帐号 Administrator 十三、 创建一个GUI Cilent 十四、 Key Hit Session 十五、 Certificate Authority 十六、 Fingerprint（指纹）

十七、 高可用性HA（High Availability）

一、 首先明确两个概念： 1、 VPN/FW Moudule；

部署在网关上，其安全策略在 Managerment Server 上创建并编译后下载到Moudule上执行。它可以安装在多种硬件平台上。它包括两部分：一、检测模块：根据安全策略对所有通过它的通讯进行检测。二、安全服务器：提供认证和应用层的内容安全。

2、 Managerment Server：

在Policy Editor GUI上定义的安全策略，最后保存在Managerment Server上。它的主要工作是维护CHECK POINT 数据库，包括：定义的网络对象，定义的用户，LOG文件等。

二、 VPN/FW Moudule 或者 Managerment Server 在 WINDOWS上安装的

最小需求： 1、 操作系统：NT 、WIN2000 2、 CPU：PII300以上 3、 硬盘剩余空间：40M 4、 内存：128M

三、 GUI Client在 WINDOWS上安装的最小需求：

1、 操作系统：WIN9X、WIN ME、WIN NT4+SP6、WIN2000professional 2、 硬盘剩余空间：40M 3、 内存：128M

四、 安装之前的准备工作

1、 在安装 VPN-1/FW-1的计算机去掉不需要的服务，例如：NETBEUI、FTP、HTTP server 2、 保证内网、外网、DMZ区都能互通（ping）

3、 关闭WINDOWS上的 IP Forwding，该功能由VPN-1/FW-1来控制。 4、 验证DNS：在内网浏览一个外部知名网站，能访问即可。

5、 定义IP地址：记下准备分配给计算机各网卡的IP地址备用。（在计算机的DOS状态下键入 config /all，即可显示各网卡的IP地址） 6、 确认网关计算机名与外网卡的IP地址相对应（可以查看计算机

\\system32\\drivers\\etc\\lmhost.asm）目的是为了确保在把网关定义为一个网络对象时（见二、1、）通过点击 get address 时，可以自动获得IP地址，如果不能获取，IKE加密过程会不正常。 7、 决定在那台计算机上下列安装软件（module、management server、GUI），如果是安装单网关产品，module、management server、GUI可以安装在同一台计算机上，当然GUI也可以安装在另一台计算机上进行远程控制。 8、 确认计算机的操作系统软件版本和平台与VPN/FW组件相对应

9、 如果安装前已经有VPN/FW在本机上运行，那么，把他们退出运行（包括GUI）

五、 安装软件总过程

1、 在安装软件（module、management server）之前把计算机从网络上断开，安装完毕再接入网络中 2、 在网关设备/计算机上安装VPN/FW module 3、 在management server 上安装VPN-1/FW-1 4、 在管理工作站上安装GUI Client

5、 以上过程安装完毕之后，把他们接入到网络中去，并验证他们与网络的连通性。 6、 在management server 上定义 GUI主机

7、 在management server 上定义管理员帐号（具备管理安全策略的权限） 8、 把以上计算机连接到网络中，并保证对网络的连通性

六、 配置防火墙总过程

1、 启动GUI Client 连接到management server 2、 创建安全策略

A、 定义网络对象，

B、 定义添加GUI Client主机名、定义管理员并设置权限。 C、 定义组，并把用户加入组 D、定义 Rule base （安全策略）

I、 外网用户只能访问DMZ区

II、 内网用户可以访问 内网、外网、DMZ区

III、 管理员可以从任何IP地址TELNET登陆到DMZ区的（SMTP、

WEB、FTP）服务器

E、 定义NAT

F、 在本地验证安全策略的正确性

G、把安全策略分发到安装到VPN-1/FW-1 Moudule 的计算机上。

通过菜单 policy—》install

七、 具体安装过程