戰(zhàn)：從對(duì)象規(guī)則到NAT策略安裝的完整閉環(huán))
簡(jiǎn)介面向Checkpoint防火墻初學(xué)者的簡(jiǎn)明配置手冊(cè)內(nèi)含1個(gè)PDF文檔壓縮包整體約1.82MB。手冊(cè)從SmartConsole客戶端安裝與組件選擇講起詳細(xì)演示SmartDashboard中的管理操作包括主機(jī)和網(wǎng)絡(luò)服務(wù)對(duì)象的創(chuàng)建、自動(dòng)地址翻譯NAT靜態(tài)映射以及安全規(guī)則的新增、修改與日志記錄并覆蓋從登錄防火墻管理模塊到最終下發(fā)策略的完整配置鏈路適合網(wǎng)絡(luò)運(yùn)維人員快速上手Checkpoint管理平臺(tái)。已有240人瀏覽學(xué)習(xí)內(nèi)容緊湊、步驟清晰既可作為首次部署的跟隨式指南也能在后續(xù)日常維護(hù)中充當(dāng)速查參考尤其針對(duì)NAT映射地址填寫、服務(wù)端口定義、規(guī)則放行與日志追蹤等易錯(cuò)環(huán)節(jié)給出明確操作說(shuō)明有助于在短時(shí)間內(nèi)建立Checkpoint防火墻基本配置思路。1. Checkpoint 簡(jiǎn)單配置手冊(cè)一臺(tái)防火墻從開機(jī)到放通業(yè)務(wù)到底在配什么拿到一份《Checkpoint 簡(jiǎn)單配置手冊(cè).pdf》很多人第一反應(yīng)是先翻命令、找截圖然后照著敲一遍結(jié)果發(fā)現(xiàn)該通的還是不通。我維護(hù) Checkpoint 設(shè)備這幾年最深的體會(huì)是它和華為、思科這類網(wǎng)絡(luò)設(shè)備最大的差別不在命令難記而在配置層次完全不一樣——先建對(duì)象再寫規(guī)則再做 NAT最后 Install Policy少一步前面全白做。手冊(cè)標(biāo)題叫“簡(jiǎn)單配置”實(shí)際講的是把一臺(tái)安全網(wǎng)關(guān)從開機(jī)帶到能放通生產(chǎn)業(yè)務(wù)的最小閉環(huán)適合剛接手、被 SmartConsole 的規(guī)則庫(kù)和 NAT 繞暈的運(yùn)維、網(wǎng)工和安全工程師。讀完你至少能獨(dú)立配出一套能跑的基礎(chǔ)策略也知道出問(wèn)題該先查哪一層。2. 開局接入從開箱到連上 SmartConsole 的完整路徑開局階段的目標(biāo)只有兩個(gè)讓設(shè)備連上網(wǎng)絡(luò)讓管理員能進(jìn)管理臺(tái)。我一般分四步走找對(duì)管理口、配好基礎(chǔ)身份、確認(rèn)授權(quán)和版本、連上 SmartConsole。這個(gè)順序別反否則后面所有操作都在一個(gè)不可控的環(huán)境里做。2.1 先找到管理口Console、Gaia Portal 還是 SSHCheckpoint 硬件網(wǎng)關(guān)通常會(huì)預(yù)留一個(gè)管理網(wǎng)口常見標(biāo)注是 mgmt 或 eth0軟件鏡像和虛擬化版本則一般在安裝向?qū)щA段就指定了管理 IP。第一次開機(jī)不知道地址時(shí)最穩(wěn)的辦法是用串口線或直接接顯示器和鍵盤進(jìn) console在本地界面看管理 IP 和登錄提示。接入方式端口/協(xié)議適用場(chǎng)景Console串口/本地終端RS-232 或 VGA鍵盤剛開機(jī)、網(wǎng)絡(luò)不通、需要恢復(fù)密碼Gaia PortalWebUIHTTPS 443日常查狀態(tài)、改少量配置SSHCLISHTCP 22批量改配置、腳本化操作SmartConsoleGUIHTTPS 與專用管理連接日常策略、對(duì)象、NAT、日志集中管理瀏覽器訪問(wèn) Gaia Portal 時(shí)提示證書不受信任是正常的設(shè)備用的是自簽證書點(diǎn)繼續(xù)訪問(wèn)即可。默認(rèn)賬號(hào)一般是 admin初次登錄會(huì)強(qiáng)制改密這一步不要跳過(guò)——設(shè)備掛在辦公網(wǎng)里卻用默認(rèn)口令等于把管理面直接敞給內(nèi)網(wǎng)。建議管理口走獨(dú)立網(wǎng)段和業(yè)務(wù)口分開后續(xù)加策略時(shí)不容易把自己和網(wǎng)關(guān)之間唯一的通道掐斷。2.2 用 CLISH 設(shè)置主機(jī)名、時(shí)區(qū)和 NTP配置命令與一個(gè)保存動(dòng)作設(shè)備能登進(jìn)去之后先別急著建策略把基礎(chǔ)身份配好。CLISH 是 Checkpoint 的類 Shell 命令行命令風(fēng)格接近網(wǎng)絡(luò)設(shè)備但更偏向“show / set”這種語(yǔ)義化寫法。# 查看當(dāng)前主機(jī)名確認(rèn)沒(méi)有和別的設(shè)備重名 show hostname # 設(shè)置主機(jī)名建議和設(shè)備業(yè)務(wù)角色對(duì)應(yīng) set hostname CP-GW-Core-01 # 統(tǒng)一時(shí)區(qū)日志和審計(jì)對(duì)時(shí)間都靠它 set timezone Asia/Shanghai # 配置 NTP 服務(wù)器這里用內(nèi)網(wǎng)時(shí)間源 set ntp server primary 192.168.10.5 set ntp active on # 查看 NTP 同步狀態(tài) show ntp status # 保存配置不然重啟全部丟失 save configCLISH 里大部分配置是即時(shí)生效的但如果不執(zhí)行save config重啟后會(huì)被打回原形。set timezone影響所有日志時(shí)間戳set ntp server primary指定主時(shí)間源set ntp active on才真正打開同步開關(guān)。如果show ntp status一直顯示未同步先查設(shè)備到 NTP 服務(wù)器的路由常見問(wèn)題是 NTP 服務(wù)器在辦公網(wǎng)設(shè)備默認(rèn)路由走出口中間被自己的策略擋住NTP 自然同步不上——這跟配置本身沒(méi)關(guān)系屬于后文要講的策略與路由聯(lián)動(dòng)問(wèn)題。2.3 版本與許可做基線配置檢查前先看清授權(quán)# 查看 Gaia 版本和 Take 版本 show version # 查看功能授權(quán)和 Blade 狀態(tài) show licenseshow version輸出的是系統(tǒng)版本和補(bǔ)丁版本show license顯示當(dāng)前設(shè)備激活了哪些安全功能。Checkpoint 把安全能力拆成 Blade基礎(chǔ)防火墻和 NAT 通常隨硬件或基礎(chǔ)授權(quán)啟用IPS、防病毒、URL 過(guò)濾這類功能需要額外授權(quán)。策略里就算勾了這些功能沒(méi)有對(duì)應(yīng) Blade 授權(quán)安裝時(shí)會(huì)提示不可用。這一步本質(zhì)是在做一次“基線配置檢查”建議把版本號(hào)、授權(quán)列表、系統(tǒng)時(shí)間三項(xiàng)記成一張小表作為對(duì)照基線之后每次做配置調(diào)整策略以這份基線為錨點(diǎn)改了什么一眼就能看出來(lái)。2.4 SmartConsole 第一次連接證書指紋和版本匹配SmartConsole 是 Checkpoint 策略配置的主界面。在管理終端上安裝客戶端填管理服務(wù)器 IP 和管理員賬號(hào)首次連接會(huì)彈出服務(wù)器證書指紋人工確認(rèn)后才建立信任如果指紋對(duì)不上要懷疑是不是連到了偽造或者別的設(shè)備。網(wǎng)絡(luò)側(cè)要保證管理終端到管理服務(wù)器放行 HTTPS管理服務(wù)器到安全網(wǎng)關(guān)的 SIC 通道也要能通。版本匹配是老生常談但總有人踩坑——SmartConsole 和服務(wù)器跨大版本時(shí)要么連不上要么功能頁(yè)面顯示不全。我習(xí)慣在管理終端固定用一個(gè)和服務(wù)器大版本一致的客戶端不頻繁升級(jí)換來(lái)的是穩(wěn)定的管理體驗(yàn)。3. 對(duì)象與規(guī)則庫(kù)把“誰(shuí)能訪問(wèn)誰(shuí)”翻譯成 Checkpoint 配置語(yǔ)言從現(xiàn)在開始進(jìn)入策略配置的核心。很多新手在 SmartConsole 里找不到“直接在接口上寫規(guī)則”的入口因?yàn)?Checkpoint 的思路根本不在這里。3.1 先理解對(duì)象、策略、安裝三層結(jié)構(gòu)Checkpoint 的配置模型可以類比成三段對(duì)象、策略、安裝。對(duì)象是變量聲明策略是函數(shù)邏輯安裝是編譯部署。先在對(duì)象庫(kù)里定義好網(wǎng)絡(luò)、主機(jī)、服務(wù)然后在規(guī)則庫(kù)里引用這些對(duì)象組織策略最后把策略安裝到網(wǎng)關(guān)上。這種集中式模型的好處是一臺(tái)管理服務(wù)器可以統(tǒng)一下發(fā)策略到多臺(tái)網(wǎng)關(guān)規(guī)則維護(hù)和審計(jì)都集中代價(jià)是初學(xué)者經(jīng)常漏掉最后一步安裝改完策略不裝網(wǎng)關(guān)繼續(xù)跑舊策略。規(guī)則庫(kù)里還有一些看不見的“隱含規(guī)則”網(wǎng)關(guān)自己發(fā)起的連接默認(rèn)放行來(lái)自外部主動(dòng)訪問(wèn)網(wǎng)關(guān)自身 IP 的流量默認(rèn)丟棄。這解釋了為什么有些服務(wù)剛配置完能通過(guò)一段時(shí)間被測(cè)試發(fā)現(xiàn)又不通了——不是因?yàn)橐?guī)則沒(méi)了而是因?yàn)槟銊?dòng)了接口拓?fù)潆[含規(guī)則的行為跟著變了。3.2 創(chuàng)建對(duì)象用“組”壓縮規(guī)則數(shù)量在 SmartConsole 左側(cè)對(duì)象樹里新建對(duì)象路徑一般是 Objects 網(wǎng)絡(luò)對(duì)象然后選擇類型。對(duì)象類型分幾種用途差別很大。對(duì)象類型典型用途配置建議Host單臺(tái)服務(wù)器、打印機(jī)、管理終端命名帶角色含義別叫 test1Network辦公網(wǎng)段、服務(wù)器網(wǎng)段、外部網(wǎng)段掩碼必須和接口拓?fù)湟恢翯roup把同角色主機(jī)或網(wǎng)段打成包規(guī)則里引用組加成員不用改規(guī)則命名規(guī)范實(shí)操價(jià)值很高。我的習(xí)慣是net_前綴表示網(wǎng)段host_前綴表示主機(jī)grp_前綴表示組在規(guī)則列表里一眼能看出源和目標(biāo)到底是什么。比如net_office_10、host_app_server_01、grp_db_servers。對(duì)象創(chuàng)建時(shí)手滑寫錯(cuò)一位 IP策略一安裝就可能把業(yè)務(wù)打斷保存前務(wù)必對(duì)一遍地址和掩碼。Group 的價(jià)值在規(guī)則維護(hù)時(shí)特別明顯30 臺(tái)應(yīng)用服務(wù)器放進(jìn)一個(gè)組規(guī)則里只引用組名后續(xù)擴(kuò)容只加成員不動(dòng)規(guī)則。這和代碼里的“抽公共變量”是一個(gè)道理變化的部分收斂到對(duì)象層策略層保持穩(wěn)定。3.3 寫最小規(guī)則集管理、辦公到外網(wǎng)、清理規(guī)則三件套建好對(duì)象后在安全策略規(guī)則庫(kù)里寫規(guī)則。一個(gè)最小可用策略至少包含三條規(guī)則規(guī)則號(hào)名稱源目標(biāo)服務(wù)動(dòng)作跟蹤1Management管理網(wǎng)段網(wǎng)關(guān)自身管理協(xié)議AcceptLog2Office to Internetnet_office_10External_InternetAnyAcceptLog3CleanupAnyAnyAnyDropLog規(guī)則匹配按從上到下的順序執(zhí)行命中即結(jié)束。這意味著“具體規(guī)則放前面寬泛規(guī)則放后面”否則一條 Any 到 Any 的規(guī)則會(huì)吞掉后面所有規(guī)則。External_Internet是 Checkpoint 內(nèi)置對(duì)象表示網(wǎng)關(guān)外部接口所連的整個(gè)外網(wǎng)。Track列選 Log 才能產(chǎn)生日志很多默認(rèn)規(guī)則這一列是 None流量靜默放行審計(jì)時(shí)什么都看不到。清理規(guī)則一定要保留。即使不寫它隱含規(guī)則最后也會(huì)丟棄流量但沒(méi)有日志顯式寫一條 Drop Log被丟棄的請(qǐng)求都能在日志里查到排查時(shí)不知道省多少時(shí)間。配置調(diào)整策略時(shí)我也遵循一個(gè)原則不直接改舊規(guī)則先在前面加一條臨時(shí)規(guī)則驗(yàn)證確認(rèn)正常后再清理舊的這樣每一步都可回退。3.4 Install Policy不安裝等于沒(méi)配規(guī)則寫完別高興太早最后一步是點(diǎn)右上角的 Install Policy選擇目標(biāo)網(wǎng)關(guān)執(zhí)行安裝。安裝過(guò)程會(huì)先編譯策略再下發(fā)規(guī)則多時(shí)編譯明顯變慢。如果出現(xiàn)驗(yàn)證警告不要直接忽略——比如規(guī)則里引用的對(duì)象沒(méi)有被任何接口拓?fù)涓采w多半是對(duì)象建錯(cuò)了網(wǎng)段。安裝策略會(huì)讓網(wǎng)關(guān)上的活躍連接短暫中斷生產(chǎn)環(huán)境務(wù)必選在變更窗口操作并提前通知業(yè)務(wù)側(cè)。這是 Checkpoint 配置里最容易翻車的地方有人在非窗口時(shí)間直接安裝結(jié)果遠(yuǎn)程通道先斷網(wǎng)關(guān)進(jìn)不去了,其實(shí)不是策略錯(cuò)了而是連管理通道也被新規(guī)則切掉。注意安裝策略前確認(rèn)管理網(wǎng)段、備份通道、日志服務(wù)器這些“保命路徑”都在規(guī)則里被明確放行否則裝完即失聯(lián)。4. NAT 與路由地址轉(zhuǎn)換和回程路徑為什么經(jīng)常一起翻車規(guī)則庫(kù)通了只完成一半真正讓業(yè)務(wù)跑起來(lái)的是 NAT 和路由。這層出問(wèn)題的概率遠(yuǎn)高于規(guī)則本身因?yàn)楹芏嗳税阉?dāng)成“加一條轉(zhuǎn)換就行”忽略回程路徑。4.1 隱藏 NAT 與靜態(tài) NAT先想清楚誰(shuí)訪問(wèn)誰(shuí)Checkpoint 的 NAT 分兩種主要形式隱藏 NAT 和靜態(tài) NAT。NAT 類型轉(zhuǎn)換方向典型場(chǎng)景注意點(diǎn)隱藏 NAT源地址轉(zhuǎn)換多對(duì)一映射到出口地址內(nèi)網(wǎng)終端訪問(wèn)外網(wǎng)外部不能主動(dòng)訪問(wèn)內(nèi)部靜態(tài) NAT一對(duì)一雙向轉(zhuǎn)換向外部提供服務(wù)的服務(wù)器必須考慮入站和回程路由選擇原則上絕大多數(shù)辦公網(wǎng)場(chǎng)景用隱藏 NAT 就夠。只有需要外部主動(dòng)訪問(wèn)內(nèi)部服務(wù)器時(shí)才做靜態(tài) NAT而且只對(duì)具體服務(wù)器做不要整段做。如果服務(wù)器需要記錄訪問(wèn)者的真實(shí)來(lái)源地址也不適合把整段內(nèi)網(wǎng)做成隱藏 NAT否則看到的全是網(wǎng)關(guān)出口地址。4.2 在 SmartConsole 里加 NAT自動(dòng)規(guī)則與手動(dòng)規(guī)則在網(wǎng)關(guān)對(duì)象里切到 NAT 標(biāo)簽頁(yè)可以添加自動(dòng) NAT 規(guī)則。常見做法是雙擊主機(jī)對(duì)象在 NAT 屬性里勾選“添加自動(dòng)地址轉(zhuǎn)換規(guī)則”選隱藏或靜態(tài)再指定轉(zhuǎn)換后的出口地址。自動(dòng) NAT 的優(yōu)點(diǎn)是系統(tǒng)會(huì)根據(jù)對(duì)象和接口自動(dòng)生成轉(zhuǎn)換條目不容易寫錯(cuò)。手動(dòng) NAT 也常用尤其在一對(duì)多或多對(duì)多場(chǎng)景。規(guī)則表的核心字段是 Original Source、Original Destination、Original Service 與 Translated 對(duì)應(yīng)項(xiàng)語(yǔ)義很直白。Original SourceOriginal DestinationTranslated SourceTranslated Destination192.168.10.0/24Any網(wǎng)關(guān)出口接口地址不變注意NAT 規(guī)則不是獨(dú)立配置它跟著策略一起編譯和安裝。只加 NAT 規(guī)則不 Install Policy轉(zhuǎn)換就不會(huì)生效。這個(gè)坑和規(guī)則庫(kù)一樣都是“忘裝策略”。4.3 回程路由與接口拓?fù)鋬蓚€(gè)看不見的坑靜態(tài) NAT 最常見的失敗點(diǎn)是回程。外網(wǎng)訪問(wèn)映射地址到達(dá)網(wǎng)關(guān)后網(wǎng)關(guān)按 NAT 規(guī)則把目標(biāo)地址轉(zhuǎn)換成內(nèi)網(wǎng)真實(shí)地址然后必須查路由表把包送到服務(wù)器網(wǎng)段。如果網(wǎng)關(guān)沒(méi)有到服務(wù)器網(wǎng)段的靜態(tài)路由包就進(jìn)了黑洞外網(wǎng)看起來(lái)就是不回包。解決方式是用命令行補(bǔ)路由。# 查看當(dāng)前路由表重點(diǎn)看是否有到服務(wù)器的網(wǎng)段條目 show route # 添加一條到服務(wù)器網(wǎng)段的靜態(tài)路由下一跳是內(nèi)網(wǎng)核心交換機(jī) add route 192.168.20.0/24 nexthop gateway address 192.168.10.254 # 確認(rèn)配置寫入磁盤 save configadd route的 nexthop 可以指定為 gateway address下一跳網(wǎng)關(guān) IP也可以直接指定 interface直連接口。用網(wǎng)關(guān) IP 時(shí)下一跳必須可達(dá)否則路由不生效。這里有一個(gè)底層的處理順序問(wèn)題NAT 轉(zhuǎn)換完成后的流量仍然要走一遍轉(zhuǎn)發(fā)決策所以路由表不對(duì)轉(zhuǎn)換再漂亮也是白搭。另一個(gè)坑是接口拓?fù)浜?Anti-Spoofing。Checkpoint 會(huì)根據(jù)網(wǎng)關(guān)對(duì)象里定義的接口網(wǎng)段自動(dòng)生成防欺騙規(guī)則丟棄“從該接口進(jìn)來(lái)但源地址不屬于該網(wǎng)段”的包。典型場(chǎng)景兩個(gè)內(nèi)網(wǎng)網(wǎng)段分別接在 eth1 和 eth2服務(wù)器回程從 eth2 發(fā)出沒(méi)問(wèn)題但 NAT 后回程從 eth1 出去源地址卻是 eth2 網(wǎng)段就會(huì)被 eth1 的防欺騙規(guī)則丟掉。解決辦法是回到網(wǎng)關(guān)對(duì)象的接口拓?fù)淅锎_認(rèn)每個(gè)接口綁定的網(wǎng)段正確必要時(shí)調(diào)整防欺騙配置。這類問(wèn)題十次里有八次不在 NAT 規(guī)則本身而在路由和接口拓?fù)洹?. Checkpoint 配置避坑五條血淚經(jīng)驗(yàn)與排查清單5.1 規(guī)則庫(kù)里有 Allow業(yè)務(wù)還是不通現(xiàn)象安全策略里明確有一條 Accept 規(guī)則源、目標(biāo)、服務(wù)全對(duì)業(yè)務(wù)側(cè)仍然超時(shí)。原因最常見的是策略沒(méi)有安裝。SmartConsole 的編輯界面和網(wǎng)關(guān)實(shí)際生效的策略是兩套你改完不裝網(wǎng)關(guān)繼續(xù)執(zhí)行舊策略。另一條是規(guī)則順序問(wèn)題新加的 Accept 掛在了一條寬泛 Drop 規(guī)則后面永遠(yuǎn)匹配不到。解決先在 SmartConsole 右側(cè)點(diǎn) Install Policy 讓規(guī)則真正生效然后核對(duì)規(guī)則順序把具體規(guī)則移到寬泛規(guī)則前面。最后看日志確認(rèn)這個(gè)包有沒(méi)有到達(dá)網(wǎng)關(guān)——如果包根本沒(méi)進(jìn)來(lái)規(guī)則再對(duì)也沒(méi)用。5.2 NAT 之后源地址還是內(nèi)網(wǎng) IP現(xiàn)象內(nèi)網(wǎng)終端訪問(wèn)外部服務(wù)服務(wù)端記錄的源地址是 192.168.x.x不是網(wǎng)關(guān)出口地址。原因NAT 規(guī)則沒(méi)加或者隱藏 NAT 的源范圍沒(méi)有覆蓋這臺(tái)終端所在網(wǎng)段。自動(dòng) NAT 只轉(zhuǎn)換你勾選的對(duì)象如果對(duì)象建的是單臺(tái)主機(jī)其他主機(jī)自然不會(huì)轉(zhuǎn)換。解決回網(wǎng)關(guān)對(duì)象的 NAT 頁(yè)確認(rèn)隱藏 NAT 規(guī)則覆蓋了整個(gè)內(nèi)網(wǎng)網(wǎng)段如果用手動(dòng) NAT檢查 Original Source 是不是內(nèi)網(wǎng)站點(diǎn)。改完必須安裝策略然后從內(nèi)網(wǎng)終端做一次真實(shí)訪問(wèn)到出口一側(cè)確認(rèn)源地址已經(jīng)變成網(wǎng)關(guān)地址。這一步靠抓包驗(yàn)證最靠譜不要只盯著規(guī)則看。5.3 SmartConsole 連不上管理服務(wù)器現(xiàn)象客戶端輸完管理服務(wù)器地址一直轉(zhuǎn)圈后提示連接失敗或超時(shí)。原因常見三選一。管理終端到管理服務(wù)器的網(wǎng)絡(luò)不通中間防火墻把管理通道攔截客戶端和服務(wù)器的版本跨度太大協(xié)商失敗。解決先 ping 管理 IP通了再檢查 HTTPS 管理連接是否被中間策略擋掉。版本方面把 SmartConsole 和服務(wù)器保持在同一個(gè)大版本系列內(nèi)。做基線配置檢查時(shí)把版本號(hào)記下來(lái)遇到連接問(wèn)題能減少一半猜測(cè)。5.4 日志里全是 Drop沒(méi)有 Accept 記錄現(xiàn)象業(yè)務(wù)是通的但日志視圖里全是丟棄記錄找不到放行記錄審計(jì)沒(méi)法交代。原因規(guī)則的 Track 列沒(méi)有選 Log。Checkpoint 規(guī)則不是默認(rèn)全部打日志很多模板規(guī)則的 Track 是 None流量靜默放行日志自然什么都沒(méi)有。也可能是日志磁盤配額滿了新日志被丟棄。解決在規(guī)則庫(kù)里把所有需要審計(jì)的 Accept 規(guī)則 Track 改成 Log重新安裝策略。另查管理服務(wù)器的磁盤和日志存儲(chǔ)設(shè)置重要日志配置外部日志服務(wù)器做歸檔避免本地滿了丟歷史。5.5 重啟后配置回到“解放前”現(xiàn)象昨天敲的 CLISH 命令全部生效今天設(shè)備一重啟配置全部消失。原因Gaia 的配置改完只存在于運(yùn)行態(tài)沒(méi)有真正落盤。這和網(wǎng)絡(luò)設(shè)備必須 save 是一個(gè)道理。解決每輪修改結(jié)束后執(zhí)行save config變更完成后做一次完整配置備份導(dǎo)出一份快照存到本地。這個(gè)動(dòng)作我重復(fù)多少次都不嫌多——被它坑過(guò)一次后來(lái)每次遠(yuǎn)程操作完第一件事就是 save config已經(jīng)成了肌肉記憶。6. 策略驗(yàn)證與備份回滾把配置變更做成可復(fù)盤的事每次安裝完策略不要直接關(guān)掉窗口走人我習(xí)慣做三查。一查日志SmartConsole 日志視圖里篩選最近五分鐘看關(guān)鍵 Allow 規(guī)則有沒(méi)有命中記錄。二查路由執(zhí)行show route確認(rèn)核心網(wǎng)段和默認(rèn)路由還在。三查業(yè)務(wù)找一臺(tái)測(cè)試終端跑一條真實(shí)業(yè)務(wù)請(qǐng)求用實(shí)際結(jié)果判斷而不是靠“應(yīng)該沒(méi)問(wèn)題”。日志是你手里最直接的黑匣子不主動(dòng)確認(rèn)翻車是遲早的事。備份回滾是配置變更的后悔藥。常見做法是變更前在 SmartConsole 里導(dǎo)出當(dāng)前策略包同時(shí)記錄版本和授權(quán)信息CLISH 改完配置馬上save config。遇到自己解決不了的問(wèn)題跑一次cpinfo把診斷信息整個(gè)打包配合抓包一起發(fā)給技術(shù)支持比自己對(duì)著屏幕猜高效得多。我現(xiàn)在的習(xí)慣是每輪變更前先備份變更后確認(rèn)業(yè)務(wù)正常再清理臨時(shí)文件下輪改配置前拿上一版做對(duì)比哪里變了、哪里多了清清楚楚。這個(gè)習(xí)慣救過(guò)我很多次希望也幫到你。本文還有配套的精品資源點(diǎn)擊獲取 Checkpoint防火墻配置實(shí)戰(zhàn)：從對(duì)象規(guī)則到NAT策略安裝的完整閉環(huán)
簡(jiǎn)介面向Checkpoint防火墻初學(xué)者的簡(jiǎn)明配置手冊(cè)內(nèi)含1個(gè)PDF文檔壓縮包整體約1.82MB。手冊(cè)從SmartConsole客戶端安裝與組件選擇講起詳細(xì)演示SmartDashboard中的管理操作包括主機(jī)和網(wǎng)絡(luò)服務(wù)對(duì)象的創(chuàng)建、自動(dòng)地址翻譯NAT靜態(tài)映射以及安全規(guī)則的新增、修改與日志記錄并覆蓋從登錄防火墻管理模塊到最終下發(fā)策略的完整配置鏈路適合網(wǎng)絡(luò)運(yùn)維人員快速上手Checkpoint管理平臺(tái)。已有240人瀏覽學(xué)習(xí)內(nèi)容緊湊、步驟清晰既可作為首次部署的跟隨式指南也能在后續(xù)日常維護(hù)中充當(dāng)速查參考尤其針對(duì)NAT映射地址填寫、服務(wù)端口定義、規(guī)則放行與日志追蹤等易錯(cuò)環(huán)節(jié)給出明確操作說(shuō)明有助于在短時(shí)間內(nèi)建立Checkpoint防火墻基本配置思路。1. Checkpoint 簡(jiǎn)單配置手冊(cè)一臺(tái)防火墻從開機(jī)到放通業(yè)務(wù)到底在配什么拿到一份《Checkpoint 簡(jiǎn)單配置手冊(cè).pdf》很多人第一反應(yīng)是先翻命令、找截圖然后照著敲一遍結(jié)果發(fā)現(xiàn)該通的還是不通。我維護(hù) Checkpoint 設(shè)備這幾年最深的體會(huì)是它和華為、思科這類網(wǎng)絡(luò)設(shè)備最大的差別不在命令難記而在配置層次完全不一樣——先建對(duì)象再寫規(guī)則再做 NAT最后 Install Policy少一步前面全白做。手冊(cè)標(biāo)題叫“簡(jiǎn)單配置”實(shí)際講的是把一臺(tái)安全網(wǎng)關(guān)從開機(jī)帶到能放通生產(chǎn)業(yè)務(wù)的最小閉環(huán)適合剛接手、被 SmartConsole 的規(guī)則庫(kù)和 NAT 繞暈的運(yùn)維、網(wǎng)工和安全工程師。讀完你至少能獨(dú)立配出一套能跑的基礎(chǔ)策略也知道出問(wèn)題該先查哪一層。2. 開局接入從開箱到連上 SmartConsole 的完整路徑開局階段的目標(biāo)只有兩個(gè)讓設(shè)備連上網(wǎng)絡(luò)讓管理員能進(jìn)管理臺(tái)。我一般分四步走找對(duì)管理口、配好基礎(chǔ)身份、確認(rèn)授權(quán)和版本、連上 SmartConsole。這個(gè)順序別反否則后面所有操作都在一個(gè)不可控的環(huán)境里做。2.1 先找到管理口Console、Gaia Portal 還是 SSHCheckpoint 硬件網(wǎng)關(guān)通常會(huì)預(yù)留一個(gè)管理網(wǎng)口常見標(biāo)注是 mgmt 或 eth0軟件鏡像和虛擬化版本則一般在安裝向?qū)щA段就指定了管理 IP。第一次開機(jī)不知道地址時(shí)最穩(wěn)的辦法是用串口線或直接接顯示器和鍵盤進(jìn) console在本地界面看管理 IP 和登錄提示。接入方式端口/協(xié)議適用場(chǎng)景Console串口/本地終端RS-232 或 VGA鍵盤剛開機(jī)、網(wǎng)絡(luò)不通、需要恢復(fù)密碼Gaia PortalWebUIHTTPS 443日常查狀態(tài)、改少量配置SSHCLISHTCP 22批量改配置、腳本化操作SmartConsoleGUIHTTPS 與專用管理連接日常策略、對(duì)象、NAT、日志集中管理瀏覽器訪問(wèn) Gaia Portal 時(shí)提示證書不受信任是正常的設(shè)備用的是自簽證書點(diǎn)繼續(xù)訪問(wèn)即可。默認(rèn)賬號(hào)一般是 admin初次登錄會(huì)強(qiáng)制改密這一步不要跳過(guò)——設(shè)備掛在辦公網(wǎng)里卻用默認(rèn)口令等于把管理面直接敞給內(nèi)網(wǎng)。建議管理口走獨(dú)立網(wǎng)段和業(yè)務(wù)口分開后續(xù)加策略時(shí)不容易把自己和網(wǎng)關(guān)之間唯一的通道掐斷。2.2 用 CLISH 設(shè)置主機(jī)名、時(shí)區(qū)和 NTP配置命令與一個(gè)保存動(dòng)作設(shè)備能登進(jìn)去之后先別急著建策略把基礎(chǔ)身份配好。CLISH 是 Checkpoint 的類 Shell 命令行命令風(fēng)格接近網(wǎng)絡(luò)設(shè)備但更偏向“show / set”這種語(yǔ)義化寫法。# 查看當(dāng)前主機(jī)名確認(rèn)沒(méi)有和別的設(shè)備重名 show hostname # 設(shè)置主機(jī)名建議和設(shè)備業(yè)務(wù)角色對(duì)應(yīng) set hostname CP-GW-Core-01 # 統(tǒng)一時(shí)區(qū)日志和審計(jì)對(duì)時(shí)間都靠它 set timezone Asia/Shanghai # 配置 NTP 服務(wù)器這里用內(nèi)網(wǎng)時(shí)間源 set ntp server primary 192.168.10.5 set ntp active on # 查看 NTP 同步狀態(tài) show ntp status # 保存配置不然重啟全部丟失 save configCLISH 里大部分配置是即時(shí)生效的但如果不執(zhí)行save config重啟后會(huì)被打回原形。set timezone影響所有日志時(shí)間戳set ntp server primary指定主時(shí)間源set ntp active on才真正打開同步開關(guān)。如果show ntp status一直顯示未同步先查設(shè)備到 NTP 服務(wù)器的路由常見問(wèn)題是 NTP 服務(wù)器在辦公網(wǎng)設(shè)備默認(rèn)路由走出口中間被自己的策略擋住NTP 自然同步不上——這跟配置本身沒(méi)關(guān)系屬于后文要講的策略與路由聯(lián)動(dòng)問(wèn)題。2.3 版本與許可做基線配置檢查前先看清授權(quán)# 查看 Gaia 版本和 Take 版本 show version # 查看功能授權(quán)和 Blade 狀態(tài) show licenseshow version輸出的是系統(tǒng)版本和補(bǔ)丁版本show license顯示當(dāng)前設(shè)備激活了哪些安全功能。Checkpoint 把安全能力拆成 Blade基礎(chǔ)防火墻和 NAT 通常隨硬件或基礎(chǔ)授權(quán)啟用IPS、防病毒、URL 過(guò)濾這類功能需要額外授權(quán)。策略里就算勾了這些功能沒(méi)有對(duì)應(yīng) Blade 授權(quán)安裝時(shí)會(huì)提示不可用。這一步本質(zhì)是在做一次“基線配置檢查”建議把版本號(hào)、授權(quán)列表、系統(tǒng)時(shí)間三項(xiàng)記成一張小表作為對(duì)照基線之后每次做配置調(diào)整策略以這份基線為錨點(diǎn)改了什么一眼就能看出來(lái)。2.4 SmartConsole 第一次連接證書指紋和版本匹配SmartConsole 是 Checkpoint 策略配置的主界面。在管理終端上安裝客戶端填管理服務(wù)器 IP 和管理員賬號(hào)首次連接會(huì)彈出服務(wù)器證書指紋人工確認(rèn)后才建立信任如果指紋對(duì)不上要懷疑是不是連到了偽造或者別的設(shè)備。網(wǎng)絡(luò)側(cè)要保證管理終端到管理服務(wù)器放行 HTTPS管理服務(wù)器到安全網(wǎng)關(guān)的 SIC 通道也要能通。版本匹配是老生常談但總有人踩坑——SmartConsole 和服務(wù)器跨大版本時(shí)要么連不上要么功能頁(yè)面顯示不全。我習(xí)慣在管理終端固定用一個(gè)和服務(wù)器大版本一致的客戶端不頻繁升級(jí)換來(lái)的是穩(wěn)定的管理體驗(yàn)。3. 對(duì)象與規(guī)則庫(kù)把“誰(shuí)能訪問(wèn)誰(shuí)”翻譯成 Checkpoint 配置語(yǔ)言從現(xiàn)在開始進(jìn)入策略配置的核心。很多新手在 SmartConsole 里找不到“直接在接口上寫規(guī)則”的入口因?yàn)?Checkpoint 的思路根本不在這里。3.1 先理解對(duì)象、策略、安裝三層結(jié)構(gòu)Checkpoint 的配置模型可以類比成三段對(duì)象、策略、安裝。對(duì)象是變量聲明策略是函數(shù)邏輯安裝是編譯部署。先在對(duì)象庫(kù)里定義好網(wǎng)絡(luò)、主機(jī)、服務(wù)然后在規(guī)則庫(kù)里引用這些對(duì)象組織策略最后把策略安裝到網(wǎng)關(guān)上。這種集中式模型的好處是一臺(tái)管理服務(wù)器可以統(tǒng)一下發(fā)策略到多臺(tái)網(wǎng)關(guān)規(guī)則維護(hù)和審計(jì)都集中代價(jià)是初學(xué)者經(jīng)常漏掉最后一步安裝改完策略不裝網(wǎng)關(guān)繼續(xù)跑舊策略。規(guī)則庫(kù)里還有一些看不見的“隱含規(guī)則”網(wǎng)關(guān)自己發(fā)起的連接默認(rèn)放行來(lái)自外部主動(dòng)訪問(wèn)網(wǎng)關(guān)自身 IP 的流量默認(rèn)丟棄。這解釋了為什么有些服務(wù)剛配置完能通過(guò)一段時(shí)間被測(cè)試發(fā)現(xiàn)又不通了——不是因?yàn)橐?guī)則沒(méi)了而是因?yàn)槟銊?dòng)了接口拓?fù)潆[含規(guī)則的行為跟著變了。3.2 創(chuàng)建對(duì)象用“組”壓縮規(guī)則數(shù)量在 SmartConsole 左側(cè)對(duì)象樹里新建對(duì)象路徑一般是 Objects 網(wǎng)絡(luò)對(duì)象然后選擇類型。對(duì)象類型分幾種用途差別很大。對(duì)象類型典型用途配置建議Host單臺(tái)服務(wù)器、打印機(jī)、管理終端命名帶角色含義別叫 test1Network辦公網(wǎng)段、服務(wù)器網(wǎng)段、外部網(wǎng)段掩碼必須和接口拓?fù)湟恢翯roup把同角色主機(jī)或網(wǎng)段打成包規(guī)則里引用組加成員不用改規(guī)則命名規(guī)范實(shí)操價(jià)值很高。我的習(xí)慣是net_前綴表示網(wǎng)段host_前綴表示主機(jī)grp_前綴表示組在規(guī)則列表里一眼能看出源和目標(biāo)到底是什么。比如net_office_10、host_app_server_01、grp_db_servers。對(duì)象創(chuàng)建時(shí)手滑寫錯(cuò)一位 IP策略一安裝就可能把業(yè)務(wù)打斷保存前務(wù)必對(duì)一遍地址和掩碼。Group 的價(jià)值在規(guī)則維護(hù)時(shí)特別明顯30 臺(tái)應(yīng)用服務(wù)器放進(jìn)一個(gè)組規(guī)則里只引用組名后續(xù)擴(kuò)容只加成員不動(dòng)規(guī)則。這和代碼里的“抽公共變量”是一個(gè)道理變化的部分收斂到對(duì)象層策略層保持穩(wěn)定。3.3 寫最小規(guī)則集管理、辦公到外網(wǎng)、清理規(guī)則三件套建好對(duì)象后在安全策略規(guī)則庫(kù)里寫規(guī)則。一個(gè)最小可用策略至少包含三條規(guī)則規(guī)則號(hào)名稱源目標(biāo)服務(wù)動(dòng)作跟蹤1Management管理網(wǎng)段網(wǎng)關(guān)自身管理協(xié)議AcceptLog2Office to Internetnet_office_10External_InternetAnyAcceptLog3CleanupAnyAnyAnyDropLog規(guī)則匹配按從上到下的順序執(zhí)行命中即結(jié)束。這意味著“具體規(guī)則放前面寬泛規(guī)則放后面”否則一條 Any 到 Any 的規(guī)則會(huì)吞掉后面所有規(guī)則。External_Internet是 Checkpoint 內(nèi)置對(duì)象表示網(wǎng)關(guān)外部接口所連的整個(gè)外網(wǎng)。Track列選 Log 才能產(chǎn)生日志很多默認(rèn)規(guī)則這一列是 None流量靜默放行審計(jì)時(shí)什么都看不到。清理規(guī)則一定要保留。即使不寫它隱含規(guī)則最后也會(huì)丟棄流量但沒(méi)有日志顯式寫一條 Drop Log被丟棄的請(qǐng)求都能在日志里查到排查時(shí)不知道省多少時(shí)間。配置調(diào)整策略時(shí)我也遵循一個(gè)原則不直接改舊規(guī)則先在前面加一條臨時(shí)規(guī)則驗(yàn)證確認(rèn)正常后再清理舊的這樣每一步都可回退。3.4 Install Policy不安裝等于沒(méi)配規(guī)則寫完別高興太早最后一步是點(diǎn)右上角的 Install Policy選擇目標(biāo)網(wǎng)關(guān)執(zhí)行安裝。安裝過(guò)程會(huì)先編譯策略再下發(fā)規(guī)則多時(shí)編譯明顯變慢。如果出現(xiàn)驗(yàn)證警告不要直接忽略——比如規(guī)則里引用的對(duì)象沒(méi)有被任何接口拓?fù)涓采w多半是對(duì)象建錯(cuò)了網(wǎng)段。安裝策略會(huì)讓網(wǎng)關(guān)上的活躍連接短暫中斷生產(chǎn)環(huán)境務(wù)必選在變更窗口操作并提前通知業(yè)務(wù)側(cè)。這是 Checkpoint 配置里最容易翻車的地方有人在非窗口時(shí)間直接安裝結(jié)果遠(yuǎn)程通道先斷網(wǎng)關(guān)進(jìn)不去了,其實(shí)不是策略錯(cuò)了而是連管理通道也被新規(guī)則切掉。注意安裝策略前確認(rèn)管理網(wǎng)段、備份通道、日志服務(wù)器這些“保命路徑”都在規(guī)則里被明確放行否則裝完即失聯(lián)。4. NAT 與路由地址轉(zhuǎn)換和回程路徑為什么經(jīng)常一起翻車規(guī)則庫(kù)通了只完成一半真正讓業(yè)務(wù)跑起來(lái)的是 NAT 和路由。這層出問(wèn)題的概率遠(yuǎn)高于規(guī)則本身因?yàn)楹芏嗳税阉?dāng)成“加一條轉(zhuǎn)換就行”忽略回程路徑。4.1 隱藏 NAT 與靜態(tài) NAT先想清楚誰(shuí)訪問(wèn)誰(shuí)Checkpoint 的 NAT 分兩種主要形式隱藏 NAT 和靜態(tài) NAT。NAT 類型轉(zhuǎn)換方向典型場(chǎng)景注意點(diǎn)隱藏 NAT源地址轉(zhuǎn)換多對(duì)一映射到出口地址內(nèi)網(wǎng)終端訪問(wèn)外網(wǎng)外部不能主動(dòng)訪問(wèn)內(nèi)部靜態(tài) NAT一對(duì)一雙向轉(zhuǎn)換向外部提供服務(wù)的服務(wù)器必須考慮入站和回程路由選擇原則上絕大多數(shù)辦公網(wǎng)場(chǎng)景用隱藏 NAT 就夠。只有需要外部主動(dòng)訪問(wèn)內(nèi)部服務(wù)器時(shí)才做靜態(tài) NAT而且只對(duì)具體服務(wù)器做不要整段做。如果服務(wù)器需要記錄訪問(wèn)者的真實(shí)來(lái)源地址也不適合把整段內(nèi)網(wǎng)做成隱藏 NAT否則看到的全是網(wǎng)關(guān)出口地址。4.2 在 SmartConsole 里加 NAT自動(dòng)規(guī)則與手動(dòng)規(guī)則在網(wǎng)關(guān)對(duì)象里切到 NAT 標(biāo)簽頁(yè)可以添加自動(dòng) NAT 規(guī)則。常見做法是雙擊主機(jī)對(duì)象在 NAT 屬性里勾選“添加自動(dòng)地址轉(zhuǎn)換規(guī)則”選隱藏或靜態(tài)再指定轉(zhuǎn)換后的出口地址。自動(dòng) NAT 的優(yōu)點(diǎn)是系統(tǒng)會(huì)根據(jù)對(duì)象和接口自動(dòng)生成轉(zhuǎn)換條目不容易寫錯(cuò)。手動(dòng) NAT 也常用尤其在一對(duì)多或多對(duì)多場(chǎng)景。規(guī)則表的核心字段是 Original Source、Original Destination、Original Service 與 Translated 對(duì)應(yīng)項(xiàng)語(yǔ)義很直白。Original SourceOriginal DestinationTranslated SourceTranslated Destination192.168.10.0/24Any網(wǎng)關(guān)出口接口地址不變注意NAT 規(guī)則不是獨(dú)立配置它跟著策略一起編譯和安裝。只加 NAT 規(guī)則不 Install Policy轉(zhuǎn)換就不會(huì)生效。這個(gè)坑和規(guī)則庫(kù)一樣都是“忘裝策略”。4.3 回程路由與接口拓?fù)鋬蓚€(gè)看不見的坑靜態(tài) NAT 最常見的失敗點(diǎn)是回程。外網(wǎng)訪問(wèn)映射地址到達(dá)網(wǎng)關(guān)后網(wǎng)關(guān)按 NAT 規(guī)則把目標(biāo)地址轉(zhuǎn)換成內(nèi)網(wǎng)真實(shí)地址然后必須查路由表把包送到服務(wù)器網(wǎng)段。如果網(wǎng)關(guān)沒(méi)有到服務(wù)器網(wǎng)段的靜態(tài)路由包就進(jìn)了黑洞外網(wǎng)看起來(lái)就是不回包。解決方式是用命令行補(bǔ)路由。# 查看當(dāng)前路由表重點(diǎn)看是否有到服務(wù)器的網(wǎng)段條目 show route # 添加一條到服務(wù)器網(wǎng)段的靜態(tài)路由下一跳是內(nèi)網(wǎng)核心交換機(jī) add route 192.168.20.0/24 nexthop gateway address 192.168.10.254 # 確認(rèn)配置寫入磁盤 save configadd route的 nexthop 可以指定為 gateway address下一跳網(wǎng)關(guān) IP也可以直接指定 interface直連接口。用網(wǎng)關(guān) IP 時(shí)下一跳必須可達(dá)否則路由不生效。這里有一個(gè)底層的處理順序問(wèn)題NAT 轉(zhuǎn)換完成后的流量仍然要走一遍轉(zhuǎn)發(fā)決策所以路由表不對(duì)轉(zhuǎn)換再漂亮也是白搭。另一個(gè)坑是接口拓?fù)浜?Anti-Spoofing。Checkpoint 會(huì)根據(jù)網(wǎng)關(guān)對(duì)象里定義的接口網(wǎng)段自動(dòng)生成防欺騙規(guī)則丟棄“從該接口進(jìn)來(lái)但源地址不屬于該網(wǎng)段”的包。典型場(chǎng)景兩個(gè)內(nèi)網(wǎng)網(wǎng)段分別接在 eth1 和 eth2服務(wù)器回程從 eth2 發(fā)出沒(méi)問(wèn)題但 NAT 后回程從 eth1 出去源地址卻是 eth2 網(wǎng)段就會(huì)被 eth1 的防欺騙規(guī)則丟掉。解決辦法是回到網(wǎng)關(guān)對(duì)象的接口拓?fù)淅锎_認(rèn)每個(gè)接口綁定的網(wǎng)段正確必要時(shí)調(diào)整防欺騙配置。這類問(wèn)題十次里有八次不在 NAT 規(guī)則本身而在路由和接口拓?fù)洹?. Checkpoint 配置避坑五條血淚經(jīng)驗(yàn)與排查清單5.1 規(guī)則庫(kù)里有 Allow業(yè)務(wù)還是不通現(xiàn)象安全策略里明確有一條 Accept 規(guī)則源、目標(biāo)、服務(wù)全對(duì)業(yè)務(wù)側(cè)仍然超時(shí)。原因最常見的是策略沒(méi)有安裝。SmartConsole 的編輯界面和網(wǎng)關(guān)實(shí)際生效的策略是兩套你改完不裝網(wǎng)關(guān)繼續(xù)執(zhí)行舊策略。另一條是規(guī)則順序問(wèn)題新加的 Accept 掛在了一條寬泛 Drop 規(guī)則后面永遠(yuǎn)匹配不到。解決先在 SmartConsole 右側(cè)點(diǎn) Install Policy 讓規(guī)則真正生效然后核對(duì)規(guī)則順序把具體規(guī)則移到寬泛規(guī)則前面。最后看日志確認(rèn)這個(gè)包有沒(méi)有到達(dá)網(wǎng)關(guān)——如果包根本沒(méi)進(jìn)來(lái)規(guī)則再對(duì)也沒(méi)用。5.2 NAT 之后源地址還是內(nèi)網(wǎng) IP現(xiàn)象內(nèi)網(wǎng)終端訪問(wèn)外部服務(wù)服務(wù)端記錄的源地址是 192.168.x.x不是網(wǎng)關(guān)出口地址。原因NAT 規(guī)則沒(méi)加或者隱藏 NAT 的源范圍沒(méi)有覆蓋這臺(tái)終端所在網(wǎng)段。自動(dòng) NAT 只轉(zhuǎn)換你勾選的對(duì)象如果對(duì)象建的是單臺(tái)主機(jī)其他主機(jī)自然不會(huì)轉(zhuǎn)換。解決回網(wǎng)關(guān)對(duì)象的 NAT 頁(yè)確認(rèn)隱藏 NAT 規(guī)則覆蓋了整個(gè)內(nèi)網(wǎng)網(wǎng)段如果用手動(dòng) NAT檢查 Original Source 是不是內(nèi)網(wǎng)站點(diǎn)。改完必須安裝策略然后從內(nèi)網(wǎng)終端做一次真實(shí)訪問(wèn)到出口一側(cè)確認(rèn)源地址已經(jīng)變成網(wǎng)關(guān)地址。這一步靠抓包驗(yàn)證最靠譜不要只盯著規(guī)則看。5.3 SmartConsole 連不上管理服務(wù)器現(xiàn)象客戶端輸完管理服務(wù)器地址一直轉(zhuǎn)圈后提示連接失敗或超時(shí)。原因常見三選一。管理終端到管理服務(wù)器的網(wǎng)絡(luò)不通中間防火墻把管理通道攔截客戶端和服務(wù)器的版本跨度太大協(xié)商失敗。解決先 ping 管理 IP通了再檢查 HTTPS 管理連接是否被中間策略擋掉。版本方面把 SmartConsole 和服務(wù)器保持在同一個(gè)大版本系列內(nèi)。做基線配置檢查時(shí)把版本號(hào)記下來(lái)遇到連接問(wèn)題能減少一半猜測(cè)。5.4 日志里全是 Drop沒(méi)有 Accept 記錄現(xiàn)象業(yè)務(wù)是通的但日志視圖里全是丟棄記錄找不到放行記錄審計(jì)沒(méi)法交代。原因規(guī)則的 Track 列沒(méi)有選 Log。Checkpoint 規(guī)則不是默認(rèn)全部打日志很多模板規(guī)則的 Track 是 None流量靜默放行日志自然什么都沒(méi)有。也可能是日志磁盤配額滿了新日志被丟棄。解決在規(guī)則庫(kù)里把所有需要審計(jì)的 Accept 規(guī)則 Track 改成 Log重新安裝策略。另查管理服務(wù)器的磁盤和日志存儲(chǔ)設(shè)置重要日志配置外部日志服務(wù)器做歸檔避免本地滿了丟歷史。5.5 重啟后配置回到“解放前”現(xiàn)象昨天敲的 CLISH 命令全部生效今天設(shè)備一重啟配置全部消失。原因Gaia 的配置改完只存在于運(yùn)行態(tài)沒(méi)有真正落盤。這和網(wǎng)絡(luò)設(shè)備必須 save 是一個(gè)道理。解決每輪修改結(jié)束后執(zhí)行save config變更完成后做一次完整配置備份導(dǎo)出一份快照存到本地。這個(gè)動(dòng)作我重復(fù)多少次都不嫌多——被它坑過(guò)一次后來(lái)每次遠(yuǎn)程操作完第一件事就是 save config已經(jīng)成了肌肉記憶。6. 策略驗(yàn)證與備份回滾把配置變更做成可復(fù)盤的事每次安裝完策略不要直接關(guān)掉窗口走人我習(xí)慣做三查。一查日志SmartConsole 日志視圖里篩選最近五分鐘看關(guān)鍵 Allow 規(guī)則有沒(méi)有命中記錄。二查路由執(zhí)行show route確認(rèn)核心網(wǎng)段和默認(rèn)路由還在。三查業(yè)務(wù)找一臺(tái)測(cè)試終端跑一條真實(shí)業(yè)務(wù)請(qǐng)求用實(shí)際結(jié)果判斷而不是靠“應(yīng)該沒(méi)問(wèn)題”。日志是你手里最直接的黑匣子不主動(dòng)確認(rèn)翻車是遲早的事。備份回滾是配置變更的后悔藥。常見做法是變更前在 SmartConsole 里導(dǎo)出當(dāng)前策略包同時(shí)記錄版本和授權(quán)信息CLISH 改完配置馬上save config。遇到自己解決不了的問(wèn)題跑一次cpinfo把診斷信息整個(gè)打包配合抓包一起發(fā)給技術(shù)支持比自己對(duì)著屏幕猜高效得多。我現(xiàn)在的習(xí)慣是每輪變更前先備份變更后確認(rèn)業(yè)務(wù)正常再清理臨時(shí)文件下輪改配置前拿上一版做對(duì)比哪里變了、哪里多了清清楚楚。這個(gè)習(xí)慣救過(guò)我很多次希望也幫到你。本文還有配套的精品資源點(diǎn)擊獲取