现有两台深信服防火墙，部署在公网出口，做HA，有电信、联通两条运营商线路，拓扑大概如下：
用户为了防止单台接入交换机故障，所以增加一台接入交换机，并且这两台接入交换机做堆叠。
交换机1的1口接电信线路，2口和3口做聚合，配置trunk，仅允许vlan100、vlan200通过，2口连[……]
标签归档：防火墙
深信服防火墙AF上arp表数量限制导致网络问题的处理说明
现有一台深信服防火墙AF，内网口上启用多个vlan接口，每个vlan接口为该各自网段的网关，测试时总用户数大概在2000左右，正式上线后总用户数在7000左右。
测试时，使用一切正常，CPU利用率低于10%，内存利用率低于30%，网络也都正常。
但是用户陆续开机上线后，发现部分用户网络不[……]
深信服防火墙AF做双机时虚拟MAC问题的处理办法
现有四台深信服防火墙AF，名称分别为A、B、C、D，A和B做成HA，C和D做成HA，都是路由模式，网口1都是带外管理口，并且都加入到了监视网口，双机热备配置的虚拟ID组都是默认的100，A、B两台带外管理口地址是192.168.1.1/24，C、D两台带外管理口地址是192.168.1.2/24。
[……]
深信服防火墙AF管理员登录地址限制以及SNMP源地址限制的方法
深信服防火墙AF管理员登录地址限制的配置方法是在控制台页面，网络——接口/区域，区域，在WEBUI下勾选允许管理此设备的IP选择指定的IP即可。如图：
对SNMP源地址限制，其实在配置SNMPd的时候就要配置主机或者网段，只需要在这里配置即可。如图：
[……]
深信服防火墙AF的OID表
zabbix监控深信服防火墙AF时，会需要用到防火墙的OID，以下就是截止2020年9月，最新的OID表格：
NameDescriptionOIDsysDescr系统描述.1.3.6.1.2.1.1.1sysContact联系.1.3.6.1.2.1.1.4sysName系统名.1.3.6.1[……]
深信服防火墙配置IPS的说明
深信服防火墙的基础功能带有漏洞攻击防护，即IPS，可以根据IPS策略对服务器和客户端做IPS防护，增加模块有WAF、网站防篡改、实时漏洞分析。
一般没有购买增强模块，只有漏洞攻击防护，没有实时漏洞分析，其实实时漏洞分析是根据服务器返回的数据包来检测服务器是否存在漏洞，也就是说只能检测不能拦截，[……]
深信服防火墙主备模式下添加监视网口的办法
现有两台深信服防火墙，路由模式，主备模式配置，现在用户在主防火墙上新加了一个带外管理口，但IP并没有加-HA，导致用户使用该IP登录防火墙时有时登录到主机有时登录到备机，此时需要将该网口也添加到网口监视口。
用户的防火墙并不是直连公网，而且放在出口设备的后面，现在在主防火墙上做一条地址转换，将[……]
深信服防火墙路由模式HA配置说明
防火墙路由模式一般只能配置成主备，无法配置成主主。
除了两台防火墙的HA口配置为-HA，即不同步，一般其他网口都不需要加-HA，且都要放在双机监视网口中，每组监视网口中的所有网口都断开则会切换，比如防火墙有2个WAN口，1个LAN，如果把每个WAN口和LAN口都放在独立的网口监视组中，那么当2[……]
深信服防火墙网桥模式HA配置说明
对于两台深信服防火墙，如果配置网桥模式，一般拓扑是口字型，此时可以配置为主主，即两台都在使用，网桥地址可以加-HA，即都可以同时管理，双机热备处不要配置，基本信息及配置同步正常配置。
如果配置成主备模式，即备机静默不发包，备机上下联设备看不到备机的arp信息，此时基本信息、双机热备、配置同步都[……]
深信服防火墙配置内网PC仅允许访问指定域名的方法
需求是内网PC仅允许访问指定的域名，配置步骤如下：
1、先定义内网PC网段及域名
2、新建一条应用控制策略，针对内网PC放通DNS、HTTP（HTTPS）服务
3、新建一条内容安全策略，URL过滤针对内网PC拒绝访问所有网页
4、新建一条内容安全策略，URL过滤针对内网PC允[……]