Fortinet FortiBridge 1000, Configuration

Page: 157 / 286

防火墙配置 默认防火墙配置
FortiGate-1000 安装和配置指南
143
要 在 区域 中 添加策略 ，您 必 须 使用以 下步骤 将 区域添加 到防火墙网 格 ：
1 将 区域添加 到 FortiGate 配置。
请 见 第 109 页 “ 添加区域 ” 。
2 将接口和 VLAN 子网络接口 添加 到 这 个 区域 。
请 见 第 110 页 “ 在 区域 中 添加 接口 ” 和 第 110 页 “ 在 区域 中 添加 VLAN 子
接口 ” 。
3 为 这 个 区域添加 防火墙 地址 。
请 见 第 150 页 “ 添加地址 ” 。
地址
要添加 接口、 VLAN 子接口和 区域 之 间 的 策略 ，防火墙的配置中 必 须 包含 每 个接口、
VLAN 子接口和 区域 的 地址 。默认 情况 下 FortiGate 设备配置中包含的 地址 在 表 5 中列
出。
防火墙使用 这些 地址匹 配防火墙接 收 到的 数 据包的 源地址 和目的 地址 。默认的 策略
匹 配从内部网络 来 的全部连接，因 为 它包含 了 内部 _ 全部 地址 。默认 策略 也 匹 配到外
部网络的全部连接，因 为 它包含 了 外部 _ 全部 地址 。
您可以在 每 个接口 上添加 更多的 地址 以 增强 您 对通 过防火墙的连接的 控制 能 力 。关
于防火墙 地址 的 详 细 信息，请 见 第 150 页 “ 地址 ” 。
您 也 可以 添加 提 供 网络 地址转 换 （ NAT ） 功 能的防火墙 策略 。 要 使用 NAT 转 换目的
地址 ， 必 须 添加 虚拟 IP 。虚拟 IP 将一个网络中的 地址映 射 到 另 一个网络中的 被转 换的
地址上 。关于虚拟 IP 的 详 细 信息请 见 第 160 页 “ 虚拟 IP ” 。
服务
防火墙 策略 也 可以根据 数 据包的服务或目的 端 口 来 控制 连接。默认的 策略 接 受 使用
任何服务或目的 端 口的连接。防火墙配置中包含 了 40 多个 预 定 义 的服务。您可以将 这
些 服务 添加 到 策略 中以提高 对 使用 这些 服务 通 过防火墙的连接的 控制 能 力 。您 也 可以
添加 用户自定 义 的服务。关于服务的 详 细 信息，请 见 第 153 页 “ 服务 ” 。
任务 计 划
策略 也 可以根据防火墙 收 到的连接在一 天 当 中的时 间 或一 周 中的日子 来 控制 连接。
默认的 策略 可以在任何时 间 接 受 连接。防火墙配置中包 括了 一个在任何时 间 接 受 连接
的任务 计 划。您可以 添加 更多的任务 计 划以 控制策略 生 效 的时 间 。关于任务 计 划的 详
细 信息，请 见 第 157 页 “ 任务 计 划 ” 。
表 5: 默认 地址
接口 地址 描 述
内部 内部 _ 全部 这 个 地址匹 配于内部网络的全部 地址 。
外部 外部 _ 全部 这 个 地址匹 配于外部网络的全部 地址 。