SecPath UTM带宽管理的典型配置

SecPath UTM带宽管理的典型配置

一．用户需求

某公司使用UTM对内网进行应用流量控制，用户PC1在上班时间（8：00-18：00）不能登录MSN软件，使用迅雷等P2P软件下载速度不能超过512K。但用户PC2没有任何限制。

二．组网图

三．基本步骤

1.配置接口IP地址

在左侧导航栏中点击“设备管理 > 接口管理”。

点击GE0/1栏中的按钮，进入“接口编辑”界面。按照下图设置接口GE0/1，点击< 确定 >返回“接口管理”界面。

点击GE0/2栏中的按钮，进入“接口编辑”界面。按照下图设置接口GE0/2，点击< 确定 >按钮返回“接口管理”界面。

2．配置ACL

在左侧导航栏中点击“防火墙 > ACL”，点击页面的< 新建 >按钮，创建ACL2000。

点击ACL2000 栏中的按钮，点击< 新建 >按钮创建规则。

点击< 确定 >按钮。

3.配置域和域间策略

将接口GE0/2加入trust域：点击左侧导航栏“设备管理 > 安全域”。

点击Trust栏中的按钮，进入“修改安全域”界面。按照下图将接口GE0/2加入Trust域，点击< 确定 >返回“安全域”界面。

按照同样操作，将GE0/1接口加入到Untrust域。

4.配置域间策略

点击左侧导航栏“防火墙 > 安全策略 > 域间策略”。

点击< 新建 >按钮，按照下面截图信息配置Trust域到Untrust域的域间策略。

同理，添加一条Untrust域到Trust域的域间策略。

5.配置出接口NAT

在“防火墙 > NAT > 动态地址转换”页面，点击“地址转换关联”下的< 新建 >按钮。

按照下面的截图信息配置出接口GE0/1 的NAT，点击< 确定 >按钮。

6.配置引流策略

在防火墙“IPS|AV|应用控制 > 高级配置”页面，点击“引流策略”下的< 新建 >按钮。

配置Trust域与Untrust域通过段3来引流，访问控制列表使用2000。也可根据实际情况设置其他的ACL，具体方法请参见ACL典型配置说明。

同理，配置Untrust域与Trust域之间的域间策略。

7.进入i-ware配置界面

在防火墙“IPS|AV|应用控制 > 高级配置”页面，点击< 应用安全策略 >按钮，进入I-ware配置页面。

8.创建时间表

在“系统管理 > 时间表管理”页面，点击< 创建时间表 >按钮。

“名称”文本框中输入work，在要配置的时间段输入框中输入该时间段的名称，点击选择该时间段对应的颜色图标，然后在时间表格中选择所需的格子。

点击 < 确定 >按钮。

使用上面方法，添加一个weekend时间表，设置为非上班时间。

9.创建应用带宽和策略带宽

在“带宽管理 > BWC管理 > 策略带宽控制列表”页面，点击< 增加带宽控制 > 按钮。在“增加策略带宽控制”页面增加1M的策略带宽控制，点击< 确定 >按钮。

同理，创建512K的应用带宽控制。

10.增加限速动作

在“系统管理 > 动作管理 > 限速动作列表”页面，点击< 增加限速动作 >按钮，增加一个512K的限速动作，点击< 确定 >按钮。

选中512K前面的复选框，点击< 激活 >按钮。

11.增加动作集

在“系统管理 > 动作管理 > 动作集列表”页面，点击< 增加动作集 >按钮。添加名称为512K的动作集，点击< 确定 >按钮。

12.创建带宽策略

在“带宽管理 > 策略管理”页面，点击< 创建策略 >按钮，新建一个名称为test的带宽管理策略，点击< 确定 >按钮。

在“规则管理”页面点击< 创建规则 >按钮，创建一个上班时间阻止使用MSN软件，下班时间允许使用MSN软件的规则，点击< 确定 >按钮。

创建一个上班时间对P2P软件限速512K，下班时间对P2P软件不限速的规则，点击< 确定 >按钮。

13.策略带宽设置

在“带宽管理 > 策略管理”页面，选中策略“test”前面的复选框，选中“配置带宽控制”，方向选择“上行”和“下行”，带宽控制选择“1M”。

点击< 确定 >按钮。

14.带宽策略关联段

在“带宽管理 > 段策略管理”页面，点击< 新建段策略 >按钮，设置test带宽策略关联到段3，点击< 确定 >按钮。

点击< 激活 >按钮。

四．验证结果

（1）PC1（2.1.1.10 ）在上班时间不能登录MSN软件，使用迅雷等P2P下载软件下载速度不能超过512K，在64K左右。

（2）PC2（2.1.1.100）上班时间可以登录MSN软件，使用迅雷等P2P下载软件下载速度可以超过512K。

（3）在“日志管理 > 服务日志”页面，“动作类型”选择“阻断”，“段”选择3，可以看到阻断的日志。