网神SecAV3600防毒墙系统配置基本命令参考手册

网神SecAV3600防毒墙系统基本配置命令参考手册

网神信息技术（北京）股份有限公司

目录

引言 (1)

相关手册 (1)

文档约定 (1)

网神服务和技术支持 (2)

连接到CLI界面 (1)

通过Console口管理设备 (1)

通过SSH协议管理设备 (2)

退出CLI界面 (4)

接口属性配置 (4)

启用或禁用接口 (5)

配置接口IP (5)

配置接口工作模式 (5)

配置接口所属VLAN (5)

配置接口所属桥接口 (6)

静态路由配置 (6)

DNS服务器配置 (7)

系统时钟配置 (7)

修改设备名称 (8)

硬件BYPASS功能配置 (9)

管理配置 (9)

配置管理员账号 (9)

设置管理端口 (10)

设置远程管理选项 (11)

配置可信管理主机 (11)

设置账号锁定时间 (12)

设置登录重试次数 (12)

设置管理空闲超时 (12)

WEBUI界面语言切换 (12)

获取帮助 (21)

设备配置管理 (13)

配置文件类型 (13)

保存配置 (14)

从TFTP服务器上恢复配置文件 (14)

配置导出备份 (14)

恢复出厂配置 (14)

系统重启/关机 (14)

重新启动设备 (15)

关闭设备 (15)

失败保护模式配置 (15)

系统调试命令 (15)

发送技术支持文件 (15)

远程调试设备 (16)

设置每页最多显示的行数 ......................................................................... 错误！未定义书签。域名解析 . (17)

Ping命令 (17)

路由探测 (17)

系统升级 (17)

立即更新 (17)

定期更新 (18)

特征库更新 (18)

安装License (18)

定期更新特征库设置 (19)

手工更新特征库 (19)

恢复旧版本特征库 (21)

引言

本文档描述通过命令行界面（CLI Interface）对网神SecAV3600防毒墙系统设备进行最基本配置的相关命令。

相关手册

关于通过WEBUI界面对设备进行配置的介绍请参阅《网神SecAV3600防毒墙系统用户手册》。

快速安装请参阅《网神SecAV3600防毒墙系统快速安装指南》。

文档约定

本文档遵循如下约定：

（1）所有命令均为大小写敏感，网神设备仅支持输入小写命令。

（2）用“（）”括起来的部分如果用“|”分割，表示在命令配置时是选择其中一个即可的。例如：

set update-schedule（daily | interval）命令中参数daily和interval二选一即可。

（3）“<”和“>”字符表示设定数值的范围。例如<1-60>表示应该设定1-60范围内的数字。

（4）参数显示为大写时提示管理员必须输入一个参数值，例如：set admin LOGINNAME表示在“LOGINNAME”的位置必须输入一个字符串来表示管理员名称。

（5）用“[ ]”括起来的部分表示该参数是可选输入的。例如：

ping HOST count <1-1024> [size <60-1500>]

其中参数size为可选输入项，即可以输入该参数指定发送ping包的大小。也可以不指定该参数。

网神服务和技术支持

网神公司对于自身产品提供远程产品咨询服务，广大用户和合作伙伴可以通过登录我们公司的网站https://www.360docs.net/doc/e04290951.html,/，下载到我们最新产品的资料，寻找常见问题答案或在线提交您的问题。

如客户有技术问题和一般客服问题需要联系“网神客户支持”，请参阅下列联系选项：

客服热线：400-610-8220

网站：https://www.360docs.net/doc/e04290951.html,

Email: Service@https://www.360docs.net/doc/e04290951.html,

连接到CLI界面

管理员可以通过管理主机与设备的Console口直接相连，或者通过SSH终端远程登录CLI界面进行相关配置。

用户管理员（账号：admin；密码：!1fw@2soc#3vpn）——可以添加用户管理员和配置管理员，不能添加审计管理员。不可查看用户操作日志。默认的用户管理员做成不可删除。

审计管理员（账号：audit；密码：!1fw@2soc#3vpn）——受限系统访问权，只查看日志、报表和系统监控信息。审计角色不能查看系统配置的参数。

配置管理员（账号：conadmin；密码：!1fw@2soc#3vpn）——主要功能设备策略配置，不可查看用户操作日志。

通过Console口管理设备

用户能够通过Console 接口对设备进行本地配置。这是一种可靠的配置维护方式。

当设备初次上电、与外部网络连接中断或出现其他异常情况时，则可以采用这种方式配置设备。

网神SecAV3600防毒墙系统设备的前面板上有一个串口，管理员要想通过此串口直接连接并管理设备，需要进行如下的准备工作：

DB-9针串口线缆

带有可用串口的管理主机

在微机上运行终端仿真程序（如Windows 9X 的Hyperterm 超级终端等）建立连接；

配置终端通信参数为：9600波特、8 位数据位、无奇偶校验、1 位停止位、无数据流控，如下图所示。

通过SSH协议管理设备

SSH 是Secure Shell（安全外壳）的简称，用户通过一个不能保证安全的网络环境远程登录到设备时，SSH 特性可以提供安全的信息保障和强大的认证功能，以保护设备不受诸如IP 地址欺诈、明文密码截取等等攻击。

要想通过SSH协议远程管理设备，需要在管理主机上进行相应的配置，还需要在设备上配置允许远程管理。

管理主机配置

首先，需要在管理主机上安装SSH客户端程序，例如putty。并配置SSH客户端连接的设备IP及其端口号，如下图所示。

2）点击“open”按钮，弹出如下图所示界面，输入管理员的用户名和密码，即可通过SSH方式连接设备。

登录后界面如下图所示。

允许远程管理配置

管理员要想通过SSH协议远程管理设备，需要在CLI下通过如下命令开启SSH服务：

set interface IF_NAME manage [all | https | ping | ssh | snmp]

启用接口的协议：HTTPS、SSH、PING、SNMP 。选择all时表示选择所有协议。

unset interfaceIF_NAME manage[all | https | ping | ssh | snmp]

禁用接口的协议：HTTPS、SSH、PING、SNMP 。选择all时表示选择所有协议。

举例：在eth0口开放了SSH服务，使用如下命令：

#set interface eth0 manage ssh

说明：此命令在eth0口开放了SSH服务，如需在其他端口开放SSH服务，只需用其他接口名替换eth0即可。

退出CLI界面

quit

接口属性配置

启用或禁用接口

set interface IF_NAME (down | up）

启用或禁用接口

参数：

IF_NAME：输入接口名称，可以输入物理接口名（例如eth0），或者网桥接口名（例如br0），或者VLAN虚接口名（例如VLAN1）；

设置端口状态为：up或down。选择“Up”启用接口，允许接口的管理访问；选择“Down”禁用该接口，拦截接口的管理访问。

配置接口IP

set interface IF_NAME ip A.B.C.D/M

unset interface IF_NAME ip A.B.C.D/M

设置接口的IP地址及其子网掩码

参数：

IF_NAME：输入接口名称，可以输入物理接口名（例如eth0），或者网桥接口名（例如br0），或者VLAN虚接口名（例如VLAN1）；

配置接口工作模式

set interface IF_NAME mode [route | transparent]

设置接口的工作模式：选择“透明”或“路由”模式；

配置接口所属VLAN

set interface IF_NAME zone ZONE_NAME vlan <2-4094> mode

设置接口所属的VLAN及其工作模式（Access模式或Trunk模式）

unset interface IF_NAME zone [vlan <2-4094>]

删除接口所属的分区以及VLAN配置，不指定VLAN 时只删除分区信息，指定VLAN时同时删除接口所属的VLAN设置。

配置接口所属桥接口

set interface IF_NAME 2br BR_ID

参数：

IF_NAME：输入透明模式的接口名称；

BR_ID：输入所属网桥接口代号，例如要加入网桥接口br2，则需要输入2；

说明：

一个物理接口只能属于一个桥接口，当再次设定不同的桥接口时，原来的设定将会失效。静态路由配置

配置路由表，路由表中显示所有直连路由、静态路由和默认路由。

set route A.B.C.D/M gw A.B.C.D

添加静态路由或默认路由

unset route A.B.C.D/M gw A.B.C.D

删除静态路由或默认路由

unset route all

删除所有静态路由或默认路由

show route

查看所有路由

参数：

A.B.C.D/M：输入目的地址及其子网掩码

A.B.C.D：指定路由转发的下一跳的IP地址。此地址不能为本地接口的IP地址，否则路由不会生效。

DNS服务器配置

指定网神SecAV3600防毒墙系统设备所用的主/备用DNS服务器。对于网神SecAV3600防毒墙系统设备来说，所有特征库的更新都是通过连接到服务器的域名来进行的，因此必须设置DNS服务器。DNS服务器应具备可靠性和可访问性。

set dns A.B.C.D (primary | secondary )

设置主或从DNS服务器

unset dns (primary | secondary)

删除主或从DNS服务器

show dns

查看主或从DNS服务器设置

参数：

A.B.C.D：指定DNS服务器的IP地址；

Primary：指定设置的为主DNS服务器；

Secondary：指定设置的为从DNS服务器；

系统时钟配置

系统时钟为网神SecAV3600防毒墙系统设备设置正确的时间。设置正确的系统时钟对于日志和报表同步，以及定期进行特征库更新极为重要。为了设置系统时间，网神SecAV3600防毒墙系统设备提供了手动时钟设置与使用NTP服务器进行时钟同步两种方法。

set clock date YYYY.MM.DD time HH:MM:SS

手动设置系统日期和时间

参数

YYYY.MM.DD：设置日期，格式为年-月-日；

HH:MM:SS：设置时间，格式为小时-分钟-秒；

set clock time-zone <-12-12>

手工设置系统时钟的时区

set clock ntp-enable

启用NTP服务同步系统时钟

unset clock ntp-enable

禁用NTP服务同步系统时钟

set cloeck ntp-interval <12-180>

设置与NTP服务器自动同步时间间隔，则系统将自动按照一定的时间间隔和NTP服务器进行时间同步。单位为分钟。

unset cloeck ntp-interval

取消和NTP服务器的自动同步时间间隔设置；

set clock ntp-server SERVER_FQDN

设置NTP服务器的IP地址或域名；

参数

SERVER_FQDN：输入NTP服务器的IP地址或域名；

unset clock ntp-server

恢复默认配置的NTP服务器的域名；

show clock

查看系统时钟设置

修改设备名称

set hostname [HOST_NAME]

硬件bypass功能配置

启用或禁用硬件bypass功能。硬件bypass功能是指通过内置的开关电路，在设备出现异常情况时（设备掉电/重启/系统挂死等），实现两个特定网络端口之间的全通，无条件放行所有流量。

说明：

不同型号的设备支持bypass功能的接口数不同。

set bypass

启用硬件bypass功能

unset bypass

禁用硬件bypass功能

Show bypass

查看硬件bypass功能配置

管理配置

配置管理员账号

管理员账户可以通过WebUI和CLI的方式管理和配置系统。

用户管理员（账号：admin；密码：!1fw@2soc#3vpn）——可以添加用户管理员和配置管理员，不能添加审计管理员。不可查看用户操作日志。默认的用户管理员做成不可删除。

审计管理员（账号：audit；密码：!1fw@2soc#3vpn）——受限系统访问权，只查看日志、报表和系统监控信息。审计角色不能查看系统配置的参数。

配置管理员（账号：conadmin；密码：!1fw@2soc#3vpn）——主要功能设备策略配置，不可查看用户操作日志。

set admin LOGINMANE [ password PASSWORD | privilege (read-only|read-write|audit) ]

添加管理员账号

参数

LOGINNAME: 输入管理员账号名；

PASSWORD: 设置管理员账号的密码；

read-only|read-write|audit：选择管理员账号的权限，分别表示只读、读写和审计：

读写——完全系统访问权，可添加和编辑配置选项。但不具有配置管理员账号的权限。只读——受限系统访问权，对于系统配置与日志和报表的只具有查看权限。

审计——受限系统访问权，只查看日志和报表。审计角色不能查看系统配置的参数。

unset admin LOGINNAME

删除管理员账号

show admin

查看管理员账号

举例：

添加一个管理员账号使用如下命令：set admin guest password 1234!@#$

删除一个管理员账号使用如下命令：unset admin guest

查看所有管理员账号使用如下命令：show admin

设置管理端口

set management https-port <1-65535>

设置使用HTTPS协议对设备进行管理的端口号。默认端口号为443。

set management ssh-port <1-65535>

设置使用SSH协议对设备进行管理的端口号。默认端口号为22。

设置远程管理选项

只有在接口上启用了协议，系统才会接收指定的请求。

set interface IF_NAME manage [all | https | ping | ssh | snmp]

启用接口的协议：HTTPS、SSH、PING、SNMP 。选择all时表示选择所有协议。

unset interfaceIF_NAME manage[all | https | ping | ssh | snmp]

禁用接口的协议：HTTPS、SSH、PING、SNMP 。选择all时表示选择所有协议。

show interface IF_NAME mange

查看接口的管理选项

配置可信管理主机

设置可信管理主机，即管理员只能通过设置的IP地址与子网掩码登录设备，其它任何主机对设备进行管理访问都不会得到回应。如果不设置可信管理主机，则管理员可以从任意主机登录设备进行管理，潜在的将设备暴露给未经授权的访问。

set management trusted-host A.B.C.D/M

添加可信管理主机。

unset management trusted-host A.B.C.D/M

删除可信管理主机。

unset management trusted-host all

删除所有可信管理主机

Show management trusted-host

查看可信管理主机。

设置账号锁定时间

系统在超过“登录重试次数”后不准任何新的管理登录尝试的时间。有效时间为5-30分钟。默认值为5分钟。

set management login-fail-delay <5-30>

设置登录重试次数

设置登录重试次数，即系统阻止接受新的登录尝试前，允许的登录尝试失败次数。有效重试次数为0-10次。默认值为5次。

set management login-fail-retry <0-10>

设置管理空闲超时

设置空闲超时，即当管理员在指定时间内处于不活动状态时，系统会将其自动注销。有效闲置超时时间为5-30分钟。为了提高安全性，默认值为5分钟。

set management login-idle-timeout <5-30>

WEBUI界面语言切换

网神网关支持WEBUI界面的语言切换工作，管理员可以根据需要选择合适的语言来进行管理操作。

set webui-language (cn | en |tw)

设置WEBUI界面的现实语言

参数：

cn：表示简体中文；

en：表示英文；

tw：表示繁体中文。

show webui-language

查看WEBUI界面的语言设置。

设备配置管理

配置文件类型

网神设备的配置文件分为两种：运行配置和保存配置。

保存配置：

当设备启动时，根据读取的设备中存储的配置文件，进行初始化工作，该配置称为保存配置。

运行配置

当管理员使用CLI改变设备的配置时，改变立即生效并自动保存到运行配置文件中。但是由于这些改变保存在临时存储器中，而且不会自动保存到系统的保存配置中，因此，如果此时重新启动设备，则这些配置的改变会由于尚未保存而丢失。

运行配置使得管理员可以测试特定配置的作用，而无需将该配置保存到保存配置文件中。

需要注意的是：在WEBUI界面中配置完成后系统自动保存配置，无需单独执行保存配置的命令。但是在CLI界面中必须执行配置保存命令，才能将运行配置保存到系统中成为保存配置。

管理员可以对配置文件进行管理，可保存配置、下载设备的配置文件到主机上、从管理主机上传配置文件到系统上，或将系统恢复到出厂默认配置。

保存配置到系统硬盘

在WEBUI界面中配置完成后系统自动保存配置，无需单独执行保存配置的命令。在CLI 下则管理员必须执行命令save configuration，将配置的改变保存到保存配置文件中。

save configuration

保存系统运行配置。WEBUI界面将即时保存设置，无需保存操作。

恢复配置文件

save configuration from tftp A.B.C.D FILENAME

利用TFTP服务器上的文件恢复配置文件

参数：

A.B.C.D：指定TFTP服务器的IP地址。

FILENAME：指定配置文件名。

配置导出备份

save configuration to tftp A.B.C.D FILENAME

保存并下载配置文件到TFTP服务器

参数：

A.B.C.D：指定TFTP服务器的IP地址。

FILENAME：指定配置文件名。

恢复出厂配置

需要特别注意: 如果您恢复系统到出厂默认设置，您所有的配置变更都将丢失。包括管理IP地址都将恢复到出厂时的默认配置。

恢复出厂配置命令为：unset all

系统重启/关机

管理员可通过CLI远程重启或关闭网神SecAV3600防毒墙系统设备。

重新启动设备

reboot

关闭设备

shutdown

失败保护模式配置

设备支持失败保护模式。在网络流量负载超出网神SecAV3600防毒墙系统设备的容量时，系统将根据“失败保护模式”的参数设置，决定如何处理符合“过滤”策略的新会话。

set failsafe mode [fail-open | fail_close]

参数：

Fail-open：表示允许和转发符合“过滤”策略的所有新会话，不执行内容检查。

Fail-close：表示拦截符合“过滤”策略的所有新会话，不允许建立新的连接。

show failsafe

查看失败保护模式的相关设置；

系统调试命令

发送技术支持文件

技术支持文件包含了关键的日志和系统核心文件，网神公司的技术支持团队将会根据这些文件来处理并诊断系统问题。在需要网神技术支持人员处理系统问题时，如有需要，可能会要求您产生技术支持文件并发送给网神的技术支持团队。