Checkpoint 常用配置的两个地方： 1、 policy?global properties 2、 Gateway 属性
基本上大部份的设置都在这里设置
2．2．2 Policy design cp policy 的特点：
1、 Accept only the traffic that is required ,drop anything else 接受允许的，拒绝其他的
2、 When a rule is match ,that action is followed and no more rules are checked.
策略是从上到下匹配的，当前面策略已经匹配的情况下，是不会再去往下匹配 3、 there is an invisible rule at the bottom of runbase : drop anything
隐含一条拒绝所有
两条特殊的rule Stealth Rule
Placed near the top of the policy and explicitly blocks access to the firewall
Clean up rule
Placed at the bottom of the policy and explicitly drops and log all traffic that has not match other rules .but the clean up rule ensure it get logged.
2．2．3完全卸载安全策略
Request that the security policy be unloaded from remote gateways 1、 from the menu,policy ?uninstall
2、 run the command fw unload local from the command line of the gateway itself
2．2．4 cp 的implied Rules 隐含的策略
1- View?implied rules 显示security pane 里边的
这些隐含的策略，无法手动删除
2- policy?global properties ?firewall
2．2．5 Checkpoint NAT种类
1、 自动配置
A、 Hide NAT (相当于PAT) B、 Static Nat 2、 手动配置
A、 Hide Nat
B、 Static Nat
C、 Port translation
静态NAT优先于PAT的转换
手动配置(最大的问题是Proxy ARP)
2．2．6 Checkpoint 认证方式 1、 user Authentication
1、 只能够支持http ftp telnet rlogin
2、 User authentication 是基于每一个connection 3、 类似cisco 的cute-through
放行snauth流量(tcp/261) Fwl_snauth 2、 session auth 3、 client auth
1、 client需要放行
FWl_clntauth_http (http/900)和FWl_clntauth_telnet(telnet/259) 2、 client属性里有许多登陆方式
a、 manual
b、 partially auto
c、 full auto
d、 agent auto sign
e、 single sign on
(1)、partially auto:http 、Ftp、telnet 和rlogn 使用user auth ,其它协议使用client auth 的manual auth
(2)、full auto:http ftp telnet 和rlogin 使用user auth ，其它协议使用session auth ,manual auth 依然存在。
（3）、Agent auto 所有协议使用session auth,manual auth 依然存在。 （4）、single sign-on :使用user authority server 实现一次性登陆。
Opsec 安全公共平台 CiFS windows的文件共享
2．2．7 Vpn 1、 简单的VPN方式 2、 传统的VPN方式 3、 简单与传统的VPN方式
VPN Communities 特点
1、 加入这个VPN communities 的设备拥有着相同的策略 2、 这样的配置不容易出现配置上的错误
3、 Smartcenter能够对多VPN device进行统一配置
Vpn communities types 1、 meshed(网状) 2、 star(星形)
在设备上加入communities
在设备上定义感兴趣流
Remote access vpn
客户端在checkpoint 上下载
三、Checkpoint 实验手册
3．1 Remote access vpn 实验
在outside 端，放置一台拨号VPN用的PC机，让他登陆成功后能ping通内部网络172.16.1.0/24 1、 PC设配置
