“RADIUS 用户”(RADIUS User) 表包含以下列： • 用户 (Users)显示分配给该角色的用户。 在设备上创建具有远程访问权限“另外”的角色，并将其分配给组。组的名称必须与 RADIUS服务器上用户组的名称完全一致。 • 角色 (Role) 分配给 RADIUS 用户的角色。 • 剩余时间 (RemainingTime)（仅在线时可用） 此用户登录时，显示访问剩余时间。 • 取消激活强制 (Force Deactivate)（仅在线时可用）具有管理员权限的用户可以使用此按钮注销 RADIUS 角色。 “时间触发”(Time triggered) 表包含以下列： •时间触发 (Time triggered) 条目索引 • 规则集 (Rule set) 定义由时间触发的规则集。 • 组合(Combined with) 将时间触发与事件（例如“数字量输入”(Digital In) 事件）组合在一起。要登录到动态防 火墙的WBM 页面，数字量输入处必须存在电压并且登录必须成功。 • 周期 (Cycle) 指定时间触发的强制执行周期。 – 每天(Daily) – 每周 (Weekly) – 每月 (Monthly) • 天数 (Days)如果为周期设置了“每周”(Weekly) 或“每月”(Monthly)，请指定天数。 输入的日期以逗号分隔，例如 1,3,4 – 每周(Weekly)：1 - 7 – 每月 (Monthly)：1 - 31• 动态源（范围）(Dynamic Source(Range)) – 单个 IP 地址：指定 IP 地址。 – IP 范围：使用起始地址“-”结束地址指定范围，例如：IPv4：192.168.100.10 - 192.168.100.20 IPv6：fe80:: - febf:: – 所有 IP地址： IPv4："0.0.0.0/0" IPv6: "::" – 如果用户启用了规则集，则占位符 DYNAMIC将替换为所用终端设备的 IP 地址。 • 开始时间 (Start time) 输入开始时间，格式为 HH:MM。 • 结束时间(End Time) 输入结束时间，格式为 HH:MM。 • 激活 (Activate)（仅在线时可用）启用时，规则集由时间触发。时间触发防火墙规则启动时，连接会短暂中断。 IP 服务 可在此页面上定义 IP 服务。使用 IP服务定义，可以定义特定服务的防火墙规则。用户只需 要选择一个名称并为其分配服务参数。组态 IP 规则时，只需使用该名称。 说明该页面包含以下内容： • 服务名称 (Service Name) 输入 IP 服务的名称。名称必须唯一。 该表包含以下列： • 选择(Select) 选中要删除的行中的复选框。 • 服务名称 (Service Name) 显示 IP 服务的名称。 • 传输(Transport) 指定协议类型。 – UDP 该规则仅适用于 UDP 帧。 – TCP 该规则仅适用于 TCP 帧。•源端口（范围）(Source Port (Range)) 输入源端口。该规则仅适用于特定端口。 –如果要将该规则应用于某一端口范围，则以起始端口“-”结束端口的形式输入范围，例 如 30 - 40。 –如果要将该规则应用于所有端口，则输入“*”。 • 目的端口（范围）(Destination Port (Range))输入目标端口。该规则仅适用于特定端口。 – 如果要将该规则应用于某一端口范围，则以起始端口“-”结束端口的形式输入范围，例 如 30- 40。 – 如果要将该规则应用于所有端口，则输入“*”。 ICMP 服务 可在此页面中定义 ICMP 服务。使用 ICMP服务定义，可以定义特定服务的防火墙规则。用 户只需要选择一个名称并为其分配服务参数。组态 IP 规则时，只需使用该名称。 说明该页面包含以下内容： • 服务名称 (Service Name) 输入 ICMP 服务的名称。名称必须唯一。 该表包含以下列： •选择 (Select) 选中要删除的行中的复选框。 • 服务名称 (Service Name) 显示 ICMP 服务的名称。 • 协议(Protocol) 显示 ICMP 协议的版本。
• 类型 (Type) 指定 ICMP 数据包类型。下面显示了几个示例： – DestinationUnreachable 无法传送 IP 帧。 – Time Exceeded 超出时间限制 – Echo-Request回送请求，通常称为 ping。 • Code 代码更加详细地说明了 ICMP 数据包类型。选择取决于所选的 ICMP 数据包类型。例如，如果选择“Destination Unreachable”，则无法访问“代码 1”对应的主机。 IP 协议在此页面中，可以组态用户自定义的协议，例如组播组的 IGMP 协议。用户只需要选择一个 协议名称并为其分配服务参数。组态 IP规则时，只需使用该协议名称。 说明 该页面包含以下内容： • 协议名称 (Protocol Name) 输入协议名称。该页面包含以下复选框： • 选择 (Select) 选中要删除的行中的复选框。 • 协议名称 (Protocol Name)显示协议名称。 • 协议编号 (Protocol Number) 输入协议编号，例如，2。协议编号的列表，请参见 iana.org 的Internet 页面。 IP 规则 在此页面中，可指定您自己的防火墙 IP 规则。 相比于以下规则，在此设置的 IPv4规则优先级更高： • 预定义的 IPv4 规则和 • 依据连接组态自动创建的 IP 规则 (SINEMA RC)。说明 • IP 版本(IP Version) IP 协议的版本。 • 规则集 (Rule set) 选择所需规则集。如果已禁用“全部显示”(Showall)，则仅在表格中显示分配给此规则集 的 IP 规则。 • 全部显示 (Show all) 启用后，将显示所有可用的 IP规则。可以使用“Assign”设置将 IP 规则分配给所选规则集。 该表包含以下列： • 选择 (Select)选中要删除的行中的复选框。 • 协议 (Protocol) 显示 IP 协议的版本。 • 操作 (Action) 选择入站 IP数据包的处理方式： – Accept – 数据包可通过。 – Reject – 数据包被拒绝，并且发送方收到相应消息。 – Drop– 数据包被丢弃且未通知发送方。 • 从/至 (From / To) 指定 IP 规则的通信方向。 – VLANx：组态了子网的VLAN – 设备 – NVEx：用于建立 VXLAN 隧道的虚拟接口。 – SINEMA RC：连接到 SINEMA RC 服务器– IPsec：全部 IPsec VPN 连接（全部）或特定 IPsec VPN 连接 – pppx bzw. usb0：WAN 接口– OpenVPN：全部 OpenVPN 连接 (all) 或特定 OpenVPN 连接• 优先 (Precedence)指定规则的优先级。 说明 通过 VPN 隧道打开 WBM 要通过 VPN 隧道打开 WBM，请创建以下 IP 规则： 操作(Action)：接受 自 (From)：IPsec 至 (To)：设备 服务 HTTPS (Service HTTPS)（TCP端口 443） • 分配 (Assign) 要将 IP 规则分配至所选规则集，请启用所需 IP 规则的设置，然后单击“设置值”(SetValues) 按钮。 • 已分配 (Assigned) 显示分配了此 IP 规则的规则集。也可以将 IP规则分配给多个规则集。如果将 IP 规则分 配给所有规则集，则显示“所有”(all)。 • 标签 (Label) 显示 IP规则的创建者。 – NETMAP - 自动创建的防火墙规则 • 注释 (Comment) 输入可选注释。 IPsec VPN 概述要创建一个 IPsec VPN 连接，可采用以下方式在 STEP 7 中通过 VPN 组自动创建 有关为 IPsec VPN连接创建 VPN 组的更多信息，请参见“IPsec VPN 隧道：创建和分配 VPN 组” 部分 STEP 7（通过 VPN组） 还可以通过 VPN 组组态 IPsec 连接，请参见“IPsec VPN 隧道：创建和分配 VPN 组“部分。当 通过 VPN组进行组态时，远程地址和远程子网由 STEP 7 基于接口名称进行确定： • 接口名称“INT”：STEP 7将接口处理为内部接口。 • 接口名称“EXT”：STEP 7 将接口处理为外部接口。 将设备添加到 VPN 组后，STEP7 仅在外部接口之间创建 VPN 连接。仅内部接口的本地子网 通过 VPN 互连。需要手动组态其它 VPN 连接。 通过 VPN组进行组态时的特性 • 指定发起建立连接（基于到 VPN 组的分配）的权限。 • 在连接特定的 VPN设置中，设备未显示为连接伙伴，因此可进行编辑。选择设备后，接 口可适应其它伙伴设备。 • 在 VPN 模式下，设备始终表现为路由设备。• VPN 组成员的本地属性中采用 VPN 组的属性。与以下参数相关的 VPN 组的属性可以在本 地覆盖： – 阶段1：键控尝试、DPD、DPD 周期、DPD 超时 – 阶段 2：有效期字节、协议、端口（范围）、自动防火墙规则 综述 可在此页面中组态VPN 的基本设置。说明 该页面包含以下内容： • Activate IPsec VPN 启用或禁用 VPN 的 IPsec 协议。• Enforce strict CRL Policy 启用后，将根据 CRL（Certificate RevocationList，证书撤销列表）检查证书的有效性。证 书撤销列表列出了由认证机构签发且在设置的到期日期前已失效的证书。您可以在“证书(页 3629)”页面组态要使用的证书撤销列表。 • NAT Keep Alive Time Interval指定发送保持连接帧的时间间隔。如果在两个 VPN 端点之间存在 NAT 设备，则当存在非 活动的情况时，连接将会从其动态 NAT表中删除。为防止出现此种情况，应发送保持连 接消息。 • IKEv2 DPD Retries 指定将 IKEv2连接认定为中断前允许的失败尝试次数。该设置适用于所有 IKEv2 连接。 • IKEv2 DPD Retry Interval[s]指定发送失败尝试的时间间隔。 • IKEv2 先闭后断 (IKEv2 Make-Before-Break) 启用后，会创建 IKE和所有 IPSec 安全分配的副本，并删除原有设置。这样可避免重新验 证期间出现 VPN 通信中断的情况。该设置要求两个 VPN端点均可处理重叠 SA 远程端点 在此页面上，可以组态远程伙伴（VPN 端点）。 说明 该页面包含以下内容： • 远程端点名称(Remote End Name) 输入远程站的名称，然后单击“创建”(Create) 可创建新的远程站。 该表包含以下列： • 选择(Select) 选中要删除的行中的复选框。 • 名称 (Name) 显示伙伴的名称。