高级设置

主动老化有助于管理连接表容量和防火墙的内存消耗，以提高耐用性和稳定性。

侵略性老化引入了一套新的短暂停，称为侵略性暂停。当一个连接的空闲时间超过其积极的超时时间时，它被标记为 "符合删除条件"。当连接表或内存消耗达到用户定义的阈值时，"主动老化 "开始删除 "符合删除条件 "的连接，直到内存消耗或连接容量下降到所需水平。

积极的老化允许网关机器处理大量的意外流量，特别是在拒绝服务攻击期间。

如果超过了定义的阈值，每个传入的连接会触发从 "符合删除条件 "的列表中删除十个连接。每一个新的连接都会另外删除十个连接，直到内存消耗或连接容量低于执行限制。如果没有 "符合删除条件 "的连接，当时就不会删除任何连接，但在随后每个超过阈值的连接之后，都会检查该列表。

超时设置是内存消耗配置的一个关键因素。当超时值较低时，连接会更快地从表中删除，使防火墙能够同时处理更多连接。当内存消耗超过其阈值时，最好用较短的超时来工作，这样可以保持绝大部分流量的连接。

主动老化的主要好处是，它在机器仍有可用内存且连接表未完全满的情况下开始运行。这样一来，就减少了在低资源条件下可能出现的连接问题的机会。

用于反ARP欺骗保护的模式。保护可以关闭、开启或仅在检测 UserCheck规则动作，允许流量和文件进入内部网络，并记录它们。模式下进行。

在检测窗口时间内，分配给同一MAC地址的IP地址的数量，这将表明有ARP欺骗攻击。

对不被认为是垃圾邮件或疑似垃圾邮件的邮件进行跟踪选择。追踪此类邮件会对性能产生影响。

表示在基于内容的垃圾邮件防护检查期间，等待云端答复的超时（秒）。

表示在垃圾邮件防护IP信誉测试中出现内部错误时采取的行动。

扫描从本地网络发往互联网的电子邮件内容。

指示当Check Point分类和小组件定义在线网络服务不可用时，网络请求是否被阻止。

表示自定义URL和应用程序是否将通过HTTPS流量使用SNI字段进行匹配。重要提示：由于HTTPS流量中的SNI字段与浏览器有关，而且是杂乱无章的，因此不能保证100%匹配：

表示在内部系统错误或过载的情况下对流量采取的行动。

指示HTTP "referrer "头（最初是referrer的拼写错误）是否被检查引擎用来改进应用识别。

表示连接哈希表的大小，字节数。

这个值必须是一个整数，是2的指数幂，大约是最大并发连接参数的4倍。

表示使用该服务升级失败时的最大重试次数。

表示是否启用了同步机制。

将标志从false 切换到true 可能会导致故障转移 将流量控制（数据包过滤）从遭遇故障的集群成员转移到另一个集群成员（基于内部集群算法）。同义词。故障转移。。

默认情况下： false

支持ITU G.993.2 VDSL2。

支持ITU G.992.2 ADSL Lite（G.lite）。

支持ITU G.992.5 Annex M ADSL2+M。

在一个附件A的设备中：与支持的ADSL2+相结合，它规定了附件M ADSL2+。在一个附件B的设备中：与支持的ADSL2相结合，它规定了附件J ADSL2。

支持VDSL配置文件8a。

支持VDSL配置文件8c。

支持VDSL配置文件12a。

支持VDSL配置文件17a。

增强的脉冲噪声保护。

对被拦截的数据包采取行动：丢弃、拒绝或自动（从外部丢弃和从内部拒绝）。

控制一般临时目录的大小（单位：MB）。

选择 "已禁用"以完全禁用热点 一个提供无线局域网络与互联网接入的区域，通过路由器连接到互联网服务提供商的链接。功能。

启用/禁用IP解析日志的丰富性。

表示当 "最大Ping大小 "保护激活时，允许的最大Ping数据包大小。

通常情况下，IPS引擎会阻止它不能识别的协议（如POP3，IMAP，...）命令。

当高级设置为 "true"时，IPS允许该流量。

一些基于网络的保护措施在检测时可以显示一个错误页面。这个错误页面是可配置的。

支持错误页面的保护措施：

• 恶意代码保护器

• 跨站脚本攻击

• LDAP注入

• SQL注入

• 命令注入

• 目录遍历

• 目录列表

• 错误隐蔽性

• HTTP格式大小

• 只有ASCII请求

• 只有ASCII的响应头

• HTTP方法

选择适用于所有此类保护的选项之一：

• 不要显示

• 显示预定义的HTML错误页面- 你可以配置一个HTML页面，在检测到攻击时打开。要配置页面，请进入高级设置 > IPS引擎设置 > HTML错误页面配置。

• 重定向到另一个URL- 输入一个URL，当检测到攻击时，用户会被重定向到这个URL。你还可以选择添加一个错误代码，提供更多关于检测到的攻击的信息。不建议这样做，因为这些信息可能被攻击者滥用。

指示Sierra型USB调制解调器在发送无效的LSI信号时是否会被重置

MAC过滤状态

表示管理员是否可以从远程安全管理服务器访问设备，而不需要输入管理员的用户名和密码。

用于发送移动通知的云服务器URL。

表示在启用自动ARP检测时，使用本地文件中的ARP定义，其优先级更高。对于手动静态NAT规则，需要手动代理ARP配置。如果在local.arp文件中定义了手动ARP配置，并且启用了自动ARP配置，那么这两个定义都会被保留。如果定义之间有冲突（相同的NAT IP地址出现在两者中），那么就使用手动配置。

当本地网络中的内部设备使用静态NAT定义时，设备必须确保发送到静态NAT IP地址的数据包能够到达它。这个选项使设备能够自动响应对这些IP地址的ARP请求。

表示设备的NAT功能是否被启用。

表示NAT缓存条目的最大数量。

表示使用NAT的最大连接数。

在客户端转换目标IP地址（用于自动生成的NAT规则）。

通知语言

tmpDirSize

在动态IPv6互联网连接中设置IPv6前缀选择模式。选择具有最高优先权的IPv6前缀。如果有一个以上具有相同偏好的前缀，请根据这些选项进行选择：

• 路由器偏好 - 最古老的。选择最古老的前缀，除非它的剩余寿命少于一小时。(默认)

• 路由器偏好 - 最新的。选择最新的前缀。

• 首选终身 - 最年长。选择具有最古老首选寿命的前缀。

• 首选终身 - 最新的。选择具有最新首选寿命的前缀。

指定是否禁用从WAN到LAN的DHCP选项的传输。

类型：布尔型

默认值：false

指定WiFi监视器是否开启。

类型： Boolean

默认值： false

指定是否启用PPP0E目的地检查。

类型： Boolean

默认值：false

客户同意

指示在运行访问服务时是否应忽略SSL证书。

收集和监测数据的最长期限。你必须重新启动设备以应用变化。

表示是否只对受信任的HTTPS域进行加注。

用于SSL检查的额外HTTPS端口（以逗号分隔的端口/范围列表）。

表示SSL检查机制是否将对证书链中的所有中间CA证书进行验证。

表示SSL检查机制是否会放弃出示已撤销证书的连接。

指示SSL检查机制是否会放弃呈现具有无法到达的CRL的证书的连接。

指示与TCP连接的当前状态不一致的TCP数据包是否被丢弃（当设置为0时）或接受（当设置为任何其他值时）。

接受被规则库接受的ICMP请求的ICMP回复包。

接受有状态的其他IP协议对未知服务的回复。在每个服务对象中，可以配置如果该服务在接受流量的规则中被匹配，是否接受对它的回复。这个参数指的是所有没有被服务对象覆盖的TCP/UDP连接。

允许在内部网络之间的流量中进行深度包检测。

一个ICMP虚拟会话在这个时间段（以秒为单位）后被认为已经超时了。

指示掉落的非状态TCP数据包是否产生日志。请参阅 "接受不在状态的TCP数据包 "参数。

表示TCP会话结束的超时（以秒为单位）。一个TCP会话在两个FIN数据包（每个方向一个）或一个RST数据包之后被认为是 "结束"。

表示TCP会话启动的超时（单位：秒）。如果第一个数据包的到达和连接的建立（TCP三方握手）之间的间隔超过这个时间段（秒），则TCP连接超时。

这些设置决定了各种深度检查刀片（IPS、应用控制 安全网关上的Check Point软件刀片，通过使用深度数据包检查，允许对特定的网络应用进行细化控制。简称。APPI。、防僵尸网络 Check Point软件刀片在一个安全网关上，可阻止僵尸网络行为和与指挥和控制（C&C）中心的通信。缩略语。AB，ABOT。、防病毒 安全网关上的Check Point软件刀片使用ThreatCloud的实时病毒签名和基于异常的保护措施，在用户受到影响之前在安全网关上检测和阻止恶意软件。简称。AV。等）使用的TCP流引擎如何处理协议违反和阻止流引擎进一步检查的事件。

我们强烈建议，这些设置应始终处于预防模式。在检测模式下使用这些设置可能会大大降低安全性，因为当事件或违规行为发生时，检测会停止。

当配置被设置为记录此类事件时，日志将显示在IPS刀片下的日志用户和对象Monitoring > Security Logs中。

对于每个违规或事件，配置行动和跟踪模式。

TCP流的接收主机对段进行缓冲，只保留指定窗口内的段。在这个窗口之外的片段不会被接收主机处理。处于TCP接收窗口之外的TCP段不应被网关处理。所有来自窗口之外的TCP段的数据都被丢弃或删除。如果该段在窗口附近，数据将被剥离。如果该段离窗口很远，则该段被放弃。

网关不需要检查具有无效TCP校验和的数据包，因为这些数据包会被接收主机的TCP堆栈丢弃。这将阻止具有无效校验和的TCP数据包。由于网络设备出现故障，在网络上看到一些具有不正确校验和的数据包是正常的。这并不表明有攻击企图，为此，默认是不记录此类事件。

一些TCP协议，如Telnet，使用TCP URG位作为协议语法的一部分发送带外数据，而大多数协议不使用TCP带外功能。允许有URG位的数据包可能会阻止网关确定哪些数据会被接收应用程序处理。这可能导致一种情况，即网关检查的数据不是接收应用程序处理的，从而使IPS保护被绕过。当在一个不支持带外功能的协议中收到带有URG位的数据包时，网关不能确定接收的应用程序是否处理这些数据。在不支持TCP带外功能的协议中，这将从设置了URG位的TCP段中移除URG位。当设置为检测时，URG位的使用导致流量绕过深度检测刀片。

表示防病毒引擎扫描的文件的大小限制（KB）。要指定无限制，请设置为0。

如果MIME内容的嵌套层次多于配置的数量，则选择阻止或允许该邮件文件。

表示威胁仿真 Check Point软件刀片在安全网关上，监控沙盒中文件的行为，以确定它们是否是恶意的。简称。TE。引擎对IMAP的严格程度模式：

• 背景- 在文件仿真运行时允许连接（如果需要），直到仿真处理完成。

• 保持- 连接被阻止，直到文件模拟完成。

表示威胁仿真引擎在SMTP上的严格性模式：

• 背景- 在文件模拟运行时允许连接（如果需要）。

• 保持- 连接被阻止，直到文件模拟完成。

当Check Point ThreatCloud在线网络服务不可用时，阻止网络请求流量。

表示威胁预防引擎所检查的文件的大小限制（KB）。

用最新的软件包更新威胁预防系统。

指示USB调制解调器看门狗探测互联网的频率（以分钟为单位）。

表示当云不可用时，单个更新的最大重试次数

表示缓存一个用户和一个IP地址之间的关联的超时（分钟）。

当在用户用户和对象对象 > 用户感知中启用Active Directory查询时，该参数表示只能从一个设备中识别一个用户。当两个或更多的用户从一个设备连接时，只有最后登录的用户被识别。

表示当远程访问VPN 远程访问客户端（如端点安全VPN）和安全网关之间的加密隧道。客户端没有连接到站点时，是否处理到VPN域 一组计算机和网络通过一个VPN网关连接到VPN隧道，该网关处理加密并保护VPN域成员。的流量，是不加密（清空）发送还是放弃。

表示在启用超时的情况下，远程客户端的密码保持有效的时间（分钟）。

表示当客户端从安全的内部网络（本地加密域 安全网关所保护的网络，它为其加密和解密VPN流量。）连接时，是否自动断开连接以节省资源。

表示网关与客户端之间的连接所需的向网关发送保持性数据包的时间间隔（以秒为单位）。

指示远程客户端向位于加密域的DNS服务器发送的DNS查询是否通过VPN隧道。

表示直到Endpoint Connect用户的证书被重新发送到网关以验证授权的时间（以分钟计）。

启用对TCP的IKE的支持。

指示Check Point专有的NAT穿越机制（UDP封装）是否为SecureClient启用。

表示SSL VPN门户支持的最小TLS协议版本。出于安全考虑，我们建议支持TLS 1.2及以上版本。

• 办公模式执行反欺骗- 如果选择该选项，VPN将验证封装的IP地址是办公模式IP地址的数据包是否确实来自办公模式下的客户地址。如果地址是由DHCP服务器分配的，VPN必须知道从DHCP范围分配的地址范围，才能使反欺骗功能发挥作用。定义一个代表DHCP范围的网络对象 代表企业拓扑结构不同部分的逻辑对象--计算机、IP地址、流量协议等。管理员在安全策略中使用这些对象。，并在这里选择它。

• 每个站点的单一办公模式- 在远程用户连接并从网关收到一个办公模式IP地址后，与该网关加密域的每个连接都会以办公模式IP作为内部源IP出去。办公室模式IP是加密域中的主机识别为远程用户的IP地址。由特定网关分配的办公模式IP地址可以在其自己的加密域和邻近的加密域中使用。相邻的加密域应驻扎在与分配网关属于同一VPN社区 一个命名的VPN域集合，每个域都由一个VPN网关保护。的网关后面。由于远程主机的连接依赖于它所收到的办公模式IP地址，如果发出该IP的网关不可用，所有与该站点的连接就会终止。

指示办公室模式（为远程访问客户端分配IP地址）是否被禁用。不建议这样做。

防止IP池NAT配置应用于办公模式用户。在使用SecureClient以及其他VPN客户端时需要这样做（见sk20251 ）。

默认的远程访问端口是443端口。如果与其他使用此端口号的服务器有冲突，请配置一个不同的远程访问端口。如果启用了Check Point VPN客户端、移动客户端或SSL VPN远程访问，你必须改变默认的远程访问端口，因为它们默认使用443端口。如果你改变了默认的端口号443，请确保为端口转发选择储备端口443。

表示SSL网络扩展器远程访问用户重新认证的间隔时间（分钟）。

表示SSL客户端是否支持RC4加密算法，以及默认算法。

这个参数可以让你配置SSL网络扩展器客户端在哪些条件下进行自我安装。这些选项是：：不自动升级，总是升级，并通知用户（默认）。

表示配置的拓扑更新设置是否覆盖了默认的 "每周一次 "策略。

1. 选择或取消该复选框：

   • 取消- 设备通过短信和电子邮件发送OTP（这是默认的）。

   • 选择- 终端用户在其远程访问VPN客户端点击 "连接 "后，在下一个窗口中，终端用户必须输入一个手机号码以通过短信获得OTP，或输入一个电子邮件以通过电子邮件获得OTP。

2. 点击应用.

表示是否启用了行业标准的NAT穿越（UDP封装）。这样，即使远程站点在NAT设备后面，也能建立VPN隧道。

表示是否要检查IPSec回复数据包的有效性。

从加密/解密的IPSec数据包中复制DiffServ标记。

DPD触发了新的IKE协商。

在IKE SA删除中删除IPsec SA。

原始源或目标IP地址是本地网关的互联网连接IP地址的数据包将不会通过VPN隧道。这个参数在隐藏NAT后的网关可能很有用。

指示加密数据包是否根据对等体的IP地址或探测，通过最佳接口重新路由。我们不建议将此值改为false。

需要CRL宽限期来解决设备和远程CA之间不同的时钟时间问题。

宽限期允许扩大CRL有效期的窗口。

表示在CA设定的时间之前，证书被认为是有效的时间窗口（单位：秒）。

表示是否激活来自未识别IP地址的IKE DoS保护以及检测潜在攻击者的方法。

IKEV2通信使用的密钥类型。

选项：

• 密钥ID（默认）。

• IP地址

• FQDN- 选择支持密钥类型为FQDN的IKEv2。这可以让你设置一个VPN 与Harmony Connect的连接。

  关于如何设置这种连接的更多信息，请参阅Harmony Connect管理指南 和Harmony Connect SMB网关集成指南 。

表示在加密/解密过程中是否在数据包上保留 "不要碎片 "标志。

表示如何记录VPN配置错误或密钥交换错误。

表示并发的VPN IKE协商的最大数量。

表示每个VPN对等体开放SA的最大数量。

选择该选项可以防止管理员对该设备的访问被路由到远程站点，即使配置了 "路由所有流量到远程VPN站点"。

隧道测试可确保对等VPN网关 管理VPN域成员之间流量加密和解密的网关，通常位于VPN隧道的一端（远程访问VPN）或两端（站点到站点VPN）。之间的VPN隧道是正常的。

默认情况下，测试是通过确保对等VPN网关的所有外部IP地址之间存在连接来完成的。

你可以配置这个选项，使用属于本地加密域的网关的内部IP地址进行隧道测试。

你可以在日志和监控标签中看到VPN隧道的状态。

表示在隧道启动时如何记录：记录，不记录，或提醒。

当隧道从远程站点启动时，适用时从相同的传入接口回复（IKE和RDP会话）。

表示是否使用集群IP地址进行IKE（适用时）。

表示MGCP流量的深度检查是否自动接受MGCP连接到注册的端口。