進階設定

Aggressive Aging有助於管理防火牆的連線表容量和記憶體消耗，以提高持久性和穩定性。

Aggressive Aging引入了一群組 具有共用屬性的物件集合，例如使用者帳號。新的短超時，稱為主動超時。當連線空閒超過其主動超時時，它將被標記為“符合刪除條件”。當連線表或記憶體消耗達到使用者定義的閾值時，Aggressive Aging開始刪除“符合刪除條件”的連線，直到記憶體消耗或連線容量減少回所需級別。

Aggressive Aging允許閘道電腦處理大量意外流量，尤其是在拒絕服務攻擊期間。

如果超過定義的閾值，則每個傳入連線將觸發從“符合刪除條件”列表中刪除十個連線。每個新連線都會刪除另外十個連線，直到記憶體消耗或連線容量低於強制限制。如果沒有「符合刪除條件」的連線，則此時不會刪除任何連線，但在每次超過閾值的後續連線後都會檢查清單。

超時設定是記憶體消耗設定中的關鍵因素。當超時值較低時，從表中刪除連線的速度更快，從而使防火牆能夠同時處理更多連線。當記憶體消耗超過其閾值時，最好使用較短的超時，以保持絕大多數流量的連線。

Aggressive Aging的主要好處是，當裝置仍有可用記憶體並且連線表未完全滿時，它開始運行。這樣，它減少了在資源匱乏的情況下可能發生的連線問題的可能性。

反ARP欺騙保護模式。保護可以關閉、打開或處於僅偵測 UserCheck 規則動作，允許流量和檔案進入內部網路並記錄它們。模式。

在「偵測」視窗期間分配給同一 MAC 位址的 IP 位址數，該 IP 位址將指定 ARP 欺騙攻擊。

不被視為垃圾郵件或可疑垃圾郵件的電子郵件的追蹤選項。追蹤此類電子郵件可能會影響性能。

指定在基於內容的反垃圾郵件檢查期間等待來自雲的回應的超時（以秒為單位）。

指定在反垃圾郵件 IP 信譽測試期間對內部錯誤執行的操作。

掃描從本地網路發送到網際網路的電子郵件內容。

指定當Check Point分類和小群組件定義連線 Web 服務不可用時是否阻止 Web 請求。

指定是否將使用 SNI 欄位透過 HTTPS 流量匹配自訂 URL 和應用程式。重要說明：由於 HTTPS 流量中的 SNI 區域依賴於瀏覽器且混雜，因此它不保證 100% 匹配。

指定在發生內部系統錯誤或過載時對流量執行的操作。

指定檢查引擎是否使用 HTTP“反向連結”標頭（最初是引用器的拼寫錯誤）來改進應用程式標識。

指定連線hash表的大小（以位元群組為單位）。

此值必須是指數冪的整數，大約是最大併發連線參數的四倍。

指定使用服務升級失敗時的最大重試次數。

指定是否啟用了同步機制。

將標籤從 切換到 falsetrue 可能會導致故障轉移 將流量控制 (封包過濾) 從遭遇失敗的叢集成員傳輸至另一個叢集成員 (根據內部叢集演算法)。Synonym：容錯移轉。。

違約： false

支援 ITU G.993.2 VDSL2。

支援ITU G.992.2 ADSL Lite（G.lite）。

支援國際電聯G.992.5附件M ADSL2+M。

在附件 A 設備中：結合支援的ADSL2+，它指定附錄M ADSL2+。在附件 B 設備中：結合支援的 ADSL2，它指定附錄 J ADSL2。

支援 VDSL 設定檔 8a。

支援 VDSL 設定檔 8c。

支援 VDSL 設定檔 12a。

支援 VDSL 設定檔 17a。

增強的脈衝雜訊保護。

對被阻止資料包的操作：丟棄、拒絕或自動（從外部丟棄並從內部拒絕）。

控制常規臨時目錄的大小（以 MB 為單位）。

選擇 禁用以完全禁用 熱點 透過連線至網際網路服務供應商之連結的路由器，提供可存取網際網路的無線區域網路網路的區域網路。功能。

啟用/禁用IP解析日誌擴充。

指定「最大 ping 大小」保護處於活動狀態時允許的最大 ping 數據包大小。

通常，IPS 引擎會阻止它無法識別的協定（例如 POP3、IMAP 等）指令。

當進階設定設定為“ 時true，IPS 允許流量。

某些基於 Web 的保護可能會在偵測到時顯示錯誤頁面。此錯誤頁面是可設定的。

支援錯誤頁面的保護：

• 惡意代碼保護程式

• 跨網站腳本

• LDAP 注入

• SQL 注入

• 指令注入

• 目錄traversal

• 目錄清單

• 錯誤隱藏

• HTTP 格式大小

• 僅 ASCII 請求

• 僅 ASCII 回應標頭

• HTTP方法

選擇適用於所有此類保護的以下選項之一：

• 不顯示

• 顯示預定義的 HTML 錯誤頁面 - 您可以設定在偵測到攻擊時開啟的 HTML 頁面。 要設定頁面，請到進階設定 > IPS 引擎設定 > HTML 錯誤頁面設定。

• 重指向到另一個 URL - 輸入偵測到攻擊時將使用者重指向到的 URL 。您還可以選擇新增錯誤代碼，以提供有關偵測到的攻擊的詳細資訊。不建議這樣做，因為攻擊者可能會濫用該資訊。

指定 Sierra 型 USB 數據機在發送未啟用的 LSI 信號時是否將重置

MAC 過濾狀態

指定管理者是否可以從遠端Security Management Server訪問設備，而無需輸入管理者使用者名和密碼。

用於發送移動通知的雲端伺服器 URL。

指定啟用自動 ARP 偵測後，在具有更高優先順序的本地檔中使用 ARP 定義。手動靜態 NAT 規則需要手動代理 ARP 設定。如果在local.arp檔案中定義了手動ARP設定並啟用自動ARP設定，則會保留這兩個定義。如果定義之間存在clish（兩個定義中都出現相同的 NAT IP 位址），則使用手動設定。

使用靜態 NAT 定義本地網路中的內部設備時，設備必須確保發送到靜態 NAT IP 位址的數據包到達它。此選項使設備能夠自動回應這些IP位址的ARP請求。

指定是否啟用了設備的 NAT 功能。

指定 NAT 快取條目的最大數量。

指定與 NAT 的最大連線數。

在客戶端轉換目標 IP 位址（用於自動產生的 NAT 規則）。

通知語言

tmpDirSize

在動態 IPv6 網際網路連線中設定 IPv6 前置選擇模式。選擇具有最高優先順序的 IPv6 前置綴。如果有多個前置文字具有相同的喜好選項，請根據以下選項進行選擇：

• 路由器首選項 - 最舊。選擇最早的前綴，除非其剩餘存留期小於一小時。（預設）

• 路由器首選項 - 最新。選擇最新的前綴。

• 首選壽命 - 最舊。選擇具有最早的首選存留期的前綴。

• 首選生命週期 - 最新。選擇具有最新首選存留期的前置綴。

指定是否禁用從廣域網路網到 LAN 的 DHCP 選項傳輸。

類型：boolean

預設值：假

指定WiFi監視器是否打開。

類型： boolean 值

預設值： 假

指定是否啟用 PPP0E 目標檢查。

類型： boolean 值

預設值：假

客戶同意

指定在運行訪問服務時是否應忽略 SSL 證書。

收集和監視數據的最長期限。您必須重新啟動設備才能套用更改。

指定是否僅加速受信任的 HTTPS 網域。

用於 SSL 檢查的其他 HTTPS 連線埠（以逗號分隔的埠/範圍清單）。

指定 SSL 檢查機制是否將對證書鏈中的所有中間 CA 證書執行驗證。

指定 SSL 檢查機制是否會丟棄提供已吊銷證書的連線。

指定 SSL 檢查機制是否會丟棄提供具有無法存取 CRL 的證書的連線。

指定是丟棄（設定為 0 時）還是接受（設定為任何其他值時）與 TCP 連線的當前狀態不一致的 TCP 數據包。

接受規則庫接受的ICMP請求的ICMP回覆數據包。

接受未知服務的有狀態其他IP協議回復。在每個服務物件中，可以設定如果服務與接受流量的規則匹配，是否接受對它的回復。此參數是指服務物件未涵蓋的所有無 TCP/UDP 連線。

允許在內部網路之間的流量中進行深度數據包偵測。

ICMP 虛擬session被視為在此時間段（以秒為單位）後超時。

指定丟棄狀態的 TCP 數據包是否產生日誌。請參閱「接受狀態外的 TCP 數據包」參數。

指定 TCP 工作階段結束的超時（以秒為單位）。TCP session被視為在兩個 FIN 數據包（每個方向一個）或 RST 數據包之後“結束”。

指定 TCP 工作階段啟動的超時（以秒為單位）。如果第一個數據包到達和建立連線（TCP 三次握手）之間的間隔超過此時間段（以秒為單位），則 TCP 連線將超時。

這些設定確定各種深度檢查邊欄選項卡（IPS、應用程式控制、反殭屍、防病毒等）使用的 TCP 流引擎如何處理協定clish和阻止Streaming Engine進一步檢查的事件。

我們強烈建議這些設定始終處於阻止模式。在偵測模式下使用這些設定可能會顯著降低安全性，因為當發生事件或違規時，檢查將停止。

當設定設定為 記錄 此類事件時，日誌將顯示在 IPS 邊欄選項卡下的「日誌監視> 安全日誌 與 」 中 。

對於每個違規或事件，設定 操作 和 追蹤 模式。

TCP 流的接收主機緩衝段，並僅保留指定視窗中的那些段。接收主機不會處理此視窗之外的分段。閘道不應處理 TCP 接收視窗之外的 TCP 段。視窗外的 TCP 段中的所有資料都將被刪除或刪除。如果段靠近視窗，則剝離數據。如果段遠離視窗，則會丟棄該段。

閘道不需要檢查具有未啟用 TCP 校驗和的數據包，因為這些數據包會被接收主機的 TCP 堆疊丟棄。這將阻止校驗和未啟用的 TCP 數據包。由於網路設備故障，在網路上看到一些校驗和不正確的數據包是正常的。這並不表示有人企圖攻擊，因此，預設設定是不記錄此類事件。

某些 TCP 協定（如 Telnet）使用 TCP URG 位作為協定語法的一部分發送帶外數據，而大多數協定不使用 TCP 帶外功能。允許使用 URG 位的數據包可能會阻止閘道確定接收應用程式將處理哪些資料。這可能會導致閘道檢查的數據不是接收應用程式處理的數據的情況，從而允許繞過 IPS 保護。當在不支援帶外功能的協定中接收到 URG 位的數據包時，閘道無法確定接收應用程式是否處理數據。這會從不支援 TCP 帶外功能的協議中設定 URG 位的 TCP 段中刪除 URG 位。設定為偵測時，使用 URG 位會導致流量繞過深度偵測blade。

指定反病毒 安全閘道上的 Check Point 軟體blade使用來自 ThreatCloud 的實時病毒簽名和基於異常的保護，在使用者受到影響之前偵測並阻止安全閘道中的惡意軟體。Acronym：AV.引擎掃描的檔的大小限制（以 KB 為單位）。若要不指定任何限制，請設定為 0。

如果 MIME 內容的嵌套級別多於設定的數量，請選擇「阻止」或「允許電子郵件檔」。

指定 IMAP 上威脅模擬 安全閘道上的 Check Point 軟體blade監控沙箱中文件的行為以確定它們是否是惡意的。Acronym：TE。引擎的嚴格模式：

• 後台 - 在檔案類比運行時允許連線（如果需要），直到模擬處理完成。

• 保留 - 在檔案類比完成之前，連線將被阻止

指定 SMTP 上威脅模擬引擎的嚴格模式：

• 後台 - 檔案模擬執行時允許連線（如果需要）

• 保留 - 在檔案類比完成之前，將阻止連線。

當Check Point威脅雲在線 Web 服務不可用時阻止 Web 請求流量。

指定威脅防護引擎檢查的檔的大小限制（以 KB 為單位）。

使用最新的軟體包更新威脅防護。

指定USB數據機監視器偵測網際網路的頻率（以分鐘為單位）。

指定雲端服務不可用時單個更新的最大重試次數

指定快取使用者與IP位址之間的關聯的超時（以分鐘為單位）。

在「使用者與物件 >使用者感知」中啟用活動目錄查詢時，該參數指定只能從單個設備中識別一個使用者。當兩個或更多使用者從設備連線時，僅標識最後一個登錄的使用者。

指定當遠端存取 VPN 遠端存取使用者端（例如端點安全 VPN）和安全閘道之間的加密通道。 使用者端未連線到網站時，是否處理發往 VPN 網域 由一個 VPN 閘道連線到 VPN 通道的一群組電腦和網路，用於處理加密並保護 VPN 網域成員。的流量，而不加密（清除）或丟棄。

指定啟用超時時遠端客戶端的密碼保持有效的時間量（以分鐘為單位）。

指定使用者端在從受保護的內部網路（本地加密網域 安全閘道所保護的網路，以及加密和解密 VPN 流量的網路。）內部連線時是否自動斷開連線以節省資源。

指定閘道到使用者端反向連線所需的閘道保持活動狀態數據包之間的間隔（以秒為單位）。

指定遠端使用者端發送到位於加密網域中的 DNS 伺服器的 DNS 查詢是否透過 VPN 隧道傳遞。

指定終結點連線使用者的憑據重新發送到閘道以驗證授權的時間（以分鐘為單位）。

啟用對基於 TCP 的 IKE 的支援。

指定是否為安全使用者端啟用了Check Point專有 NAT traversal機制（UDP 封裝）。

指定 SSL VPN 門戶支援的最低 TLS 協定版本。出於安全原因，我們建議支援 TLS 1.2 及更高版本。

• Office 模式執行反欺騙 - 如果選擇此選項，VPN 將驗證封裝的 IP 位址為 Office 模式 IP 位址的數據包是否確實來自在 Office 模式下工作的客戶端的位址。如果位址是由 DHCP 伺服器分配的，則 VPN 必須知道 DHCP 作用網域中分配的位址範圍，反欺騙功能才能正常工作。定義表示 DHCP 作用網域的網路物件 代表企業拓撲不同部分的邏輯物件——裝置、IP 地址、流量協議等。管理者在安全政策中使用這些物件。，並在此處選擇它。

• 每個網站 的單一辦公室模式 - 遠端使用者連線並從閘道接收 Office 模式 IP 位址後，與該閘道加密網域的每個連線都將以辦公室模式 IP 作為內部來源 IP 發出。Office 模式 IP 是加密網域中的主機識別為遠端使用者的 IP 位址。特定閘道分配的 Office 模式 IP 位址可以在其自己的加密網域中使用，也可以在相鄰的加密網域中使用。相鄰的加密網域應位於與分配閘道屬於同一 VPN 社區 已命名的 VPN 網域集合，每個網域都受到 VPN 閘道保護。成員的閘道後面。由於遠端主機連線依賴於它收到的 Office 模式 IP 位址，因此，如果頒發 IP 的閘道不可用，則與網站的所有連線都將終止。

指定是否禁用 Office 模式（為遠端存取使用者端分配 IP 位址）。不建議這樣做。

防止將IP pool NAT 設定套用於辦公模式使用者。使用安全使用者端以及其他 VPN 使用者端時需要執行此操作（請參閱 sk20251）。

預設遠端存取埠為埠 443。如果與使用此埠號的另一台伺服器發生clish，請設定其他 遠端存取埠。如果啟用了Check Point VPN 使用者端、行動使用者端或 SSL VPN 遠端存取方法，則必須更改預設遠端存取埠，因為它們預設使用埠 443。如果更改預設埠號 443，請確保選擇 “為埠轉發保留埠 443”。

指定 SSL 網路擴展程式遠端存取使用者重新進行身份驗證之間的時間（以分鐘為單位）。

指定 SSL 使用者端和預設演算法是否支援 RC4 加密演算法。

此參數允許您設定 SSL Network Extender使用者端在哪些條件下自行安裝。選項包括：不自動升級，始終升級，並詢問使用者（預設）。

指定設定的拓撲更新設定是否覆蓋預設的“每週一次”政策。

1. 選取或清除複選框：

   • 已 清除 - 設備通過簡訊和電子郵件發送 OTP（這是預設設定）。

   • 已選擇 - 最終使用者在其遠端存取 VPN 使用者端中點擊一個視窗中，最終使用者必須輸入手機號碼才能通過簡訊獲取 OTP，或輸入電子郵件才能通過電子郵件獲取 OTP。

2. 點擊套用.

指定是否啟用了行業標準 NAT traversal（UDP 封裝）。即使遠端站點位於NAT 設備後面，也可以建立 VPN 隧道。

指定是否檢查IPSec回復數據包的有效性。

從加密/解密的IPSec資料包中複製DiffServ標記。

DPD 觸發新的 IKE 協商。

從已刪除的 IKE SA 上刪除 IPsec SA。

原始來源或目標 IP 位址是本地閘道的網路連線 IP 位址的數據包不會通過 VPN 隧道。當後面的閘道隱藏 NAT 時，此參數可能很有用。

指定加密數據包是否根據對點的IP位址或偵測通過最佳介面重新路由。建議不要將此值更改為 false。

需要CRL寬限期來解決設備和遠端 CA 之間時鐘時間不同的問題。

寬限期允許CRL有效性的視窗更寬。

指定證書在 CA 設定的時間之前被視為有效的時間視窗（以秒為單位）。

指定來自未識別IP位址的IKE DoS保護是否處於活動狀態，以及它偵測潛在攻擊者的方法。

用於 IKEV2 通信的金鑰類型。

選項：

• 金鑰 ID （預設）

• IP位址

• FQDN - 選擇以支援金鑰類型 FQDN 的 IKEv2。這使您可以與Harmony Connect設定VPN 連線。

  有關如何設定此連線的詳細資訊，請參見 Harmony Connect Administration Guide 和 Harmony Connect for SMB Gateways Integration Guide。

指定在加密/解密期間數據包上是否保留“不分段”標籤。

指定如何記錄 VPN 設定錯誤或金鑰交換錯誤。

指定併發 VPN IKE 協商的最大數量。

指定每個 VPN 對點的最大打開 SA 數。

選擇此選項可防止管理者對此設備的訪問路由到遠端站點，即使設定了“將所有流量路由到遠端 VPN 網站”。

隧道測試可確保對點 VPN 閘道 管理 VPN 網域成員之間流量加密和解密的閘道，通常位於 VPN 通道的一端 (遠端存取 VPN) 或兩者 (站台對站台 VPN)。之間的 VPN 隧道已啟動。

預設情況下，通過確保對點 VPN 閘道的所有外部 IP 位址之間存在連線來完成測試。

您可以將此選項設定為使用屬於本地加密網域的閘道的內部 IP 位址執行隧道測試。

您可以在日誌 和監控 選項卡中查看 VPN 隧道的狀態。

指定隧道啟動時如何記錄：記錄、不記錄或警報。

從遠端站點啟動隧道時，如果適用，請從同一傳入介面（IKE 和 RDP session）進行回復。

指定是否使用叢集IP位址執行IKE（如果適用）。

指定對 MGCP 流量的深度檢查是否自動接受與已註冊埠的 MGCP 連線。