防火墻路由工作模式的配置

1、4.3防火墻的路由模式前置知識：防火墻的路由工作模式相當(dāng)于防火墻工作于路由模式，此時防火墻進(jìn)行安全防范的各個 區(qū)域均處于不同的IP子網(wǎng)中。在實(shí)際的網(wǎng)絡(luò)應(yīng)用環(huán)境中，防火墻一般位于網(wǎng)絡(luò)的邊界，連 接了內(nèi)部和外部網(wǎng)絡(luò)，是內(nèi)部和外部網(wǎng)絡(luò)通訊的唯一通道。此時防火墻的外部網(wǎng)Rif0WAN 口）配置ISP提供的公網(wǎng)IP地址，而內(nèi)部網(wǎng)絡(luò)使用私用網(wǎng)絡(luò)地址。RFC1918規(guī)定了三個地址塊用作內(nèi)部私用IP地址：/8/12/16網(wǎng)絡(luò)管理員可根據(jù)實(shí)際情況從中選擇。這樣在訪問外部網(wǎng)絡(luò)的時間，常常需要在外部 網(wǎng)絡(luò)接口上做NAT轉(zhuǎn)換。實(shí)驗(yàn)?zāi)康模毫私夥阑饓β酚晒ぷ髂Ｊ胶屯该鞴ぷ髂Ｊ降母拍盍私釴AT的基本概念3掌握防火墻路由工作

2、模式的配置4掌握動態(tài)NAT和靜態(tài)NAT的配置方法試驗(yàn)設(shè)備：DCFW1800S-L/VPN 防火墻一臺PC機(jī)三臺交叉網(wǎng)絡(luò)線三根試驗(yàn)規(guī)劃及拓?fù)湟?guī)劃：防火墻接口If0（WAN 口）IP/掩碼/24If1（LAN 口）IP/掩碼00/24If2（DMZ 口）IP/掩碼0/24Turst-PC測試網(wǎng)卡的IP/掩碼01/24Untrust-PC測試網(wǎng)卡的IP/掩碼/24Dmz-PC測試網(wǎng)卡的IP/掩碼1/24Dmz-pc的對外靜態(tài)NAT轉(zhuǎn)換地址拓?fù)?Trust-pc01/24If0: If1: 00If2: 0實(shí)驗(yàn)步驟：第一步：將防火墻回復(fù)出廠設(shè)置使用系統(tǒng)內(nèi)置的admin用戶，以命令行終端方式登錄防火墻，

3、執(zhí)行如下命令:#ruleconfig load default100% Rules loaded successfully!#save#apply第二步：按規(guī)劃配置防火墻各個接口的IP地址使用系統(tǒng)內(nèi)置的admin賬戶，從終端窗口登錄防火墻，執(zhí)行如下的命令序列:ifconfig if0 /24ifconfig if1 00/24ifconfig if2 0/24adminhost add 01saveapply第三步：按規(guī)劃為三臺PC配置IP及網(wǎng)關(guān)地址下邊以內(nèi)網(wǎng)計算機(jī)的IP地址配置為例，如圖1所示。圖1客戶端TCP/IP屬性配置在本試驗(yàn)中，因?yàn)榉阑饓ぷ饔诼酚赡Ｊ?，因此三臺計算機(jī)上必須配置網(wǎng)管地

4、址，否 則不能正常通訊。三臺PC各自的網(wǎng)關(guān)地址分別是其相連的防火墻端口的IP地址。其他 兩臺計算機(jī)都按此配置。第四步：為三臺PC機(jī)在防火墻內(nèi)配置三個對應(yīng)的網(wǎng)絡(luò)對象1,選擇“對象” I “網(wǎng)絡(luò)” I “網(wǎng)絡(luò)對象”，如圖2所示：圖2系統(tǒng)內(nèi)建網(wǎng)絡(luò)對象系統(tǒng)默認(rèn)內(nèi)置的網(wǎng)絡(luò)對象，下邊將要根據(jù)規(guī)劃為三臺PC創(chuàng)建網(wǎng)絡(luò)對象。2.配置三個網(wǎng)絡(luò)對象打擊上圖中的“新增”按鈕，新增一個網(wǎng)絡(luò)對象，如圖3所示。圖3創(chuàng)建可信內(nèi)網(wǎng)網(wǎng)絡(luò)對象圖中的名稱可以自行確定，該P(yáng)C處于內(nèi)網(wǎng)段，和if1接口處于同一個網(wǎng)段。因?yàn)檫@ 里是為單獨(dú)的一臺計算機(jī)創(chuàng)建網(wǎng)絡(luò)對象，所以掩碼是32位。以下操作與此類似。為外網(wǎng)計算機(jī)創(chuàng)建網(wǎng)絡(luò)對象，如圖4所示。圖4

5、為不可信外網(wǎng)創(chuàng)建網(wǎng)絡(luò)對象為DMZ區(qū)的計算機(jī)創(chuàng)建網(wǎng)絡(luò)對象，如5圖所示。圖5為DMZ區(qū)創(chuàng)建網(wǎng)絡(luò)對象三個網(wǎng)絡(luò)對象創(chuàng)建完成之后的情形如圖6所示。圖6創(chuàng)建了三個網(wǎng)絡(luò)對象第五步：創(chuàng)建訪問策略選擇“策略” I “策略設(shè)置”命令。剛打開時，沒有定義任何的策略，如圖7所示。圖7策略定義窗口這里以ping和ftp服務(wù)為例，說明規(guī)則的創(chuàng)建過程，在上圖中單擊“新增”按鈕，打開如 圖7和圖8所示。圖8創(chuàng)建可信內(nèi)網(wǎng)到不可信外網(wǎng)的ping服務(wù)安全規(guī)則圖9創(chuàng)建可信內(nèi)網(wǎng)到不可信外網(wǎng)的ftp服務(wù)安全規(guī)則 針對三個網(wǎng)絡(luò)對象后的完整規(guī)則如圖10所示。圖10完成創(chuàng)建本實(shí)驗(yàn)所需的安全規(guī)則第六步：做NAT轉(zhuǎn)換1.為使內(nèi)網(wǎng)使用私用地址的計算

6、機(jī)可以訪問外網(wǎng)的服務(wù)器，需要對內(nèi)網(wǎng)的計算機(jī)做 動態(tài)NAT轉(zhuǎn)換。選擇“NATT 動態(tài)NAT”命令，如圖所示，初始狀態(tài)下圖11轉(zhuǎn)換規(guī)則表為空。動態(tài)NAT .新增# S IP/Maskbits 目的 IP/Maskbits轉(zhuǎn)換后 IP 接口 修改 U除ffi第U1頁轉(zhuǎn)到第1頁回圖11創(chuàng)建動態(tài)NAT服務(wù)添加動態(tài)NAT轉(zhuǎn)換規(guī)則，如圖12所示。圖12為內(nèi)部網(wǎng)絡(luò)增加NAT轉(zhuǎn)換規(guī)則上圖各項(xiàng)參數(shù)填寫完成后，單擊“確定按鈕”，回到動態(tài)NAT規(guī)則顯示界面，如圖13所 示。圖13完成創(chuàng)建NAT轉(zhuǎn)換規(guī)則2. DMZ區(qū)一般是用來放置對外提供服務(wù)的服務(wù)器區(qū)，該區(qū)的服務(wù)器多使用私用網(wǎng)絡(luò) 地址，為了使外部用戶可以訪問該去服務(wù)器

7、，需要在防火墻的外部網(wǎng)絡(luò)接口（WAN 口）做 靜態(tài)NAT轉(zhuǎn)換。選擇“NATT 靜態(tài)NAT”，操作和做動態(tài)NAT轉(zhuǎn)換類似，如圖14所示。圖14創(chuàng)建靜態(tài)NAT轉(zhuǎn)換規(guī)則“轉(zhuǎn)換后的IP”項(xiàng)填寫外部訪問DMZ區(qū)服務(wù)器時所用的合法IP地址。完成后單擊 “確定”按鈕，返回如圖15所示的界面。圖15完成創(chuàng)建靜態(tài)NAT轉(zhuǎn)換規(guī)則第七步：在終端窗口中查看路由表的內(nèi)容如下所示：# show routeRouting summary:0 bad routing redirects0 dynamically created routes0 new gateways due to redirects546 destinat

8、ions found unreachable0 uses of a wildcard routeInternet Routing Table: UH 0032964 lo0192.168.10/24link#3UC10-if210:14:78:9c:61:40UHL1028-if2192.168.100/24link#2UC20-if1010:14:78:9c:61:33UHL1013-if155link#2UHL100-if1211.84.155/24link#1UC20-if00:14:78:9c:61:1dUHL10161-if0/320:90:b:7:b1:1bULS200-if055

9、link#1UHL100-if0Encap Routing Table:第八步：測試按表規(guī)劃的測試項(xiàng)目在三臺PC機(jī)上分別進(jìn)行測試。測試之前，要在dmz-PC和untrust-PC 上運(yùn)行FTP服務(wù)器。如表1所示。表一服務(wù)測試測試項(xiàng)目命令結(jié)果trust-PC dmz-PCPing 1通trust-PC dmz-PCftp 1可以訪問trust-PC untrust-PCPing 通trust-PC untrust-PCftp 可以訪問dmz-PC trust-PC任何命令無法訪問dmz-PC untrust-PCping 可以訪問dmz-PC untrust-PCftp 可以訪問untrust-

10、PC trust-PC任何命令無法訪問untrust-PC dmz-PCPing 通untrust-PC dmz-PCftp 可以訪問untrust-PC dmz-PCPing 1不通untrust-PC dmz-PCftp 1無法訪問測試實(shí)示例：Trust-PC ping dmz-Pc:Pinging 1 with 32 bytes of data:Reply from 1: bytes=32 time1ms TTL=127 Reply from 1: bytes=32 time1ms TTL=127 Reply from 1: bytes=32 time1ms TTL=127Reply from 1: bytes=32 timeftp 1Connected to 1.220 3Com FTP Server Version 1.1User (1:(none): anonymous331 User name ok, need passwordPassword:230 User logged inftp思考題：1重新將防火墻網(wǎng)絡(luò)