網(wǎng)絡安全理論與技術實驗.ppt

網(wǎng)絡安全理論與技術實驗講義,二00七年十月,網(wǎng)絡安全理論與技術實驗內(nèi)容(二),西安電子科技大學通信工程學院信息工程系 E-mail: xd_,張衛(wèi)東,網(wǎng)絡安全實驗（二）,防火墻,防火墻簡介,防火墻是網(wǎng)絡安全的第一道防線，一般用來將內(nèi)部網(wǎng)絡與Internet或其他外部網(wǎng)絡相互隔離，限制網(wǎng)絡互訪，保護內(nèi)部網(wǎng)絡安全。,網(wǎng)絡地址轉(zhuǎn)換NAT,受保護的網(wǎng)內(nèi)用戶訪問Internet時，必須使用合法的IP地址。但合法的IP有限，且受保護網(wǎng)絡往往有自己的一套地址規(guī)劃方案。網(wǎng)絡轉(zhuǎn)換器就是在防火墻上裝一個合法的IP地址集。當內(nèi)部某一用戶訪問Internet時，防火墻動態(tài)地從地址集中選擇未分配的地址分配給該用戶，該用戶即可使用這個合法地址進行通信。,假設我們將防火墻的管理端接在了LAN4上， 而外部網(wǎng)絡接在了LAN2上。 外部網(wǎng)絡的IP為1,本地網(wǎng)絡的IP為。防火墻的IP設為。 子網(wǎng)掩碼均為24位。,PC1 /24,FW,PC2 1/24,Lan4:,Lan2:,internet,啟動防火墻,按說明書連接好物理連接后，用超級終端恢復防火墻的初始值，并更改校驗密鑰。 （具體操作實驗課詳細介紹）,啟動遠程管理端,在開始菜單中選擇遠程管理器，打開遠程管理端的界面。 新建一個防火墻，為防火墻設定一個ip。 建立一個管理用戶，（切記！不可設立口令！）,配置NAT,打開安全編輯器 在文件夾“防火墻”上單擊右鍵，選擇“新建”。 給防火墻起一個名字，如“NAT”。（名字要取的盡量言簡意明。） 雙擊新建的防火墻，調(diào)出配置菜單。,局部對象,在新建的防火墻下，對局部對象進行配置。打開局部對象的網(wǎng)絡與主機。對與防火墻相連接的網(wǎng)絡與主機進行定義與配置。 假設我們把防火墻的管理端口設為LAN4，與外網(wǎng)連接的端口為LAN2。 配置界面如下圖。,簽出,由于防火墻初始配置，所以在沒有簽出之前，所有的網(wǎng)絡與主機配置是不能更改的。 點擊菜單欄的簽出圖標后，在每一個配置文件夾上都出現(xiàn)一個紅點，這時就可以對起進行更改了。,我們可以看到每一個端口都可以進行配置了。 我們先來看LAN4的配置。,我們可以看到，作為防火墻管理端的LAN4的各項配置均已自動生成好了。 我們再來看我們作為外部網(wǎng)絡的LAN2的配置。我們給LAN2的IP設為，與PC2在同一個網(wǎng)段。,配置廣播地址,其中的brLAN是指廣播地址。 IP協(xié)議規(guī)定，每個子網(wǎng)的第一位與最后一位用作廣播地址。 所以我們填入55。,配置lan2net,因為PC2是作為接入外網(wǎng)的網(wǎng)關，所以我們新建一個名為“gateway”主機網(wǎng)關。,配置路由,進入路由配置的 主路由表。,配置LAN4路由,LAN4端口所接的網(wǎng)絡為LAN4NET。,配置LAN2,Lan2端口接的作為接入公網(wǎng)網(wǎng)關的PC2，所以新建一個路由配置如下：,編輯過濾規(guī)則,打開過濾規(guī)則，進行編輯。 過濾規(guī)則可以建立多條，按從上到下順序執(zhí)行。 規(guī)則的最后一條須為“dropall”。,服務類型設為“標準”,地址轉(zhuǎn)換設為“NAT”,允許本地主機PING防火墻,Ping的協(xié)議類型為ICMP,設置DropAll,配置完后，把配置簽出,SAT,SAT 靜態(tài)地址轉(zhuǎn)換,PC1 /24,PC2 1/24,FW,Lan4:/24,Lan2:/24,server,當一個局域網(wǎng)接入公網(wǎng)時，內(nèi)部的許多服務器都采用的私有IP，在公網(wǎng)上時無效的。如何將私有IP轉(zhuǎn)化為公有IP呢？ 這就將用到SAT靜態(tài)地址轉(zhuǎn)換。,配置局部對象,配置lan2 其他對象配置如同NAT,配置server,新建主機對象server。配置如下：,路由配置,配置Lan2.,配置Lan4,過濾規(guī)則,建立新規(guī)則。動作選擇SAT。接口配置如下。,假設server是http服務器，那末我們就在服務規(guī)則里選擇“http”。,Allow,SAT規(guī)則不可以單獨作為規(guī)則執(zhí)行，必須與相應的Allow。 網(wǎng)絡接