實(shí)驗(yàn)7防火墻配置與NAT配置 2

1、大連理工大學(xué)本科實(shí)驗(yàn)報(bào)告課程名稱： 網(wǎng)絡(luò)工程實(shí)驗(yàn) 學(xué)院（系）： 軟件學(xué)院 專 業(yè)： 軟件工程 班 級(jí)： 090 學(xué) 號(hào)： 200992 學(xué)生姓名： 2011年 7 月 11 日大連理工大學(xué)實(shí)驗(yàn)報(bào)告學(xué)院（系）： 軟件學(xué)院 專業(yè)： 軟件工程 班級(jí)： 090 姓 名： 學(xué)號(hào)： 200992 組： 12 _ 實(shí)驗(yàn)時(shí)間： 實(shí)驗(yàn)室： C310 實(shí)驗(yàn)臺(tái)： 12 指導(dǎo)教師簽字： 成績(jī)： 實(shí)驗(yàn)七：防火墻配置與NAT配置一、實(shí)驗(yàn)?zāi)康膶W(xué)習(xí)在路由器上配置包過濾防火墻和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）二、實(shí)驗(yàn)原理和內(nèi)容1、路由器的基本工作原理2、配置路由器的方法和命令3、防火墻的基本原理及配置4、NAT的基本原理及配置三、實(shí)驗(yàn)環(huán)

2、境以及設(shè)備2臺(tái)路由器、1臺(tái)交換機(jī)、4臺(tái)Pc機(jī)、雙絞線若干四、實(shí)驗(yàn)步驟（操作方法及思考題）警告：路由器高速同異步串口（即S口）連接電纜時(shí)，無論插拔操作，必須在路由器電源關(guān)閉情況下進(jìn)行；嚴(yán)禁在路由器開機(jī)狀態(tài)下插拔同/異步串口電纜，否則容易引起設(shè)備及端口的損壞。1、 請(qǐng)?jiān)谟脩粢晥D下使用“reset saved-configuration”命令和“reboot”命令分別將兩臺(tái)路由器的配置清空，以免以前實(shí)驗(yàn)留下的配置對(duì)本實(shí)驗(yàn)產(chǎn)生影響。2、 在確保路由器電源關(guān)閉情況下，按圖1聯(lián)線組建實(shí)驗(yàn)環(huán)境。配置IP地址，以及配置PC A 和B的缺省網(wǎng)關(guān)為 ，PC C 的缺省網(wǎng)關(guān)為 ，

3、PC D 的缺省網(wǎng)關(guān)為 。圖 13、 在兩臺(tái)路由器上都啟動(dòng)RIP，目標(biāo)是使所有PC機(jī)之間能夠ping通。請(qǐng)將為達(dá)到此目標(biāo)而在兩臺(tái)路由器上執(zhí)行的啟動(dòng)RIP的命令寫到實(shí)驗(yàn)報(bào)告中。（5分）答： Quidwayrip Quidway-ripnetwork all4、 在AR18和/或AR28上完成防火墻配置，使?jié)M足下述要求：（1） 只有PC機(jī)A和B、A和C、B和D之間能通信，其他PC機(jī)彼此之間都不能通信。（注：對(duì)于不能通信，要求只要能禁止其中一個(gè)方向就可以了。）（2） 防火墻的ACL列表只能作用于兩臺(tái)路由器的以太網(wǎng)接口上，即AR18的E0、AR28的E0和E1，不允許在兩臺(tái)路由器的S

4、0口上關(guān)聯(lián)ACL。請(qǐng)將你所執(zhí)行的配置命令寫到實(shí)驗(yàn)報(bào)告中。（注：配置方法并不唯一，寫出其中任何一種即可）（15分）答： Quidway firewall enableQuidway firewall default permitQuidway acl number 3001 match-order autoQuidway-acl-adv-3001 rule deny ip source any destination any5、 請(qǐng)?jiān)谟脩粢晥D下使用“reset saved-configuration”命令和“reboot”命令分別將兩臺(tái)路由器的配置清空，以免前面實(shí)驗(yàn)留下的配置對(duì)下面的NAT配置實(shí)

5、驗(yàn)產(chǎn)生影響。6、 請(qǐng)將圖1中IP地址的配置改為圖2，即我們將用IP 網(wǎng)段/24作為一個(gè)私網(wǎng)，AR18作為連接私網(wǎng)與公網(wǎng)的NAT路由器，AR28作為公網(wǎng)上的一個(gè)路由器。具體的，請(qǐng)按下述步驟完成NAT配置實(shí)驗(yàn)：（1） 配置AR18-12為NAT路由器，它將私有IP 網(wǎng)段/24中的IP地址轉(zhuǎn)換為接口S0的公網(wǎng)IP 地址。請(qǐng)將所執(zhí)行的配置命令寫到實(shí)驗(yàn)報(bào)告中。（10分）答： Quidwaynat address-group pool1 Quidwayacl 2000 match-order auto Q

6、uidway-Serial0nat outbound 2000 address-group pool1（2） 我們?cè)诿恳慌_(tái)PC上都安裝了Web服務(wù)器IIS，它運(yùn)行在TCP端口80。請(qǐng)把PC A的Web服務(wù)映射到公網(wǎng)IP地址和公網(wǎng)端口80，把PC B的Web服務(wù)映射到公網(wǎng)IP地址和公網(wǎng)端口8080，并把所執(zhí)行的配置命令寫到實(shí)驗(yàn)報(bào)告中。（10分）答： Quidway-Serial0nat server global 80 inside tcp 80 Quidway-Serial0 nat server global 1

7、 8080 inside tcp 80（3） 我們?cè)诿恳慌_(tái)PC上都允許了遠(yuǎn)程桌面服務(wù)，該服務(wù)使用TCP端口3389。請(qǐng)把PC B遠(yuǎn)程桌面服務(wù)映射到公網(wǎng)IP地址和公網(wǎng)端口3389，并把所執(zhí)行的配置命令寫到實(shí)驗(yàn)報(bào)告中。（10分）答： Quidway-Serial0nat server global 3389 inside tcp 3389請(qǐng)?jiān)贏R18上配置一條缺省靜態(tài)路由，用于指定AR18的缺省網(wǎng)關(guān)為。注：路由相關(guān)配置只需上述一條命令即可，并不需要在AR18和AR28上啟動(dòng)RIP

8、。不在AR18上啟動(dòng)RIP的原因是私網(wǎng)IP的路由信息不應(yīng)該被廣播到公網(wǎng)上；不在AR28上啟動(dòng)RIP的原因是在本實(shí)驗(yàn)中公網(wǎng)環(huán)境中只用一臺(tái)AR28路由器來模擬。圖2在上述步驟完成后，NAT應(yīng)該能夠正常運(yùn)轉(zhuǎn)，下述現(xiàn)象應(yīng)被觀察到：（1） 在PC A上執(zhí)行：ping ，結(jié)果為“通”。請(qǐng)將“通”的原因?qū)懙綄?shí)驗(yàn)報(bào)告中。（10分）答：nat配置中私網(wǎng)ip地址可以轉(zhuǎn)換為公網(wǎng)ip地址，路由表中有其對(duì)應(yīng)路由表項(xiàng)，可以ping通，即私網(wǎng)可以ping通公網(wǎng)（2） 在PC D上執(zhí)行：ping ，結(jié)果為“不通”。請(qǐng)將“不通”的原因?qū)懙綄?shí)驗(yàn)報(bào)告中。（10分）答： 私網(wǎng)ip地址在公網(wǎng)中看

9、不到，沒有其路由表項(xiàng)。（3） 在PC C上啟動(dòng)IE瀏覽“”，可以下載PC A Web服務(wù)器上的網(wǎng)頁，該網(wǎng)頁大致內(nèi)容為“網(wǎng)站正在建設(shè)中”。請(qǐng)將可以訪問的原因?qū)懙綄?shí)驗(yàn)報(bào)告中。（10分）答 ： 有命令使PCA的Web服務(wù)映射到公網(wǎng)IP地址和公網(wǎng)端口80，訪問時(shí)，通過NAT地址表轉(zhuǎn)換，相當(dāng)于訪問PCA的WWW服務(wù)。（4） 在PC C上啟動(dòng)IE瀏覽“”，不可以下載PC A Web服務(wù)器上的網(wǎng)頁。請(qǐng)將不能訪問的原因?qū)懙綄?shí)驗(yàn)報(bào)告中。（10分）答： 私網(wǎng)ip地址在公網(wǎng)中看不到（5） 在PC B和C上都啟動(dòng)Ethereal，捕獲所有TCP的包。然后在PC C上啟動(dòng)IE瀏覽“http

10、:/:8080”，將發(fā)現(xiàn)可以下載PC B Web服務(wù)器上的網(wǎng)頁，該網(wǎng)頁大致內(nèi)容為“網(wǎng)站正在建設(shè)中”。請(qǐng)將用Ethereal觀察到的TCP包的源和目的IP地址、源和目的端口號(hào)在私網(wǎng)和公網(wǎng)上的變化情況寫到實(shí)驗(yàn)報(bào)告中，并據(jù)此解釋NAT在上述HTTP訪問過程中做了怎樣的地址轉(zhuǎn)換。（10分）答： PCB：PCA：原因： 當(dāng)NAT路由器收到一個(gè)目的地址為端口號(hào)為8080的包時(shí)，它查自己的路由表項(xiàng)，據(jù)表將該；當(dāng)NAT路由器收到一個(gè)源地址為源地址和端口號(hào)為與80的包后則據(jù)上層現(xiàn)象將源地址和端口號(hào)改為與8080，之后再轉(zhuǎn)發(fā)給PCC（6） 在PC D上使用“程序à附件à通訊à遠(yuǎn)程桌面連接”登錄PC B，在登錄對(duì)話框中請(qǐng)輸入