防火墻基本管理環(huán)境

內(nèi)容提要介紹防火墻外觀與接口介紹防火墻管理環(huán)境搭建任務(wù)一：防火墻外觀與接口介紹DCFW-1800E具有專門的Console口，專門的區(qū)域接口。串行部署于TCP/IP網(wǎng)絡(luò)中。將網(wǎng)絡(luò)一般劃分為內(nèi)、外、服務(wù)器區(qū)三個區(qū)域，對各區(qū)域?qū)嵤┌踩呗砸员Ｗo重要網(wǎng)絡(luò)。(1)打開防火墻包裝箱，取出設(shè)備，從外觀認識防火墻各接口DCFW-1800E-V2背板接口登錄防火墻并熟悉各配置模式(2)使用設(shè)備自帶的控制線纜將防火墻與PC的串行接口連接(3)配置PC機的超級終端屬性，接入防火墻命令行模式。注意：防火墻中有兩種默認的管理用戶：超級管理用戶缺省管理員用戶口令和密碼是：login：adminpassword：admin(4)輸入管理員用戶口令和密碼，可進入防火墻的執(zhí)行模式，該模式的提示符如下所示，包含了一個數(shù)字符號（#）：

DCFW-1800#通過PC機測試與防火墻的連通性(1)使用交叉雙絞線連接防火墻和PC機，此時防火墻的LAN-link燈亮起，表明網(wǎng)絡(luò)的物理連接已經(jīng)建立。觀察指示燈狀態(tài)為閃爍，表明有數(shù)據(jù)在嘗試傳輸。(2)此時打開PC機的連接狀態(tài)，發(fā)現(xiàn)只有數(shù)據(jù)發(fā)送，沒有接收到的數(shù)據(jù)，這是因為防火墻的端口默認狀態(tài)下都會禁止向未經(jīng)驗證和配置的設(shè)備發(fā)送數(shù)據(jù)，保證數(shù)據(jù)的安全。登錄防火墻并熟悉各配置模式實訓(xùn)相關(guān)知識

(1)防火墻是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。具體是指設(shè)置在內(nèi)部可信網(wǎng)絡(luò)（trust）和外部不可信網(wǎng)絡(luò)(untrust)之間或網(wǎng)絡(luò)安全區(qū)域(dmz)之間的安全網(wǎng)關(guān)。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全區(qū)域之間信息的唯一出入口，

能根據(jù)企業(yè)的安全政策監(jiān)視和拋棄應(yīng)用層的網(wǎng)絡(luò)流量，且本身具有較強的抗攻擊能力。

(2)防火墻的初始配置

像路由器和交換機一樣，在使用防火墻之前，需要經(jīng)過基本的初始配置。防火

墻的初始配置也是通過console口與PC的串口連接，再通過超級終端程序進行選項配置，這與我們所學(xué)的交

換機、路由器初始配置方法是一樣的。

練習(xí)

前邊介紹未配置防火墻的IP

地址等信息，課上可從防火墻的前面板對防火墻進行狀態(tài)的觀察，熟悉防火墻各種配置模式之間的切換和簡化配置命令的書寫模式。

任務(wù)二：防火墻管理環(huán)境搭建1、實訓(xùn)目的學(xué)會使用Telnet、SSH、WebUI方式登錄防火墻。2、應(yīng)用環(huán)境V2防火墻可以使用telnet、SSH、WebUI方式進行管理，使用者可以很方便的使用幾種方式進行管理。本實訓(xùn)使用DCFW-1800E-V2防火墻，軟件版本為：DCFOS-2.0R4。3、實訓(xùn)設(shè)備(1)防火墻設(shè)備1臺(2)Console線1條(3)交叉網(wǎng)絡(luò)線1條(4)PC機1臺使用出廠缺省配置登陸缺省出廠時防火墻Eth0/0接口IP為/24可將管理主機IP配置為/24網(wǎng)段IP與防火墻eth0/0接口相連，通過WEB登陸防火墻管理界面在瀏覽器地址欄中輸入以下兩種URL均可

---經(jīng)過SSL加密推薦使用

7缺省登陸用戶名：admin密碼：admin通過Console口管理8在出廠缺省配置被修改或其他無法通過WEBUI管理的情況下可通過console口登陸管理終端登陸參數(shù)設(shè)置如下：參數(shù)數(shù)值波特率9600bit/s數(shù)據(jù)位8停止位1校驗/流控?zé)o初始登陸用戶名：admin密碼：adminConsole口初始配置步驟對防火墻的初始管理配置包括以下幾步：將接口加入指定的安全域（先）指定接口IP（后）指定接口管理服務(wù)指定接口管理IP(可選）添加可信任的管理主機IP9先將接口加入安全域再配置IP地址login:adminpassword:DCFW-1800#configDCFW-1800(config)#inteth0/1DCFW-1800(config-if-eth0/1)#ipaddress/242008-06-2614:56:14,EventERR@NET:Failedtoexecuteconfigurationcommandinterfaceethernet0/1:ipaddresserror:theinterfacedoesn'tbindtoanyzone,pleasebindtoazonebeforeconfigipaddress10如果接口沒有加入安全域前先添加接口IP將出現(xiàn)如上錯誤提示接口配置DCFW-1800(config-if-eth0/1)#zoneuntrust--將接口添加到安全域中DCFW-1800(config-if-eth0/1)#ipaddress/24--為接口配置IP地址DCFW-1800(config-if-eth0/1)#managehttp--對該接口啟用http管理服務(wù)DCFW-1800(config-if-eth0/1)#managehttps--對該接口啟用https管理服務(wù)DCFW-1800(config-if-eth0/1)#managetelnet--對該接口啟用telnet管理服務(wù)DCFW-1800(config-if-eth0/1)#managessh--對該接口啟用ssh管理服務(wù)DCFW-1800(config-if-eth0/1)#manageping–該接口允許pingDCFW-1800(config-if-eth0/1)#manageip--為接口指定管理IP（可選）（建議僅僅開放需要的管理服務(wù)，推薦WEBUI采用https，CLI采用SSH)具有安全意義的步驟添加可信任的管理主機DCFW-1800(config)#adminhost?

anyAnyipaddressA.B.C.DHostIPaddressDCFW-1800(config)#adminhost？

anyAllowedanylogintypehttpAllowedloginfromhttphttpsAllowedloginfromhttpssshAllowedloginfromsshtelnetAllowedloginfromtelnetDCFW-1800(config)#adminhosthttps這表示/24網(wǎng)段的設(shè)備都具備對防火墻的https管理權(quán)限（完成以上配置就可通過WEBUI方式對防火墻進行管理）具有安全意義的步驟修改缺省管理員admin口令DCN(config)#adminuseradminDCN(config-admin)#passwordq!Jiwx$*lc2H64cd#修改缺省的管理服務(wù)端口DCN(config)#httpport8088DCN(config)#httpsport1211創(chuàng)建具有不同權(quán)限的管理員需要使用admin賬戶創(chuàng)建新的管理員賬戶，并可對其修改、刪除。使用admin添加的新管理員賬戶可賦予不同的權(quán)限（讀、寫）使用admin添加的新管理員賬戶可賦予不同的管理方式（Console、Telnet、SSH、HTTP、HTTPS）恢復(fù)出廠設(shè)置CLI命令:unsetal