網(wǎng)絡(luò)設(shè)備配置與管理-基于Cisco Packet Tracer 7.0 課件 第4章 防火墻配置

4.1防火墻的基本配置與管理1.學(xué)習(xí)目標(biāo)2.應(yīng)用情境3.實(shí)訓(xùn)要求4.實(shí)訓(xùn)效果5.實(shí)訓(xùn)思路6.實(shí)訓(xùn)鞏固1.學(xué)習(xí)目標(biāo)（1）了解防火墻基本原理和作用。（2）熟悉防火墻基本配置方法。2.應(yīng)用情境某網(wǎng)絡(luò)公司新購買了思科5505防火墻，網(wǎng)絡(luò)管理員對(duì)防火墻的特性還在摸索過程中，對(duì)防火墻進(jìn)行了一些基本配置。3．實(shí)訓(xùn)要求（1）實(shí)訓(xùn)設(shè)備。①一臺(tái)PC。②一臺(tái)5505防火墻。其外觀如圖4-1、圖4-2所示。3．實(shí)訓(xùn)要求（2）實(shí)訓(xùn)拓?fù)淙鐖D4-3所示。4．實(shí)訓(xùn)思路（1）添加并連接設(shè)備。（2）更改防火墻主機(jī)名稱和配置域名。（3）配置防火墻特權(quán)和遠(yuǎn)程登錄密碼。（4）配置防火墻接口。（5）保存配置、清除配置，重啟防火墻。5．實(shí)訓(xùn)鞏固（1）配置防火墻名稱為ASA66。（2）使用“showclock”命令查看防火墻時(shí)間。（3）修改“vlan1”名稱為“inside”。4.2配置防火墻遠(yuǎn)程管理接入功能1.學(xué)習(xí)目標(biāo)2.應(yīng)用情境3.實(shí)訓(xùn)要求4.實(shí)訓(xùn)效果5.實(shí)訓(xùn)思路6.實(shí)訓(xùn)鞏固1.學(xué)習(xí)目標(biāo)（1）了解三種遠(yuǎn)程管理接入的相關(guān)概念。（2）掌握防火墻三種主要的遠(yuǎn)程管理接入方式配置方法。2.應(yīng)用情境防火墻開啟遠(yuǎn)程管理后，可遠(yuǎn)程管理防火墻。不必到設(shè)備去設(shè)置，節(jié)省了人力成本。3．實(shí)訓(xùn)要求（1）實(shí)訓(xùn)設(shè)備。①一臺(tái)ASA5505防火墻。②一臺(tái)PC。③一條配置線和兩條直通線。3．實(shí)訓(xùn)要求（2）實(shí)訓(xùn)拓?fù)洌鐖D4-4所示。3．實(shí)訓(xùn)要求（3）設(shè)備配置要求。表4-1PC參數(shù)表4-2防火墻參數(shù)表4-3路由器參數(shù)設(shè)備IP地址子網(wǎng)掩碼PC0設(shè)備VLAN1接口管理密碼防火墻IP：子網(wǎng)掩碼：telnet遠(yuǎn)程管理，賬號(hào)test，密碼：123456。設(shè)備VLAN1接口管理路由器IP：，子網(wǎng)掩碼：4．實(shí)訓(xùn)效果（1）能在PC通過Telnet遠(yuǎn)程登錄防火墻。（2）能在路由器通過SSH遠(yuǎn)程登錄防火墻。5．實(shí)訓(xùn)思路（1）添加設(shè)備并連接。（2）創(chuàng)建登錄賬號(hào)。配置防火墻Telnet遠(yuǎn)程登錄，驗(yàn)證配置情況。（3）配置防火墻SSH遠(yuǎn)程登錄，驗(yàn)證配置情況。（4）配置防火墻ASDM遠(yuǎn)程登錄。6．實(shí)訓(xùn)鞏固根據(jù)所學(xué)內(nèi)容，在ASA5505防火墻創(chuàng)建一個(gè)名為“test”密碼為“123456”的賬號(hào)，并配置可使用Telnet和SSH兩種方式登錄防火墻。4.3防火墻無客戶端SSLVPN配置1.學(xué)習(xí)目標(biāo)2.應(yīng)用情境3.實(shí)訓(xùn)要求4.實(shí)訓(xùn)效果5.實(shí)訓(xùn)思路6.實(shí)訓(xùn)鞏固1.學(xué)習(xí)目標(biāo)（1）了解SSLVPN技術(shù)。（2）掌握無客戶端SSLVPN的配置方法。（3）掌握書簽和組策略的配置方法。2.應(yīng)用情境某公司部分員工經(jīng)常出差，出差時(shí)需要訪問公司內(nèi)部網(wǎng)絡(luò)。網(wǎng)絡(luò)管理員為了保障數(shù)據(jù)傳輸安全，而且不需要在客戶端上安裝額外的軟件，使用瀏覽器就可以進(jìn)入公司內(nèi)部網(wǎng)絡(luò)，決定在防火墻啟用無客戶端SSLVPN。3．實(shí)訓(xùn)要求（1）實(shí)訓(xùn)設(shè)備。①兩臺(tái)PC。②一臺(tái)2950-24交換機(jī)③一臺(tái)ASA5505防火墻和一臺(tái)服務(wù)器。3．實(shí)訓(xùn)要求（2）實(shí)訓(xùn)拓?fù)淙鐖D4-6所示。3．實(shí)訓(xùn)要求（3）設(shè)備配置要求。如表4-4所示。2950T-24交換機(jī)不用配置。表4-4PC和服務(wù)器參數(shù)設(shè)備名稱IP地址子網(wǎng)掩碼默認(rèn)網(wǎng)關(guān)PC0PC1服務(wù)器0不設(shè)置4．實(shí)訓(xùn)效果（1）可使用無客戶端SSLVPN訪問服務(wù)器。（2）根據(jù)不同賬戶類型顯示不同的書簽和組策略。5．實(shí)訓(xùn)思路（1）添加設(shè)備并連接，設(shè)置PC和服務(wù)器的IP配置。（2）創(chuàng)建兩個(gè)賬戶，配置接口地址，啟動(dòng)防火墻WEB服務(wù)。（3）配置書簽。（4）配置組策略給用戶。（5）測試配置效果。6．實(shí)訓(xùn)鞏固在本實(shí)例的基礎(chǔ)上，再增加2個(gè)賬戶，為每個(gè)賬戶都配置2個(gè)書簽。4.4防火墻安全域配置1.學(xué)習(xí)目標(biāo)2.應(yīng)用情境3.實(shí)訓(xùn)要求4.實(shí)訓(xùn)效果5.實(shí)訓(xùn)思路6.實(shí)訓(xùn)鞏固1.學(xué)習(xí)目標(biāo)（1）了解安全區(qū)域基本概念。（2）掌握安全區(qū)域配置方法。2.應(yīng)用情境某公司為了保證業(yè)務(wù)的安全，對(duì)公司網(wǎng)絡(luò)進(jìn)行了重新規(guī)劃。將內(nèi)部辦公網(wǎng)絡(luò)、Internet和內(nèi)網(wǎng)服務(wù)器區(qū)分別劃分為“inside”、“outside”和“dmz”三個(gè)安全區(qū)域。3．實(shí)訓(xùn)要求（1）實(shí)訓(xùn)設(shè)備。①三臺(tái)1941路由器。②一臺(tái)ASA5505防火墻。③三條直通線。3．實(shí)訓(xùn)要求（2）實(shí)訓(xùn)拓?fù)淙鐖D4-13所示。3．實(shí)訓(xùn)要求（3）設(shè)備配置要求，如表4-5和表4-6所示。表4-5路由器參數(shù)設(shè)備G0/0接口IP地址/子網(wǎng)掩碼連接端口R1/24防火墻的E0/0R2/24防火墻的E0/1R3/24防火墻的E0/7表4-6防火墻參數(shù)VLAN安全區(qū)域名稱IP地址/子網(wǎng)掩碼接口vlan1inside/24E0/1至E0/6vlan2outside/24E0/0vlan3dmz/24E0/74．實(shí)訓(xùn)效果（1）三個(gè)路由器分別劃分在inside（內(nèi)網(wǎng)），outside（外網(wǎng)），dmz（服務(wù)器區(qū)）三個(gè)區(qū)。（2）三個(gè)路由器能互相Telnet。5．實(shí)訓(xùn)思路（1）添加各種設(shè)備，按拓?fù)溥B接線纜。（2）配置防火墻相關(guān)參數(shù)設(shè)置。（3）配置路由器相關(guān)信息。（4）為各路由器分別添加路由和Telnet用戶。（5）通過Telnet登錄測試各路由器之間的連通性。6．實(shí)訓(xùn)鞏固應(yīng)用情境：小張拿著如圖4-14所示的拓?fù)鋱D來找小李，向他請(qǐng)教安全區(qū)域的基本原理和配置方法。4.5防火墻DHCP、NAT和ACL的配置1.學(xué)習(xí)目標(biāo)2.應(yīng)用情境3.實(shí)訓(xùn)要求4.實(shí)訓(xùn)效果5.實(shí)訓(xùn)思路6.實(shí)訓(xùn)鞏固1.學(xué)習(xí)目標(biāo)（1）了解防火墻的NAT和ACL的基本原理。（2）掌握防火墻DHCP配置方法。（3）掌握防火墻的NAT和ACL的配置方法。2.應(yīng)用情境某公司遇到一些員工不能上網(wǎng)的問題，起因是這些員工設(shè)置了錯(cuò)誤的IP地址、網(wǎng)關(guān)和DNS服務(wù)器。網(wǎng)絡(luò)管理員決定在防火墻上創(chuàng)建DHCP服務(wù)，一次性解決這些員工的煩惱。在配置過程中，將原來在路由器的NAT和ACL配置，也遷移到防火墻來。3．實(shí)訓(xùn)要求（1）實(shí)訓(xùn)設(shè)備。①一臺(tái)服務(wù)器。②一臺(tái)PC。③一臺(tái)1941路由器。④一臺(tái)ASA5505防火墻。⑤一臺(tái)2960交換機(jī)。3．實(shí)訓(xùn)要求（2）實(shí)訓(xùn)拓?fù)淙鐖D4-15所示。3．實(shí)訓(xùn)要求（3）設(shè)備配置要求，如表4-7、表4-8和表4-9所示。PC為自動(dòng)獲取IP配置。交換機(jī)使用默認(rèn)配置，不用配置。表4-7外網(wǎng)服務(wù)器參數(shù)VLAN安全區(qū)域名稱IP地址/子網(wǎng)掩碼vlan1inside/24vlan2outside/24表4-8ISP路由器接口IP地址/子網(wǎng)掩碼默認(rèn)網(wǎng)關(guān)連接端口F0/24ISP路由器的G0/1設(shè)備接口IP地址/子網(wǎng)掩碼連接端口G0/0接口/24防火墻的E0/0G0/1接口/24外網(wǎng)服務(wù)器表4-9防火墻參數(shù)4．實(shí)訓(xùn)效果（1）從內(nèi)網(wǎng)的“PC0”能Ping通外網(wǎng)的“外網(wǎng)服務(wù)器”。（2）從內(nèi)網(wǎng)的“PC0”用瀏覽器輸入“”網(wǎng)址，能打開外網(wǎng)的“外網(wǎng)服務(wù)器”的網(wǎng)站。5．實(shí)訓(xùn)思路（1）添加各種設(shè)備，按拓?fù)溥B接線纜。（2）配置防火墻安全區(qū)域。（3）配置路由器名稱和端口IP。（4）測試“外網(wǎng)服務(wù)器”到路由器的連通性。（5）配置防火墻DHCP服務(wù)，讓內(nèi)網(wǎng)終端能自動(dòng)獲取IP配置。（6）配置防火墻默認(rèn)路由。（7）配置路由器OSPF。（