實(shí)驗(yàn)七、防火墻基本配置

實(shí)驗(yàn)七交換機(jī)基本配置實(shí)驗(yàn)?zāi)康模?）使用R2611模塊化路由器進(jìn)行網(wǎng)絡(luò)安全策略配置學(xué)習(xí)使用路由器進(jìn)行初步的網(wǎng)絡(luò)運(yùn)行配置和網(wǎng)絡(luò)管理，行能根據(jù)需要進(jìn)行簡(jiǎn)單網(wǎng)絡(luò)的規(guī)劃和設(shè)計(jì)。實(shí)驗(yàn)設(shè)備與器材熟悉交換機(jī)開機(jī)界面；（2）掌握QuidwayS系列中低端交換機(jī)幾種常用配置方法；（3）掌握QuidwayS系列中低端交換機(jī)基本配置命令。二、實(shí)驗(yàn)環(huán)境QuidwayR2611模塊化路由器、交換機(jī)、Console配置線纜、雙絞線、PC。交換機(jī)，標(biāo)準(zhǔn)Console配置線。三、實(shí)驗(yàn)內(nèi)容學(xué)習(xí)使用QuidwayR2611模塊化路由器的訪問控制列表（ACL）進(jìn)行防火墻實(shí)驗(yàn)。預(yù)備知識(shí)1、防火墻防火墻作為Internet訪問控制的基本技術(shù)，其主要作用是監(jiān)視和過濾通過它的數(shù)據(jù)包，根據(jù)自身所配置的訪問控制策略決定該包應(yīng)當(dāng)被轉(zhuǎn)發(fā)還是應(yīng)當(dāng)被拋棄，以拒絕非法用戶訪問網(wǎng)絡(luò)并保障合法用戶正常工作。2、包過濾技術(shù)一般情況下，包過濾是指對(duì)轉(zhuǎn)發(fā)IP數(shù)據(jù)包的過濾。對(duì)路由器需要轉(zhuǎn)發(fā)的數(shù)據(jù)包，先獲取包頭信息，包括IP層所承載的上層協(xié)議的協(xié)議號(hào)、數(shù)據(jù)包的源地址、目的地址、源端口號(hào)和目的端口號(hào)等，然后與設(shè)定的規(guī)則進(jìn)行比較，根據(jù)比較的結(jié)果對(duì)數(shù)據(jù)包進(jìn)行轉(zhuǎn)發(fā)或者丟棄。3、訪問控制列表路由器為了過濾數(shù)據(jù)包，需要配置一系列的規(guī)則，以決定什么樣的數(shù)據(jù)包能夠通過，這些規(guī)則就是通過訪問控制列表ACL（AccessControlList）定義的。訪問控制列表是由permit|deny語句組成的一系列有順序的規(guī)則，這些規(guī)則根據(jù)數(shù)據(jù)包的源地址、目的地址、端口號(hào)等來描述。ACL通過這些規(guī)則對(duì)數(shù)據(jù)包進(jìn)行分類，這些規(guī)則應(yīng)用到路由器接口上，路由器根據(jù)這些規(guī)則判斷哪些數(shù)據(jù)包可以接收，哪些數(shù)據(jù)包需要拒絕。訪問控制列表(AccessControlList)的作用訪問控制列表可以用于防火墻；訪問控制列表可用于Qos（QualityofService），對(duì)數(shù)據(jù)流量進(jìn)行控制；訪問控制列表還可以用于地址轉(zhuǎn)換；在配置路由策略時(shí)，可以利用訪問控制列表來作路由信息的過濾。一個(gè)IP數(shù)據(jù)包如下圖所示（圖中IP所承載的上層協(xié)議為TCP）ACL示意圖ACL的分類按照訪問控制列表的用途，可以分為四類：基本的訪問控制列表（basicacl）高級(jí)的訪問控制列表（advancedacl）基于接口的訪問控制列表（interface-basedacl）基于MAC的訪問控制列表（mac-basedacl）訪問控制列表的使用用途是依靠數(shù)字的范圍來指定的，1000～1999是基于接口的訪問控制列表，2000～2999范圍的數(shù)字型訪問控制列表是基本的訪問控制列表，3000～3999范圍的數(shù)字型訪問控制列表是高級(jí)的訪問控制列表，4000～4999范圍的數(shù)字型訪問控制列表是基于MAC地址訪問控制列表。4、防火墻的配置項(xiàng)目防火墻的配置包括：允許/禁止防火墻若兩條互相沖突的規(guī)則序號(hào)不同，優(yōu)先匹配acl-number較大的規(guī)則。防火墻的顯示和調(diào)試在所有視圖下使用debugging、reset、display命令。表3-12防火墻的顯示和調(diào)試操作命令顯示包過濾規(guī)則及在接口上的應(yīng)用displayacl[all|acl-number|interfacetypenumber]顯示防火墻狀態(tài)displayfirewall顯示當(dāng)前時(shí)間段的范圍displaytimerange顯示當(dāng)前時(shí)間是否在特殊時(shí)間段之內(nèi)displayisintr清除訪問規(guī)則計(jì)數(shù)器resetaclcounters[acl-number]打開防火墻包過濾調(diào)試信息開關(guān)debuggingfilter{all|icmp|tcp|udp}3.8.4實(shí)驗(yàn)過程1、防火墻配置實(shí)驗(yàn)示例組網(wǎng)方案要求通過配置靜態(tài)路由，使任意兩臺(tái)主機(jī)或路由器之間都能兩兩互通。網(wǎng)絡(luò)拓?fù)湔?qǐng)按下圖連接好線纜，并配置好路由器接口和計(jì)算機(jī)的IP地址，所有的子網(wǎng)掩碼均為24位掩碼。圖2配置防火墻組網(wǎng)圖

2、配置步驟首先用分別Console線纜連接兩個(gè)路由器并進(jìn)入配置視圖，按下面步驟對(duì)接口進(jìn)行配置。配置好計(jì)算機(jī)的IP地址和子網(wǎng)掩碼，計(jì)算機(jī)A的網(wǎng)關(guān)地址設(shè)置為10.100.110.100，計(jì)算機(jī)B的網(wǎng)關(guān)地址設(shè)置為10.100.120.100#配置路由器RouterA啟動(dòng)防火墻[RouterA]firewallenable#配置路由器接口IP[RouterA]interfaceEthernet0/0[RouterA-Ethernet0/0]ipaddress192.10.1.124[RouterA-Ethernet0/0]quit[RouterA]interfaceEthernet0/1[RouterA-Ethernet0/1]ipaddress10.100.110.10024[RouterA-Ethernet0/1]quit#配置路由器靜態(tài)路由[RouterA]iproute-static10.100.120.0255.255.255.0192.10.1.2#配置路由器RouterB，并啟動(dòng)防火墻[RouterB]firewallenable#配置路由器接口IP[RouterB]interfaceEthernet0/0[RouterB-Ethernet0/0]ipaddress192.10.1.224[RouterB-Ethernet0/0]quit[RouterB]interfaceEthernet1[RouterB-Ethernet0/1]ipaddress10.100.120.10024[RouterB-Ethernet0/1]quit#配置路由器靜態(tài)路由[RouterA]iproute-static10.100.110.0255.255.255.0192.10.1.1#測(cè)試網(wǎng)絡(luò)連通性在計(jì)算機(jī)A上使用命令：Ping10.100.120.139#在路由器A上設(shè)置標(biāo)準(zhǔn)控制列表＃在路由器A上驗(yàn)證標(biāo)準(zhǔn)訪問控制列表禁止IP地址為10.100.110.138的主機(jī)訪問10.100.120的網(wǎng)絡(luò)，而允許其他IP訪問。＃進(jìn)入2001號(hào)標(biāo)準(zhǔn)訪問控制列表視圖[RouterA]aclnumber2001＃設(shè)置控制規(guī)則[RouterA-acl-2001]ruledenysource10.100.110.1380.0.0.0#上條命令中最后一個(gè)參數(shù)0.0.0.0是反掩碼，用來唯一確定一個(gè)IP，若改為0.0.0.255則用來確定對(duì)一個(gè)C類的網(wǎng)絡(luò)實(shí)施訪問控制。＃允許其他的IP地址的數(shù)據(jù)通過路由器A訪問外網(wǎng)[RouterA-acl-2001]rulepermitsourceany#注意：2001號(hào)控制列表有上面有兩條規(guī)則，其匹配時(shí)按深度優(yōu)先規(guī)則，先匹配精確的規(guī)則，因此當(dāng)IP時(shí)10.100.110.138時(shí)將先按第一條規(guī)則執(zhí)行＃返回系統(tǒng)視圖[RouterA-acl-2001]quit＃進(jìn)入接口LAN1，在其上應(yīng)用訪問控制列表的規(guī)則[RouterA]interfaceEthernet0/1[RouterA-ethernet0/1]firewallpacket-filter2001inbound＃這時(shí)若把IP地址改為其他的地址，如：10.100.110.140則可以通過路由器訪問外網(wǎng)?？梢杂肞ing命令測(cè)試連通性＃在路由器B上使用擴(kuò)展控制列表[RouterB]aclnumber3002＃設(shè)置控制規(guī)則，只禁止目的IP地址為10.100.110.138數(shù)據(jù)通過路由器B的Ethernet0/0，其他目的地址的數(shù)據(jù)包都能通過。[RouterB-acl-3002]ruledenyipdestination10.100.120.1380.0.0.0#允許所有除了上個(gè)規(guī)則外的數(shù)據(jù)包訪問外網(wǎng)[RouterB-acl-3002]rulepermitipsourceanydestinationany＃進(jìn)入接口Ethernet0/0，在其上應(yīng)用訪問控制列表的規(guī)則[RouterB]interfaceEthernet0/