防火墙实训指导手册程丹Word格式.doc

防火墙实训指导手册程丹Word格式.doc

《防火墙实训指导手册程丹Word格式.doc》由会员分享，可在线阅读，更多相关《防火墙实训指导手册程丹Word格式.doc（9页珍藏版）》请在冰豆网上搜索。

STEP1:

线路连接

根据图示设置主机IP地址（注意主机IP与连接的防火墙端口地址为同一网段，不能与连接的防火墙端口地址冲突），设置防火墙本区域端口IP地址为主机网关地址。

测试能否PING通防火墙端口IP地址。

STEP2:

通过软件登陆

打开防火墙设备配置软件“TOPSEC集中管理器”，登陆到防火墙本主机所在区域端口IP地址。

查看防火墙　“基本信息”　和“实时监控”，　了解其他各菜单功能。

说明：

登陆用户名为user1/2/3/4/5/6/7,口令为：

123456

STEP3:

防火墙区域权限缺省设置

　‘网络’→‘区域’→防火墙三个区域→‘缺省访问权限’设为允许访问。

本机PING其他区域内主机，测试连通性。

　‘网络’→‘区域’→防火墙三个区域→‘缺省访问权限’设为禁止访问。

本机PING其他区域内主机，测试连通性。

说明：

不选择“可读、可写、可执行”选项，表示为禁止访问。

选择“可读、可写、可执行”选项，表示为允许访问。

第四个区域area_4为该软件上带的区域名，可不管,实际硬件上没有。

缺省访问权限是指区域之间主机的默认权限。

如果是PING本区域内主机，由于是通过交换机进行通信，防火墙不能控制权限，本区域内主机是能够连通的。

接下来在防火墙三个区域‘缺省权限’设为禁止访问的情况下，做以下步骤：

STEP4:

主机节点对象建立

　　高级管理→网络对象→本主机所在区域→定义新对象→定义节点

把本主机IP地址定义为一个节点。

定义名称可任意，物理地址可不填。

定义对象应在该对象所在区域内设置。

本机在哪个区域，则在那个区域内设置。

定义节点针对一个主机定义，定义子网可定义一个网络地址段。

定义对象没有任何权限的作用，只有通过访问策略（STEP5设置）调用这些对象才能设置权限。

STEP5:

访问策略的建立

1）高级管理→访问策略→需要访问的主机所在区域内‘增加’→‘包过滤策略’，策略源为访问端（只选择本机节点），策略目的为被访问端（只选择其他区域某节点），策略服务为PING，访问控制设为允许。

注意策略源和目的只选择节点，针对主机进行权限设置。

通过PING对方主机测试连通性。

2）在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。

访问策略应在被访问对象所在的目标区域设置策略（特别注意）。

如：

访问SSN区域内主机，则应在SSN区域内设置策略。

必须针对不同区域设置访问权限，同一区域内的主机防火墙是不能控制权限的，设置的策略也是无用的。

‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有端口。

‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控制。

访问策略优先级高于区域的优先级（STEP3已设置）。

每个访问策略都是单向访问，只有策略源对象访问到策略目的对象。

两个不同区域主机如需要相互访问，则需要建立两个策略。

　　访问策略可控制源地址，目标地址，策略服务，访问控制时间。

STEP6:

通过策略范围来控制主机访问权限

（1）设置两个策略，一个策略为设置本机访问其他区域某一主机的访问策略，访问策略为允许，另一个策略同样是访问该主机，但访问控制设为禁止，更改两个策略的优先级，通过PING对方主机测试连通性。

鼠标上下拖动所建策略可以更改优先级，排在上面的策略优先级高。

（2）设置两个策略，一个策略为本机访问其他整个区域的策略，另一个策略为本机禁止访问其他区域内某一个主机的策略，更改两个策略的优先级，通过PING对方主机测试连通性。

（3）设置两个策略，一个策略为本机访问其他区域某主机的策略，策略服务为任何服务，另一个策略为本机禁止通过策略服务PING其他区域该主机。

更改两个策略的优先级，通过PING对方主机测试连通性。

（4）设置两个策略，一个策略为本机禁止访问其他区域某主机的策略，策略服务为任何服务，另一个策略为本机允许通过策略服务PING其他区域该主机。

更改两个策略的优先级，通过PING对方主机测试连通性，访问其他端口（如共享方式）进行测试。

（5）设置本区域允许访问其他整个区域，策略服务为任何服务，通过PING对方所有主机测试连通性。

（6）在‘网络’→‘区域’，设置所有区域缺省权限为允许，再建立一个访问策略，禁止PING对方某一主机的访问策略。

测试与对方主机的连通性。

7）根据需要，自行定义策略，设置权限。

如果选择整个区域，如选择‘INTRANET区域”，则指包括连入INTRANET内的所有主机。

可以通过策略的优先级，设置范围小的策略优先级高于范围大的策略，能够有效控制不同区域之间的访问对象和策略服务。

这样先满足范围小的策略，超过这个范围则再受到范围大的策略限制。

STEP7:

通信策略设置NAT方式

与另一区域的一主机配合操作。

在目标主机无网关（路由）的情况下，通过NAT方式进行访问。

访问端需要有网关（路由）。

1）把需要测试的目标主机网关IP地址（在网络属性中设置）删除。

2）在目标主机无网关情况下，增加一个访问策略，允许本机（策略源）访问该目标主机（策略目的），测试与该主机连接情况。

3）进入‘高级管理’→‘通信策略’→增加本机（策略源）到该目标主机（策略目的）的通讯策略，通信方式选择NAT方式。

4）测试与该主机连接情况。

5）本机删除网关后，让对方主机增加网关，反过来再增加访问策略和NAT进行测试。

访问策略是权限的问题，通讯策略是路径的问题。

NAT都是单向访问，内网需要网关路由到外网，而外网不需路由到内网。

保护了内网的安全。

STEP8:

通过HTTP过滤策略,过滤网站和过滤网页.

1）首先把防火墙INTERNET区域端口接入到华迪实训公司INTERNET网络线路。

2）建立一个访问策略（包过滤策略），以本机作为策略源，以INTERNET区域做为策略目的，策略服务选择任何服务。

3）再建立一个通信策略（NAT方式），本机做为策略源，INTERNET区域作为策略目的。

然后本机DNS（在网络属性中设置）指向到互联网DNS服务器IP地址:

61.139.2.69,检查能否PING通61.139.2.69，测试能否连入互联网。

4）在高级管理→特殊对象→URL→定义新对象，输入某一网址，注意格式要求。

注意：

定义URL时前后应加*,如格式：

**。

5）访问策略→INTERNET区域→增加HTTP策略，禁止某一网站。

把过滤策略优先级提到最前面，测试该网站能否打开。

（不需选择关键字）

6）在高级管理→特殊对象→关键字→定义关键字

7）访问策略→INTERNET区域→增加HTTP策略，允许某一网站访问，但禁止关键字访问。

把过滤策略优先级提到最前面，测试含有该关键字的网页能否打开。

定义关键字不需要加*，过滤关键字即过滤含有关键字的网页。

选择关键字则访问策略的访问控制只能选择“允许”,不能选择禁止。

8）通过包过滤策略，禁止本机访问INTERNET,策略服务为TCP:

80（HTTP服务），测试能否连入互联网。

9）PING某一网站域名，记住其IP地址，通过访问策略禁止本机PING此IP地址。

下半部份：

二、通过防火墙透明模式测试区域网络的访问控制：

防火墙透明模式可以让同一网段在不同区域的主机进行通信。

而路由模式可以让不同网段在不同区域通过防火墙端口IP地址路由进行通信。

不同区域任意两个主机之间都可配合按以下步骤操作。

按上图设置主机IP,通过TOPSEC集中管理器，重新登陆到本区域端口地址。

在高级管理→特殊对象→透明网络→增加透明网络，选择“INTERNET区域”“INTRANET"

"

SSN"

。

增加本区域和要进行透明网络测试的区域。

在网络→区域→设置三个区域为禁止访问。

在网络对象中重新按以上IP在本区域建立本机节点，在访问策略中，增加本机（策略源）可以访问其他区域内某一主机（策略目的）的权限。

测试能否PING通其他区域的主机。

删除所有建立的透明网络，测试能否连通其他区域主机。

在网络→区域→设置三个区域为允许访问，建立禁止访问其他区域主机的访问策略，测试连通性。

三、MAP映射操作步骤（本实验可选）：

认真按以下步骤操作，可参照后面参考案例

在网络→区域→本主机所在区域→虚口设置→设置虚口IP地址增加本区域同一网段的虚口IP地址，注意不要跟其他地址冲突。

增加一个虚口地址做映射地址。

建立MAP映射后，IP地址将会完全代替被映射的主机IP,为了使MAP后“TOPSEC集中管理器”能连到防火墙原防火墙IP地址，所以增加一个虚口地址来做为MAP映射的IP地址。

在高级管理→网络对象→本区域内→增加STEP1所做的虚口地址为一个节点A。

在高级管理→网络对象→对方区域内→增加对方主机为一个节点B。

Ping虚口IP地址,检查能否连接该地址。

在高级管理→访问策略→对方区域内→增加本机访问对方主机的访问策略,策略服务设为任何服务。

在高级管理→通信策略→增加MAP映射。

策略源为本机所在区域名，策略目的为节点A（即虚口地址）,通信方式：

MAP,目标机器为对方主机节点B，访问目标的源为节点A（即虚口地址）。

进行MAP测试，本机访问虚口地址。

可以通过‘PING－a虚口IP’的方式查找计算机名，如能解析出对方计算机名。

则可以说虚口地址已映射为对方计算机IP.

通过地址映射后，访问虚口地址即实际转向访问到节点B.如访问虚口地址上的网站即访问节点B的WEB.

高级管理→通信策略

把刚才做的MAP策略，指定协议改为TCP,映射方式改为端口映射：

80端口→80端口。

原理说明：

只能针对节点（主机）对节点（主机）进行MAP。

通过这种方式，互联网上主机可不需路由（网关）到企业内网。

当具体应用时，因外网不能直接访问到内网私有地址的服务器，在外网主机访问内网服务器时就需先访问外网IP地址，再通过MAP访问内网服务器。

MAP映射参考案例：

从Internet区域向SSN区域做映射。

目的：

192.168.8.251＝MAP=》　192.168.2.50

按如图所示，以192.168.8.50模拟互联网上