防火墙与入侵检测技术实验报告.docx

防火墙与入侵检测技术实验报告.docx

《防火墙与入侵检测技术实验报告.docx》由会员分享，可在线阅读，更多相关《防火墙与入侵检测技术实验报告.docx（19页珍藏版）》请在冰豆网上搜索。

防火墙与入侵检测技术实验报告

《防火墙、入侵检测与VPN》

实验报告

2016/2017学年第1学期

班级13级计算接科学与技术

姓名夏磊

学号1310411064

授课老师程昆山

实验一PIX防火墙配置

一、实验目的

通过该实验了解PIX防火墙的软硬件组成结构，掌握PIX防火墙的工作模式，熟悉PIX防火墙的6条基本指令，掌握PIX防火墙的动态、静态地址映射技术，掌握PIX防火墙的管道配置，熟悉PIX防火墙在小型局域网中的应用。

二、实验任务

●观察PIX防火墙的硬件结构，掌握硬件连线方法

●查看PIX防火墙的软件信息，掌握软件的配置模式

●了解PIX防火墙的6条基本指令，实现内网主机访问外网主机

三、实验设备

PIX501防火墙一台，CISCO2950交换机两台，控制线一根，网络连接线若干，PC机若干

四、实验拓扑图及内容

图中DMZ区域没有配置，只是配置了内网R1和外网R4，

外网R4：

R4#conft

Enterconfigurationcommands,oneperline.EndwithCNTL/Z.

R4（config）#intf0/0

R4（config-if）#ipadd192.168.1.2255.255.255.0

R4（config-if）#noshut

R4（config-if）#exit

*Mar100:

02:

56.059:

%LINK-3-UPDOWN:

InterfaceFastEthernet0/0,changedstatetoup

*Mar100:

02:

57.059:

%LINEPROTO-5-UPDOWN:

LineprotocolonInterfaceFastEthernet0/0,changedstatetoup

R4（config）#iproute0.0.0.00.0.0.0192.168.1.3

R4（config）#

内网R1：

R1#conft

Enterconfigurationcommands,oneperline.EndwithCNTL/Z.

R1（config）#intf0/0

R1（config-if）#ipadd10.1.1.2255.255.255.0

R1（config-if）#noshut

R1（config-if）#

*Mar100:

01:

32.115:

%LINK-3-UPDOWN:

InterfaceFastEthernet0/0,changedstatetoup

*Mar100:

01:

33.115:

%LINEPROTO-5-UPDOWN:

LineprotocolonInterfaceFastEthernet0/0,changedstatetoup

R1（config-if）#exit

R1（config）#iproute0.0.0.00.0.0.010.1.1.3

R1（config）#exit

R1#

*Mar100:

53:

05.287:

%SYS-5-CONFIG_I:

Configuredfromconsolebyconsole

R1#

防火墙上的配置：

pixfirewall#conft

pixfirewall（config）#hostnamepix

pix（config）#

pix（config）#

pix（config）#inte0

pix（config-if）#ipadd10.1.1.3255.255.255.0

pix（config-if）#nameifinside

INFO:

Securitylevelfor"inside"setto100bydefault.

pix（config-if）#noshut

pix（config-if）#exit

pix（config）#inte1

pix（config-if）#nameifoutside

INFO:

Securitylevelfor"outside"setto0bydefault.

pix（config-if）#ipadd192.168.1.3

pix（config-if）#ipadd192.168.1.3255.255.255.0

pix（config-if）#noshut

pix（config-if）#exit

pix（config）#static（inside,outside）192.168.1.410.1.1.4netmask255.255.255.255

pix（config）#access-list100permiticmpanyany

pix（config）#access-gr

pix（config）#access-group100inint

pix（config）#access-group100ininterfaceoutside

pix（config）#exit

pix#

五、实验结果

内网ping外网：

外网ping内网：

总结：

pix防火墙默认情况下，从高安全级别到低安全级别的流量是被允许的，从低安全级别访问高安全级别的流量默认是被禁止的。

要使流量可以从低安全级别访问高安全级别，需要使用访问列表。

实验二IDS入侵检测规则配置

【实验名称】

IDS入侵检测规则配置

【计划学时】

2学时

【实验目的】

1、了解IDS系统自带检测规则库中的各种攻击类型；

2、初步掌握对用户自定义规则的配置。

【基本原理】

IDS系统自带庞大的检测规则库，同时也允许用户自定义规则。

在检测入侵行为的过程中，IDS系统根据预先设定的检测规则进行信息的捕获，拆分，分析以及匹配。

【实验拓扑】

【实验步骤】

一、系统自带检测规则

1、“入侵检测”“检测规则”，该页面显示所有IDS系统自带检测规则，用户可以查看已经勾选的规则库，或进行规则库的选择。

系统会定时自动下载更新规则库，以使用户得到及时的保护。

用户也可上传自定义补丁更新规则库。

注意：

建议用户只勾选必要的选择，以提高检测的速率和性能。

例如，如果内部网络中没有数据库服务器，则不必勾选数据库选项下的规则库。

一般情况下，勾选的规则越多，对进出数据包的检测匹配耗时越长，降低IDS设备处理性能。

2、“入侵检测”“检测规则”“规则设置”

分类罗列已有规则及其危害等级，并可对各规则进行编辑，选择对违反该规则的行为警报（Alert），通过（Pass），或者拒绝（Reject）。

3、“入侵检测”“检测规则”“自定义规则”

自定义规则可以让用户自行定义入侵检测规则。

自定义规则非常强大，但需要一定的网络安防专业知识才能配置使用。

4、“入侵检测”“检测规则”“统计规则”

统计规则指的是对一段时间内重复出现的低级别事件进行统计综合报警。

这样可以减少不必要的报警次数。

举例：

对“ICMPWindowsPING”事件，如果需要在60秒内重复出现10次才报警，则应配置如下所示：

其中，gid和sid可以通过查询进行查询。

【实验总结】

本实验主要介绍了IDS自带的检测规则库及用户自定义规则的配置。

IDS的检测规则，关联规则都需要根据网络的实际情况来进行配置，当出现入侵时，所有的入侵行为数据都会在IDS服务器内根据规则进行检测（捕获，拆分，分析，匹配）。

实验三ASA防火墙IPSec与VPN的配置

一、实验目的

通过该实验掌握ASA防火墙IPSec与VPN的配置。

二、实验任务

●配置ASA防火墙IPSec

●配置ASA防火墙VPN

●验证实验结果

三、实验设备

ASA5505防火墙两台，CISCO2950交换机两台，控制线一根，网络连接线若干，PC机若干，Sniffer软件一套

四、实验拓扑图及内容

VPN的基本配置

执行下列步骤：

1.确定一个预先共享的密钥（保密密码）

2.为SA协商过程配置IKE。

3.配置IPSec。

内网R2上的配置是：

interfaceFastEthernet0/0

ipaddress10.1.1.1255.255.255.0

duplexauto

speedauto

!

noiphttpserver

noiphttpsecure-server

iproute0.0.0.00.0.0.010.1.1.2

防火墙FW1上的配置是：

fw1#shrun

:

Saved

:

PIXVersion7.2

（1）

!

hostnamefw1

enablepassword8Ry2YjIyt7RRXU24encrypted

names

!

interfaceEthernet0

nameifoutside

security-level0

ipaddress192.168.2.1255.255.255.0

!

interfaceEthernet1

nameifinside

security-level100

ipaddress10.1.1.2255.255.255.0

!

interfaceEthernet2

shutdown

nonameif

nosecurity-level

noipaddress

!

interfaceEthernet3

shutdown

nonameif

nosecurity-level

noipaddress

!

interfaceEthernet4

shutdown

nonameif

nosecurity-level

noipaddress

!

passwd2KFQnbNIdI.2KYOUencrypted

ftpmodepassive

access-list101extendedpermiticmpanyany

pagerlines24

mtuoutside1500

mtuinside1500

nofailover

noasdmhistoryenable

arptimeout14400

global（outside）11192.168.2.74netmask255.255.255.255

routeoutside0.0.0.00.0.0.0192.168.2.41

timeoutxlate3:

00:

00

timeoutconn1:

00:

00half-closed0:

10:

00udp0:

02:

00icmp0:

00:

02

timeoutsunrpc0:

10:

00h3230:

05:

00h2251:

00:

00mgcp0:

05:

00mgcp-pat0:

05:

00

timeoutsip0:

30:

00sip_media0:

02:

00sip-invite0:

03:

00sip-disconnect0:

02:

00

timeoutuauth0:

05:

00absolute

nosnmp-serverlocation

nosnmp-servercontact

snmp-serverenabletrapssnmpauthenticationlinkuplinkdowncoldstart

cryptoipsectransform-setfw2esp-desesp-none

cryptomappix12matchaddress101

cryptomappix12setpeer192.168.2.4

cryptomappix12settransform-setfw2

cryptomappixinterfaceoutside

cryptoisakmpidentityaddress

cryptoisakmpenableoutside

cryptoisakmppolicy12

authenticationpre-share

encryption3des

hashsha

group2

lifetime86400

cryptoisakmppolicy65535

authenticationpre-share

encryption3des

hashsha

group2

lifetime86400

tunnel-group192.168.2.4typeipsec-l2l

tunnel-group192.168.2.4ipsec-attributes

pre-shared-key*

telnettimeout5

sshtimeout5

consoletimeout0

!

!

prompthostnamecontext

Cryptochecksum:

00000000000000000000000000000000

:

end

fw1#

内网R3上的配置是：

interfaceFastEthernet0/0

ipaddress20.1.1.1255.255.255.0

duplexauto

speedauto

!

noiphttpserver

noiphttpsecure-server

iproute0.0.0.00.0.0.020.1.1.2

防火墙FW2上的配置：

fw2#shrun

:

Saved

:

PIXVersion7.2

（1）

!

hostnamefw2

enablepassword8Ry2YjIyt7RRXU24encrypted

names

!

interfaceEthernet0

nameifoutside

security-level0

ipaddress192.168.2.4255.255.255.0

!

interfaceEthernet1

nameifinside

security-level100

ipaddress20.1.1.2255.255.255.0

!

interfaceEthernet2

shutdown

nonameif

nosecurity-level

noipaddress

!

interfaceEthernet3

shutdown

nonameif

nosecurity-level

noipaddress

!

interfaceEthernet4

shutdown

nonameif

nosecurity-level

noipaddress

!

passwd2KFQnbNIdI.2KYOUencrypted

ftpmodepassive

access-list101extendedpermiticmpanyany

pagerlines24

mtuoutside1500

mtuinside1500

nofailover

noasdmhistoryenable

arptimeout14400

global（outside）11192.168.2.84netmask255.255.255.255

routeoutside0.0.0.00.0.0.0192.168.2.11

timeoutxlate3:

00:

00

timeoutconn1:

00:

00half-closed0:

10:

00udp0:

02:

00icmp0:

00:

02

timeoutsunrpc0:

10:

00h3230:

05:

00h2251:

00:

00mgcp0:

05:

00mgcp-pat0:

05:

00

timeoutsip0:

30:

00sip_media0:

02:

00sip-invite0:

03:

00sip-disconnect0:

02:

00

timeoutuauth0:

05:

00absolute

nosnmp-serverlocation

nosnmp-servercontact

snmp-serverenabletrapssnmpauthenticationlinkuplinkdowncoldstart

cryptoipsectransform-setfw1esp-desesp-none

cryptomappix12matchaddress101

cryptomappix12setpeer192.168.2.1

cryptomappix12settransform-setfw1

cryptomappixinterfaceoutside

cryptoisakmpidentityaddress

cryptoisakmpenableoutside

cryptoisakmppolicy12

authenticationpre-share

encryption3des

hashsha

group2

lifetime86400

tunnel-group192.168.2.1typeipsec-l2l

tunnel-group192.168.2.1ipsec-attributes

pre-shared-key*

telnettimeout5

sshtimeout5

consoletimeout0

!

!

prompthostnamecontext

Cryptochecksum:

857539fcbacc4cb22811ddfb1c68679c

:

end

fw2#

五、实验总结

虚拟专用网被定义为通过一个公用网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。

使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。